A expressão legítimo interesse LGPD identifica uma base que pode autorizar o tratamento de dados pessoais sem consentimento, mas não funciona como justificativa genérica para qualquer operação. A empresa precisa demonstrar uma finalidade concreta, limitar o uso ao que é necessário e verificar se os direitos e as expectativas do titular permanecem protegidos.
Essa análise deve ocorrer antes do tratamento e deixar evidências verificáveis. A seguir, você entenderá quando essa base legal pode ser adequada, quais situações exigem outra hipótese e como documentar o teste de balanceamento com segurança.
O que você encontrará neste artigo
O que é legítimo interesse LGPD?
A Lei Geral de Proteção de Dados prevê o legítimo interesse entre as bases legais do artigo 7º. Assim, a aplicação do legítimo interesse LGPD pode sustentar o tratamento de dados pessoais para finalidades legítimas do controlador ou de terceiros, desde que não prevaleçam direitos e liberdades fundamentais do titular.
O artigo 10 da LGPD acrescenta condições importantes. Além disso, a finalidade deve ser concreta, o tratamento precisa se restringir aos dados estritamente necessários e a organização deve adotar medidas que garantam transparência. A Autoridade Nacional de Proteção de Dados também pode exigir um relatório de impacto quando o tratamento se apoiar nessa base.
Portanto, não basta afirmar que existe interesse comercial. É necessário explicar qual objetivo será alcançado, por que o uso dos dados é indispensável e quais controles reduzem o impacto sobre as pessoas.
Legítimo interesse não é consentimento disfarçado
Consentimento e legítimo interesse são bases diferentes. O consentimento depende de manifestação livre, informada e inequívoca e pode ser revogado. Em contrapartida, o legítimo interesse atribui ao controlador o dever de justificar e provar sua escolha. Por isso, se a operação depende de uma autorização real do titular, não se deve recorrer ao legítimo interesse apenas para evitar a coleta dessa autorização.
Nesse sentido, a escolha deve considerar o propósito, a categoria dos dados, o contexto da relação e o impacto provável. Nosso guia sobre bases legais da LGPD ajuda a comparar essa hipótese com contrato, obrigação legal, consentimento e exercício regular de direitos.
Quando o legítimo interesse pode ser usado?
Essa base tende a ser pertinente quando há uma relação prévia ou uma expectativa razoável de uso, o objetivo é lícito e específico e a atividade não causa interferência desproporcional na vida do titular. Mesmo assim, a conclusão depende das circunstâncias concretas.
Algumas situações que podem justificar a análise são:
- segurança de sistemas, contas e ambientes corporativos;
- prevenção a fraude em operações compatíveis com o serviço oferecido;
- comunicações com clientes sobre produtos relacionados à relação existente;
- melhoria de serviços baseada em dados limitados e controles adequados;
- gestão interna de contatos profissionais e relacionamento empresarial.
No entanto, esses exemplos não autorizam automaticamente o tratamento. Em cada caso, a organização deve verificar se existe uma alternativa menos invasiva, se o titular poderia razoavelmente esperar aquele uso e se há mecanismos de oposição ou controle quando cabíveis.
Quando o legítimo interesse não se aplica?
O legítimo interesse do artigo 7º não é base legal para o tratamento de dados pessoais sensíveis. Informações sobre saúde, biometria, origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, vida sexual ou dado genético seguem as hipóteses específicas do artigo 11.
Também é inadequado tentar utilizar essa base para uma finalidade vaga, incompatível com a coleta original ou que produza surpresa relevante ao titular. Uma operação de monitoramento intenso, perfilamento com consequências importantes ou compartilhamento inesperado exige cautela maior e pode demandar outra base legal.
Dados de crianças e adolescentes requerem avaliação específica à luz do melhor interesse, conforme o artigo 14. Por isso, não se deve transportar automaticamente uma conclusão válida para adultos a operações voltadas ao público infantil.
Como aplicar o legítimo interesse LGPD no teste de balanceamento?
O Guia Orientativo da ANPD sobre legítimo interesse organiza o teste de balanceamento em três fases: finalidade, necessidade e balanceamento com salvaguardas. Por sua vez, o documento deve refletir o tratamento real, e não um formulário genérico preenchido apenas para arquivo.
1. Finalidade
Em primeiro lugar, defina o benefício pretendido e quem receberá esse benefício. Descreva a finalidade com precisão e confirme sua compatibilidade com o ordenamento. Expressões como “melhorar o negócio” ou “para fins comerciais” são amplas demais para sustentar a análise.
2. Necessidade
Em seguida, liste os dados utilizados e verifique se cada elemento é indispensável. Pergunte se o mesmo resultado pode ser obtido com menos dados, menor período de retenção, informação agregada ou processo que não identifique a pessoa. Se houver alternativa igualmente eficaz e menos invasiva, escolha-a.
3. Balanceamento e salvaguardas
Compare o benefício com os riscos para os titulares. Considere o contexto da coleta, a relação existente, a vulnerabilidade das pessoas, o volume de dados, a possibilidade de discriminação e as consequências de um acesso indevido. Em seguida, estabeleça salvaguardas como controle de acesso, retenção reduzida, pseudonimização, revisão humana, transparência e canal de oposição.
Se os direitos e liberdades do titular prevalecerem mesmo após essas medidas, o legítimo interesse não deve ser usado.
Como documentar o legítimo interesse LGPD?
Além disso, o registro deve permitir que outra pessoa compreenda a decisão sem depender de explicações informais. Uma ficha ou relatório de avaliação pode conter:
- descrição da operação, dos sistemas e das áreas responsáveis;
- finalidade específica e benefício legítimo esperado;
- categorias de titulares e dados utilizados;
- análise de necessidade e alternativas consideradas;
- expectativas razoáveis dos titulares;
- riscos identificados e salvaguardas implementadas;
- forma de transparência e atendimento a direitos;
- responsável pela aprovação, data e prazo de revisão.
Do mesmo modo, a documentação deve conversar com o inventário de dados, os avisos de privacidade, os contratos com operadores e as políticas internas. Uma empresa que declara uma finalidade no teste, mas comunica outra em seu aviso de privacidade, cria uma inconsistência relevante.
Quando revisar o teste?
Revise a avaliação quando mudarem a finalidade, os dados, o sistema, o fornecedor, o público ou o alcance da operação. Também é prudente estabelecer revisão periódica, porque uma expectativa considerada razoável hoje pode mudar com o contexto, a tecnologia ou o uso acumulado das informações.
Exemplos de legítimo interesse LGPD
Segurança de acesso: uma plataforma registra tentativas de login, dispositivo e horário para detectar comportamento anômalo. A finalidade é concreta, mas a retenção precisa ser limitada e o acesso aos registros deve ser controlado.
Relacionamento com cliente: uma empresa envia comunicação sobre serviço complementar ao produto contratado. É necessário avaliar a expectativa do destinatário, oferecer forma simples de oposição e evitar o compartilhamento inesperado com terceiros.
Videomonitoramento: uma organização instala câmeras em pontos de acesso para proteger pessoas e patrimônio. O enquadramento depende de posicionamento, alcance, aviso, prazo de retenção e restrição de acesso. Câmeras em locais inadequados ou usadas para outra finalidade alteram o balanceamento.
Assim, os exemplos mostram por que uma mesma finalidade pode receber conclusões diferentes. A análise deve acompanhar o desenho real da operação, dentro de um programa mais amplo de adequação à LGPD.
Erros que aumentam o risco
- usar legítimo interesse como base padrão para todo tratamento;
- registrar uma finalidade ampla ou criada depois do início da operação;
- ignorar dados sensíveis, crianças ou grupos vulneráveis;
- não avaliar alternativas menos invasivas;
- confundir interesse econômico com prevalência automática do controlador;
- copiar um teste sem relacioná-lo aos dados e sistemas reais;
- deixar de informar o titular ou de revisar a decisão;
- manter dados por prazo indefinido sem justificativa.
Além de enfraquecer a base legal, essas falhas prejudicam o princípio da responsabilização e prestação de contas. A organização precisa demonstrar não apenas a existência de uma política, mas a efetividade das medidas aplicadas.
Perguntas frequentes sobre legítimo interesse
Todo interesse comercial é legítimo?
Não. O interesse econômico pode integrar a análise, mas precisa ser lícito, concreto e compatível com os direitos do titular. Portanto, a conveniência da empresa, por si só, não satisfaz os requisitos da LGPD.
É preciso pedir consentimento depois?
Não necessariamente. Se o legítimo interesse for a base adequada e todos os requisitos forem cumpridos, não faz sentido acumular consentimento para a mesma finalidade. Se a operação depende de escolha do titular, entretanto, deve-se avaliar se o consentimento ou outra base é mais apropriado.
O titular pode se opor?
O titular pode se opor ao tratamento realizado em desconformidade com a LGPD. Mesmo quando a oposição não produz interrupção automática em todas as situações, a empresa deve oferecer canal de atendimento, analisar o pedido e explicar sua decisão de forma clara.
A ANPD pode pedir a documentação?
Sim. A LGPD permite que a ANPD solicite relatório de impacto quando o tratamento tiver fundamento no legítimo interesse. Por isso, manter o teste, as evidências e as revisões organizados reduz a dependência de reconstruções posteriores.
Avaliação jurídica e próximos passos
O legítimo interesse na LGPD exige uma decisão justificável, proporcional e revisável. Antes de ativar a operação, mapeie os dados, compare bases legais, execute o teste de balanceamento e implemente as salvaguardas indicadas. Depois, mantenha o registro alinhado à prática.
A Rocco & Canonica auxilia empresas na escolha de bases legais, na elaboração do teste de balanceamento e na integração desse documento ao programa de governança. Conheça nossa atuação em LGPD e proteção de dados para avaliar o tratamento de forma compatível com a realidade da sua organização.
