Za svaku obradu osobnih podataka u točno određenu svrhu mora postojati relevantna pravna osnova, pa tako i za oblike marketinga.
Osobni podaci moraju biti zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika (načelo zakonitosti, poštenosti i transparentnosti); prikupljeni u posebne, izričite i zakonite svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama (načelo ograničavanje svrhe); primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koju se obrađuju (načelo smanjenje količine podataka); točni i prema potrebi ažurni (načelo točnosti); čuvani u obliku koji omogućuje identifikaciju ispitanika samo onoliko dugo koliko je potrebno u svrhe radi kojih se osobni podaci obrađuju (načelo ograničenja pohrane); obrađivani na način kojim se osigurava odgovarajuća sigurnost osobnih podataka, uključujući zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja primjenom odgovarajućih tehničkih ili organizacijskih mjera (načelo cjelovitosti i povjerljivosti) (Članak 5. Opće uredbe o zaštiti osobnih podataka).
Člankom 6. Opće uredbe o zaštiti osobnih podataka propisano je da je obrada zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega: Ispitanik je dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha; Obrada je nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora; Obrada je nužna radi poštovanja pravnih obveza voditelja obrade; Obrada je nužna kako bi se zaštitili ključni interesi ispitanika ili druge fizičke osobe; Obrada je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade; Obrada je nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete.
Legitimni interesi voditelja obrade (Čl. 47. Uredbe), među ostalim onih interesa voditelja obrade kojem se osobni podaci mogu otkriti ili treće strane, mogu predstavljati pravnu osnovu za obradu pod uvjetom da interesi ili temeljna prava i slobode ispitanika nemaju prednost, uzimajući u obzir razumna očekivanja ispitanika koja se temelje na njihovom odnosu s voditeljem obrade. Takav legitiman interes mogao bi na primjer postojati u slučaju relevantnog i odgovarajućeg odnosa ispitanika i voditelja obrade u situacijama poput one kada je ispitanik klijent voditelja obrade ili u njegovoj službi. U svakom slučaju postojanje legitimnog interesa zahtjeva pažljivu procjenu, među ostalim i toga može li ispitanik u vrijeme i u kontekstu prikupljanja osobnih podataka razumno očekivati obradu u dotičnu svrhu. Interesi i temeljna prava ispitanika posebno bi mogli nadvladati interes voditelja obrade ako se osobni podaci obrađuju u okolnostima u kojima ispitanici razumno ne očekuju daljnju obradu. Može se smatrati da postoji legitiman interes kod obrade osobnih podataka provedene za potrebe izravnog marketinga.
Osim Opće uredbe o zaštiti osobnih podataka, primjenjuje se Zakon o elektroničkim komunikacijama. Naime, u Članku 107. Stavak 1. predmetnog Zakona propisano je kako je uporaba automatskih pozivnih i komunikacijskih sustava bez ljudskog posredovanja, telefaksnih uređaja ili elektroničke pošte, uključujući SMS poruke i MMS poruke, u svrhu izravne promidžbe i prodaje dopuštena samo uz prethodno pribavljenu privolu pretplatnika ili korisnika usluga. Sukladno Stavku 2. istog članka, fizička ili pravna osoba može upotrebljavati podatke o adresama elektroničke pošte, koje je pribavila od svojih potrošača u svrhu prodaje proizvoda i usluga, za izravnu promidžbu i prodaju isključivo vlastitih sličnih proizvoda ili usluga, uz uvjet da ti potrošači imaju jasnu i nedvojbenu mogućnost besplatnog i jednostavnog prigovora na takvu uporabu podataka o adresama elektroničke pošte prigodom njihova prikupljanja i prigodom zaprimanja svake elektroničke poruke, u slučaju da potrošač nije unaprijed odbio takvu uporabu podataka. Prema tome, zakonita osnova za slanje newsletter-a bila bi privola (primjenjujući Članak 107. Stavak 1. Zakona o elektroničkim komunikacijama) odnosno legitimni interes (Primjenjujući Članak 107. Stavak 2. Zakona o elektroničkim komunikacijama).
Kada govorimo o privoli, ona je dobrovoljno, posebno, informirano i nedvosmisleno izražavanje želja ispitanika kojim on izjavom ili jasnom potvrdnom radnjom daje pristanak za obradu osobnih podataka koji se na njega odnose (Članak 4. Stavak 1. Točka 11. Opće uredbe o zaštiti osobnih podataka).
Iz gore navedenog proizlazi, marketinške aktivnosti moguće je obavljati:
- Temeljem legitimnog interesa
- Temeljem privole
