1) przetwarzanie danych osobowych klientów jest dopuszczalne w następujących przypadkach:

a) w celu realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą = brak konieczności uzyskiwania zgody, a tylko konieczność poinformowania (dotyczy tego informacja niewymagająca zaznaczenia przez klienta);
b) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Chodzi o marketing bezpośredni własnych produktów lub usług oraz o dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej (por. punkt 5 poniżej) = brak konieczności uzyskiwania zgody,
c) za zgodą osoby, której dane dotyczą. Chodzi o inne cele, np. marketing usług podmiotów powiązanych/obcych; sprzedaż bazy; korzystanie z opinii, itp. = konieczność uzyskania zgody.

2) odrębny wymóg uzyskania zgody klienta wynika także z ustawy o świadczeniu usług drogę elektroniczną, w tym na przesyłanie newsletterów = konieczność uzyskania zgody.

3) ze stanowiska GIODO i sądów wynika, że formuła zgody na przetwarzanie danych osobowych powinna stanowić odrębne oświadczenie od innych oświadczeń osoby, której dane dotyczą, zaś z jej treści w sposób niebudzący wątpliwości powinno wynikać, w jakim celu, w jakim zakresie i przez kogo dane osobowe będą przetwarzane.

4) naruszeniem prawa jest też jednoczesne pozyskiwanie zgody na przetwarzanie danych osobowych w celach marketingowych ze zgodą na otrzymywanie informacji i ofert w rozumieniu ustawy o świadczeniu usług drogą elektroniczną. Zgody na przetwarzanie danych osobowych w celach marketingowych nie można bowiem mylić ze zgodą na otrzymywanie informacji handlowych drogą elektroniczną. Są to dwie różne zgody, których uregulowanie znajduje się w dwóch różnych aktach prawnych. Konieczność pozyskiwania zgody na otrzymywanie informacji handlowych drogą elektroniczną wynika z ustawy o świadczeniu usług drogą elektroniczną. Z kolei w określonych sytuacjach, kiedy dane osobowe klientów chce się wykorzystywać w celach marketingowych, to na takie działanie należy pozyskać ich zgodę wyrażoną na podstawie ustawy o ochronie danych osobowych. I choć obie wymienione ustawy przewidują, że zgody nie można domniemywać z oświadczenia woli o innej treści, to jednak przesyłanie informacji handlowych drogą elektroniczną jest innym działaniem niż wykorzystywanie danych osobowych w celach marketingowych inną drogą, niż elektroniczna.

5) z inną sytuacją mamy jednak do czynienia wówczas, gdy klienta z firmą, z usług której korzysta, łączy umowa. Wówczas na przetwarzanie jego danych osobowych w celach marketingu WŁASNYCH PRODUKTÓW I USŁUG TEJ FIRMY nie jest potrzebna jego zgoda. W tym przypadku podstawą uprawniającą do wykorzystywania danych osobowych jest prawnie usprawiedliwiony cel administratora danych, o którym mowa w art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych. Oznacza to, że bank – w celu promowania własnych produktów i usług – może wykorzystywać dane osobowe swoich klientów bez konieczności pozyskiwania na to ich zgody, pod warunkiem że takie działanie nie narusza praw i wolności osób, których dane dotyczą.