Sobre os requisitos para tratamento de dados, a Lei 13.709/18 determina que o tratamento de dados pessoais somente poderá ser realizado nas seguintes hipóteses:

I. para o cumprimento de obrigação legal ou regulatória pelo controlador.
II. pela administração pública, para o tratamento e uso compartilhado de dados necessários à execução de políticas públicas, independentemente de previsão legal.
III. para a realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais.
IV. para a proteção da vida ou da incolumidade física do titular ou de terceiros.
V. quando necessário para atender aos interesses legítimos do controlador ou de terceiros, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais.