Legítimo interesse: limites e teste de balanceamento

Legítimo interesse é a base legal que permite tratar dados sem pedir consentimento quando o interesse do controlador é concreto e legítimo, o tratamento é o mínimo necessário e os direitos do titular não pesam mais na balança. É a base mais flexível da LGPD e a mais invocada sem lastro, porque exige uma análise documentada antes de o tratamento começar.

O art. 7º, IX, e os limites do art. 10

O art. 7º, IX, autoriza o tratamento quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto se prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados. O art. 10 aperta o parafuso:

• as finalidades precisam ser legítimas e consideradas a partir de situações concretas, e a própria lei cita como exemplos o apoio e a promoção de atividades do controlador e a proteção do exercício regular de direitos do titular;
• devem ser respeitadas as legítimas expectativas do titular;
• só podem ser tratados os dados estritamente necessários para a finalidade;
• o controlador deve adotar medidas para garantir a transparência do tratamento;
• a ANPD pode solicitar relatório de impacto à proteção de dados pessoais.

O teste de balanceamento, por escrito

O art. 10 se traduz em três perguntas respondidas antes do tratamento e guardadas:

1. Finalidade: qual interesse concreto está em jogo, descrito sem eufemismo?
2. Necessidade: dá para atingir o mesmo resultado com menos dado, ou com dado agregado?
3. Balanceamento: o titular esperaria isso? O impacto sobre ele é aceitável? Que salvaguardas reduzem esse impacto?

Quando a resposta da terceira depende de o titular não descobrir, o balanceamento já falhou.

Cookie de marketing fica de fora

No Guia Orientativo sobre cookies (outubro de 2022), a ANPD trata cookies não essenciais como tratamento que depende de base adequada e, para publicidade comportamental, aponta o consentimento livre, informado e inequívoco. Rastrear alguém entre sites para montar perfil publicitário está fora da expectativa legítima de quem entrou numa loja para ver o preço de um tênis, e é a expectativa que o art. 10 manda respeitar.

O que o titular pode exigir

Quem trata com base em legítimo interesse assume duas contrapartidas. A primeira é transparência ativa: dizer, na política, qual é o interesse e como ele foi ponderado. A segunda é a oposição, prevista no art. 18, § 2º, pela qual o titular pede que aquele tratamento pare, e o controlador precisa ter como atendê-lo.

Onde ele sustenta e onde não sustenta

Numa loja online, legítimo interesse sustenta a prevenção à fraude no checkout, os logs de segurança do servidor e a análise interna de desempenho feita sobre dado agregado. Não sustenta o Meta Pixel, o remarketing dinâmico nem o mapa de calor que grava a sessão do visitante. A linha divisória continua sendo a expectativa do titular: proteger o pagamento cabe dentro dela; ser seguido pela internet, não.

Base guarda-chuva na política de privacidade

O sintoma é a política que declara "tratamos seus dados com base no legítimo interesse" sem descrever interesse nenhum. Falta finalidade concreta, falta registro do balanceamento e falta transparência, que são justamente os requisitos do art. 10. Numa fiscalização, a empresa fica na mesma posição de quem nunca escolheu base legal.

Termos relacionados

• Base legal
• ANPD
• Opt-in e opt-out
• Cookies e LGPD à luz do Guia da ANPD