deve tratar dados pessoais para fins de interesse público, com base em competências legais, indicar finalidades, hipóteses de tratamento e encarregado, e compartilhar dados com particulares nos casos estritamente previstos na LGPD.

deve exigir, para o tratamento de dados pessoais, em todas as hipóteses, consentimento expresso do titular, ainda que a administração atue para cumprir competências legais, executar políticas públicas ou compartilhar dados em razão de convênios específicos.

pode transferir livremente bancos de dados completos a entidades privadas, desde que mencione cláusula genérica de cooperação em instrumento contratual, sem necessidade de finalidade delimitada ou de publicidade prévia do compartilhamento realizado.

deve seguir as regras estabelecidas na LGPD para o tratamento de dados pessoais, exceto no caso de empresas públicas e sociedades de economia mista que atuam em regime de concorrência, por seguirem o regime jurídico próprio das empresas privadas.