El RGPD establece que los datos personales solo pueden tratarse si existe una razón legítima. Para el pequeño comercio, las razones más frecuentes son el consentimiento del cliente, la ejecución de un contrato y el cumplimiento de una obligación legal.