As hipóteses para o tratamento de dados pessoais estão descritas no art. 7º, da Lei 13.709/2018 - LGPD:

I - mediante o fornecimento de consentimento pelo titular;

II - para o cumprimento de obrigação legal ou regulatória pelo controlador;

III - pela administração pública, para o tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres, observadas as disposições do Capítulo IV desta Lei;

IV - para a realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais;

V - quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados;

VI - para o exercício regular de direitos em processo judicial, administrativo ou arbitral, esse último nos termos da Lei nº 9.307, de 23 de setembro de 1996 (Lei de Arbitragem);

VII - para a proteção da vida ou da incolumidade física do titular ou de terceiro;

VIII - para a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária;

IX - quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais; ou

X - para a proteção do crédito, inclusive quanto ao disposto na legislação pertinente.

A LGPD dispõe que o  tratamento de dados pessoais é realizado por dois agentes: Controlador e Operador.

O controlador está definido no art. 5ª, VI, da Lei nº 13.709/2018 - LGPD como:

VI - controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;

O operador é definido do inciso VII, como:

VII - operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;

Considerando a capacidade de decidir sobre o tratamento de dados pessoais nos sistemas e serviços providos pelo Justiça Eleitoral, O TRE AM exercerá ora o papel de Controlador, quando se tratar de serviços proprietários, ora o papel de Operador, quando se tratar de serviços cujo poder de decisão seja do TSE.

Deverão ser mantidos os registros das operações de tratamento dos dados pessoais realizadas pelo agente de tratamento (art. 37, da Lei 13.709/2018 - LGPD).

O Relatório deverá conter, no mínimo (art. 1º, XII, da Resolução CNJ nº 363/2021):

- finalidade do tratamento;

- base legal;

- descrição dos titulares;

- categorias de dados;

- categorias de destinatários;

- eventual transferência internacional; e

- prazo de conservação e medidas de segurança adotadas, nos termos do art. 37 da LGPD;

O TRE AM irá instituir o Grupo Gestor de Proteção e Privacidade de Dados Pessoais que, entre outras competências, irá promover e avaliar o mapeamento dos processos que tenham tratamento de dados pessoais, o inventário e o impacto de tratamento de dados pessoais no âmbito do TRE AM.