Podstawę prawną przetwarzania danych osobowych może stanowić przepis art. 6 ust. 1 lit. e) ogólnego rozporządzenia o ochronie danych (RODO) w zw. z przepisami ustawy z 21.11.1996 r. o muzeach, tj. przetwarzanie danych jest niezbędne do realizacji zadania w interesie publicznym. Działalność muzeów, w szczególności muzeów rejestrowanych prowadzona jest bowiem w interesie publicznym.

Udostępnianie danych osobowych ze zbiorów muzealnych możliwe jest zatem przede wszystkim w ramach realizacji ww. celu. Ponadto, także w innych przypadkach, gdy podmiot zwracający się o te dane posiada podstawę prawną przetwarzania wynikającą z art. 6 ust. 1 RODO (np. w celach badawczych). W innych przypadkach niż realizacja interesu publicznego (np. udostępnienie zbiorów zwiedzającym), zalecane jest weryfikowanie podstawy prawnej przetwarzania danych przez podmiot wnioskujący o dostęp do tychże danych. Może to mieć miejsce w drodze oświadczenia.

Na marginesie należy wskazać, że jak wynika z motywu 27 RODO, rozporządzenie to nie ma zastosowania do danych osobowych osób zmarłych.

Przepis art. 14 ust. 2 RODO zawiera przypadki, w których możliwe jest odstąpienie od wykonywania obowiązku informacyjnego. Muzeum powinno zatem powziąć próby wykonania tegoż obowiązku oraz je udokumentować (zgodnie z art. 5 ust. 2 RODO). Stosowne klauzule informacyjne powinny znaleźć się również na stronie internetowej muzeum oraz w jego pomieszczeniach. Możliwe jest także wykorzystanie możliwości kilkuetapowego wykonywania obowiązku informacyjnego.

Przykładowo, zamieszczenie przy zbiorach zawierających dane osobowe informacji o bezpośrednim linku do jej pełnej treści, bądź stosownego kodu QR, czy też wskazanie w jakim pomieszczeniu dostępne są klauzule informacyjne.