O consentimento do titular constitui a principal hipótese de tratamento de dados pessoais, cabendo ao controlador recorrer às demais bases legais apenas de forma excepcional.

O cumprimento de obrigação legal ou regulatória pelo controlador constitui hipótese que autoriza o tratamento de dados pessoais, independentemente do consentimento do titular.

O tratamento de dados pessoais para a execução de políticas públicas exige o consentimento do titular quando for realizado por órgãos da Administração Pública Direta.

A proteção da vida ou da incolumidade física constitui hipótese legal de tratamento apenas quando envolver dados pessoais sensíveis.

Os dados pessoais tornados manifestamente públicos pelo próprio titular somente podem ser tratados mediante um novo consentimento específico.