El tractament de dades personals només serà lícit si es compleix almenys una de les següents condicions:
- Consentiment de la persona interessada.
- Execució d'un contracte.
- Compliment d'una obligació legal.
- Interès vital de la persona interessada o interès vital d'una tercera persona.
- Missió en interès públic o exercici de poders públics.
- Interès legítim del responsable o interès legítim d'una tercera persona.
Quan un tractament persegueix diverses finalitats, cal fer constar la legitimació per a cadascuna d’elles.
La base jurídica en la qual es basa el tractament de dades personals es regula a l'article 6 del Reglament General de Protecció de Dades.