除非有其他合法理由，ISO27701标准认证要求组织在处理个人可识别信息时需要征得同意。组织应明确记录何时需要征得同意以及征得同意的要求，未经相关信息主体事先同意，组织不得为营销和广告等目的使用个人可识别信息。
ISO27701认证要求组织在处理个人可识别信息时，必须依据：
1, 信息主体的同意；
2、合同的屋行；
3、法律义务的遵守；
4、保护信息主体的关键利益；
5、为公共利益而执行的任务；
6、个人可识别信息控制者的正当利益。
（注：组织的正当利益可能包括，例如，信息安全目标，前提是该目标应与对个人可识别信息信息主体的隐私保护义务相平衡。）