La liceità del trattamento si misura all’interno e all’esterno della pertinente disciplina sulla protezione dei dati personali:

• Sotto il profilo interno, il titolare deve identificare una valida base per ciascuna attività di trattamento in oggetto; la base giuridica individuata, tiene conto tra l’altro della finalità del trattamento, documentando tale valutazione; cambiamenti nel quadro normativo applicabile, cambiamenti nella struttura dell’entità come l’esternalizzazione, cambiamenti organizzativi o tecnici possono causare una variazione della base giuridica originariamente identificata, per cui essa va riesaminata periodicamente, anche questa revisione va opportunamente documentata
• Sotto il profilo esterno, il titolare adotta misure volte a garantire che il trattamento in questione sia conforme alle ulteriori norme eventualmente applicabili; un trattamento di dati personali che fosse teoricamente conforme alla disciplina data protection ma non rispettasse altre norme applicabili, violerebbe comunque il principio di liceità e, di conseguenza, sarebbe comunque un trattamento illecito (si consideri, ad esempio, un trattamento di dati personali derivante dall’uso di sistemi di controllo in ambito lavorativo per il quale non fosse stata rispettata la procedura dettata dall’articolo 4 dello Statuto dei lavoratori, peraltro richiamata dall’art. 114 del codice privacy); si è soliti ribadire questo concetto, affermando che il rispetto della norma applicabile è condizione di liceità del trattamento.