Para tratar um dado pessoal, a pessoa física ou a instituição precisa estar fundamentada em uma das seguintes hipóteses legais, previstas no art. 7º da LGPD 14129/2021. Se o dado pessoal for sensível, as bases são outras, previstas no art. 11º da LGPD, que exclui o interesse legítimo e a proteção do crédito e inclui a garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos.