Base legal na LGPD: as dez hipóteses do art. 7º

Base legal é a hipótese prevista na LGPD que autoriza você a tratar um dado pessoal. Sem uma delas o tratamento é ilícito, por mais útil ou comum no mercado que ele seja. A escolha vem antes do tratamento, junto da finalidade, e determina quais direitos o titular tem naquele caso.

O que a lei manda escolher, e quando

O art. 7º lista dez hipóteses para dado pessoal comum. O art. 11 trata do dado sensível em regime separado e mais estreito. Organizando os dois está o art. 6º, I: cada tratamento tem uma finalidade específica, explícita e informada, e é para essa finalidade que você escolhe a base. A unidade de análise é a operação, não a empresa.

As dez bases do art. 7º

1. Consentimento do titular.
2. Cumprimento de obrigação legal ou regulatória.
3. Execução de políticas públicas pela administração pública.
4. Realização de estudos por órgão de pesquisa, com anonimização sempre que possível.
5. Execução de contrato ou de procedimentos preliminares, a pedido do titular.
6. Exercício regular de direitos em processo judicial, administrativo ou arbitral.
7. Proteção da vida ou da incolumidade física do titular ou de terceiro.
8. Tutela da saúde, em procedimento realizado por profissionais ou serviços de saúde.
9. Legítimo interesse do controlador ou de terceiro.
10. Proteção do crédito.

As oito hipóteses do art. 11

Para dado sensível o rol é outro: consentimento específico e destacado, para finalidades específicas; ou, sem consentimento, quando indispensável para cumprimento de obrigação legal, políticas públicas, estudos por órgão de pesquisa, exercício regular de direitos, proteção da vida, tutela da saúde ou garantia da prevenção à fraude e da segurança do titular em processos de identificação e autenticação.

Duas hipóteses do art. 7º ficaram de fora dessa lista: legítimo interesse e execução de contrato. Para dado sensível, essas portas não existem.

Como chegar à base certa

1. Descreva a finalidade em uma frase concreta ("enviar o pedido ao endereço do cliente", em vez de "melhorar a experiência").
2. Verifique se o tratamento é indispensável para entregar o que o titular pediu. Se for, normalmente é execução de contrato.
3. Verifique se alguma norma obriga você a guardar aquilo. Se sim, é obrigação legal.
4. Só então avalie legítimo interesse, com teste de balanceamento documentado.
5. Publicidade comportamental, cookie de marketing e envio promocional caem em consentimento, que precisa ser livre, informado e inequívoco.

Quatro tratamentos, quatro bases, uma loja

Numa loja online convivem bases diferentes ao mesmo tempo: o endereço de entrega se apoia em execução de contrato; a nota fiscal, em obrigação legal; a prevenção à fraude no checkout, em legítimo interesse; o pixel de remarketing, em consentimento. Justificar o último com a base de qualquer um dos outros três é o atalho que a ANPD fechou no Guia de cookies.

Consentimento como base padrão

Pedir aceite para tudo cria dois problemas. Você passa a depender de um "sim" que o titular pode retirar a qualquer momento, inclusive em tratamentos que não deveriam depender dele. E enfraquece o consentimento que precisa valer, porque o pedido vira ruído.

O erro gêmeo é trocar de base para consertar tratamento já feito. Se os dados foram coletados com consentimento inválido, por exemplo com opção pré-marcada no banner, dizer depois que "na verdade era legítimo interesse" não corrige nada. A base se escolhe antes, e a correção passa por refazer a coleta.

Termos relacionados

• Legítimo interesse
• Dado pessoal sensível
• Tratamento de dados pessoais
• Opt-in e opt-out