1. Para o cumprimento de obrigação legal ou regulatória pelo controlador: muitas vezes, a pessoa ou a empresa solicita dados pessoais, não porque simplesmente quer, mas, porque a lei os obriga a ter ou a informar esses dados. Por exemplo, quando você realiza uma compra, seja em uma loja, seja pela internet, é necessário fornecer ao vendedor o CPF. Não é que o vendedor queira essa informação ou precise dela para realizar a venda, mas, porque ele é obrigado a colocar o CPF do comprador na nota fiscal. Portanto, sempre que o vendedor pedir o CPF do cliente, ele estará cumprindo uma obrigação legal e, dessa forma, o tratamento de dados estará autorizado pela LGPD. 

2. Pela Administração Pública, para o tratamento ou uso compartilhado dos dados a fim de executar políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres: várias ações do governo dependem da identificação das pessoas e, portanto, do tratamento de dados pessoais. Em muitos casos, essas ações são voltadas para uma determinada parcela da sociedade, como, por exemplo, a vacinação de crianças até determinada idade. A vacinação é uma atividade que faz parte de uma política de saúde pública e, para que ela seja realizada com sucesso, é necessário confirmar se todas as crianças que estão sendo vacinadas estão na faixa etária para a qual a campanha é dirigida. Assim, será possível coletar os dados e até mesmo obter cópia dos documentos das crianças que forem levadas para vacinação. 

3. Para a realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais: estudos científicos pressupõem a disponibilização de dados e sua análise, para que se possa chegar a uma conclusão. Por ser uma atividade importante para o desenvolvimento da sociedade, a LGPD permite que os órgãos de pesquisa realizem tratamento de dados, independentemente da ciência ou do consentimento de seus titulares. 

Porém, alguns limites foram impostos pela lei. Os órgãos de pesquisa aos quais é permitido o tratamento de dados são apenas os públicos ou as empresas privadas que não tenham fins lucrativos e, mesmo assim, aquelas que tenham como missão a pesquisa básica ou aplicada de caráter histórico, científico, tecnológico ou estatístico.  

Além disso, sempre que a identificação do titular do dado for necessária para a pesquisa, ela deve ser realizada com dados anonimizados, como forma de proteção da privacidade dos titulares. A anonimização é conceituada pela LGPD como a utilização de meios técnicos para desassociar os dados do indivíduo. Com isso, apesar de os dados serem usados para a pesquisa, por meio deles não será possível identificar o titular. 

4. Para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular: se uma pessoa contrata um serviço que envolva necessariamente o tratamento de dados, como, por exemplo, o armazenamento de dados em nuvem, o agente de tratamento estará autorizado a realizar as operações necessárias, desde que o titular concorde.  

5. Para exercício regular de direitos em processo judicial, administrativo ou arbitral: o detentor de dados pessoais pode utilizá-los para fazer prova em seu favor em processos judiciais, administrativos ou arbitral. Imagine que um cliente ingresse com uma ação judicial contra um banco, alegando que está sendo cobrado indevidamente. O banco poderá apresentar o contrato assinado pelo cliente para comprovar que a cobrança é devida, ainda que dele constem dados pessoais e que o cliente não tenha consentido  sua divulgação. 

6. Para proteção da vida ou da incolumidade física do titular ou de terceiro: como vimos em outro tópico, nenhum direito é absoluto, mesmo que seja um direito fundamental. A LGPD protege a privacidade das pessoas, mas reconhece que outros direitos devem se sobrepor a ela, como a vida e a incolumidade física. Assim, se alguém estiver correndo risco de morte, de se machucar ou ter uma piora em sua saúde e, para salvar-lhe, for necessário acessar seus dados pessoais, essa operação está autorizada pela LGPD. Por exemplo: se uma pessoa chega ferida e inconsciente a um hospital, o médico poderá requisitar o prontuário que o paciente tenha em uma clínica ou consultório médico. 

7. Para a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária: sempre que houver uma situação que envolva a saúde de alguém ou a saúde pública, os profissionais e serviços de saúde (como clínicas e planos de saúde) e as autoridades sanitárias (como a Vigilância Sanitária e a ANVISA) poderão realizar o tratamento de dados pessoais. O tratamento dos dados, e entre eles o compartilhamento, será possível, ainda que tenha o objetivo de lucro, mas, desde que seja feito também em benefício do titular dos dados. É proibido as operadoras de planos de saúde utilizarem os dados para a prática de seleção de riscos na contratação de qualquer modalidade, assim como na contratação e exclusão de beneficiários. 

8. Para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais: essa é a cláusula mais aberta que permite o tratamento dos dados independentemente do consentimento dos titulares. Esse fundamento possibilita que a empresa faça o tratamento dos dados de que ela dispõe para o desenvolvimento de suas atividades. A análise do legítimo interesse deve ser feita diante do caso concreto, mas a LGPD prevê duas situações que, de antemão, caracterizam o legítimo interesse: 1) apoio e promoção de atividades do controlador e 2) proteção, em relação ao titular, do exercício regular de seus direitos ou prestação de serviços que o beneficiem, respeitadas as legítimas expectativas dele e os direitos e liberdades fundamentais. É importante saber que, para que o tratamento de dados seja feito com esse fundamento, é necessário: a) que o agente demonstre a legitimidade do seu interesse; b) que o tratamento realizado é necessário para o objetivo e c) que foram adotados todos os cuidados para não contrariar a LGPD ou violar qualquer direito dos titulares. 

9. Para proteção do crédito, inclusive quanto ao disposto na legislação pertinente: assim como na questão relativa à saúde, a LGPD reconhece que a proteção do crédito deve se sobrepor ao direito à privacidade, não em virtude dos interesses de credores ou de instituições financeiras, mas para proteger o mercado e a economia pública. Por isso, instituições como o SERASA podem manter bancos de dados com diversas informações, incluindo dados pessoais, e compartilhá-los com lojistas e outras instituições, sem que, para isso, o titular precise concordar. 

10. Quando houver consentimento do titular: apesar de este requisito não ser a principal hipótese de tratamento de dados pessoais no âmbito da Administração Pública, haverá casos específicos em que, se o titular concordar com o tratamento de seus dados, o agente estará liberado para realizá-lo. Porém, é importante dizer que, para que o consentimento seja válido, ele deverá ser livre, informado e inequívoco, ou seja, o titular tem que ser informado sobre a finalidade do tratamento; tem que ter a possibilidade de concordar ou não, sem ser pressionado ou prejudicado em caso de negativa; e tem que dar o consentimento de forma expressa.  

Esses são os requisitos previstos para o tratamento de dados pessoais em geral. Contudo, existem os dados pessoais sensíveis, que dizem respeito às questões mais íntimas das pessoas, às suas origens, crenças religiosas, opção sexual, orientação política ou filosófica. Tais dados recebem uma proteção maior da LGPD, pois, além de serem íntimos, seu uso indevido pode levar à discriminação de uma pessoa ou de um grupo de pessoas. 

Em razão da importância da preservação dos dados pessoais sensíveis, seu tratamento poderá ser realizado apenas nas hipóteses previstas no artigo 11 da LGPD, que são mais limitadas.  

Além dos requisitos vistos acima, a LGPD, no seu artigo 23, apresenta um contexto um pouco diferenciado para a Administração Pública, dizendo que o tratamento de dados “deverá ser realizado para o atendimento de sua finalidade pública, na persecução do interesse público, com o objetivo de executar as competências legais ou cumprir as atribuições legais do serviço público”. 

A maioria dos tratamentos de dados realizados pelo TRE-ES está fundamentada no artigo 23 da LGPD, pois os dados colhidos são utilizados para a realização das competências legais da Justiça Eleitoral, ou seja, para realizar as eleições. 

Para isso, fazemos o tratamento de dados dos eleitores, que começa com a coleta para a emissão do título, passando pela utilização a cada eleição (para a convocação de mesários e para a distribuição dos eleitores em suas sessões eleitorais, dentre várias outras atividades) e pela modificação, quando há alguma alteração de endereço, por exemplo, dentre vários outros tratamentos necessários. 
 
Também tratamos dados de filiados a partidos políticos, pois mantemos o registro das filiações partidárias, bem como de candidatos e de outras pessoas que possam, de alguma forma, se envolver em um processo eleitoral. Temos também uma extensa atividade administrativa, na qual tratamos dados de juízes, servidores, terceirizados e contratados.