Por ser uma entidade privada necessita de autorização expressa de seus usuários para o tratamento de qualquer dado. 

Seus usuários possuem total autodeterminação informativa sobre os seus dados, podendo negar, não importa o motivo, o direito ao CORE-RS de tratar os seus dados para quaisquer fins, ainda que anonimizados. 

Uma vez que se trata de uma autarquia federal, pode realizar tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres.

É uma autarquia federal e, como tal, não está sujeita à abrangência da Lei Geral de Proteção de Dados, ou à fiscalização da Autoridade Nacional de Proteção de Dados (ANPD), submetendo-se apenas ao controle finalístico da Administração Pública.