Toda atividade de tratamento deve se apoiar em uma das bases legais previstas na LGPD. A escolha correta depende da finalidade, do contexto e do tipo de dado envolvido. Consentimento, obrigação legal, execução de contrato, exercício regular de direito, proteção do crédito e legítimo interesse são exemplos de bases aplicáveis a dados pessoais comuns.

Para dados sensíveis, a lei impõe bases mais restritivas e requer salvaguardas adicionais. Sempre que possível, o controlador deve documentar a análise que justificou a base escolhida e revisá-la quando houver mudança de finalidade ou quando for pertinente.