Introdução
A escolha da base legal é uma das decisões mais importantes dentro de qualquer programa de governança em privacidade. É ela que legitima o tratamento de dados pessoais e demonstra que a organização possui fundamento jurídico para realizar determinada atividade.
Entre todas as hipóteses previstas pela Lei Geral de Proteção de Dados (LGPD), poucas geram tantas dúvidas quanto o legítimo interesse. Ao mesmo tempo em que é uma das bases legais mais utilizadas pelas empresas, também figura entre as mais equivocadamente aplicadas.
Na prática, ainda é comum encontrar organizações que utilizam o legítimo interesse como uma espécie de “base legal coringa”, justificando praticamente qualquer operação de tratamento sem uma avaliação adequada dos impactos sobre os direitos e liberdades dos titulares.
Esse cenário tem chamado cada vez mais a atenção da Autoridade Nacional de Proteção de Dados (ANPD). A publicação do Guia Orientativo sobre a Hipótese Legal do Legítimo Interesse, somada ao fortalecimento da atuação fiscalizatória da Autoridade especialmente em atividades relacionadas à publicidade, perfilamento comportamental e marketing digital demonstra que a utilização dessa base legal exige critérios técnicos, documentação robusta e análise individualizada.
Mais do que simplesmente citar o art. 7º, IX, da LGPD em uma política de privacidade, é necessário demonstrar que o tratamento atende aos requisitos legais e que existe um equilíbrio entre os interesses da organização e os direitos do titular.
Neste artigo, explicaremos quando o legítimo interesse pode ser utilizado, quais situações representam maior risco, como funciona o teste de tripla ponderação recomendado pela ANPD e quais documentos podem servir como evidência em uma eventual fiscalização.
O que é o legítimo interesse na LGPD?
O legítimo interesse é uma das dez bases legais previstas pela Lei Geral de Proteção de Dados Pessoais (LGPD) para autorizar o tratamento de dados pessoais. Previsto no art. 7º, inciso IX, da Lei nº 13.709/2018, ele permite que o controlador ou um terceiro realize determinadas operações de tratamento quando houver um interesse legítimo, desde que esse interesse não se sobreponha aos direitos e às liberdades fundamentais do titular dos dados.
Na prática, essa base legal busca equilibrar dois interesses igualmente relevantes: de um lado, a necessidade de as organizações desenvolverem suas atividades de forma eficiente e segura; de outro, a proteção da privacidade, da autodeterminação informativa e dos direitos dos titulares. Por isso, o legítimo interesse não representa uma autorização ampla para tratar dados pessoais, mas sim uma hipótese excepcional que exige uma análise criteriosa de cada operação de tratamento.
Esse entendimento é reforçado pela própria ANPD em seu Guia Orientativo sobre a Hipótese Legal do Legítimo Interesse, ao destacar que essa base legal deve ser aplicada de maneira restritiva e sempre acompanhada de uma avaliação que demonstre sua adequação ao caso concreto. Em outras palavras, o controlador deve ser capaz de justificar por que o tratamento é necessário e por que ele não gera impactos desproporcionais aos titulares.
Para que o legítimo interesse seja considerado válido, alguns requisitos precisam estar presentes simultaneamente. Entre eles, destacam-se:
- existir um interesse legítimo claramente identificado, lícito e compatível com a atividade desempenhada pela organização;
- o tratamento ser necessário para alcançar esse interesse, não existindo alternativa menos invasiva capaz de produzir o mesmo resultado;
- os impactos sobre o titular serem limitados e proporcionais, considerando os riscos à sua privacidade e aos seus direitos fundamentais;
- haver medidas técnicas e organizacionais capazes de proteger os direitos do titular, reduzindo riscos e assegurando transparência durante todo o tratamento.
Esses requisitos demonstram que o legítimo interesse está diretamente relacionado aos princípios da necessidade, da finalidade, da proporcionalidade, da transparência e da responsabilização (accountability), previstos na própria LGPD. Assim, a organização não pode simplesmente alegar que determinado tratamento é importante para seu negócio ou que gera benefícios econômicos. É indispensável demonstrar, de forma objetiva e documentada, por que aquela atividade é necessária, quais riscos ela apresenta aos titulares e quais medidas foram adotadas para mitigá-los.
Outro aspecto importante é que a existência de um interesse comercial ou operacional, por si só, não torna o tratamento legítimo. A avaliação deve considerar também a expectativa razoável do titular, ou seja, se ele poderia esperar que seus dados fossem utilizados para aquela finalidade no contexto da relação estabelecida com a organização. Quanto mais inesperado, invasivo ou distante da finalidade originalmente informada for o tratamento, maior será a dificuldade em justificar o uso dessa base legal.
Por essa razão, o legítimo interesse não deve ser tratado como uma solução genérica para evitar a obtenção do consentimento ou simplificar processos internos. Sua utilização exige uma análise jurídica e técnica estruturada, normalmente formalizada por meio de um Relatório de Avaliação do Legítimo Interesse (Legitimate Interest Assessment – LIA), documento que demonstra como a organização concluiu que essa era a base legal mais adequada para a atividade de tratamento.
Em síntese, o legítimo interesse representa um importante mecanismo de equilíbrio entre as necessidades legítimas das organizações e a proteção dos direitos dos titulares. Contudo, sua aplicação somente será considerada compatível com a LGPD quando estiver fundamentada em critérios objetivos, documentada de forma adequada e acompanhada de medidas efetivas de proteção de dados, permitindo que o controlador demonstre sua conformidade perante a ANPD em eventual processo de fiscalização.
O legítimo interesse não substitui o consentimento
Um dos equívocos mais frequentes na aplicação da Lei Geral de Proteção de Dados Pessoais (LGPD) é tratar o legítimo interesse como uma alternativa automática ao consentimento. Na prática, algumas organizações optam por essa base legal apenas para evitar a necessidade de coletar, gerenciar ou renovar o consentimento dos titulares, acreditando que isso simplifica processos internos e reduz obrigações operacionais. Contudo, essa interpretação é incompatível com a lógica da LGPD e com as orientações da Autoridade Nacional de Proteção de Dados (ANPD).
A escolha da base legal não é uma decisão discricionária do controlador nem pode ser pautada pela conveniência da organização. Ela deve resultar de uma análise objetiva das características da operação de tratamento, de sua finalidade, do contexto em que os dados foram coletados, da expectativa razoável do titular e dos impactos que o tratamento pode produzir sobre seus direitos e liberdades fundamentais. Em outras palavras, a questão central não é identificar qual base legal é mais vantajosa para a empresa, mas sim qual delas melhor representa a realidade da atividade de tratamento realizada.
Nesse contexto, o consentimento continua sendo a hipótese mais adequada sempre que o tratamento depender da manifestação livre, informada, inequívoca e específica do titular, especialmente quando este possui efetiva liberdade para decidir se deseja ou não compartilhar seus dados para determinada finalidade. Isso ocorre, por exemplo, em tratamentos de natureza opcional, em ações de marketing altamente personalizado, em atividades que envolvem a criação de perfis comportamentais, no compartilhamento de dados para finalidades distintas daquelas originalmente informadas ou sempre que o titular não puder razoavelmente esperar que seus dados sejam utilizados daquela maneira.
Um exemplo bastante comum envolve campanhas de marketing digital. Uma empresa pode, em determinadas circunstâncias, fundamentar o envio de comunicações institucionais para clientes com quem mantém uma relação comercial ativa no legítimo interesse, desde que essa utilização esteja alinhada às expectativas do titular, seja proporcional e respeite seu direito de oposição. Entretanto, utilizar essa mesma base legal para compartilhar dados com parceiros comerciais, realizar publicidade comportamental baseada em perfilamento ou promover campanhas direcionadas a partir da análise detalhada do comportamento do usuário pode extrapolar os limites do legítimo interesse, tornando o consentimento a base legal mais adequada.
Situação semelhante ocorre na utilização de cookies e outras tecnologias de rastreamento em ambientes digitais. Embora cookies estritamente necessários ao funcionamento do site possam ser utilizados com fundamento em outras bases legais, aqueles destinados à publicidade direcionada, à análise aprofundada do comportamento do usuário ou ao rastreamento entre diferentes plataformas normalmente exigem o consentimento do titular, em consonância com as orientações já publicadas pela ANPD.
Também é importante compreender que consentimento e legítimo interesse produzem efeitos jurídicos distintos. Quando o tratamento está fundamentado no consentimento, o titular pode revogá-lo a qualquer momento, de forma simples e gratuita, interrompendo os tratamentos que dependam dessa autorização. Já no legítimo interesse, embora não exista propriamente a revogação da base legal, a LGPD assegura ao titular o direito de se opor ao tratamento quando verificar o descumprimento da legislação ou quando entender que seus direitos e liberdades estão sendo afetados. Nesses casos, caberá ao controlador demonstrar que existem motivos legítimos e suficientemente relevantes para justificar a continuidade da atividade.
Por essa razão, substituir o consentimento pelo legítimo interesse apenas para simplificar processos internos, reduzir custos administrativos ou evitar a implementação de mecanismos de gestão do consentimento representa uma prática de elevado risco regulatório. Caso a ANPD conclua que a base legal escolhida não era adequada para a operação de tratamento, toda a atividade poderá ser considerada irregular, sujeitando a organização à revisão de seus processos, à adoção de medidas corretivas e, conforme a gravidade do caso, à aplicação das sanções previstas na LGPD.
Assim, antes de optar pelo legítimo interesse, a organização deve avaliar cuidadosamente se essa hipótese realmente corresponde às características do tratamento realizado. A correta definição da base legal demonstra maturidade em governança de dados, fortalece a conformidade com a LGPD e evidencia o compromisso da organização com os princípios da boa-fé, da transparência e da responsabilização, reduzindo riscos regulatórios e aumentando a confiança dos titulares no tratamento de seus dados pessoais.
O que diz a ANPD sobre o legítimo interesse?
Com o objetivo de promover maior segurança jurídica e uniformizar a interpretação da Lei Geral de Proteção de Dados Pessoais (LGPD), a Autoridade Nacional de Proteção de Dados (ANPD) publicou o Guia Orientativo sobre a Hipótese Legal do Legítimo Interesse. O documento representa um importante marco para organizações que utilizam essa base legal, pois esclarece que sua aplicação não pode ocorrer de forma automática ou baseada em justificativas genéricas, devendo sempre estar apoiada em uma análise técnica, criteriosa e devidamente documentada.
O Guia reforça que o legítimo interesse deve ser interpretado à luz dos princípios da LGPD, especialmente os princípios da finalidade, necessidade, adequação, transparência, prevenção e responsabilização. Dessa forma, não basta ao controlador afirmar que determinada atividade beneficia seu negócio ou melhora sua eficiência operacional. É necessário demonstrar, de forma objetiva, que o tratamento é compatível com a legislação, respeita os direitos dos titulares e não produz impactos desproporcionais sobre sua privacidade.
Segundo a ANPD, a utilização dessa base legal pressupõe uma avaliação estruturada, na qual o controlador seja capaz de demonstrar, entre outros aspectos, que existe uma finalidade legítima, específica e lícita para o tratamento; que a atividade realizada é efetivamente necessária para atingir essa finalidade; que os impactos aos direitos e às liberdades dos titulares foram previamente identificados e analisados; e que foram implementadas salvaguardas técnicas, administrativas e organizacionais capazes de reduzir os riscos decorrentes da operação de tratamento.
Um dos principais pontos destacados pela Autoridade é que o legítimo interesse não pode ser fundamentado exclusivamente em interesses econômicos ou comerciais. O simples fato de determinada atividade gerar lucro, reduzir custos ou aumentar a competitividade da organização não é suficiente para justificar o tratamento de dados pessoais. O controlador deve demonstrar que seu interesse é legítimo sob a perspectiva da LGPD e que ele não prevalece sobre os direitos e as expectativas razoáveis dos titulares.
Outro aspecto enfatizado pela ANPD é que não existem respostas padronizadas para a aplicação do legítimo interesse. Cada operação de tratamento possui características próprias, envolvendo diferentes finalidades, categorias de dados, contextos de coleta, tecnologias utilizadas e níveis de risco. Por essa razão, a adequação dessa base legal deve ser analisada individualmente, considerando as circunstâncias específicas de cada tratamento e não apenas a atividade desempenhada pela organização ou o setor econômico em que ela atua.
O Guia também destaca a importância da accountability, princípio segundo o qual o controlador deve ser capaz de demonstrar, por meio de evidências concretas, que adotou medidas eficazes para assegurar a conformidade com a LGPD. Isso significa que a escolha do legítimo interesse deve ser acompanhada por registros internos, avaliações de risco e documentos que evidenciem o processo decisório, permitindo comprovar, em eventual fiscalização da ANPD, que a organização realizou uma análise fundamentada antes de definir essa hipótese legal.
Além disso, a Autoridade ressalta que a utilização do legítimo interesse não afasta a aplicação dos demais deveres previstos na LGPD. O controlador continua obrigado a observar os princípios da transparência, da segurança, da prevenção e da necessidade, bem como garantir aos titulares o exercício de seus direitos, incluindo o direito de oposição ao tratamento quando cabível.
Nesse cenário, o Guia Orientativo da ANPD deixa claro que o legítimo interesse deve ser compreendido como uma hipótese legal que exige elevado grau de responsabilidade e governança. Mais do que indicar essa base legal em políticas de privacidade ou registros internos, as organizações precisam demonstrar que sua escolha decorreu de uma análise técnica consistente, baseada em critérios objetivos, documentação adequada e medidas efetivas para proteger os direitos e as liberdades dos titulares dos dados pessoais.
O teste de tripla ponderação: o principal requisito para utilizar essa base legal
A utilização do legítimo interesse não depende apenas da existência de uma finalidade considerada legítima pela organização. Para que essa hipótese legal seja aplicada de forma compatível com a LGPD, é indispensável realizar uma avaliação estruturada que demonstre que os interesses do controlador não se sobrepõem aos direitos e às liberdades fundamentais do titular. É justamente nesse contexto que se insere o chamado teste de tripla ponderação, reconhecido como a principal ferramenta para verificar a adequação do legítimo interesse.
Embora a Lei Geral de Proteção de Dados Pessoais (LGPD) não utilize expressamente essa terminologia, o teste decorre da interpretação sistemática do art. 7º, inciso IX, em conjunto com os princípios da finalidade, necessidade, adequação, proporcionalidade, prevenção e responsabilização, além das orientações apresentadas pela Autoridade Nacional de Proteção de Dados (ANPD) em seu Guia Orientativo sobre a Hipótese Legal do Legítimo Interesse.
Em essência, o teste de tripla ponderação busca responder a três perguntas fundamentais: há um interesse legítimo? O tratamento é realmente necessário para atingir esse interesse? Os direitos e as liberdades do titular permanecem preservados diante da atividade realizada? Somente quando essas três respostas forem favoráveis será possível justificar a utilização dessa base legal.
1. Existe um interesse legítimo?
A primeira etapa consiste em identificar qual é o interesse que motiva o tratamento de dados pessoais. Esse interesse deve ser concreto, lícito e compatível com as atividades desempenhadas pela organização, não sendo suficiente apresentar justificativas genéricas ou excessivamente amplas.
Em outras palavras, o controlador precisa demonstrar qual objetivo pretende alcançar e por que esse objetivo merece proteção jurídica. Esse interesse deve ser real, efetivamente existente; específico, claramente delimitado; lícito, em conformidade com o ordenamento jurídico; e devidamente identificado, permitindo compreender sua relação com a atividade de tratamento.
Diversas operações podem atender a esse requisito quando devidamente fundamentadas. Entre os exemplos mais recorrentes estão a prevenção e investigação de fraudes, a proteção da segurança patrimonial, o monitoramento de ativos corporativos, a melhoria de processos internos, a proteção do patrimônio da empresa, a garantia da segurança da informação e a comunicação com clientes que já mantêm relacionamento ativo com a organização.
Por outro lado, justificativas como “melhorar o negócio”, “aumentar as vendas” ou “obter vantagem competitiva”, desacompanhadas de uma demonstração concreta da finalidade e dos limites do tratamento, dificilmente serão suficientes para caracterizar um legítimo interesse nos termos da LGPD. Conforme ressalta a ANPD, interesses vagos ou puramente econômicos não legitimam, por si só, o tratamento de dados pessoais.
2. O tratamento é necessário?
Uma vez identificado o interesse legítimo, o próximo passo consiste em verificar se o tratamento de dados é realmente necessário para alcançá-lo. Essa etapa está diretamente relacionada ao princípio da necessidade, previsto no art. 6º, III, da LGPD, segundo o qual o tratamento deve se limitar ao mínimo de dados indispensáveis para atingir sua finalidade.
Nesse momento, o controlador deve avaliar criticamente se existe uma alternativa menos invasiva para alcançar o mesmo resultado ou se a atividade pode ser realizada utilizando menor volume de informações pessoais. Também é importante questionar se todos os dados coletados são efetivamente necessários, se o prazo de retenção está adequado à finalidade proposta e se técnicas como anonimização, pseudonimização ou agregação de dados podem reduzir os impactos à privacidade dos titulares.
Essa análise impede que o legítimo interesse seja utilizado para justificar coletas excessivas ou tratamentos desproporcionais. Quanto maior o volume de dados coletados, maior o tempo de retenção ou mais invasiva for a operação realizada, maior será a necessidade de demonstrar sua efetiva indispensabilidade.
Na prática, esse exercício incentiva as organizações a adotarem uma postura alinhada aos princípios da minimização de dados e da privacidade desde a concepção (Privacy by Design), buscando sempre a solução menos intrusiva possível para atingir seus objetivos legítimos.
3. Os direitos do titular prevalecem?
A terceira etapa representa o verdadeiro exercício de ponderação entre os interesses do controlador e os direitos do titular, sendo considerada, na maioria dos casos, o aspecto mais relevante de toda a avaliação.
Mesmo que exista um interesse legítimo e que o tratamento seja necessário, isso não significa automaticamente que essa base legal poderá ser utilizada. É indispensável analisar se a atividade interfere de maneira desproporcional na privacidade, na liberdade, na autodeterminação informativa ou em outros direitos fundamentais do titular.
Essa avaliação deve considerar diversos fatores, como a natureza dos dados tratados, o contexto em que foram coletados, a relação existente entre o titular e a organização, a expectativa razoável quanto ao uso das informações, o grau de vulnerabilidade do titular — especialmente quando se tratar de crianças, adolescentes ou outros grupos vulneráveis —, a possibilidade de ocorrência de danos materiais ou morais e a existência de medidas técnicas e organizacionais capazes de mitigar os riscos identificados.
Também merece especial atenção a transparência da operação de tratamento. Quanto mais previsível e compatível com as expectativas do titular for a utilização de seus dados, menor tende a ser o impacto sobre seus direitos. Por outro lado, tratamentos inesperados, excessivamente invasivos ou incompatíveis com a finalidade originalmente informada elevam significativamente o risco de violação à LGPD.
Caso, ao final dessa análise, os impactos negativos aos titulares sejam superiores aos benefícios proporcionados pelo tratamento ou existam riscos relevantes que não possam ser adequadamente mitigados, o legítimo interesse deixa de ser uma base legal apropriada. Nessa hipótese, será necessário identificar outra hipótese legal prevista na LGPD ou reestruturar a atividade de tratamento para reduzir seus impactos.
Em síntese, o teste de tripla ponderação não constitui apenas uma formalidade documental, mas um verdadeiro mecanismo de governança e gestão de riscos. Ao exigir que o controlador avalie a legitimidade da finalidade, a necessidade do tratamento e a proteção efetiva dos direitos dos titulares, esse procedimento fortalece a accountability prevista na LGPD e permite demonstrar, de forma objetiva, que a escolha do legítimo interesse decorreu de uma análise técnica consistente, apta a ser apresentada como evidência em eventual fiscalização conduzida pela ANPD.
A expectativa razoável do titular faz toda a diferença
Entre os diversos elementos que devem ser considerados na aplicação do legítimo interesse, um dos mais relevantes — e frequentemente destacado pela Autoridade Nacional de Proteção de Dados (ANPD) — é o conceito de expectativa razoável do titular. Trata-se de um critério fundamental para avaliar se determinada operação de tratamento está alinhada ao contexto em que os dados pessoais foram coletados e àquilo que o titular poderia legitimamente esperar da organização.
Em termos práticos, a análise parte de uma pergunta bastante simples: o titular esperaria que seus dados pessoais fossem utilizados dessa maneira? Embora pareça um questionamento intuitivo, sua resposta exige uma avaliação cuidadosa de diversos fatores, como a finalidade informada no momento da coleta, a natureza da relação existente entre as partes, o tipo de dado tratado, o contexto em que a informação foi fornecida e o grau de transparência adotado pela organização.
Quando o tratamento está em conformidade com as expectativas criadas perante o titular, a utilização do legítimo interesse tende a ser mais facilmente justificável. Imagine, por exemplo, um cliente que realiza uma compra em uma loja virtual. É razoável que ele espere receber comunicações relacionadas ao acompanhamento do pedido, à emissão da nota fiscal, ao suporte pós-venda ou até mesmo informações sobre produtos semelhantes àqueles que adquiriu, desde que essas comunicações respeitem sua privacidade e permitam o exercício do direito de oposição quando cabível.
Por outro lado, a situação muda quando a utilização dos dados extrapola aquilo que foi inicialmente informado ou esperado pelo titular. Se a empresa passa a compartilhar essas informações com parceiros comerciais para campanhas publicitárias, cria perfis detalhados de comportamento para direcionamento de anúncios ou utiliza os dados para finalidades completamente distintas daquelas apresentadas no momento da coleta, é provável que a expectativa razoável seja rompida. Nesses casos, torna-se muito mais difícil sustentar o legítimo interesse como base legal adequada.
A própria ANPD ressalta que essa análise deve considerar não apenas a percepção subjetiva do titular, mas também elementos objetivos relacionados à relação existente entre as partes. Quanto mais próxima, contínua e transparente for essa relação, maior tende a ser a previsibilidade quanto ao uso dos dados. Em contrapartida, quando o tratamento ocorre de maneira inesperada, pouco transparente ou incompatível com a finalidade originalmente informada, aumenta significativamente o risco de violação aos princípios da boa-fé, da transparência e da finalidade previstos na LGPD.
Esse aspecto assume especial relevância em atividades de marketing, programas de fidelidade, perfilamento comportamental, publicidade direcionada e compartilhamento de dados entre empresas do mesmo grupo econômico. Embora essas operações possam, em determinadas circunstâncias, ser fundamentadas no legítimo interesse, sua legitimidade dependerá justamente da expectativa criada junto ao titular. Se ele não foi adequadamente informado ou não poderia razoavelmente prever aquele tratamento, a utilização dessa base legal passa a ser questionável.
Um exemplo recorrente envolve empresas que coletam dados para a execução de um contrato e, posteriormente, utilizam essas mesmas informações para alimentar plataformas de publicidade personalizada ou compartilhá-las com terceiros sem que essa finalidade tenha sido claramente apresentada. Ainda que exista interesse comercial na atividade, dificilmente será possível afirmar que o titular esperava esse novo uso de seus dados, tornando mais adequada a adoção de outra base legal, como o consentimento, dependendo das circunstâncias do caso concreto.
A expectativa razoável também está diretamente relacionada ao princípio da transparência. Quanto mais claras, acessíveis e compreensíveis forem as informações prestadas ao titular sobre a forma como seus dados serão utilizados, maior será a previsibilidade do tratamento e, consequentemente, mais consistente será a justificativa para utilização do legítimo interesse. Políticas de privacidade objetivas, avisos de tratamento específicos e comunicações claras reduzem o risco de surpresas e fortalecem a relação de confiança entre a organização e os titulares.
Por esse motivo, avaliar a expectativa razoável não deve ser encarado como uma etapa meramente subjetiva ou complementar do teste de legítimo interesse. Trata-se de um dos principais indicadores utilizados para verificar se o tratamento respeita os direitos dos titulares e permanece dentro dos limites daquilo que eles poderiam legitimamente esperar ao fornecer seus dados pessoais. Ignorar esse aspecto pode comprometer toda a fundamentação da base legal e aumentar significativamente a exposição da organização a questionamentos da ANPD e a eventuais reclamações dos próprios titulares.
Os setores que mais utilizam — e mais erram — no legítimo interesse
Embora o legítimo interesse seja uma hipótese legal que pode ser utilizada por organizações dos mais diversos segmentos, sua aplicação costuma ser mais frequente em determinadas áreas de negócio, especialmente naquelas em que o tratamento de dados pessoais faz parte da estratégia comercial, do relacionamento com clientes ou da proteção dos ativos da empresa. Ao mesmo tempo, são justamente esses setores que concentram parte significativa dos equívocos relacionados à escolha dessa base legal, tornando-se mais suscetíveis a questionamentos por parte da Autoridade Nacional de Proteção de Dados (ANPD).
Em muitos casos, o problema não está na utilização do legítimo interesse em si, mas na ausência de uma análise criteriosa sobre os limites de sua aplicação. É comum que organizações adotem essa hipótese legal de forma padronizada para atividades muito distintas, sem avaliar aspectos como a expectativa razoável do titular, a necessidade do tratamento, os impactos sobre a privacidade e a existência de salvaguardas adequadas. Essa prática aumenta o risco de utilização indevida da base legal e pode comprometer a conformidade da operação de tratamento.
Marketing e publicidade
O setor de marketing e publicidade é, provavelmente, aquele que mais recorre ao legítimo interesse como fundamento para o tratamento de dados pessoais. Isso ocorre porque diversas atividades relacionadas ao relacionamento com clientes e à divulgação de produtos ou serviços podem, em determinadas circunstâncias, estar alinhadas aos interesses legítimos da organização e às expectativas dos próprios titulares.
Entre os exemplos mais comuns estão o envio de comunicações institucionais para clientes já existentes, campanhas de relacionamento, divulgação de produtos ou serviços semelhantes aos já contratados, pesquisas de satisfação, mensuração da efetividade de campanhas publicitárias, análise estatística de comportamento de consumidores e segmentação de público para fins de aprimoramento das estratégias de marketing.
Entretanto, o fato de essas atividades serem frequentes não significa que todas possam ser automaticamente fundamentadas no legítimo interesse. Pelo contrário, o marketing é uma das áreas em que a escolha inadequada da base legal mais frequentemente gera riscos regulatórios, especialmente quando a organização deixa de avaliar os impactos que determinadas práticas podem causar aos titulares.
Esse cenário torna-se ainda mais sensível quando o tratamento envolve perfilamento intensivo (profiling), criação de perfis comportamentais detalhados, utilização de algoritmos para prever preferências de consumo, compartilhamento de dados com parceiros comerciais ou empresas do mesmo grupo econômico, enriquecimento de bases de dados e utilização de cookies ou tecnologias semelhantes para finalidades que extrapolam o funcionamento essencial do site.
Nessas situações, a expectativa razoável do titular assume papel central. Um consumidor que fornece seus dados para concluir uma compra pode esperar receber informações sobre o andamento do pedido ou até mesmo ofertas relacionadas aos produtos adquiridos. Contudo, dificilmente esperará que seus dados sejam utilizados para alimentar plataformas de publicidade comportamental, compartilhados com terceiros para campanhas de marketing ou empregados na construção de perfis detalhados sobre seus hábitos de navegação sem que tenha sido adequadamente informado sobre essas finalidades.
A utilização de cookies não essenciais merece atenção especial nesse contexto. Cookies destinados à publicidade direcionada, ao rastreamento entre diferentes sites, à criação de perfis de navegação ou à personalização avançada da experiência do usuário nem sempre poderão ser fundamentados no legítimo interesse. Conforme as circunstâncias da operação e as orientações da ANPD, essas atividades podem demandar o consentimento do titular, especialmente quando envolvem monitoramento comportamental ou compartilhamento de informações com terceiros.
Outro ponto frequentemente observado em fiscalizações é a ausência de documentação que justifique a escolha da base legal. Muitas organizações indicam o legítimo interesse em suas políticas de privacidade, mas não possuem registros que demonstrem a realização do teste de tripla ponderação, a avaliação da expectativa razoável do titular ou a análise dos riscos decorrentes da atividade de marketing. Essa lacuna dificulta a demonstração de conformidade e enfraquece a posição da empresa em eventual processo de fiscalização.
Dessa forma, embora o legítimo interesse possa, de fato, representar uma base legal válida para determinadas atividades de marketing e publicidade, sua utilização exige cautela, transparência e documentação adequada. A adoção dessa hipótese legal deve sempre resultar de uma análise individualizada da operação de tratamento, considerando a finalidade pretendida, a necessidade do tratamento, os impactos aos titulares e as medidas implementadas para proteger seus direitos e liberdades fundamentais. Somente assim será possível conciliar estratégias de relacionamento e crescimento comercial com os princípios de proteção de dados estabelecidos pela LGPD.
Recursos Humanos
Outra área em que o legítimo interesse é amplamente utilizado é a de Recursos Humanos (RH). Durante a relação de emprego, as organizações realizam inúmeras atividades que envolvem o tratamento de dados pessoais para garantir a segurança do ambiente corporativo, proteger seus ativos, prevenir irregularidades e assegurar a adequada gestão da força de trabalho. Em muitos desses casos, o legítimo interesse pode representar uma base legal adequada, desde que observados os requisitos previstos na LGPD e as orientações da ANPD.
Entre as operações mais comuns estão o controle de acesso às dependências da empresa, a realização de investigações internas relacionadas a denúncias ou violações de normas internas, a prevenção e detecção de fraudes, o monitoramento de ativos corporativos, como computadores, contas de e-mail e dispositivos disponibilizados aos colaboradores, além de procedimentos voltados à gestão de conflitos, proteção do patrimônio e garantia da segurança da informação.
Contudo, a existência da relação de emprego não confere ao empregador liberdade irrestrita para tratar os dados pessoais de seus colaboradores. O vínculo empregatício, por si só, não autoriza a utilização indiscriminada do legítimo interesse nem afasta a necessidade de observar os princípios da finalidade, da necessidade, da proporcionalidade e da transparência.
Isso significa que toda atividade de monitoramento ou tratamento de dados deve possuir uma finalidade legítima claramente definida, limitar-se ao mínimo de informações necessárias para atingir esse objetivo e respeitar os direitos fundamentais dos colaboradores. Medidas excessivamente invasivas, monitoramentos permanentes sem justificativa, coleta desnecessária de informações ou tratamentos incompatíveis com a expectativa razoável do empregado dificilmente encontrarão respaldo nessa hipótese legal.
Além disso, considerando a assimetria existente na relação entre empregador e empregado, torna-se ainda mais importante que a organização documente as avaliações realizadas, implemente políticas internas claras e informe aos colaboradores, de maneira transparente, quais dados são tratados, para quais finalidades e quais mecanismos de proteção foram adotados.
Segurança patrimonial
A área de segurança patrimonial também figura entre aquelas que mais frequentemente recorrem ao legítimo interesse. A necessidade de proteger pessoas, instalações, equipamentos e informações faz com que diversas organizações utilizem sistemas de videomonitoramento (CFTV), controles de acesso físico, identificação biométrica em situações específicas, cadastro e controle de visitantes, monitoramento de áreas restritas e outras tecnologias destinadas à prevenção de incidentes e à proteção do patrimônio.
Em muitos desses cenários, o legítimo interesse pode constituir uma base legal adequada, sobretudo quando o tratamento busca prevenir fraudes, evitar invasões, proteger colaboradores e terceiros ou preservar a integridade física das instalações. Entretanto, a adoção dessas medidas não dispensa a realização da análise de proporcionalidade exigida pela LGPD.
A organização deve ser capaz de demonstrar que a medida adotada é necessária para atingir a finalidade pretendida, que existe proporcionalidade entre o nível de monitoramento e o risco efetivamente enfrentado, que as imagens ou demais informações coletadas são limitadas ao estritamente necessário, que há um prazo de retenção compatível com a finalidade do tratamento e que o acesso aos registros é restrito às pessoas devidamente autorizadas, mediante controles de segurança adequados.
Esses cuidados tornam-se ainda mais relevantes quando são utilizadas tecnologias potencialmente mais invasivas, como sistemas de identificação biométrica, reconhecimento facial ou monitoramento contínuo de áreas de circulação. Quanto maior for o potencial de impacto sobre a privacidade dos titulares, maior deverá ser a justificativa técnica e jurídica apresentada pela organização para fundamentar a utilização do legítimo interesse.
Por essa razão, atividades relacionadas à segurança patrimonial exigem não apenas investimentos em tecnologia, mas também uma sólida estrutura de governança em proteção de dados. A elaboração de avaliações de risco, a realização do teste de tripla ponderação, a definição de políticas de retenção de imagens, a restrição de acessos e a transparência perante colaboradores, visitantes e demais titulares são medidas essenciais para demonstrar que o monitoramento realizado permanece dentro dos limites estabelecidos pela LGPD e pelas orientações da ANPD.
Quando o legítimo interesse não deve ser utilizado?
Embora o legítimo interesse seja uma das bases legais mais flexíveis previstas na Lei Geral de Proteção de Dados Pessoais (LGPD), sua aplicação possui limites bem definidos. Não se trata de uma hipótese capaz de justificar qualquer operação de tratamento, tampouco de uma alternativa destinada a substituir outras bases legais sempre que isso for mais conveniente para a organização. Pelo contrário, existem situações em que sua utilização tende a ser incompatível com os princípios da LGPD e com as orientações da Autoridade Nacional de Proteção de Dados (ANPD).
Em linhas gerais, sempre que os impactos aos direitos e às liberdades fundamentais do titular forem elevados, quando houver expectativa reduzida quanto ao tratamento realizado ou quando a própria legislação estabelecer hipóteses específicas para determinada categoria de dados, a utilização do legítimo interesse deverá ser analisada com extrema cautela ou, simplesmente, afastada.
Uma das situações mais sensíveis envolve o tratamento de dados pessoais sensíveis. A LGPD estabelece um regime jurídico próprio para essa categoria de informações, prevendo hipóteses específicas de tratamento no art. 11 da Lei. Dados relacionados à origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, informações referentes à saúde, à vida sexual, dados genéticos e biométricos possuem maior potencial discriminatório e, por isso, recebem proteção reforçada. Como regra, o legítimo interesse não deve ser utilizado para fundamentar o tratamento desses dados, salvo em hipóteses excepcionalíssimas previstas na legislação e cuidadosamente avaliadas.
Outra situação que exige especial atenção diz respeito às decisões automatizadas capazes de produzir efeitos relevantes sobre os titulares, especialmente quando não existem salvaguardas adequadas ou mecanismos que permitam contestar essas decisões. Sistemas baseados em inteligência artificial, algoritmos de classificação de risco, concessão automatizada de crédito, recrutamento automatizado de candidatos ou ferramentas que influenciem significativamente direitos dos titulares demandam uma avaliação aprofundada de riscos. Nesses casos, fundamentar o tratamento exclusivamente no legítimo interesse, sem observar princípios como transparência, explicabilidade e possibilidade de revisão das decisões, pode representar elevado risco regulatório.
O mesmo cuidado deve ser observado em atividades de marketing baseadas em perfilamento intensivo (profiling). A criação de perfis detalhados de comportamento, a combinação de informações provenientes de diferentes fontes, o monitoramento contínuo da navegação dos usuários e a utilização de algoritmos para prever preferências ou influenciar decisões de consumo podem extrapolar aquilo que o titular razoavelmente espera ao fornecer seus dados. Quanto maior o grau de monitoramento e personalização, mais difícil tende a ser justificar o tratamento com fundamento no legítimo interesse, especialmente quando não houver transparência ou possibilidade de oposição efetiva.
Também merece destaque o compartilhamento indiscriminado de bases de dados com terceiros. A transferência de informações para parceiros comerciais, empresas do mesmo grupo econômico ou plataformas de publicidade, sem que exista uma finalidade claramente definida e compatível com as expectativas do titular, compromete significativamente a utilização dessa base legal. O simples interesse comercial em ampliar oportunidades de negócio ou potencializar campanhas de marketing não é suficiente para justificar o compartilhamento de dados pessoais.
Outro erro recorrente consiste na coleta excessiva de informações. O legítimo interesse não afasta a incidência do princípio da necessidade, previsto no art. 6º, III, da LGPD. Assim, ainda que exista uma finalidade legítima, a organização somente poderá tratar os dados estritamente necessários para alcançá-la. Coletar informações em volume superior ao indispensável, manter dados por períodos excessivos ou utilizar informações para finalidades secundárias incompatíveis com aquelas inicialmente informadas são práticas que fragilizam a justificativa do legítimo interesse e aumentam a exposição da organização a riscos regulatórios.
Da mesma forma, tratamentos incompatíveis com a expectativa razoável do titular dificilmente encontrarão respaldo nessa hipótese legal. Se o uso dos dados surpreende o titular, foge completamente da finalidade originalmente apresentada ou ocorre de forma pouco transparente, a probabilidade de o legítimo interesse ser considerado inadequado cresce consideravelmente. Esse aspecto reforça a importância de fornecer informações claras no momento da coleta e de limitar o tratamento às finalidades efetivamente comunicadas.
Além dessas situações, é importante destacar que a inadequação do legítimo interesse nem sempre decorre da natureza da atividade, mas da forma como ela é executada. Uma mesma operação pode ser considerada legítima em determinado contexto e inadequada em outro, dependendo do volume de dados tratados, das medidas de segurança adotadas, da existência de salvaguardas, da expectativa do titular e dos riscos envolvidos. É justamente por isso que a ANPD recomenda uma avaliação individualizada para cada atividade de tratamento, evitando decisões padronizadas ou justificativas genéricas.
Insistir na utilização do legítimo interesse quando os requisitos legais não estão presentes pode gerar consequências significativas para a organização. Além de comprometer a validade da base legal escolhida, essa prática pode resultar em questionamentos pelos titulares, determinações corretivas da ANPD, necessidade de revisão das operações de tratamento e, conforme a gravidade da infração, aplicação das sanções previstas na LGPD.
Por essa razão, antes de fundamentar qualquer atividade no legítimo interesse, é essencial que a organização avalie se essa hipótese realmente reflete a realidade do tratamento realizado. Quando houver dúvidas sobre a proporcionalidade da operação, sobre a expectativa do titular ou sobre os impactos à sua privacidade, a alternativa mais segura é revisar a atividade, adotar salvaguardas adicionais ou verificar se outra base legal prevista na LGPD representa fundamento jurídico mais adequado para aquele tratamento específico.
Como documentar corretamente o legítimo interesse?
A correta definição da base legal é apenas uma das etapas para demonstrar conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD). Tão importante quanto escolher o legítimo interesse é comprovar que essa escolha foi resultado de uma análise técnica, criteriosa e devidamente fundamentada. Nesse contexto, um dos maiores equívocos observados em programas de adequação é limitar a documentação à simples indicação da base legal em registros internos, políticas de privacidade ou inventários de tratamento de dados.
Essa prática, por si só, é insuficiente. Em uma eventual fiscalização conduzida pela Autoridade Nacional de Proteção de Dados (ANPD), dificilmente bastará afirmar que determinada atividade está fundamentada no legítimo interesse. A organização deverá demonstrar como chegou a essa conclusão, quais critérios utilizou, quais riscos avaliou e quais medidas adotou para assegurar que os direitos e as liberdades dos titulares fossem devidamente preservados.
Esse dever decorre diretamente do princípio da responsabilização e prestação de contas (accountability), previsto no art. 6º, X, da LGPD, segundo o qual o controlador deve ser capaz de comprovar a adoção de medidas eficazes e aptas a demonstrar a observância das normas de proteção de dados pessoais.
Nesse cenário, uma das principais boas práticas adotadas internacionalmente — e compatível com as orientações da ANPD — é a elaboração de um Relatório de Avaliação do Legítimo Interesse (Legitimate Interest Assessment – LIA). Embora a LGPD não imponha expressamente a elaboração desse documento, ele representa um importante instrumento de governança e gestão de riscos, permitindo registrar de forma estruturada todo o processo decisório que fundamentou a escolha dessa hipótese legal.
O LIA funciona como uma evidência documental de que a organização realizou uma análise prévia antes de iniciar o tratamento de dados pessoais. Mais do que um documento formal, ele demonstra que houve uma avaliação concreta sobre a legitimidade da finalidade, a necessidade da atividade, os impactos aos titulares e a adoção de medidas para mitigar riscos, fortalecendo a posição da organização perante a ANPD e demais órgãos de controle.
Embora sua estrutura possa variar conforme a complexidade da operação de tratamento, um Relatório de Avaliação do Legítimo Interesse normalmente contempla informações como a descrição detalhada da atividade de tratamento, indicando quais dados pessoais são utilizados, quem são os titulares envolvidos, quais operações são realizadas e qual é o contexto em que ocorre o tratamento. Também deve apresentar a finalidade específica da atividade, identificando de maneira objetiva qual interesse legítimo pretende ser alcançado e por que ele é compatível com as atividades desempenhadas pela organização.
Outro elemento indispensável consiste na demonstração da necessidade do tratamento, evidenciando porque a utilização daqueles dados pessoais é indispensável para atingir a finalidade pretendida e se existem alternativas menos invasivas capazes de produzir o mesmo resultado. Essa análise deve estar alinhada ao princípio da necessidade previsto na LGPD e considerar aspectos como minimização de dados, limitação da retenção e eventual utilização de técnicas como anonimização ou pseudonimização.
O relatório também deve registrar a aplicação do teste de tripla ponderação, descrevendo como foram avaliados a existência de um interesse legítimo, a necessidade do tratamento e o equilíbrio entre os interesses da organização e os direitos dos titulares. Complementarmente, recomenda-se incluir uma avaliação dos riscos à privacidade, identificando possíveis impactos decorrentes da atividade e as respectivas medidas mitigatórias implementadas para reduzir esses riscos, sejam elas técnicas, administrativas ou organizacionais.
Outro aspecto relevante consiste na análise da expectativa razoável do titular, demonstrando porque a utilização dos dados é compatível com a relação estabelecida entre as partes e com as finalidades informadas no momento da coleta. Essa justificativa é especialmente importante em atividades de marketing, monitoramento, compartilhamento de dados e utilização de novas tecnologias, nas quais a previsibilidade do tratamento desempenha papel decisivo para a legitimidade da base legal.
Além disso, recomenda-se que o documento apresente a justificativa da escolha do legítimo interesse em detrimento de outras bases legais, demonstrando por que essa hipótese foi considerada a mais adequada para aquela operação específica. Também é recomendável identificar os responsáveis pela elaboração e aprovação da avaliação, registrar a data de sua realização, bem como estabelecer mecanismos para seu acompanhamento e revisão periódica.
A documentação, contudo, não deve ser encarada como um registro estático. O legítimo interesse é uma base legal diretamente relacionada ao contexto em que o tratamento ocorre e, por essa razão, a avaliação realizada precisa acompanhar a evolução das atividades da organização. Sempre que houver alterações significativas na finalidade do tratamento, nas categorias de dados pessoais utilizadas, nas tecnologias empregadas, nos riscos identificados, no compartilhamento com terceiros ou mesmo no contexto da relação com os titulares, o LIA deverá ser revisitado e atualizado para refletir essa nova realidade.
Essa atualização contínua demonstra maturidade em governança de dados e fortalece o cumprimento do princípio da accountability. Além disso, permite que a organização identifique precocemente mudanças que possam tornar inadequada a utilização do legítimo interesse, possibilitando a adoção de salvaguardas adicionais ou, se necessário, a revisão da própria base legal utilizada.
Em um cenário de crescente atuação fiscalizatória da ANPD, a documentação adequada do legítimo interesse deixa de ser apenas uma boa prática para se tornar um importante mecanismo de gestão de riscos e demonstração de conformidade. Mais do que afirmar que determinada atividade possui fundamento jurídico, a organização deve estar preparada para provar, de forma objetiva e documentada, que essa decisão foi tomada com base em critérios técnicos, respeitando os princípios da LGPD e preservando os direitos e as liberdades dos titulares de dados pessoais.
O legítimo interesse também exige transparência
A utilização do legítimo interesse como base legal não afasta a obrigação do controlador de observar os princípios e deveres estabelecidos pela Lei Geral de Proteção de Dados Pessoais (LGPD). Entre eles, destaca-se o princípio da transparência, previsto no art. 6º, VI, da Lei, que determina que os titulares devem receber informações claras, precisas, facilmente acessíveis e adequadas sobre a forma como seus dados pessoais são tratados.
Na prática, isso significa que o legítimo interesse não pode ser utilizado como fundamento para operações de tratamento pouco transparentes ou desconhecidas pelos titulares. Pelo contrário, justamente por não depender de uma manifestação expressa de vontade, como ocorre com o consentimento, essa hipótese legal exige um elevado grau de transparência por parte da organização, permitindo que os titulares compreendam de forma objetiva por que seus dados estão sendo tratados, quais são os limites dessa utilização e quais direitos podem exercer em relação ao tratamento realizado.
Nesse contexto, é fundamental que a organização informe, de maneira clara e acessível, quais dados pessoais são tratados, para quais finalidades são utilizados, qual é a base legal que fundamenta a atividade de tratamento, como o titular pode exercer os direitos previstos na LGPD e de que forma poderá apresentar oposição ao tratamento, quando essa possibilidade for aplicável. Essas informações devem ser disponibilizadas em linguagem compreensível, evitando termos excessivamente técnicos ou genéricos que dificultem a compreensão pelo titular.
A transparência também exige que as informações prestadas reflitam fielmente a realidade das operações de tratamento. Não basta mencionar, de forma genérica, que a organização utiliza o legítimo interesse como base legal. Sempre que possível, é recomendável indicar quais atividades específicas se fundamentam nessa hipótese, quais interesses legítimos estão sendo protegidos e quais medidas foram implementadas para assegurar que os direitos e as liberdades dos titulares sejam respeitados.
Essa preocupação torna-se ainda mais relevante em atividades de maior impacto, como campanhas de marketing, perfilamento comportamental, monitoramento de ambientes corporativos, utilização de sistemas de videovigilância, programas de fidelidade e compartilhamento de dados com terceiros. Quanto mais complexa ou potencialmente invasiva for a operação de tratamento, maior deverá ser o nível de detalhamento das informações disponibilizadas aos titulares.
Além das políticas de privacidade, a transparência pode ser reforçada por meio de avisos de privacidade específicos, comunicações direcionadas aos titulares, banners informativos, cláusulas contratuais, avisos em formulários de coleta de dados e outros mecanismos que permitam ao titular compreender, no momento adequado, como suas informações serão utilizadas. Essa abordagem está alinhada ao princípio da boa-fé e fortalece a confiança entre a organização e os titulares dos dados pessoais.
Outro aspecto importante é o direito de oposição, previsto no art. 18, §2º, da LGPD. Quando o tratamento estiver fundamentado no legítimo interesse, o titular poderá apresentar oposição caso entenda que a atividade não observa os requisitos da legislação ou afeta seus direitos e liberdades fundamentais. Por esse motivo, a organização deve disponibilizar canais acessíveis para o exercício desse direito e estabelecer procedimentos internos capazes de avaliar cada solicitação de forma individualizada, apresentando respostas fundamentadas e dentro dos prazos legais.
Sob a perspectiva da governança, a transparência também representa um importante mecanismo de mitigação de riscos. Organizações que informam de forma clara como utilizam os dados pessoais tendem a reduzir dúvidas, reclamações e conflitos com os titulares, além de fortalecer sua capacidade de demonstrar conformidade perante a ANPD. Em contrapartida, tratamentos realizados de maneira obscura, com informações genéricas ou incompletas, aumentam significativamente o risco de questionamentos regulatórios e comprometem a confiança dos titulares.
Em um cenário de crescente preocupação com a proteção de dados pessoais, a transparência deixa de ser apenas uma obrigação legal para se tornar um elemento estratégico de governança. Mais do que cumprir um requisito previsto na LGPD, organizações transparentes demonstram respeito aos titulares, fortalecem sua reputação institucional e evidenciam maturidade na condução de suas atividades de tratamento de dados pessoais.
A atuação da ANPD torna a documentação cada vez mais importante
Nos últimos anos, a atuação da Autoridade Nacional de Proteção de Dados (ANPD) tem demonstrado um amadurecimento significativo no exercício de suas competências de orientação, monitoramento e fiscalização. A publicação de guias orientativos, regulamentos, agendas regulatórias e processos fiscalizatórios evidencia que a Autoridade espera das organizações não apenas o cumprimento formal da Lei Geral de Proteção de Dados Pessoais (LGPD), mas também a capacidade de demonstrar, por meio de evidências concretas, que suas decisões foram tomadas de forma técnica, fundamentada e compatível com os princípios da legislação.
Esse movimento reforça um dos pilares centrais da LGPD: o princípio da responsabilização e prestação de contas (accountability). Na prática, isso significa que não basta afirmar que determinada operação de tratamento está fundamentada no legítimo interesse. Em uma eventual fiscalização, a organização deverá comprovar que essa escolha decorreu de um processo estruturado de avaliação, realizado antes do início do tratamento e devidamente documentado.
Em outras palavras, a simples indicação do legítimo interesse em uma política de privacidade, em um Registro das Operações de Tratamento (ROPA) ou em documentos internos não será suficiente para demonstrar conformidade. A ANPD poderá solicitar evidências que demonstrem como a decisão foi construída, quais elementos foram considerados e de que forma a organização concluiu que essa era, de fato, a base legal mais adequada para a atividade desenvolvida.
Nesse contexto, espera-se que o controlador seja capaz de apresentar documentos que evidenciem como a decisão foi tomada, demonstrando o processo interno de análise que antecedeu a escolha da base legal; quais critérios jurídicos, técnicos e operacionais foram considerados durante essa avaliação; quais riscos à privacidade e aos direitos dos titulares foram identificados e analisados; quais medidas técnicas, administrativas e organizacionais foram implementadas para mitigar esses riscos; e, por fim, por que o legítimo interesse foi considerado mais apropriado do que as demais bases legais previstas na LGPD para aquela operação específica.
Essa documentação torna-se ainda mais relevante em atividades de maior impacto, como ações de marketing, perfilamento comportamental, monitoramento de colaboradores, utilização de sistemas de inteligência artificial, compartilhamento de dados com terceiros e tratamentos que envolvam grandes volumes de informações pessoais. Nessas situações, a expectativa da ANPD é que a organização demonstre não apenas a existência de um interesse legítimo, mas também que realizou uma avaliação criteriosa sobre a proporcionalidade da medida, os impactos aos titulares e a adoção de salvaguardas adequadas.
Além de servir como instrumento de demonstração de conformidade perante a Autoridade, uma documentação robusta fortalece a governança interna da organização. Ao registrar os fundamentos das decisões relacionadas ao tratamento de dados pessoais, a empresa passa a contar com maior segurança jurídica, reduz o risco de interpretações divergentes entre diferentes áreas, facilita revisões periódicas das operações de tratamento e estabelece um histórico que pode ser utilizado em auditorias internas, certificações, processos judiciais e demais procedimentos de controle.
Também é importante destacar que a documentação não deve ser produzida apenas como resposta a uma eventual fiscalização. Ela deve integrar o processo de governança em privacidade desde a concepção das atividades de tratamento, funcionando como um mecanismo contínuo de gestão de riscos e de melhoria dos processos internos. Sempre que houver alterações relevantes na finalidade do tratamento, na tecnologia utilizada, nas categorias de dados tratadas, no compartilhamento de informações ou no contexto da atividade, essa documentação deverá ser revisada para refletir a nova realidade operacional.
À medida que a ANPD amplia sua atuação e intensifica o acompanhamento da conformidade das organizações, torna-se cada vez mais evidente que a capacidade de demonstrar o cumprimento da LGPD é tão importante quanto efetivamente cumpri-la. Nesse cenário, organizações que investem em documentação estruturada, avaliações técnicas consistentes e processos formais de tomada de decisão estarão mais preparadas para responder a fiscalizações, reduzir riscos regulatórios e evidenciar seu compromisso com uma cultura sólida de governança em privacidade e proteção de dados.
Conclusão
O legítimo interesse permanece como uma das bases legais mais relevantes e, ao mesmo tempo, mais desafiadoras da Lei Geral de Proteção de Dados Pessoais (LGPD). Sua importância decorre da possibilidade de permitir que organizações realizem tratamentos de dados pessoais necessários ao desenvolvimento de suas atividades, sem depender, em todas as circunstâncias, do consentimento do titular. Entretanto, essa flexibilidade não significa liberdade irrestrita para tratar dados pessoais nem autoriza que essa hipótese legal seja utilizada como solução genérica para qualquer operação de tratamento.
Ao longo dos últimos anos, a evolução da interpretação da LGPD e as orientações publicadas pela Autoridade Nacional de Proteção de Dados (ANPD) deixaram claro que o legítimo interesse deve ser aplicado de forma criteriosa, sempre acompanhado de uma análise técnica, jurídica e documental capaz de demonstrar que os direitos e as liberdades fundamentais dos titulares foram devidamente considerados. A escolha dessa base legal exige que o controlador seja capaz de justificar, de maneira objetiva, a existência de um interesse legítimo, a necessidade do tratamento, a proporcionalidade da medida e a adoção de salvaguardas aptas a minimizar os riscos decorrentes da atividade.
Nesse contexto, ferramentas como o teste de tripla ponderação, a avaliação da expectativa razoável do titular, a implementação de controles técnicos e organizacionais e a elaboração de documentos como o Legitimate Interest Assessment (LIA) deixam de ser apenas boas práticas e passam a representar importantes mecanismos de governança, gestão de riscos e demonstração de conformidade. Mais do que cumprir uma exigência documental, essas medidas permitem que a organização estruture seu processo decisório, fortaleça a aplicação do princípio da accountability e esteja preparada para comprovar, de forma consistente, os fundamentos que justificaram a utilização dessa hipótese legal.
Também se torna evidente que a transparência exerce papel central nesse processo. Informar adequadamente os titulares sobre a forma como seus dados são utilizados, disponibilizar canais para o exercício de direitos, revisar periodicamente as avaliações realizadas e manter registros atualizados são medidas que reduzem riscos regulatórios, fortalecem a confiança dos titulares e demonstram maturidade na gestão da privacidade e da proteção de dados.
Diante do fortalecimento da atuação fiscalizatória da ANPD, da crescente preocupação com práticas de marketing, perfilamento comportamental, inteligência artificial e utilização massiva de dados pessoais, a capacidade de demonstrar a conformidade passou a ser tão importante quanto a própria conformidade. Organizações que fundamentam tecnicamente suas decisões, documentam seus processos e incorporam a proteção de dados às suas rotinas de governança encontram-se em posição significativamente mais favorável para responder a fiscalizações, mitigar riscos e construir relações de confiança com clientes, colaboradores, parceiros e demais titulares.
Em última análise, o legítimo interesse não deve ser compreendido como a base legal “mais conveniente”, mas como aquela que exige maior responsabilidade na sua aplicação. Quando utilizado de forma consciente, transparente e devidamente documentada, ele se consolida como um importante instrumento para conciliar os interesses legítimos das organizações com a proteção dos direitos fundamentais dos titulares, contribuindo para uma cultura de governança sólida, ética e plenamente alinhada aos princípios e objetivos da LGPD.
Referências
https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm
https://www.gov.br/anpd/pt-br/documentos-e-publicacoes/guia-agentes-de-tratamento-e-encarregado
https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp217_en.pdf
https://eur-lex.europa.eu/eli/reg/2016/679/oj
O Papel da DPO Expert na Governança e Prevenção de Riscos
A correta definição da base legal é uma das etapas mais sensíveis de qualquer programa de adequação à LGPD. A DPO Expert auxilia organizações na avaliação das hipóteses legais aplicáveis às operações de tratamento, na elaboração de Relatórios de Avaliação do Legítimo Interesse (LIA), na revisão de políticas de privacidade, registros de operações de tratamento (ROPA), Relatórios de Impacto à Proteção de Dados (RIPD) e na implementação de programas de governança capazes de demonstrar conformidade perante a ANPD.
Se sua empresa deseja utilizar o legítimo interesse de forma segura, transparente e alinhada às melhores práticas regulatórias, conte com a DPO Expert para transformar requisitos legais em processos sólidos de governança e proteção de dados.
Dessa forma, a DPO Expert não apenas viabiliza a conformidade com a LGPD, mas contribui diretamente para o aumento da maturidade organizacional em proteção de dados, posicionando a empresa de forma mais segura, competitiva e preparada para os desafios do ambiente digital.
Clique aqui e veja como a DPO Expert pode proteger sua empresa.
