Toda vez que a empresa trata um dado pessoal, precisa de uma justificativa prevista na lei. Essas justificativas são as bases legais. Sem uma base legal válida, o tratamento é irregular, por mais útil que pareça. Foi exatamente a falta de base legal que motivou a primeira multa aplicada pela ANPD.
A confusão mais comum é achar que tudo depende de consentimento. Na verdade, o consentimento é apenas uma das dez bases legais para dados comuns. Este guia explica cada uma delas, as regras específicas para dados sensíveis e como escolher a base certa antes de coletar.
Conteúdo educativo sobre a LGPD, com base na Lei nº 13.709/2018 e em normas da ANPD. Não substitui orientação jurídica sobre um caso concreto.
O que é uma base legal
Base legal é a hipótese da lei que autoriza um tratamento de dados. Antes de coletar um dado, a empresa deve saber em qual base ele se apoia e registrar essa decisão. A escolha não é livre: cada base tem requisitos e limites, e a mesma coleta pode se apoiar em bases diferentes conforme a finalidade.
O artigo 7 da LGPD lista as dez bases para dados pessoais comuns. Os dados sensíveis, que têm proteção reforçada, seguem o artigo 11, com regras próprias e mais restritas.
As 10 bases legais do artigo 7
- Consentimento do titular, livre, informado e para uma finalidade específica.
- Cumprimento de obrigação legal ou regulatória pelo controlador.
- Execução de políticas públicas pela administração.
- Realização de estudos por órgão de pesquisa, com anonimização sempre que possível.
- Execução de contrato ou de procedimentos preliminares a pedido do titular.
- Exercício regular de direitos em processo judicial, administrativo ou arbitral.
- Proteção da vida ou da incolumidade física do titular ou de terceiro.
- Tutela da saúde, por profissionais de saúde ou autoridade sanitária.
- Legítimo interesse do controlador ou de terceiro.
- Proteção do crédito.
Consentimento: quando faz sentido
O consentimento é a manifestação livre, informada e inequívoca em que a pessoa concorda com o tratamento para uma finalidade determinada. Ele é útil quando não há outra base mais adequada, como no envio de comunicações de marketing para quem optou por recebê-las.
O ponto sensível é que o consentimento pode ser revogado a qualquer momento, com a mesma facilidade com que foi dado. Se você apoia em consentimento uma atividade que era essencial ao contrato, corre o risco de ficar sem base quando a pessoa revoga. Por isso, consentimento nem sempre é a melhor escolha.
Legítimo interesse: a base mais mal compreendida
O legítimo interesse permite tratar dados para finalidades legítimas do controlador ou de terceiro, desde que isso não prejudique os direitos e liberdades da pessoa. Ele cobre situações como segurança, prevenção a fraude e melhoria de serviços já contratados.
Essa base não é um curinga. Ela exige avaliar o equilíbrio entre o interesse da empresa e as expectativas do titular, usar só os dados estritamente necessários e manter transparência. A ANPD pode pedir um relatório de impacto que demonstre esse equilíbrio. Usar legítimo interesse sem essa análise é frágil.
Bases legais para dados sensíveis
Dados sensíveis, como saúde, biometria, religião e opinião política, não seguem o artigo 7. Eles têm regras próprias no artigo 11. O consentimento aqui precisa ser específico e destacado, separado das demais autorizações.
Sem consentimento, os dados sensíveis só podem ser tratados em hipóteses específicas: cumprimento de obrigação legal, execução de políticas públicas, estudos por órgão de pesquisa, exercício regular de direitos, proteção da vida, tutela da saúde e prevenção à fraude e segurança do titular na autenticação. Note que legítimo interesse e execução de contrato não valem como base para dados sensíveis.
Como escolher a base certa
Boas práticas
- Comece pela finalidade: para que aquele dado será usado.
- Verifique se uma obrigação legal ou um contrato já autoriza o tratamento.
- Use consentimento quando não houver base mais adequada e o titular puder escolher de verdade.
- Reserve o legítimo interesse para finalidades claras, com avaliação de impacto.
- Trate dados sensíveis apenas nas hipóteses do artigo 11, com cuidado redobrado.
- Registre a base escolhida de cada tratamento. Isso é parte da prestação de contas.
Erros frequentes com bases legais
Atenção
- Pedir consentimento para algo que o contrato ou a lei já autorizam.
- Tratar legítimo interesse como base para tudo, sem avaliação.
- Coletar dados sensíveis sem consentimento específico e sem enquadrar no artigo 11.
- Não registrar a base legal de cada tratamento, o que dificulta a prestação de contas.
- Mudar a finalidade do dado sem revisar a base que o autorizava.
Onde isso se conecta
A escolha da base legal anda junto com os princípios da LGPD, principalmente finalidade e necessidade. Ela também define como você responde aos pedidos dos titulares, já que a base influencia direitos como o de eliminação. Veja o guia de direitos do titular e o guia completo da LGPD para o quadro inteiro.
Ver as bases legais no dia a dia
As bases legais ficam mais claras com exemplos do cotidiano. O curso de LGPD Essencial do ValorFinal tem uma aula dedicada ao tema, que mostra em linguagem simples quando você pode tratar um dado e por quê. O curso é gratuito e complementa a leitura deste guia.