根据GDPR第6条，合法处理数据的情形包括数据主体同意、履行法律义务、保护个人的生命健康或财产等。而D选项中在没有同意的情况下为了商业利益处理数据，显然不符合合法处理的要求。