Quando uma empresa começa a se adequar a LGPD, é comum surgir a dúvida sobre o que significam as bases legais do consentimento e do legítimo interesse, bem como quando deve-se usar cada uma delas para justificar o tratamento de dados. 

Além dessas, a Lei Geral de Proteção de Dados trouxe uma série de bases legais, ou seja, hipóteses legais em que a empresa pode coletar e tratar dados pessoais. 

Consentimento X Legitimo Interesse

A Base Legal do Consentimento significa que o titular de dados deu consentimento para a empresa utilizar determinados dados.

Esse consentimento pode ser físico ou pode ser via opt-in em formulários da web.

É importante que o consentimento seja livre, expresso e que o controlador de dados exponha exatamente quais dados serão utilizados e para qual finalidade. 

O controlador precisa ser transparente com o titular em relação aos dados que serão coletados e tratados estritamente para uma finalidade específica.

Ele não pode solicitar dados desproporcionais ou utilizá-los para outros fins. 

O Legítimo interesse

A base legal do legítimo interesse significa que o controlador pode utilizar dados sem ter o consentimento do titular.

Isso ocorre com base no interesse da empresa, que deve ser claro e bem definido, além de ter relação com as atividades da organização ou com a proteção dos direitos do titular de dados. 

Ainda, ao fazer uso dessa base legal, a empresa precisa documentar todos os dados que coletou, bem como deve demonstrar porque utilizou essa hipótese legal.

Ademais, na LGPD é colocado que a Autoridade Nacional de Proteção de Dados (ANPD) poderá solicitar ao controlador o Relatório de Impacto para a justificativa. 

Legítimo Interesse e o Equilíbrio entre as Partes

É importante ter em mente que a nossa legislação é inspirada no GDPR (lei de proteção de dados da Europa).

Dito isso, na Europa o legítimo interesse está vinculado ao equilíbrio em relação a atividade que a empresa deseja alcançar e a aquilo que o titular de dados espera receber.

Esse conceito pode e deve ser aplicado também em nossa realidade para justificar o uso da base legal do legítimo interesse. 

Exemplo de utilização dessa hipotése: uma empresa tem como política interna a disposição de que poderá armazenar dados por 6 meses.

Sendo assim, somente poderá armazenar por mais tempo se tiver uma justificativa legal para isso.

A empresa em questão recebe o currículo de um candidato para o qual ainda não tem vaga aberta, mas sabe que vai abrir essa vaga em 1 ano e gostaria muito que a pessoa estivesse em seu quadro de funcionários.

Então a organização guarda o CV por mais tempo para poder contratar o titular, sob a égide da base legal do legítimo interesse.

Pontos Fortes e Fracos das Bases

Em caso de questionamentos da ANPD, a utilização da base legal do consentimento é extremamente forte, afinal o titular de dados realmente concedeu o direito para a empresa utilizar seus dados.

No consentimento a base legal é tão forte que requer pouco esforço de defesa da empresa para justificar a escolha da base.

O único lado negativo é que o consentimento pode ser mais difícil de se obter.

Já quando falamos do Legítimo Interesse, é o contrário do consentimento.

Ou seja, fácil de obter, afinal basta a declaração da empresa (seguindo os requisitos legais), mas não é necessário envolvimento do titular.

No entanto, a justificativa e defesa em relação ao uso da base legal junto a ANPD, é extremamente difícil de conseguir e de embasar. 

Qual base usar?

Eu sou advogada, portanto, tendenciosa para a resposta dessa pergunta, mas acredito que a melhor base legal a ser utilizada é aquela que oferece menos riscos de multa para a empresa, ou seja, é base legal em que a defesa está mais sólida. 

Dessa forma, sempre que a empresa puder, utilize a base legal do consentimento, uma defesa forte mitiga substancialmente os riscos de multa para a empresa. 

No entanto, caso não seja possível utilizá-la, a organização deve utilizar a base legal do legítimo interesse com o apoio do seu DPO ou advogados especializados no assunto e capazes de analisar se a empresa cumpre os requisitos da LGPD.

É necessário garantir que a documentação e comprovação do uso dessa base legal estão bem relatados no Relatório de Impacto. 

Gabriela Diehl – CEO Be Compliance