Selon l’article 6 du règlement, les organisations du secteur privé peuvent traiter les données de personnes sans leur consentement si elles ont une raison légitime de le faire et ne doivent pas être contrebalancées par un impact injustifié sur les individus. Les droits fondamentaux et la liberté du sujet ne devraient pas être lésés. Le traitement de données à caractère personnel dans le but de prévenir la fraude est considéré comme un intérêt légitime, ce qui n’est pas le cas du marketing direct.