Segundo a Lei nº 13.709/2018, o tratamento de dados pessoa

A para o cumprimento de obrigação legal ou regulatória pelo operador. B quando necessário para atender aos interesses legítimos do operador ou de terceiros, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais. C mediante o fornecimento de consentimento pelo controlador ou operador. D quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do controlador dos dados.  E para a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária.