Reglerne om databeskyttelse bestemmer, hvornår registrering, videregivelse og anden behandling af almindelige personoplysninger, som eksempelvis oplysninger om navn, adresse og skema, må finde sted.
Behandling af almindelige oplysninger kan blandt andet ske, hvis den registrerede har givet sit samtykke til behandlingen.
Det må konkret vurderes, om barnet har tilstrækkelig modenhed og forståelse til selv at give samtykke. Normalt vil et barn på 15 år være tilstrækkelig moden til at kunne give samtykke til, at skolen kan offentliggøre oplysninger om eleven på skolens hjemmeside.
Almindelige personoplysninger kan også behandles, hvis behandlingen er nødvendig for, at den dataansvarlige kan forfølge en legitim interesse, som ikke overstiger den registreredes interesser eller rettigheder (interesseafvejning). Hensynet til barnet og den unge skal i denne vurdering tillægges særligt vægt. Det skal derfor være særligt klart, at den dataansvarliges interesse vejer tungere en barnets eller den unges interesse i, at der ikke sker behandling.
Når en uddannelsesinstitution behandler oplysninger om elever, skal institutionen, som dataansvarlig, foretage en vurdering af, om elevens interesser går forud for skolens legitime interesse i at behandle oplysningerne. Uddannelsesinstitutionen skal derfor være opmærksom på, at hensynet til barnet og den unge tillægges særlig vægt. Vurderingen afhænger bl.a. af, hvilken form for behandling der er tale om, og hvilke oplysninger behandlingen omfatter.
Offentlige myndigheder kan ikke behandle personoplysninger på baggrund af en interesseafvejning, når behandlingen sker som led i myndighedens udførelse af sine opgaver. Er en uddannelsesinstitution en offentlig myndighed, kan almindelige personoplysninger imidlertid også behandles, hvis behandlingen er nødvendig af hensyn til udførelse af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som uddannelsesinstitutionen har fået pålagt.
Når en uddannelsesinstitution behandler oplysninger om elever, skal institutionen blandt andet være opmærksom på, at personoplysninger, som indsamles til ét formål, ikke viderebehandles til et andet formål, der er uforeneligt med det oprindelige, og at behandling af personoplysninger, skal være tilstrækkelig, relevant og begrænset i forhold til, hvad der er nødvendigt i forhold til formålet.