Tout traitement doit reposer sur l'une des six bases légales du RGPD : consentement, contrat, obligation légale, sauvegarde d'intérêts vitaux, mission d'intérêt public, intérêts légitimes. Elle est choisie avant le traitement, par finalité, et documentée. Le consentement n'est pas la base par défaut.
Exemple
Exécution d'une commande en ligne : base légale « contrat ».