Personopplysningsloven krever i utgangspunktet konsesjon for å behandle sensitive personopplysninger. For en skole medfører flere unntaksregler imidlertid at svært få edb-systemer eller papirregistre trenger konsesjon. De langt fleste elektroniske systemene med personopplysninger og papirbaserte sensitive personregistrene ved en videregående skole vil kun være meldepliktige. Meldeplikt innebærer å gi Datatilsynet melding om rutiner og ansvar knyttet til bruken av personopplysningene.

Den "behandlingsansvarlige" er den som har bestemmelsesrett over personopplysningene, som bestemmer formålet med behandlingen og hvilke hjelpemidler som skal brukes for å oppnå formålet. Det daglige behandlingsansvaret kan i en fylkeskommune delegeres til en underliggende etat, skole eller helseinstitusjon. Lederen i dette underliggende organet får dermed et selvstendig ansvar for at personopplysningslovens regler blir fulgt. Kommunens ledelse kan imidlertid ikke fraskrive seg sitt "rettslige" behandlingsansvar ved delegeringen. Ved eventuelle lovbrudd er det fylkeskommunen, representert ved fylkesordføreren, som er rettslig ansvarlig og som kan saksøkes og pådra seg straffeansvar.