# Bases legais da LGPD: consentimento e legítimo interesse

*A LGPD prevê dez hipóteses para dados comuns; guia da ANPD de 2024 detalha o teste de balanceamento do legítimo interesse*

Tipo: Guia · Tema: Proteção de Dados · Área: Direito Digital
Publicado em: 2026-10-15T19:52:01.624Z
Fonte canônica: https://merovian.app/blog/bases-legais-consentimento-e-legitimo-interesse

## Em resumo

Todo tratamento de dados pessoais precisa de base legal. O consentimento deve ser livre, informado e inequívoco e pode ser revogado; o legítimo interesse dispensa consentimento, mas não vale para dados sensíveis e exige ponderação de que os direitos do titular não prevalecem.

Todo tratamento de dados pessoais precisa se apoiar em uma das hipóteses legais da Lei nº 13.709/2018, a Lei Geral de Proteção de Dados Pessoais (LGPD): são dez para dados comuns (art. 7º) e um rol mais restrito para dados sensíveis (art. 11) [1]. O consentimento é só uma delas, e a Agência Nacional de Proteção de Dados (ANPD) já registrou, em guia de 2022, que não há hierarquia entre as bases [3]. O legítimo interesse dispensa o consentimento, mas não alcança dados sensíveis e exige uma ponderação, que a ANPD recomenda documentar, de que os direitos do titular não prevalecem no caso concreto [1, 4].

## Quais são as bases legais

Desde a Emenda Constitucional nº 115, de 10 de fevereiro de 2022, a proteção de dados pessoais é direito fundamental, previsto no art. 5º, LXXIX, da Constituição [2]. Na LGPD, o art. 7º autoriza o tratamento de dados pessoais nas seguintes hipóteses [1]:

- consentimento do titular;
- cumprimento de obrigação legal ou regulatória pelo controlador;
- execução de políticas públicas pela administração pública;
- estudos por órgão de pesquisa;
- execução de contrato ou de procedimentos preliminares a pedido do titular;
- exercício regular de direitos em processo judicial, administrativo ou arbitral;
- proteção da vida ou da incolumidade física do titular ou de terceiro;
- tutela da saúde, apenas em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária;
- legítimo interesse do controlador ou de terceiro;
- proteção do crédito.

Para dados sensíveis, que incluem origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual e dados genéticos ou biométricos (art. 5º, II), o art. 11 exige consentimento específico e destacado ou uma situação em que o tratamento seja indispensável, como cumprimento de obrigação legal, exercício regular de direitos ou prevenção à fraude em processos de identificação e autenticação de cadastro em sistemas eletrônicos [1]. O legítimo interesse não aparece nesse rol.

Dispensar o consentimento não dispensa o restante da lei: princípios e direitos do titular continuam valendo (art. 7º, § 6º) [1]. No Guia Orientativo sobre cookies, de outubro de 2022, a ANPD observa que, sem hierarquia entre as hipóteses, o consentimento é mais adequado quando a coleta não é essencial ao serviço, como em cookies de publicidade, e inadequado quando os dados são indispensáveis ao funcionamento da página, porque falta ao titular escolha real [3].

## O que torna o consentimento válido

A LGPD exige que o consentimento seja livre, informado e inequívoco e que se refira a finalidade determinada (art. 5º, XII) [1]. Os arts. 8º e 9º acrescentam regras práticas [1]:

- pode ser dado por escrito ou por outro meio que demonstre a vontade; se escrito, deve constar de cláusula destacada;
- cabe ao controlador provar que o obteve regularmente;
- autorizações genéricas são nulas;
- pode ser revogado a qualquer momento, por procedimento gratuito e facilitado;
- é nulo se as informações prestadas forem enganosas ou abusivas, ou não tiverem sido apresentadas antes, com clareza;
- mudança de finalidade incompatível exige aviso prévio ao titular, que pode revogar a autorização.

Compartilhar com outros controladores dados obtidos por consentimento exige consentimento específico para esse fim (art. 7º, § 5º), e o titular tem direito de ser informado sobre a possibilidade de não consentir e as consequências da recusa (art. 18, VIII) [1]. Para dados sensíveis, o consentimento precisa ser específico e destacado, para finalidades específicas (art. 11, I) [1].

O Guia sobre cookies traduz essas exigências em parâmetros concretos [3]. Consentimento "forçado", condicionado à aceitação integral, é incompatível com a lei; não se pode presumir consentimento do silêncio ou da continuidade da navegação; opções pré-marcadas não são recomendadas; e, entre as boas práticas indicadas, cookies baseados em consentimento devem vir desativados por padrão, com botão para rejeitar os não necessários em destaque equivalente ao de aceitar [3].

## Legítimo interesse: o que a lei exige

O art. 7º, IX, permite o tratamento quando necessário para atender a interesses legítimos do controlador ou de terceiro, salvo se prevalecerem direitos e liberdades fundamentais do titular que exijam proteção [1]. O art. 10 completa o regime [1]:

- as finalidades devem ser legítimas e consideradas a partir de situações concretas, como apoio e promoção das atividades do controlador ou proteção do titular no exercício de direitos e na prestação de serviços que o beneficiem, respeitadas suas legítimas expectativas;
- só podem ser tratados os dados estritamente necessários (§ 1º);
- o controlador deve adotar medidas de transparência (§ 2º);
- a autoridade nacional pode exigir relatório de impacto à proteção de dados (§ 3º).

O art. 37 manda registrar as operações de tratamento, "especialmente" quando baseadas no legítimo interesse, e o art. 18, § 2º, permite ao titular opor-se a tratamento feito sem consentimento quando houver descumprimento da lei [1].

## O Guia Orientativo da ANPD de fevereiro de 2024

Em fevereiro de 2024, a então Autoridade Nacional de Proteção de Dados publicou o Guia Orientativo "Hipóteses legais de tratamento de dados pessoais: legítimo interesse", versão 1.0 [4]. Desde a Medida Provisória nº 1.317/2025, convertida na Lei nº 15.352, de 25 de fevereiro de 2026, a sigla designa a Agência Nacional de Proteção de Dados, autarquia de natureza especial incluída no rol de agências reguladoras da Lei nº 13.848/2019 [5]. Os principais parâmetros do Guia são [4]:

- **Dados sensíveis ficam de fora**: como a hipótese não foi reproduzida no art. 11, a natureza dos dados é a primeira verificação.
- **Crianças e adolescentes**: com base no Enunciado nº 1 do Conselho Diretor (CD/ANPD), de 22 de maio de 2023, o legítimo interesse pode ser usado desde que prevaleça o melhor interesse da criança ou do adolescente; se o teste for inconclusivo, deve-se adotar outra base.
- **Três condições de legitimidade**: compatibilidade com o ordenamento jurídico, lastro em situações concretas e vinculação a finalidades legítimas, específicas e explícitas; interesses especulativos ou alheios às atividades atuais do controlador não servem.
- **Legítima expectativa**: avaliada por fatores como relação prévia com o titular, fonte e forma da coleta, contexto e momento da coleta e finalidade pretendida.
- **Poder público**: o uso deve ser evitado quando o tratamento é compulsório ou decorre de obrigações e atribuições legais, admitindo-se apenas em casos específicos.

### O teste de balanceamento em três fases

O Guia recomenda um teste para cada finalidade, dividido em três fases [4]:

- **Finalidade**: verificar a natureza dos dados, identificar o interesse, do controlador ou de terceiro, e avaliar sua legitimidade.
- **Necessidade**: confirmar que o tratamento é necessário, preferir meios menos intrusivos e reduzir os dados ao mínimo.
- **Balanceamento e salvaguardas**: ponderar riscos e impactos para o titular, à luz de suas legítimas expectativas, e definir salvaguardas e medidas de transparência.

O modelo proposto pela ANPD não é obrigatório: o teste pode ser simplificado quando o baixo impacto for evidente e pode exigir mais robustez em casos como novas tecnologias que usam grandes volumes de dados [4]. Segundo o Guia, a lei não exige impacto zero, e sim que os impactos sejam minimizados e considerados na definição de salvaguardas; se o teste indicar que prevalecem os direitos do titular, o legítimo interesse não pode ser usado [4]. A mesma lógica vale para a hipótese de prevenção à fraude do art. 11, II, *g*, que admite dados sensíveis [4].

## Exemplos tratados pela ANPD

Os guias trazem casos que ajudam a calibrar a escolha [3, 4]:

- uma instituição de ensino que envia à comunidade acadêmica promoções de livros da própria editora, sem compartilhar a base e com opção de descadastramento, pode usar o legítimo interesse [4];
- um aplicativo educativo para crianças que usa dados para exibir anúncios de alimentos ultraprocessados não pode, porque não há legítima expectativa e o melhor interesse da criança não é atendido [4];
- um software que registra tudo o que o empregado digita e capta imagens da webcam para medir produtividade é excessivo, mesmo se informado na política de privacidade, tema aprofundado em [dados pessoais nas relações de trabalho](/blog/dados-pessoais-nas-relacoes-de-trabalho) [4];
- cookies estritamente necessários e, em certos contextos, cookies de medição de audiência com dados agregados podem se apoiar no legítimo interesse, que dificilmente será adequado para cookies de publicidade [3].

## Pontos de atenção

- A base legal é escolhida por finalidade; nova finalidade exige reavaliar a hipótese, e, no legítimo interesse, a ANPD recomenda novo teste [4].
- O consentimento só funciona onde há escolha real, e revogá-lo deve ser tão simples quanto concedê-lo [1, 3].
- O legítimo interesse não serve para dados sensíveis e pede registro das operações, transparência e canal para oposição do titular [1, 4].
- Tratamentos de alto risco podem exigir relatório de impacto, inclusive a pedido da ANPD (arts. 10, § 3º, e 38) [1].
- Escolher a base legal não afasta os deveres de segurança, como a [comunicação de incidentes à ANPD](/blog/incidente-de-seguranca-comunicacao-anpd) [1].

## Fontes

- [Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais), texto compilado — Planalto](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709compilado.htm) (acesso em 9 de outubro de 2026)
- [Emenda Constitucional nº 115, de 10 de fevereiro de 2022 (proteção de dados pessoais como direito fundamental) — Planalto](https://www.planalto.gov.br/ccivil_03/constituicao/emendas/emc/emc115.htm) (acesso em 9 de outubro de 2026)
- [Guia Orientativo: Cookies e proteção de dados pessoais, versão 1.0 (outubro de 2022) — ANPD, gov.br/anpd](https://www.gov.br/anpd/pt-br/centrais-de-conteudo/materiais-educativos-e-publicacoes/guia_orientativo_cookies_e_protecao_de_dados_pessoais) (acesso em 9 de outubro de 2026)
- [Guia Orientativo: Hipóteses legais de tratamento de dados pessoais — Legítimo Interesse, versão 1.0 (fevereiro de 2024) — ANPD, gov.br/anpd](https://www.gov.br/anpd/pt-br/centrais-de-conteudo/materiais-educativos-e-publicacoes/guia_orientativo_hipoteses_legais_tratamento_de_dados_pessoais_legitimo_interesse) (acesso em 9 de outubro de 2026)
- [Lei nº 15.352, de 25 de fevereiro de 2026 (conversão da Medida Provisória nº 1.317/2025; Agência Nacional de Proteção de Dados) — Planalto](https://www.planalto.gov.br/ccivil_03/_ato2023-2026/2026/lei/l15352.htm) (acesso em 9 de outubro de 2026)