La norma reconoce el consentimiento como la principal base legal para el tratamiento de datos, admitiendo excepciones tales como el interés legítimo del responsable, el cumplimiento de un contrato o medida precontractual, la obligación o autorización legal, y el ejercicio de defensa ante tribunales o autoridades públicas.