Kasvatuksen, opetuksen ja koulutuksen järjestäjä saa käsitellä oppijoiden ja heidän huoltajiensa henkilötietoja siinä laajuudessa, kuin se on välttämätöntä sille rekisterinpitäjänä kuuluvien lakisääteisten tehtävien hoitamiseksi. Näihin tehtäviin lukeutuu velvollisuus kasvatuksen, opetuksen ja koulutuksen järjestämiseen lainsäädännössä, valtakunnallisissa suunnitelmien perusteissa sekä paikallisesti päätetyissä suunnitelmissa määritellyllä tavalla.
Kouluissa ei kuitenkaan voi kerätä näidenkään toimintojen yhteydessä käyttötarkoituksen kannalta tarpeettomia henkilötietoja tai käsitellä tietoja laajemmin kuin on tarpeellista edes oppijan tai tämän huoltajan suostumuksella. Näitä tietoja ei voi myöskään käsitellä muuhun tarkoitukseen kuin mihin ne on kerätty.