‍

Existem inúmeras situações em um negócio que fazem com que uma empresa tenha que lidar com dados pessoais, sem que seja possível ou mesmo viável o consentimento do titular. E foi pensando nisso que o legislador disponibilizou outras 9 bases legais na Lei Geral de Proteção de Dados (LGPD) de forma que as empresas, controladoras ou operadoras de tais dados pessoais possam enquadrar o tratamento dos respectivos dados.

Se você que está lendo esse texto não conhece a LGPD , ainda que superficialmente, pode parecer estranho que alguém possa tratar os seus dados pessoais sem o seu consentimento prévio. Contudo, além do consentimento prévio do titular, são previstas mais 9 bases legais para tratamento de dados pessoais e mais 7 bases legais para tratamento de dados pessoais sensíveis.

Uma dessas bases legais escolhida para esse artigo é a do legítimo interesse. Essa base legal é disponibilizada para tratar somente dados pessoais e não dados pessoais referentes a origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, e dado genético ou biométrico, quando vinculado a uma pessoa natural. Ou seja, é importante deixar claro ao leitor que o legítimo interesse não é permitido pelo legislador para enquadrar o tratamento de dados pessoais sensíveis.

‍

1.1. Legítimo Interesse

O legítimo interesse, de forma resumida, caracteriza a vontade da empresa em tratar os dados pessoais de um indivíduo para atender a um propósito voltado ao seu negócio. Ao ler essa definição e o texto acima, você pode concluir então que, exceto para os dados pessoais sensíveis, a empresa poderia usar o enquadramento do legítimo interesse para qualquer tratamento de dados pessoais, não é? Mas você estaria equivocado. O legítimo interesse, para servir como base legal de uma empresa no tratamento dos dados pessoais, precisa atender a alguns requisitos que a lei impõe.

Segundo o Guia Orientativo, o legítimo interesse pode ser utilizado para enquadrar o tratamento de dados pessoais no setor público, assim como no setor privado. Entretanto, no setor público, sua aplicação é muito limitada e não deve ser encorajada por não ser apropriada quando o tratamento de dados pessoais é realizado de forma compulsória ou quando é necessário para o cumprimento de obrigações e atribuições legais do Poder Público. Além disso, não há como se realizar uma análise pormenorizada entre as expectativas dos titulares, levando-se em conta seus direitos e liberdades fundamentais e os supostos interesses ou obrigações do Poder Público, visto que inexiste um equilíbrio de forças.

Na prática, o enquadramento do tratamento de dados pessoais no legítimo interesse deve ser sempre precedido por um teste de balanceamento. Além disso, dependendo da quantidade de dados pessoais e do grau de risco trazido aos seus respectivos titulares, deve ser acompanhado igualmente por um relatório de impacto.

Caso o teste de balanceamento conclua pela prevalência dos direitos e liberdades fundamentais e legítimas expectativas dos titulares, a empresa não deve realizar o tratamento com base na hipótese legal do legítimo interesse. Nem mesmo após a implementação de salvaguardas para a mitigação de riscos.

‍

1.2. Teste de Balanceamento

O teste de balanceamento serve para avaliar a proporcionalidade entre a legitimidade do interesse da empresa e os interesses dos titulares dos dados pessoais, além dos impactos e os riscos aos seus direitos e liberdades. Serve ainda para atender aos princípios da responsabilização e prestação de contas, garantindo a transparência do tratamento de dados pessoais e permitindo que a Autoridade Nacional de Proteção de Dados (ANPD) possa avaliar a adequação do respectivo tratamento de dados pessoais com o arcabouço de normas aplicáveis.

O teste de balanceamento deve ser considerado para cada uma das finalidades específicas para as quais haverá o tratamento de dados. Na prática, isso implica dizer que um teste de balanceamento deve ser aplicado a cada finalidade indicada para o tratamento de dados pessoais, ainda que se trate dos mesmos dados pessoais.

É importante salientar que o teste de balanceamento pode ser utilizado também: na hipótese do enquadramento de dados pessoais sensíveis na base legal da garantia da prevenção à fraude e à segurança do titular; nos processos de identificação e autenticação de cadastro em sistemas eletrônicos, resguardados os direitos de acesso pelo titular aos seus dados e exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais. Esta finalidade deve ser interpretada restritivamente e descrita de forma objetiva e o mais detalhada possível.

Devem ser levadas em consideração 3 fases para a elaboração do teste de balanceamento:

‍

‍

1.3. Modelo de Teste de Balanceamento

Abaixo é possível visualizar um modelo de teste de balanceamento disponibilizado pela ANPD:

‍

‍

PARTE 1: FINALIDADE

Fundamentação legal | Princípio da finalidade (art. 6°, I, LGPD) e Art. 10, caput, LGPD - “O legítimo interesse do controlador somente poderá fundamentar tratamento de dados pessoais para finalidades legítimas, consideradas a partir de situações concretas, que incluem, mas não se limitam a: (...)

Objetivo | Identificar a natureza dos dados pessoais e a aplicabilidade da hipótese legal do legítimo interesse ao tratamento dos dados pessoais, mediante a avaliação da legitimidade do interesse, ou seja, se este é compatível com o ordenamento jurídico, baseado em uma situação concreta e vinculado a uma finalidade legítima, específica e explícita.

Orientações gerais | As informações devem ser apresentadas de forma clara, objetiva e precisa, com todos os detalhes necessários para permitir a compreensão e o delineamento adequados dos objetivos do tratamento.

‍

Natureza dos dados pessoais

► Qual a natureza dos dados pessoais? Existe tratamento de dados pessoais sensíveis? Em caso afirmativo, o tratamento não pode ser realizado com base na hipótese legal do legítimo interesse.

‍

Dados de crianças e adolescentes

► Serão tratados dados de crianças e adolescentes?

► Em caso positivo, o que foi considerado como melhor interesse dos titulares? Quais os critérios utilizados para a ponderação entre os interesses do controlador ou de terceiro e os direitos dos titulares? O tratamento gera riscos ou impactos desproporcionais e excessivos, considerando a condição da criança e do adolescente como sujeito de direitos?

► O controlador possui uma relação prévia e direta com os titulares crianças e adolescentes? O tratamento visa assegurar a proteção de direitos e interesses dos titulares ou viabilizar a prestação de serviços que os beneficiem? Caso essas condições não estejam presentes, o controlador deve adotar cautela adicional, avaliando a existência de formas alternativas e menos invasivas para os titulares e, ainda, implementando as medidas de segurança e de mitigação de riscos adequadas à hipótese.

‍

Interesse e finalidades legítimas

► Qual benefício ou proveito resulta do tratamento de dados pessoais para o controlador ou terceiro?

► O interesse é compatível com o ordenamento jurídico? Ou seja, o tratamento é compatível com princípios, normas jurídicas e direitos fundamentais? Aplicam-se ao caso e não se aplicam às hipóteses legais que vedam ou impeçam a realização do tratamento? O tratamento contraria, direta ou indiretamente, disposições legais ou princípios aplicáveis ao caso?

► Qual a finalidade do tratamento? A finalidade é legítima, específica e explícita?

‍

Situação concreta

► O interesse é baseado em uma situação clara, concreta e não especulativa?

► Qual é essa situação concreta, de forma detalhada?

► Qual o contexto em que é realizado o tratamento?

‍

PARTE 2: NECESSIDADE

Fundamentação legal | Princípio da necessidade (art. 6°, m, LGPD) e art. 10, §1°, LGPD - “§ 1° Quando o tratamento for baseado no legítimo interesse do controlador, somente os dados pessoais estritamente necessários para a finalidade pretendida poderão ser tratados.”

Objetivo | Identificar se o tratamento baseado no legítimo interesse é necessário para atingir as finalidades do passo anterior, além de ponderar medidas de minimização do uso de dados pessoais.

Orientações gerais | Nessa fase é importante avaliar a existência de formas menos intrusivas para realizar o tratamento, além de analisar se é possível atingir a finalidade de uma forma menos onerosa e com menores riscos ao titular. Outra observação importante é que, caso haja mais de uma finalidade descrita na Parte 1, recomenda-se que seja feito outro teste para fundamentar a outra finalidade.

‍

Tratamento e finalidade pretendida

► O tratamento é necessário para atingir os interesses analisados no passo anterior?

► É possível usar outros meios razoáveis para atingir a mesma finalidade de forma menos intrusiva para o titular?

► O tratamento é proporcional e adequado para a finalidade descrita?

‍

Minimização

► Estão sendo utilizados apenas os dados estritamente necessários para atingir à finalidade pretendida?

► Existem formas menos intrusivas, menos onerosas ou com menores riscos ao titular que poderiam ser utilizadas para atingir a mesma finalidade?

‍

PARTE 3: BALANCEAMENTO E SALVAGUARDAS

Fundamentação legal | Art. 7°, IX, LGPD - “quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais”; Art. 10, II, LGPD - “proteção, em relação ao titular, do exercício regular de seus direitos ou prestação de serviços que o beneficiem, respeitadas as legítimas expectativas dele e os direitos e liberdades fundamentais, nos termos desta Lei”; e Art. 10, §2°, LGPD - § 2° - “O controlador deverá adotar medidas para garantir a transparência do tratamento de dados baseado em seu legítimo interesse”.

Objetivo | Avaliar os riscos e os impactos sobre os direitos dos titulares dos dados com base no interesse e finalidades identificados nas fases anteriores, além de balancear esses riscos com as salvaguardas a serem adotadas e com a garantia de acesso claro e preciso aos titulares acerca das informações relativas ao tratamento dos seus dados.

Orientações gerais | Nessa fase é fundamental adotar a perspectiva do titular, a fim de assegurar que as suas legítimas expectativas e seus direitos e liberdades fundamentais sejam respeitados. É importante colocar na balança os interesses do controlador ou de terceiro e dos titulares, considerando as especificidades da situação concreta, tal como quando o tratamento abranger dados de crianças e adolescentes. Por isso, a fim de obter uma análise mais precisa, é importante adotar uma ampla gama de pontos de vista possíveis. Cabe destacar que a existência de um possível risco ou impacto negativo sobre os titulares não afasta, por si só, o tratamento dos dados pessoais com base no legítimo interesse. O que a LGPD exige não é o impacto zero, mas, sim, que os eventuais impactos sejam minimizados e levados em consideração na adoção de salvaguardas a fim de assegurar que, no caso concreto, os interesses que justificam a realização do tratamento são compatíveis com o respeito aos direitos e as liberdades fundamentais do titular.

‍

Legítima expectativa

> O tratamento dos dados pessoais para a finalidade pretendida é razoavelmente esperado pelos titulares, considerando o contexto em que é realizado?

> A avaliação quanto à legítima expectativa deve levar em consideração, entre outros, os seguintes fatores relevantes:

> Existe uma relação prévia do controlador com o titular?

> Qual a fonte e a forma por meio das quais os dados foram coletados? Isto é, foram coletados diretamente do titular, de fontes públicas ou foram obtidos por meio de compartilhamento realizado por terceiros?

> Qual o contexto e o período da coleta dos dados pessoais?

> A finalidade original da coleta é compatível com o tratamento baseado no legítimo interesse?

‍

Riscos e impactos aos direitos e liberdades fundamentais

► De que forma os titulares de dados pessoais serão impactados pelo tratamento?

► Direitos e garantias fundamentais como liberdade de expressão, locomoção, não discriminação, intimidade, integridade física e moral podem ser afetados com o tratamento?

► Quais são os riscos em potencial sobre os titulares?

► Os direitos e liberdades fundamentais dos titulares prevalecem sobre os interesses do controlador ou de terceiro?

‍

Salvaguardas e mecanismos de opt-out e de oposição

► Quais medidas são adotadas para mitigar os riscos identificados?

► Quais medidas de transparência são adotadas? Serão disponibilizadas informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e respectivos agentes de tratamento?

► Será disponibilizado canal de fácil acesso, por meio do qual os titulares podem exercer os direitos previstos na LGPD, em especial os de se descadastrar, de opor ao tratamento e de solicitar o término da operação e a eliminação de seus dados pessoais?

‍

CONCLUSÃO

Analisar as respostas das Partes 1, 2 e 3 para concluir se pode ou não aplicar a hipótese legal do legítimo interesse.