Todo tratamento de dados pessoais precisa se apoiar em uma das hipóteses legais da Lei nº 13.709/2018, a Lei Geral de Proteção de Dados Pessoais (LGPD): são dez para dados comuns (art. 7º) e um rol mais restrito para dados sensíveis (art. 11). O consentimento é só uma delas, e a Agência Nacional de Proteção de Dados (ANPD) já registrou, em guia de 2022, que não há hierarquia entre as bases. O legítimo interesse dispensa o consentimento, mas não alcança dados sensíveis e exige uma ponderação, que a ANPD recomenda documentar, de que os direitos do titular não prevalecem no caso concreto.
Quais são as bases legais
Desde a Emenda Constitucional nº 115, de 10 de fevereiro de 2022, a proteção de dados pessoais é direito fundamental, previsto no art. 5º, LXXIX, da Constituição. Na LGPD, o art. 7º autoriza o tratamento de dados pessoais nas seguintes hipóteses:
- consentimento do titular;
- cumprimento de obrigação legal ou regulatória pelo controlador;
- execução de políticas públicas pela administração pública;
- estudos por órgão de pesquisa;
- execução de contrato ou de procedimentos preliminares a pedido do titular;
- exercício regular de direitos em processo judicial, administrativo ou arbitral;
- proteção da vida ou da incolumidade física do titular ou de terceiro;
- tutela da saúde, apenas em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária;
- legítimo interesse do controlador ou de terceiro;
- proteção do crédito.
Para dados sensíveis, que incluem origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual e dados genéticos ou biométricos (art. 5º, II), o art. 11 exige consentimento específico e destacado ou uma situação em que o tratamento seja indispensável, como cumprimento de obrigação legal, exercício regular de direitos ou prevenção à fraude em processos de identificação e autenticação de cadastro em sistemas eletrônicos. O legítimo interesse não aparece nesse rol.
Dispensar o consentimento não dispensa o restante da lei: princípios e direitos do titular continuam valendo (art. 7º, § 6º). No Guia Orientativo sobre cookies, de outubro de 2022, a ANPD observa que, sem hierarquia entre as hipóteses, o consentimento é mais adequado quando a coleta não é essencial ao serviço, como em cookies de publicidade, e inadequado quando os dados são indispensáveis ao funcionamento da página, porque falta ao titular escolha real.
O que torna o consentimento válido
A LGPD exige que o consentimento seja livre, informado e inequívoco e que se refira a finalidade determinada (art. 5º, XII). Os arts. 8º e 9º acrescentam regras práticas:
- pode ser dado por escrito ou por outro meio que demonstre a vontade; se escrito, deve constar de cláusula destacada;
- cabe ao controlador provar que o obteve regularmente;
- autorizações genéricas são nulas;
- pode ser revogado a qualquer momento, por procedimento gratuito e facilitado;
- é nulo se as informações prestadas forem enganosas ou abusivas, ou não tiverem sido apresentadas antes, com clareza;
- mudança de finalidade incompatível exige aviso prévio ao titular, que pode revogar a autorização.
Compartilhar com outros controladores dados obtidos por consentimento exige consentimento específico para esse fim (art. 7º, § 5º), e o titular tem direito de ser informado sobre a possibilidade de não consentir e as consequências da recusa (art. 18, VIII). Para dados sensíveis, o consentimento precisa ser específico e destacado, para finalidades específicas (art. 11, I).
O Guia sobre cookies traduz essas exigências em parâmetros concretos. Consentimento "forçado", condicionado à aceitação integral, é incompatível com a lei; não se pode presumir consentimento do silêncio ou da continuidade da navegação; opções pré-marcadas não são recomendadas; e, entre as boas práticas indicadas, cookies baseados em consentimento devem vir desativados por padrão, com botão para rejeitar os não necessários em destaque equivalente ao de aceitar.
Legítimo interesse: o que a lei exige
O art. 7º, IX, permite o tratamento quando necessário para atender a interesses legítimos do controlador ou de terceiro, salvo se prevalecerem direitos e liberdades fundamentais do titular que exijam proteção. O art. 10 completa o regime:
- as finalidades devem ser legítimas e consideradas a partir de situações concretas, como apoio e promoção das atividades do controlador ou proteção do titular no exercício de direitos e na prestação de serviços que o beneficiem, respeitadas suas legítimas expectativas;
- só podem ser tratados os dados estritamente necessários (§ 1º);
- o controlador deve adotar medidas de transparência (§ 2º);
- a autoridade nacional pode exigir relatório de impacto à proteção de dados (§ 3º).
O art. 37 manda registrar as operações de tratamento, "especialmente" quando baseadas no legítimo interesse, e o art. 18, § 2º, permite ao titular opor-se a tratamento feito sem consentimento quando houver descumprimento da lei.
O Guia Orientativo da ANPD de fevereiro de 2024
Em fevereiro de 2024, a então Autoridade Nacional de Proteção de Dados publicou o Guia Orientativo "Hipóteses legais de tratamento de dados pessoais: legítimo interesse", versão 1.0. Desde a Medida Provisória nº 1.317/2025, convertida na Lei nº 15.352, de 25 de fevereiro de 2026, a sigla designa a Agência Nacional de Proteção de Dados, autarquia de natureza especial incluída no rol de agências reguladoras da Lei nº 13.848/2019. Os principais parâmetros do Guia são:
- Dados sensíveis ficam de fora: como a hipótese não foi reproduzida no art. 11, a natureza dos dados é a primeira verificação.
- Crianças e adolescentes: com base no Enunciado nº 1 do Conselho Diretor (CD/ANPD), de 22 de maio de 2023, o legítimo interesse pode ser usado desde que prevaleça o melhor interesse da criança ou do adolescente; se o teste for inconclusivo, deve-se adotar outra base.
- Três condições de legitimidade: compatibilidade com o ordenamento jurídico, lastro em situações concretas e vinculação a finalidades legítimas, específicas e explícitas; interesses especulativos ou alheios às atividades atuais do controlador não servem.
- Legítima expectativa: avaliada por fatores como relação prévia com o titular, fonte e forma da coleta, contexto e momento da coleta e finalidade pretendida.
- Poder público: o uso deve ser evitado quando o tratamento é compulsório ou decorre de obrigações e atribuições legais, admitindo-se apenas em casos específicos.
O teste de balanceamento em três fases
O Guia recomenda um teste para cada finalidade, dividido em três fases:
- Finalidade: verificar a natureza dos dados, identificar o interesse, do controlador ou de terceiro, e avaliar sua legitimidade.
- Necessidade: confirmar que o tratamento é necessário, preferir meios menos intrusivos e reduzir os dados ao mínimo.
- Balanceamento e salvaguardas: ponderar riscos e impactos para o titular, à luz de suas legítimas expectativas, e definir salvaguardas e medidas de transparência.
O modelo proposto pela ANPD não é obrigatório: o teste pode ser simplificado quando o baixo impacto for evidente e pode exigir mais robustez em casos como novas tecnologias que usam grandes volumes de dados. Segundo o Guia, a lei não exige impacto zero, e sim que os impactos sejam minimizados e considerados na definição de salvaguardas; se o teste indicar que prevalecem os direitos do titular, o legítimo interesse não pode ser usado. A mesma lógica vale para a hipótese de prevenção à fraude do art. 11, II, g, que admite dados sensíveis.
Exemplos tratados pela ANPD
Os guias trazem casos que ajudam a calibrar a escolha:
- uma instituição de ensino que envia à comunidade acadêmica promoções de livros da própria editora, sem compartilhar a base e com opção de descadastramento, pode usar o legítimo interesse;
- um aplicativo educativo para crianças que usa dados para exibir anúncios de alimentos ultraprocessados não pode, porque não há legítima expectativa e o melhor interesse da criança não é atendido;
- um software que registra tudo o que o empregado digita e capta imagens da webcam para medir produtividade é excessivo, mesmo se informado na política de privacidade, tema aprofundado em dados pessoais nas relações de trabalho;
- cookies estritamente necessários e, em certos contextos, cookies de medição de audiência com dados agregados podem se apoiar no legítimo interesse, que dificilmente será adequado para cookies de publicidade.
Pontos de atenção
- A base legal é escolhida por finalidade; nova finalidade exige reavaliar a hipótese, e, no legítimo interesse, a ANPD recomenda novo teste.
- O consentimento só funciona onde há escolha real, e revogá-lo deve ser tão simples quanto concedê-lo.
- O legítimo interesse não serve para dados sensíveis e pede registro das operações, transparência e canal para oposição do titular.
- Tratamentos de alto risco podem exigir relatório de impacto, inclusive a pedido da ANPD (arts. 10, § 3º, e 38).
- Escolher a base legal não afasta os deveres de segurança, como a comunicação de incidentes à ANPD.