A Lei Geral de Proteção de Dados Pessoais (LGPD) entrou em vigor em setembro de 2020, trazendo
à sociedade novos elementos e conceitos de observância obrigatória, que mudaram a forma
como se lida com dados pessoais.
Dentro dessa nova sistematização, encontram-se as chamadas hipóteses legais de tratamento de
dados pessoais, que consistem em um rol de situações previstas em lei e que autorizam, ou não,
o tratamento de tais dados.
Assim, deve haver uma correspondência entre a situação concreta de uso dos dados pessoais e a
situação hipotética descrita na norma. Esse elo pode ser identificado principalmente pela
finalidade para a qual se pretende realizar o tratamento.
O esquema apresentado na figura a seguir visa auxiliar no raciocínio para a escolha da base legal.
Insights Bits – LOGOS
Identificação das Hipóteses Legais de Tratamento de Dados Pessoais – LGPD
Para facilitar a compreensão, suponha que uma empresa privada compartilhe dados pessoais de
seus funcionários com o INSS para fins de Previdência Social (situação abstrata). A hipótese legal,
ou base legal, na qual essa situação se enquadra é: “cumprimento de obrigação legal ou
regulatória pelo controlador” (art. 7o, inciso II, da LGPD), já que a finalidade do tratamento é
atender a uma obrigação legal. Dessa forma, a hipótese legal que autoriza o compartilhamento de
dados pessoais do funcionário com o INSS é “cumprimento de obrigação legal ou regulatória pelo
controlador” (situação concreta).
O compartilhamento de dados pessoais descrito no exemplo está revestido de legalidade, pois se
ampara em uma base legal autorizadora.
Ressalta-se que o tratamento de dados pessoais fora das hipóteses legais pode ser considerado
irregular, sendo passível de responsabilização pela Autoridade Nacional de Proteção de Dados
Pessoais (ANPD).
Em 2023, foi publicada a dosimetria das sanções administrativas pela Autoridade Nacional de
Proteção de Dados (ANPD), que prevê a aplicação de penalidade de proibição total ou parcial do
exercício de atividades relacionadas ao tratamento de dados, caso ele seja realizado sem amparo
em hipótese legal (art. 26 da Resolução CD/ANPD no 4, de 24 de fevereiro de 2023).
Buscar a semelhança entre situações hipotéticas e concretas é, portanto, uma das atividades mais
importantes para assegurar a conformidade com a LGPD.
