O tratamento de dados pessoais é uma atividade condicionada exclusivamente ao fornecimento de consentimento pelo titular, sendo nula qualquer operação realizada sem a sua manifestação livre e informada.

O legítimo interesse do controlador poderá fundamentar o tratamento de dados pessoais para finalidades legítimas a partir de situações concretas, como o apoio e a promoção de atividades do controlador.

Quando o tratamento de dados pessoais for fundamentado no legítimo interesse do controlador, a lei permite o tratamento de qualquer dado disponível na base, independentemente de sua necessidade para a finalidade pretendida.

O tratamento de dados pessoais para a tutela da saúde é permitido apenas quando houver o consentimento por escrito do titular, sendo vedado o tratamento por profissionais de saúde em procedimentos sanitários sem tal formalidade.

A Autoridade Nacional de Proteção de Dados (ANPD) é impedida de solicitar ao controlador o relatório de impacto à proteção de dados pessoais nos casos em que o tratamento se basear no legítimo interesse, visando resguardar o segredo comercial.