O tratamento só é lícito se e na medida em que se verifique pelo menos uma das seguintes situações:
- O titular dos dados tiver dado o seu consentimento para o tratamento dos seus dados pessoais para uma ou mais finalidades específicas;
- O tratamento for necessário para a execução de um contrato no qual o titular dos dados é parte, ou para diligências pré-contratuais a pedido do titular dos dados;
- O tratamento for necessário para o cumprimento de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito;
- O tratamento for necessário para a defesa de interesses vitais do titular dos dados ou de outra pessoa singular;
- O tratamento for necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento;
- O tratamento for necessário para efeito dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros.
O pedido de consentimento deve ser entendido como o último recurso. Ou seja, devem ser sempre solicitados apenas e só os dados estritamente necessários para os tratamentos legítimos sem um pedido de consentimento.