GDPR은 개인정보를 합리적으로 처리할 수 있는 정당한 근거로 정보주체 동의, 계약 체결/이행, 법적 의무 이행, 정보주체/타 자연인의 중대 이익 보호, 공익을 위해 또는 공적 권한 행사, 정보처리자나 제3자의 정당한 이익이 있다. 이중 해당 근거가 없으면 그 처리는 불법이다. 민간 정보처리자는 이러한 근거에 맞춰 동의 없이 개인정보를 처리하기도 한다. 정보주체는 동의 철회를 통해 이를 중단시킬 수 있으나 처리거부권을 행사 이전의 처리에 영향을 줄 순 없다.
GDPR은 개인정보를 합법적으로 처리(=수집/이용/제공)할 수 있는 6가지 정당한 근거를 인정한다: ➀ 정보주체의 동의 ➁ 계약의 체결/ 이행 ➂ 법적 의무의 이행 ➃정보주체/다른 자연인의 중대한 이익의 보호 ➄ 공익을 위한 업무의 처리 또는 공적 권한의 행사 ➅ 정보처리자 또는 제3자의 정당한 이익(legitimate interests)의 달성(다만, 처리의 이익이 정보주체의 이익보다 커야 함). 정보처리자가 이들 중 한 가지 근거를 가진다면, 그 처리(=수집/이용/제공)는 일단 합법적이다. 이들 중 한 가지 근거도 없다면, 그 처리는 곧 불법이 된다. 따라서 기업 등 민간의 정보처리자는 정보주체의 동의를 얻어 처리의 합법성을 확보하기도 하지만, 계약의 체결/이행을 위해서, 법적 의무를 이행하기 위해서, 공익을 위한 업무를 처리하기 위해서, 또는 자신 또는 제3자의 정당한 이익을 달성하기 위해서 동의 없이 합법적으로 개인정보를 수집하고 활용한다. 이 때 정보주체는 동의를 철회함으로써 더 이상의 처리(=수 집/이용/제공)를 못하게 중단시킬 수 있다. 또한 합법성의 근거가 (i) 공익을 위한 업무처리인 경우 (ii) 정보처리자나 제3자의 정당한 이익의 달성에 있는 경우에는, 사후적으로 처리거부권을 행사함으로써 더 이상의 처리(=수집/이용/제공)를 못하게 중단시킬 수 있다. 물론 처리거부권을 행사한 경우라도, 그 이전의 처리에는 영향을 미치지 않는다. GDPR은 이러한 사후적 처리거부권을 제21조에서 인정하고 있다. 그러나 사후적 처리거부권은 합법성의 근거가 (i) 계약의 체결/ 이행 (ii) 법적 의무의 이행 (iii) 정보주체/다른 자연인의 중대한 이익의 보호 (iv) 공적 권한의 행사에 있는 경우에는 인정되지 않는다.