O tratamento de dados pessoais somente poderá ser realizado mediante o fornecimento de consentimento pelo titular, não sendo admitidas outras bases legais para a operação.

O tratamento de dados pessoais poderá ser realizado para a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária. 

As autorizações genéricas para o tratamento de dados pessoais são consideradas válidas e eficazes, desde que o titular assine o contrato de prestação de serviços.

Cabe ao titular dos dados pessoais o ônus da prova de que o seu consentimento foi obtido em desconformidade com o disposto na Lei Geral de Proteção de Dados.

O consentimento fornecido pelo titular para o tratamento de seus dados é irrevogável, garantindo a segurança jurídica das operações realizadas pelo controlador.