Consentimento versus obrigação legal: escolhendo a base certa por fluxo

Quase todo formulário de cadastro no Brasil carrega uma caixinha: "concordo com o tratamento dos meus dados pessoais". Ela parece proteção, parece respeito ao usuário, e na maior parte dos fluxos regulados de verificação de identidade ela é juridicamente errada. A Lei 13.709/2018, a Lei Geral de Proteção de Dados (LGPD), lista dez bases legais no artigo 7º, e o consentimento é apenas uma delas: a primeira da lista e a mais mal usada.

Escolher a base errada não é detalhe de redação. A base define quais direitos o titular tem sobre aquele dado e o que a empresa consegue cumprir quando ele exercer um desses direitos. Tratamento apoiado numa base que não se sustenta é, na prática, tratamento sem base, e a promessa de apagar um dado que a lei manda guardar é uma promessa que a empresa vai quebrar.

Este artigo percorre os fluxos típicos de uma operação com KYC (conheça seu cliente, os procedimentos de identificação e qualificação exigidos de instituições reguladas) e aponta, para cada um, qual base do artigo 7º, para dados comuns, e do artigo 11, para dados sensíveis, de fato se sustenta.

O teste do não

O consentimento tem definição legal: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados para uma finalidade determinada (artigo 5º, inciso XII). E tem uma propriedade que decide tudo: o artigo 8º, parágrafo 5º, garante que ele pode ser revogado a qualquer momento, por procedimento gratuito e facilitado.

Disso sai um teste prático para qualquer fluxo: se o titular disser não hoje, ou revogar amanhã, a operação consegue acatar e seguir funcionando? Se a resposta for não, o consentimento nunca foi a base daquele tratamento. Uma instituição financeira não pode parar de identificar um cliente porque ele revogou o consentimento: a identificação é dever dela, não concessão dele. A caixinha nesse fluxo cria um consentimento que não é livre, porque recusar significa ficar sem o serviço, e a própria LGPD reconhece a tensão: o artigo 9º, parágrafo 3º, exige informar o titular com destaque quando o tratamento for condição para o fornecimento do produto ou serviço.

A consequência de errar não é abstrata. O artigo 18, inciso VI, dá ao titular o direito de eliminação dos dados "tratados com o consentimento do titular". Quem declarou consentimento como base do KYC prometeu, por tabela, uma eliminação que a regulação financeira o proíbe de cumprir.

Cadastro e identificação: obrigação legal

Para instituições sujeitas à regulação de prevenção à lavagem de dinheiro, o dever de identificar vem de lei. A Lei 9.613/1998 determina, no artigo 10, inciso I, que as instituições "identificarão seus clientes e manterão cadastro atualizado", e o parágrafo 2º do mesmo artigo manda conservar cadastros e registros por, no mínimo, cinco anos a partir do encerramento da conta ou da conclusão da transação.

No nível infralegal, a Circular BCB 3.978/2020, do Banco Central do Brasil, detalha esse dever para as instituições autorizadas: o artigo 13 estrutura o conhecimento do cliente em identificação, qualificação e classificação, e o artigo 23 veda iniciar a relação de negócio sem concluir a identificação (mapa da norma inteira no artigo sobre a Circular 3.978 seção por seção).

A base, portanto, é o artigo 7º, inciso II, da LGPD: cumprimento de obrigação legal ou regulatória pelo controlador. Quando o mesmo fluxo alcança dado sensível, a hipótese espelhada é o artigo 11, inciso II, alínea "a", com a mesma redação. O tratamento acontece porque a norma manda, nos limites que a norma fixa, e os direitos do titular se ajustam a isso: o pedido de eliminação esbarra na conservação obrigatória, tema que o artigo sobre direitos do titular em KYC percorre em detalhe.

Vale registrar o outro lado do mapa: empresa fora do perímetro regulado não tem o inciso II para se apoiar. O cadastro básico de um comércio eletrônico roda tipicamente na execução de contrato ou de procedimentos preliminares a pedido do titular (artigo 7º, inciso V). Base legal se herda da situação concreta, não do costume do mercado.

Biometria: entre a alínea "a" e a alínea "g"

Dado biométrico vinculado a uma pessoa natural é dado pessoal sensível por definição (artigo 5º, inciso II), e dado sensível não usa a lista do artigo 7º: usa a lista própria do artigo 11, que é mais curta e não contém, por exemplo, o legítimo interesse.

Aqui o mapa se divide em dois casos. Quando uma norma exige expressamente a verificação biométrica, a base é a alínea "a" do artigo 11, inciso II. O exemplo brasileiro mais direto é o setor de apostas de quota fixa: o artigo 23 da Lei 14.790/2023 manda o operador adotar procedimentos de identificação dos apostadores, "exigida a utilização da tecnologia de identificação e reconhecimento facial" (o recorte inteiro está em verificação de identidade para bets).

Quando a norma manda identificar, mas não diz como, e a empresa escolhe a biometria como método, a alínea "a" fica menos confortável, porque a obrigação é de identificar, não de usar o rosto. A hipótese desenhada para esse caso é a alínea "g": "garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos". Ela não é um cheque em branco: pede que a biometria seja necessária e proporcional à fraude que previne, demonstração que ganha corpo num relatório de impacto, o RIPD (roteiro no artigo sobre RIPD para verificação biométrica), e a discussão completa está em qual é a base legal para verificar identidade.

Em nenhum dos dois casos a base é consentimento. Pedir consentimento para a selfie de um fluxo antifraude recria o paradoxo do cadastro: uma revogação que a empresa não pode acatar.

Marketing: aqui o consentimento vive

Nenhuma lei obriga uma empresa a enviar ofertas. Sem obrigação, o inciso II desaparece, e o fluxo de marketing volta para as bases voluntárias: consentimento (artigo 7º, inciso I) ou, em cenários restritos e com avaliação documentada, legítimo interesse (artigo 7º, inciso IX), que cede sempre que prevalecerem direitos e liberdades fundamentais do titular e cujo uso o artigo 37 manda registrar com atenção especial.

O consentimento funciona aqui exatamente porque o teste do não passa: se o titular recusar ou revogar, a empresa para de enviar e nada mais quebra. As condições de validade viram requisitos de produto: o pedido é separado do fluxo de cadastro, não vem pré-marcado, nomeia a finalidade, e revogar é tão fácil quanto conceder, como exige o artigo 8º, parágrafo 5º. E marketing jamais pode ser condição para abrir a conta: amarrar os dois contamina a liberdade do consentimento e devolve a empresa ao alcance do artigo 9º, parágrafo 3º.

Documentar a escolha, fluxo a fluxo

O produto final desse exercício é uma tabela simples, sustentada pelo artigo 37 da LGPD, que manda controlador e operador manterem registro das operações de tratamento que realizarem. Para cada fluxo, uma linha: finalidade, dados tratados, base legal com artigo e inciso, prazo de conservação com a norma que o fixa e direitos do titular aplicáveis.

Essa tabela alimenta a política de privacidade, e é nela que o erro de base fica visível: uma política que diz "tratamos seus dados com base no seu consentimento" e depois recusa um pedido de eliminação está se contradizendo em público. Na UNIFOKAL, por exemplo, o aviso apresentado ao titular no fluxo de verificação nomeia a obrigação legal e a prevenção à fraude como bases, e não pede um consentimento que não poderia ser revogado.

A Autoridade Nacional de Proteção de Dados, a ANPD, fiscaliza essas escolhas e publica guias e documentos técnico-orientativos sobre a aplicação da lei; acompanhar essas publicações é parte da manutenção da tabela. O princípio, esse, não muda: a base legal não é um carimbo escolhido pelo mais fácil de implementar, é a descrição verdadeira de por que o tratamento acontece. Quando a descrição é verdadeira, os direitos comunicados ao titular são direitos que a empresa consegue honrar.

Fontes citadas

• Lei 13.709/2018, LGPD, artigos 5º, 7º, 8º, 9º, 11, 18 e 37, disponível no portal do Planalto: planalto.gov.br
• Lei 9.613/1998, artigo 10, inciso I e parágrafo 2º, disponível no portal do Planalto: planalto.gov.br
• Lei 14.790/2023, artigo 23, que exige reconhecimento facial na identificação do apostador, disponível no portal do Planalto: planalto.gov.br
• Circular BCB 3.978/2020, do Banco Central do Brasil, artigos 13 e 23, íntegra no site do BCB
• ANPD, Autoridade Nacional de Proteção de Dados, site oficial, guias e documentos técnico-orientativos sobre a aplicação da LGPD