Согласие субъекта - самое частое, но далеко не единственное основание для обработки персональных данных. Данные можно обрабатывать без согласия, если это нужно для исполнения договора с самим субъектом, для выполнения обязанности по закону (например, кадровый или бухгалтерский учет), для защиты жизни и здоровья человека, когда получить согласие невозможно, или если данные сделаны общедоступными самим субъектом.
На практике для бизнеса чаще всего работает связка из двух оснований: договор - если человек уже клиент и данные нужны для выполнения обязательств перед ним, и согласие - если данные собирают до заключения договора, например через форму на сайте или для рассылки.
Важно не путать отсутствие обязанности брать согласие с отсутствием ограничений вообще. Даже обрабатывая данные по договору, оператор обязан использовать их строго в заявленных целях, хранить не дольше необходимого и защищать от утечки. А как только данные нужны для чего-то за пределами исполнения договора, скажем для маркетинговой рассылки тем же клиентам, для этого уже нужно отдельное согласие.
Есть и специфические основания: научная и статистическая деятельность, журналистика, исполнение полномочий органов власти. Для обычного бизнеса это скорее исключения, а не рабочий инструмент - в подавляющем большинстве случаев проще и безопаснее оформить согласие, чем доказывать, что конкретная ситуация подпадает под одно из специальных оснований.