随着《通用数据保护条例》（GDPR）的生效，公司应已停止通过电子邮件恳求您重新订阅其营销列表，并且仅应根据新法规处理您的数据（无论是电子形式还是纸质形式）。在GDPR实施前夕，一个常被忽视的要点是：存在多种无需个人同意即可合法处理数据的依据。
能够无需同意而处理数据对电子商务商家尤为重要，因为您需要收取款项、寄送包裹、完成账务结算以及提交税务申报，所有这些活动都需要处理客户数据。
根据GDPR，处理数据有六种合法依据，其中一种是同意，而对于其他五种依据，您无需获得消费者的许可。
GDPR下处理数据的合法依据
在所有六种GDPR数据处理合法依据中，都有一个需要优先考虑的问题：即消费者的隐私权是否优先于处理数据的需求。例如，您需要拣货和打包订单，但尤其是如果您销售可能令人尴尬的产品时，您是否真的需要在拣货单上列出客户姓名，还是只需订单编号即可？
组织内部和外部提供的数据量应限制在处理当前任务所需的最低限度。一个例子是包装标签——您不应注明商品内容（海关文件除外），因为客户有权期望隐私保护，且包裹送达时快递员不应知晓包裹内容。别忘了，包裹有时可能会留在邻居处。
同意
如果消费者授予您使用其数据的同意，通常该同意是针对特定目的的。例如，他们可以通过勾选框或填写注册表主动订阅您的邮件列表。但是，您应意识到他们仅就这一目的授予了使用其数据的同意，您不能因此自动将他们添加到您的其他邮件列表中。
合同
对电子商务商家而言，最值得关注的是，您可以为了履行合同而处理数据，无需消费者任何特别许可。这包括生成发票、拣货和打包清单、标签、快递通知以及与销售相关的电子邮件。
您仍应注意，您对保护客户数据负有责任，这包括纸质形式的数据——考虑一下订单履行后如何处理打包清单——例如，您是否会将其粉碎销毁？
法律义务
在某些情况下，您将依法必须处理数据以遵守法律。一个例子是超速违章案件中披露事故发生时谁驾驶了公司车辆。
您还有义务完成财务报表、税务申报、工资单和养老金等，这些都需要处理一定数量的消费者数据。
重大利益
重大利益通常意味着您需要处理数据以拯救生命。在电子商务中适用这种情况的理由很少，但如果市场平台或零售商发现购买可用于恐怖主义目的的设备，则重大利益将优先于隐私权，数据应与当局共享。
公共任务
这一数据处理依据不太可能适用于电子商务商家——它涵盖出于公共利益或官方职责执行的任务，且该任务在法律中有明确依据。
正当利益
正当利益既是处理数据最宽松的理由，同时也是您需要最为谨慎对待的理由。您无需获得许可即可处理数据，例如确定您的畅销产品。除非有充分理由保护个人的个人数据并优先于您的正当利益，否则您可以处理任何您喜欢处理的数据。匿名化处理有助于平衡隐私与业务需求。
有三个测试将决定您是否具有基于正当利益的合法数据处理依据，或者是否需要寻找不同的方法来完成该任务：
- 目的测试：您是否在追求正当利益？您的利益可能是商业性的，也可能是琐碎的，尽管在平衡测试中，琐碎的利益可能更难证明其合理性。商业性例子可以是评估交易的欺诈风险，而琐碎的例子可以是发布“十大畅销书”榜单。
- 必要性测试：为该目的处理数据是否必要？您应质疑处理数据是否为必需，或者是否存在更合理且侵入性更小的方式以达到相同结果。
- 平衡测试：个人的利益是否优先于正当利益？您应质疑个人是否合理地预期其数据会被用于您的目标；如果不是，则他们的隐私权优先于您的利益。如果存在冲突，只要对个人影响有明确正当理由，并不妨碍您处理数据。
只有当所有三项测试均满足时，您才应在正当利益基础上处理相关数据。另外值得注意的是，您可以在正当利益基础上与第三方共享数据——例如与多渠道管理平台提供商、快递公司以及您的会计师。他们应自行确定处理和加工数据的合法依据。