Considere que uma agência reguladora trate dados pessoais de seus servidores públicos com a finalidade específica de rea...

A base legal relativa ao cumprimento de obrigação legal ou regulatória pelo controlador será efetuada em dois contextos normativos distintos, que se diferenciam em razão da espécie de norma jurídica que estabelece a obrigação a ser cumprida. É o caso, em especial, das normas de conduta e das normas de organização.

O tratamento dos dados pessoais pela agência reguladora se fundamenta na hipótese de cumprimento de obrigação legal, nos termos do Art. 7º, inciso II, da Lei Geral de Proteção de Dados (LGPD). 

Conforme o Art. 7º, inciso II, da LGPD, o tratamento de dados pessoais pelo Poder Público poderá ser realizado “para o cumprimento de obrigação legal ou regulatória pelo controlador”. A mesma hipótese está prevista no Art. 11, II, a, da norma, que rege o tratamento de dados pessoais sensíveis.

Dispõe a Lei Geral de Proteção de Dados que a Administração Pública pode realizar o tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres.

Considerando que o tratamento não está associado ao exercício de prerrogativas estatais típicas, é possível recorrer à base legal do legítimo interesse. Nesse caso, devem ser observados os requisites previstos na LGPD, em particular a necessidade de ponderação entre os interesses da entidade pública e os direitos e as expectativas legítimas dos titulares. É necessário, ainda, que sejam adotadas medidas para garantir a transparência do tratamento de dados pessoais baseado no legítimo interesse.