São as hipóteses previstas em Lei com base nas quais um controlador pode fazer o tratamento de dados pessoais de terceiros. Cada tratamento de dados, ou seja, qualquer atividade relacionada a dados pessoais, deve ser justificada por uma base legal prevista na LGPD, as quais são:
I - Fornecimento de consentimento pelo titular;
II - Cumprimento de obrigação legal ou regulatória pelo controlador;
III - para execução de políticas públicas previstas em leis pela administração pública;
IV - para estudos por órgão de pesquisa, sempre que possível com anonimização dos dados pessoais;
V - Execução de contrato ou de procedimentos preliminares do qual seja parte o titular;
VI - para o exercício regular de direitos em processo judicial, administrativo ou arbitral;
VII - para a proteção da vida ou da incolumidade física do titular ou de terceiro;
VIII - para a tutela da saúde (profissionais de saúde, serviços de saúde ou autoridade sanitária);
IX - para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais; ou
X - para a proteção do crédito.