1. El tractament només és lícit si es compleix, almenys, una de les condicions següents:
a) La persona interessada ha donat el consentiment per al tractament de les seves dades personals, per a una o diverses finalitats específiques.
b) El tractament és necessari per a executar un contracte en el qual la persona interessada és part, o bé per a aplicar mesures precontractuals a petició seva.
c) El tractament és necessari per a complir una obligació legal aplicable al responsable del tractament.
d) El tractament és necessari per a protegir interessos vitals de la persona interessada o d’una altra persona física.
e) El tractament és necessari per a complir una missió realitzada en interès públic o en l’exercici de poders públics conferits al responsable del tractament.
f) El tractament és necessari per a satisfer interessos legítims perseguits pel responsable del tractament o per un tercer, sempre que sobre aquests interessos no prevalguin els interessos o els drets i les llibertats fonamentals de la persona interessada que requereixin la protecció de dades personals, especialment si la persona interessada és menor d’edat. El que estableix aquesta lletra no és d’aplicació al tractament realitzat per les autoritats públiques en l’exercici de les seves funcions.
2. La base del tractament esmentat a les lletres c) i e) de l’apartat anterior ha de ser establerta per la normativa que resulti d’aplicació al responsable del tractament. La finalitat del tractament s’ha de determinar en aquesta base jurídica o bé, pel que fa al tractament a què es refereix la lletra e) de l’apartat 1, ha de ser necessària per al compliment d’una missió realitzada en interès públic o en l’exercici de poders públics conferits al responsable del tractament.
La base jurídica pot contenir disposicions específiques per adaptar l’aplicació de les normes d’aquesta Llei, entre les quals: les condicions generals que regeixen la licitud del tractament efectuat pel responsable; els tipus de dades objecte de tractament; les persones interessades afectades; les entitats a les quals es poden comunicar dades personals i les finalitats d’aquesta comunicació; la limitació de la finalitat; els terminis de conservació de les dades, així com les operacions i els procediments del tractament, incloses les mesures per garantir un tractament lícit i equitatiu, com les relatives a altres situacions específiques de tractament. La base jurídica ha de complir un objectiu d’interès públic i ha de ser proporcional a la finalitat legítima perseguida.
3. Per tal de determinar si el tractament amb una altra finalitat és compatible amb la finalitat per a la qual es van recollir inicialment les dades personals, quan el tractament no es basa en el consentiment de la persona interessada ni en una norma que constitueixi una mesura necessària i proporcional en una societat democràtica per salvaguardar els objectius indicats a l’apartat 1 de l’article 26, el responsable del tractament ha de tenir en compte, entre altres qüestions:
a) Qualsevol relació entre les finalitats per a les quals s’han recollit les dades personals i les finalitats del tractament posterior previst.
b) El context en què s’han recollit les dades personals, en particular respecte de la relació entre els interessats i el responsable del tractament.
c) La naturalesa de les dades personals, en especial quan es tracten categories especials de dades personals, o dades relatives a condemnes i infraccions penals.
d) Les possibles conseqüències per als interessats del tractament posterior previst.
e) L’existència de garanties adequades, que poden incloure el xifrat o la seudonimització.