O tratamento de dados pessoais somente será considerado lícito quando fundado no consentimento livre, informado e inequívoco do titular, sendo vedado ao controlador realizar tratamento com base em qualquer outra hipótese legal.

Para pessoas jurídicas privadas, o consentimento é a única base legal para o tratamento de dados pessoais. Já as pessoas jurídicas públicas podem tratar dados com base apenas em interesse legítimo genérico, ainda que sem previsão legal, finalidade pública específica ou enquadramento nas hipóteses autorizativas da LGPD.

O consentimento fornecido pelo titular é irrevogável, de modo que, uma vez manifestado, não poderá ser retirado sem que o titular responda pelos danos eventualmente causados ao controlador em razão da revogação.

O tratamento de dados pessoais com fundamento no legítimo interesse do controlador é vedado pela LGPD, por não oferecer ao titular mecanismos adequados de controle e transparência.

O tratamento de dados pessoais pode ser realizado com fundamento em hipóteses legais diversas do consentimento, expressamente previstas na LGPD, tais como o cumprimento de obrigação legal, a execução de políticas públicas pela Administração Pública e a proteção da vida do titular ou de terceiro.