Kvalitetsregistre som ønsker at NPR skal gjennomføre dekningsgradsanalyser må kunne påvise at de har rettslig grunnlag for dette. Det følger av NPR-forskriften § 3-7 og er ikke et nytt krav. Med innføring av personvernforordningen (GDPR) er imidlertid tidligere konsesjoner opphørt, og dataansvarlige for registrene må selv ta eierskap til og godtgjøre at den aktuelle behandlingen er lovlig.
Som en konsekvens av dette krever NPR nå at registrene bekrefter sitt behandlingsgrunnlag ved bestilling av dekningsgradsanalyser. Det betyr at registeret må gi en kort redegjørelse for hvilke av reglene i artikkel 6 og artikkel 9 i GDPR som (etter datansvarliges vurdering) gir nødvendig behandlingsgrunnlag for å sammenstille registerets data med opplysninger i NPR.
Dersom registeret er samtykkebasert og samtykket er dekkende for en slik sammenstilling, er aktuelt behandlingsgrunnlag å finne i artikkel 6 nr. 1 bokstav a og artikkel 9 nr. 2 bokstav a (den registrertes samtykke). Hvis ikke samtykke er aktuelt må andre grunnlag vurderes. Det er den dataansvarlige for registeret selv som må ta stilling til dette og melde videre til NPR.
Servicemiljøet anbefaler i likhet med NPR at kvalitetsregistrene rådfører seg med eget personvernombud dersom det er usikkerhet om hva som gjelder.