Bases Legais Para O Tratamento De Dados São

O que você precisa saber sobre as hipóteses legais do tratamento de dados

Muita gente confunde base legal com consentimento. É um erro que vejo todo dia em audits. A Lei Geral de Proteção de Dados (Lei 13.709/2018) traz vinte e vezes que uma empresa pode tratar dados pessoais, e só uma delas é o consentimento do titular. As outras são alternativas que muitas vezes são mais adequadas do ponto de vista jurídico e operacional. Os incisos do artigo 7º da LGPD tratam do tratamento de dados pessoais. São eles: Inciso I — Consentimento: o titular autoriza expressamente o tratamento. Deve ser livre, informado e inequívoco. Se você fizer formulários com caixinhas pré-marcadas, isso não vale como consentimento válido. Já vi uma empresa grande ter toda a campanha de marketing reavaliada depois que o Procon entendeu que o consentimento estava viciado desde o início por conta desse detalhe simples.

Inciso II — Cumprimento de obrigação legal ou regulatória: quando a lei obriga você a coletar e tratar determinado dado. Isso vale para declarações fiscas, envio de informações ao INSS, Cadastro de Pessoas Físicas, entre outros. Você não precisa pedir permissão ao titular nesse caso, mas precisa informar que o tratamento está sendo feito com essa base legal. Inciso III — Execução de políticas públicas: usado por órgãos públicos e também por empresas privadas quando estão executando programas governamentais. A LGPD exige que a política seja prevista em lei ou regulamento. Inciso IV — Estudo por órgão de pesquisa: é importante notar que esse estudo deve ter garantia da anonimização dos dados, sempre que possível. Na prática, eu recomendo transformar os identificadores diretos em hashes antes mesmo de entregar os dados para a equipe de pesquisa.

Inciso V — Execução de contrato: quando o tratamento é necessário para executar um contrato do qual o titular é parte. É a base mais usada no dia a dia das empresas. Compra, serviço de assinatura, abertura de conta bancária — tudo isso se encaixa aqui. O limite importante é: você só pode tratar até onde for necessário para a execução do contrato. Inciso VI — Exercício regular de direitos: usado quando uma parte precisa proteger seus direitos em processos judiciais ou administrativos. É uma base um pouco mais técnica. Eu recomendo documentar bem o vínculo entre o tratamento e a finalidade de exercício de direitos, porque quem cobra isso em uma fiscalização é quem vai questionar a proporcionalidade. Inciso VII — Proteção da vida: tratamento necessário para proteger a vida do titular ou de terceiro. Exemplo clássico: compartilhamento de dados de saúde com unidade hospitalar em situação de urgência.

Inciso VIII — Saúde: especialmente para procedimentos realizados por profissionais de saúde, serviços de saúde ou autoridades sanitárias. Cuidado para não confundir com o inciso VII. O VIII fala especificamente de contexto de saúde, enquanto o VII é mais amplo sobre proteção da vida. Inciso IX — Interesses legítimos: esta é a base mais discutida e também a mais mal compreendida. Os interesses legítimos são aqueles do controlador ou de terceiro, desde que não prevaleçam direitos e liberdades fundamentais do titular. O artigo 10 da LGPD traz uma lista que inclui prevenção à fraude e segurança das transações, mas não se limita a ela. Um detalhe importante que pouca gente nota: quando você usar interesses legítimos, a documentação precisa ser mais robusta do que nas demais bases. Porque a ANPD pode questionar o balanceamento entre seu interesse e os direitos do titular. Eu costumo recomendar um estudo de balanceamento escrito, não apenas uma menção genérica na política de privacidade.

Inciso X — Proteção do crédito: específico para proteção do crédito, inclusive conforme o artigo 43 do Código de Defesa do Consumidor. Isso tem particularidades importantes, como a obrigatoriedade de informar ao titular quando seus dados forem encaminhados a registros de proteção ao crédito. Para o tratamento de dados sensíveis, o artigo 11 da LGPD traz requisitos próprios. As bases são menos numerosas e mais restritas. Incluem consentimento específico para finalidades determinadas, cumprimento de obrigação legal, estudos por órgão de pesquisa, execução de políticas públicas, exercício regular de direitos, proteção da vida, saúde, interesse legítimo (em situações específicas), e prevenção à fraude e segurança do titular, entre outras. Um ponto que as pessoas negligenciam na prática é a necessidade de escolher exatamente uma base legal por finalidade de tratamento. Você pode usar bases diferentes para finalidades diferentes com o mesmo conjunto de dados. Mas não se pode simplesmente empacotar tudo em uma única base genérica. Eu já vi relatórios de mapeamento de tratamento onde a empresa escreveu "consentimento" para dez finalidades diferentes, incluindo algumas que claramente não dependiam de consentimento. Isso é um erro recorrente e passa direto em uma auditoria simples.

A escolha da base legal também impacta diretamente os direitos do titular. No caso do consentimento, por exemplo, o titular pode revogar a qualquer momento. Nos casos de cumprimento de obrigação legal ou execução de contrato, a revogação não se aplica da mesma forma. Isso muda completamente a dinâmica operacional do seu canal de atendimento quando chega uma solicitação de exclusão. Outro aspecto prático: o artigo 8º da LGPD estabelece regras específicas para o consentimento quando se trata de crianças e adolescentes. Se sua base for consentimento, você precisa garantir a autorização do responsável legal. Em muitos sistemas, isso é tratado como uma formalidade, mas a exigência real é mais rigorosa do que parece. A ANPD tem sido clara nesse ponto durante as fiscalizações. O interessante é que a maioria das empresas trata todas as bases legais como se fossem iguais. Não são. Cada uma tem efeitos diferentes sobre a transparência, os direitos do titular, os prazos de retenção e até a forma como você precisa estruturar seus registros de atividade de tratamento. O artigo 37 exige que o controlador mantenha registro dos tratamientos com a base legal indicada. Então a escolha não é apenas teórica — ela vai aparecer em documentos oficiais que podem ser solicitados pela autoridade.

Quando você estiver implementando ou revisando as bases legais na sua organização, o caminho mais seguro é fazer um mapeamento completo de todas as finalidades de tratamento, identificar a base mais adequada para cada uma delas, documentar o raciocínio por trás da escolha e garantir que a política de privacidade reflita exatamente o que está sendo feito. Evite o atalho de usar consentimento para tudo. Funciona no início, mas depois gera problemas operacionais enormes, especialmente quando o titular revoga e você precisa provar que ainda tinha outra base legal para continuar tratando. Na prática, a base de execução de contrato e a de interesses legítimos acabam sendo as mais úteis para a maioria das operações comerciais. A de cumprimento de obrigação legal é indispensável para setores regulados. E o consentimento deve ser reservado para situações em que não há outra base adequada, não como padrão geral de tratamento.