Bases legais da LGPD: quando usar cada hipótese de tratamento
Todo tratamento de dados precisa de uma base legal. Escolher a base certa evita o erro mais comum da adequação, que é pedir consentimento para tudo.
A LGPD não proíbe tratar dados pessoais; ela exige que todo tratamento se apoie em uma justificativa prevista na lei, a base legal. São dez hipóteses no artigo 7 para dados comuns e uma lista própria no artigo 11 para dados sensíveis. Sem uma base que sustente o tratamento, ele é irregular, por mais útil que pareça.
A escolha da base é uma decisão jurídica, mas entender as opções ajuda qualquer área a evitar o erro clássico de pedir consentimento para tudo. Este guia percorre as bases mais usadas no dia a dia de uma empresa e explica quando cada uma faz sentido.
As dez bases legais do artigo 7
O artigo 7 lista dez hipóteses que autorizam o tratamento de dados pessoais comuns. Elas cobrem situações bem diferentes, do consentimento da pessoa até a proteção da vida. A empresa não escolhe a que preferir; ela enquadra cada tratamento na base que corresponde à realidade daquele fluxo.
- Consentimento do titular
- Cumprimento de obrigação legal ou regulatória
- Execução de políticas públicas pela administração pública
- Realização de estudos por órgão de pesquisa, com anonimização quando possível
- Execução de contrato ou de procedimentos preliminares a contrato do qual o titular é parte
- Exercício regular de direitos em processo judicial, administrativo ou arbitral
- Proteção da vida ou da incolumidade física do titular ou de terceiro
- Tutela da saúde, em procedimento por profissionais ou serviços de saúde
- Legítimo interesse do controlador ou de terceiro
- Proteção do crédito
Por que consentimento não serve para tudo
O consentimento é a base mais lembrada, e talvez a mais mal usada. Ele exige manifestação livre, informada e específica, e pode ser revogado a qualquer momento. Aí está o problema de abusar dele: se a empresa apoia em consentimento um tratamento que precisa fazer de qualquer forma, como guardar a nota fiscal de uma venda, ela fica numa contradição no dia em que o cliente revogar o consentimento.
A regra prática é reservar o consentimento para o que é realmente opcional para a pessoa, como receber comunicações de marketing. Para o tratamento necessário à operação, outras bases descrevem melhor a realidade e não dependem de uma autorização que pode ser retirada.
Obrigação legal, contrato e legítimo interesse
Três bases sustentam boa parte do tratamento cotidiano. O cumprimento de obrigação legal cobre o que a empresa precisa fazer para atender à lei, como guardar dados fiscais e trabalhistas por prazos definidos. A execução de contrato cobre o tratamento necessário para entregar o que o cliente contratou, do cadastro à cobrança. Quem contrata um serviço espera que a empresa use seus dados para prestá-lo.
O legítimo interesse é a base mais flexível e a que exige mais cuidado. Ela permite tratar dados para finalidades legítimas da empresa que a pessoa razoavelmente esperaria, como prevenção a fraude ou segurança da própria operação, desde que isso não se sobreponha aos direitos do titular. Usar o legítimo interesse pede uma avaliação que pondere o benefício do tratamento contra o impacto para a pessoa, o chamado teste de balanceamento.
Enquadrar tratamentos comuns na prática
A teoria fica mais clara quando aplicada aos tratamentos que quase toda empresa faz. O exercício abaixo ilustra o raciocínio, mas o enquadramento final é uma decisão jurídica que depende do contexto de cada operação.
- Emitir nota fiscal e guardar dados contábeis: cumprimento de obrigação legal
- Cadastrar o cliente e cobrar por um serviço contratado: execução de contrato
- Guardar dados de funcionários exigidos pela legislação trabalhista: obrigação legal
- Prevenir fraude e proteger a segurança da operação: legítimo interesse, com teste de balanceamento
- Enviar newsletter e ofertas a quem optou por recebê-las: consentimento
- Tratar dados de saúde em um serviço médico: tutela da saúde por profissional
Repare que o consentimento aparece só onde a escolha é genuinamente da pessoa. Forçá-lo em um tratamento que a empresa precisa fazer de qualquer forma inverte a lógica e cria o problema da revogação. Enquadrar cada fluxo pela realidade, e não pela base mais conhecida, é o que dá solidez à adequação.
Bases para dados sensíveis
Dados sensíveis têm uma lista própria no artigo 11, mais restrita. O legítimo interesse, por exemplo, não vale para dado sensível. As hipóteses sem consentimento são específicas: cumprimento de obrigação legal, execução de políticas públicas, estudos por órgão de pesquisa, exercício de direitos em processo, proteção da vida, tutela da saúde por profissionais e prevenção à fraude na identificação em sistemas eletrônicos.
Quando o consentimento é a base para dado sensível, ele precisa ser específico e destacado, deixando claro que aquele dado é sensível e para que será usado. A regra mais restrita reflete o risco maior: um vazamento de dados de saúde ou de biometria machuca mais a pessoa do que o de um e-mail.
Checklist prático
- Enquadrar cada tratamento em uma das bases do artigo 7
- Reservar consentimento para o que é de fato opcional
- Usar obrigação legal para o que a lei exige guardar
- Usar execução de contrato para o necessário à entrega do serviço
- Documentar o teste de balanceamento ao usar legítimo interesse
- Aplicar a lista específica do artigo 11 para dados sensíveis
- Revisar as bases quando a finalidade do tratamento mudar
Boas práticas
- Escolha a base pela realidade do fluxo, não pela mais conhecida
- Evite consentimento para tratamento que a empresa precisa fazer de qualquer jeito
- Registre a justificativa do legítimo interesse por escrito
- Trate dado sensível pela lista própria e mais restrita
- Revise as bases sempre que criar um novo uso para os dados
Erros comuns
Pedir consentimento para tudo
Tratamentos necessários ficam sem base quando o titular revoga.
Usar legítimo interesse sem teste de balanceamento
A empresa não consegue justificar o tratamento se for questionada.
Aplicar legítimo interesse a dado sensível
A base não é permitida para dado sensível; o tratamento fica irregular.
Não revisar a base ao criar novos usos
Um dado coletado para uma finalidade acaba usado para outra sem amparo.
Quando procurar apoio especializado
A definição das bases legais é jurídica, mas depende de saber com precisão quais tratamentos existem e como os dados fluem pelos sistemas. A GUARDIASEC entrega esse mapa técnico, mostrando onde cada dado é coletado, processado e compartilhado, para que a base legal seja definida sobre fatos e não sobre suposições.
Para aprofundar: cursos recomendados
Estes cursos gratuitos do Valor Final ajudam a levar o assunto deste guia da teoria para a prática, no seu ritmo.
Curso de LGPD Essencial
GratuitoCurso gratuito de LGPD para quem trabalha em empresa. Mostra na prática o que pode e o que não pode ser feito com dados de clientes, colegas e fornecedores, em linguagem simples e com fontes oficiais.
Valor FinalCursos do Valor Final
CertificadoPortal de cursos online gratuitos, com certificado ao concluir. A trilha de privacidade e proteção de dados começa pelo curso de LGPD e ganha novos cursos com o tempo.
Valor FinalPerguntas frequentes
Posso usar legítimo interesse para marketing?
Em alguns casos sim, mas com cuidado e limites. O legítimo interesse pode sustentar comunicações a clientes atuais sobre produtos parecidos, dentro do que a pessoa razoavelmente esperaria, desde que exista uma forma fácil de recusar. Para captação mais agressiva ou público que não tem relação com a empresa, o consentimento costuma ser a base adequada. O teste de balanceamento ajuda a decidir.
Consentimento precisa ser por escrito?
Ele precisa ser inequívoco e demonstrável, mas não necessariamente assinado em papel. O importante é que a empresa consiga provar que a pessoa concordou de forma livre, informada e específica, com registro de quando e para quê. Um aceite eletrônico com registro serve. Para dados sensíveis, o consentimento tem de ser específico e destacado.
O que acontece se eu tratar dados sem base legal?
O tratamento é irregular, independentemente de ser útil ou bem-intencionado. Em uma fiscalização, a ausência de base legal é uma irregularidade que pode levar às sanções do artigo 52, da advertência à multa. Além do risco de sanção, tratar sem base expõe a empresa a reclamações de titulares e a ações judiciais.
Posso mudar a base legal de um tratamento depois?
Mudar a base de um mesmo tratamento é delicado e nem sempre possível, porque a base influencia as expectativas e os direitos da pessoa. Trocar consentimento por legítimo interesse para contornar uma revogação, por exemplo, não é aceitável. O caminho correto é definir a base certa desde o início, com apoio jurídico, e revisá-la quando a finalidade realmente mudar.
Guias relacionados
Próximo passo
Vamos avaliar os riscos do seu ambiente?
Conte seu cenário e definimos juntos o escopo certo. O objetivo é reduzir caminhos prováveis de ataque e elevar a maturidade de segurança, sem promessas absolutas.