GDPRによると、同意は個人データ処理の6つの法的根拠の一つですが、唯一の根拠ではありません。他の5つは、契約、法的義務、重要な利益、公的任務、そして正当な利益です。
正当な利益は、個人データを自社の利益または第三者の利益のために処理する管理者によって主張することができます。ただし、そのような処理がデータ主体（特に未成年者）の権利と自由を侵害しない限りにおいてです。GDPRはまた、ジャーナリズム目的、または学術的、芸術的、文学的表現の目的で個人データを処理することが、表現の自由および情報の自由という正当な利益の行使に必要となる場合があることも認めています。したがって、企業は、ジャーナリズム、芸術的、文学的表現の目的のために処理が必要であること、そしてデータ主体の合理的な期待とプライバシーへの潜在的な影響を考慮していることを実証できる場合、ドキュメンタリーに使用する画像のすべての所有者から同意を得る必要がない可能性があります。企業はまた、そのような処理に適用される可能性のある関連する国内法または行動規範を遵守する必要があります。参考文献：
* GDPR第6条(1)(a)-(f)
* GDPR、序文47
* GDPR第85条

欧州データ保護指令95/46/ECの目的は、欧州連合（EU）域内における個人データ保護のための共通の法的枠組みを確立し、域内市場における個人データの自由な移動を確保することであった。この指令は、個人データの処理が個人の基本的権利と自由、特にプライバシー権に影響を与え、これらの権利は尊重され、保護される必要があるという認識に基づいている。同時に、この指令は、個人データの自由な流通がEUの経済的・社会的発展に不可欠であり、データ保護法の調和が加盟国間の情報交換とサービス提供を促進することを認識していた。したがって、この指令は、個人データ処理に関する主要な原則、義務、権利を規定し、各国のデータ保護当局間の協力と調整のためのメカニズムを提供することにより、個人の権利の保護と域内市場の促進のバランスをとることを目指した。参照：1995年10月24日の欧州議会及び理事会指令95/46/EC「個人データの処理に関する個人の保護及び当該データの自由な移動に関するもの」、データ保護指令 - Wikipedia

GDPR第13条によれば、管理者がデータ主体から直接個人データを取得する場合、管理者はデータ主体に対し、データ処理に関する一定の情報（管理者の身元および連絡先、処理の目的および法的根拠、受領者または受領者の区分、保管期間、データ主体の権利、苦情申し立て権など）を提供しなければなりません。ただし、データ主体は自らデータを提供したため、これらの情報は既に把握しているため、管理者はデータ主体に個人データの区分を提供する必要はありません。これは、管理者がデータ主体以外の情報源から個人データを取得する場合に適用される第14条とは異なり、管理者はデータ主体に対し、個人データの区分とデータの情報源を通知する必要があります。参考：
GDPR 第13条 - データ主体から個人データを収集する場合に提供される情報 GDPR 第14条 - データ主体から個人データを取得しない場合に提供される情報 第13条: データ主体から個人データを収集する場合に提供される情報 - GDPR