Kreditoplysningsbureauerne må kun behandle oplysninger, som er af betydning for bedømmelsen af en persons kreditværdighed. De må ikke behandle oplysninger om den registreredes rent private forhold (følsomme oplysninger).
Et kreditoplysningsbureau skal søge Datatilsynet om tilladelse, før bureauet må begynde sin virksomhed.
Hvis en person eller en virksomhed bliver optaget i et register hos et kreditoplysningsbureau, skal bureauet give vedkommende besked om dette, inden der er gået fire uger efter registreringen.
Hvis den registrerede senere spørger, skal kreditoplysningsbureauet også oplyse, hvilke oplysninger der er registreret, og hvilke oplysninger der inden for det sidste halve år er videregivet om den pågældende.
Kreditoplysningsbureauer må som altovervejende hovedregel ikke registrere gældsoplysninger, hvis skyldneren bestrider gælden, og kravet ikke er fastslået af en domstol.
Oplysninger om kreditværdighed, der ikke tilsigter at være udtømmende (summariske kreditoplysninger), kan videregives telefonisk til bureauets abonnenter. Sådanne summariske oplysninger drejer sig som regel om, at en person eller virksomhed er optaget på en "sort liste" over "dårlige betalere". Ellers må kreditoplysninger kun videregives skriftligt eller elektronisk gennem et online system.
De summariske kreditoplysninger må dog normalt kun videregives, hvis den enkelte oplysning drejer sig om en gæld over 1.000 kr. Det er en yderligere betingelse, at der er foretaget retslige skridt mod den registrerede, f.eks. at der er udtaget stævning, eller at den registrerede over for kreditor skriftligt har erkendt, at gælden er forfalden. Hvis oplysningerne har været offentliggjort i Statstidende, kan de altid gives videre. Det gælder dog ikke oplysning om gældssanering, der er endeligt godkendt.
Kreditoplysningsbureauer må også registrere og videregive gældsoplysninger, der modtages fra offentlige myndigheder.
Offentlige myndigheder skal følge en bestemt procedure, før oplysninger om en borgers gæld kan indberettes til et kreditoplysningsbureau. Desuden skal den samlede gæld til det offentlige være på mindst 7.500 kr.
Hvis oplysninger hos et kreditoplysningsbureau viser sig at være forkerte, skal de snarest muligt slettes eller rettes.
Hvis en forkert oplysning har været videregivet, skal kreditoplysningsbureauet straks give en skriftlig meddelelse om rettelsen til den person, der har været forkert registreret. Bureauet skal også give en skriftlig meddelelse til alle, der har modtaget oplysningen inden for det sidste halve år. Den registrerede skal derudover have besked om, hvem der inden for det sidste halve år har modtaget den forkerte oplysning, samt om, hvorfra oplysningen eller bedømmelsen stammer.
Henvendelser fra den registrerede om sletning eller rettelse skal inden 4 uger besvares skriftligt af bureauet. Hvis kreditoplysningsbureauet nægter at slette eller rette, kan man klage til Datatilsynet.