法律依据取决于处理目的

同一数据字段可能因不同目的而采用不同依据。例如邮箱可用于账户交付、可选营销或安全通知；每个目的都应单独识别和解释。

先列出实际处理活动，再选择依据，比先选一个方便的标签更可靠。

合同并非万能捷径

只有为履行用户请求的合同所客观必要的处理，才适合使用合同依据。创建账户、提供核心功能和处理付款可能符合，但一般产品分析或营销未必符合。

“对业务有用”不等于“履行合同所必需”。

同意必须提供真实选择

有效同意应自由、具体、知情、明确，并可轻松撤回。非必要 Cookie 或可选营销常依赖同意，但拒绝不应阻止与该处理无关的核心服务。

界面、同意记录和政策文字必须一致；预选框或模糊的捆绑同意会削弱依据。

合法利益需要背景

安全日志、反欺诈或有限的产品改进可能依赖合法利益，但应识别利益、证明处理必要，并衡量个人权利和合理预期。

政策应说明实际利益，而不是只列出“合法利益”四个字；内部还应保留利益衡量记录。

法律义务范围较窄但重要

税务、会计、制裁检查或依法回应机构请求可能基于法律义务。应能指出实际适用的义务，而不是把所有合规活动都归入这一依据。

如果当地法律并未要求某项处理，就需要评估其他依据。