Legítimo interesse na LGPD: como montar o teste de balanceamento

Legítimo interesse é a base legal que aparece na política de privacidade quando nenhuma outra encaixa. É também a única hipótese do artigo 7º da Lei 13.709/2018, a Lei Geral de Proteção de Dados (LGPD), que a lei manda registrar com destaque: o artigo 37 determina que controlador e operador mantenham registro das operações de tratamento que realizarem, "especialmente quando baseado no legítimo interesse".

Escrever a expressão no documento não cria a base. O que cria é uma análise concreta, feita antes do tratamento, comparando o interesse de quem trata com os direitos de quem é tratado. Essa análise tem nome no vocabulário da autoridade: teste de balanceamento.

Este texto percorre o artigo 10 da LGPD parágrafo a parágrafo e depois o modelo de teste descrito pela Agência Nacional de Proteção de Dados (ANPD) no guia orientativo sobre legítimo interesse, versão 1.0, de fevereiro de 2024. No fim, separa uma regra desse guia que vale só para dado de criança e adolescente e costuma ser repetida como se fosse geral.

O artigo 10, parágrafo por parágrafo

O caput não define a base legal, delimita o seu uso: o legítimo interesse do controlador "somente poderá fundamentar tratamento de dados pessoais para finalidades legítimas, consideradas a partir de situações concretas". A lista seguinte é aberta e traz dois exemplos: o inciso I fala em apoio e promoção de atividades do controlador; o inciso II, em proteção do exercício regular dos direitos do titular ou prestação de serviços que o beneficiem, "respeitadas as legítimas expectativas dele e os direitos e liberdades fundamentais".

O parágrafo 1º restringe o volume: só os dados estritamente necessários para a finalidade pretendida podem ser tratados. O parágrafo 2º manda o controlador adotar medidas para garantir a transparência desse tratamento. O parágrafo 3º autoriza a autoridade nacional a solicitar relatório de impacto à proteção de dados pessoais quando o fundamento for o interesse legítimo, observados os segredos comercial e industrial.

A exceção que decide tudo está no artigo 7º, inciso IX: a hipótese vale "exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais". A base nasce condicionada, e a condição é uma comparação. Por isso ela não se sustenta sem a comparação escrita.

Onde o legítimo interesse não entra

O artigo 11 da LGPD lista as hipóteses para dado pessoal sensível e não repete o legítimo interesse. O guia da ANPD é explícito: é hipótese "não aplicável ao tratamento de dados pessoais sensíveis, haja vista a sua previsão apenas no art. 7º da LGPD, não tendo sido reproduzida no art. 11". Se o tratamento alcança dado sensível, a resposta está em outra hipótese do artigo 11, não numa versão reforçada do teste.

Para quem opera verificação de identidade, a hipótese vizinha é o artigo 11, inciso II, alínea "g": garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos. O guia da ANPD registra que essa alínea segue sistemática similar à do legítimo interesse, porque também cede quando prevalecerem direitos e liberdades fundamentais do titular, e afirma que as orientações do documento, inclusive o teste, se aplicam a ela. O mesmo guia lembra que a finalidade da alínea "g" "deve ser interpretada restritivamente e descrita de forma objetiva e o mais detalhada possível". Quem desenha uma esteira de sinais antifraude precisa dessa descrição antes do primeiro sinal, e as bases para biometria estão em qual é a base legal para verificar identidade.

O que faz um interesse ser legítimo

O guia fixa três condições cumulativas: compatibilidade com o ordenamento jurídico, isto é, tratamento que não contraria, direta ou indiretamente, disposições legais nem princípios aplicáveis; lastro em situação concreta, real, clara e precisa, e não especulativa; e vinculação a finalidades legítimas, específicas e explícitas, descritas com detalhe suficiente para permitir a ponderação.

Sobre a legítima expectativa, que o artigo 10, inciso II, manda respeitar, o guia lista fatores de análise: relação prévia entre controlador e titular; fonte e forma da coleta, isto é, se os dados vieram do próprio titular, de fontes públicas ou de terceiros; contexto e período da coleta; e compatibilidade da finalidade original com o tratamento posterior. É onde projetos de rastreamento costumam cair, como detalha o artigo sobre device fingerprinting e LGPD.

As três fases do teste

O modelo do Anexo II do guia divide o exame em três partes. Na fase 1, finalidade, verifica-se a natureza dos dados, identifica-se o interesse, se do controlador ou de terceiro, e avalia-se a sua legitimidade contra as três condições acima. Na fase 2, necessidade, pergunta-se se o tratamento é necessário para atingir o objetivo da fase anterior, se existem formas menos intrusivas ou com menores riscos, e se apenas os dados estritamente necessários estão em uso. Na fase 3, balanceamento e salvaguardas, avaliam-se riscos e impactos sobre direitos e liberdades fundamentais, as medidas de mitigação e de transparência e a existência de canal de fácil acesso para o titular se opor, se descadastrar ou pedir o término da operação.

Duas advertências do guia evitam expectativa errada. A primeira: não existe abordagem única, o teste pode ser breve quando o impacto aos direitos dos titulares é claramente baixo, e mais robusto no uso de novas tecnologias baseadas em quantidades massivas de dados pessoais; o modelo do Anexo II não é de uso obrigatório. A segunda: "o que a LGPD exige não é o impacto zero", e sim que impactos eventuais sejam minimizados e considerados na adoção de salvaguardas. Se o teste concluir pela prevalência dos direitos e das legítimas expectativas dos titulares, o tratamento não deve ser feito com essa base.

A regra que vale só para criança e adolescente

Aqui está a parte do guia mais citada fora do lugar. Na seção sobre dados pessoais de crianças e adolescentes, a ANPD afirma que o controlador deve elaborar teste de balanceamento e manter registro da justificativa capaz de demonstrar três coisas: o que foi considerado como melhor interesse da criança ou do adolescente; com base em quais critérios os direitos deles foram ponderados contra o interesse do controlador ou de terceiro; e que o tratamento não gera riscos ou impactos desproporcionais e excessivos.

Esses três itens são exigências desse recorte, não do legítimo interesse em geral. Decorrem do artigo 14 da LGPD, segundo o qual o tratamento de dados de crianças e adolescentes deve ser realizado em seu melhor interesse, e do Enunciado CD/ANPD nº 1, de 22 de maio de 2023, reproduzido no guia, que admite as hipóteses dos artigos 7º e 11 para esse público desde que observado e prevalecente o melhor interesse. Generalizar a lista é atribuir à autoridade uma exigência que ela escreveu em outro contexto.

Na mesma seção, o guia aponta o uso de dados de crianças e adolescentes como um dos critérios de alto risco fixados pela ANPD, com remissão ao artigo 4º da Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, que aprova o regulamento de aplicação da LGPD para agentes de tratamento de pequeno porte. Vale ler a norma citada: aquele artigo considera de alto risco, para os fins daquele regulamento, o tratamento que atende cumulativamente a pelo menos um critério geral e um critério específico, e o uso de dados de crianças, adolescentes e idosos aparece como critério específico, na alínea "d" do inciso II. Critério específico sozinho não fecha a classificação.

Perguntas frequentes

O teste de balanceamento é obrigatório por lei?

A LGPD não usa a expressão. O que a lei exige é o registro das operações de tratamento, com menção expressa ao legítimo interesse, no artigo 37, além dos deveres do artigo 10. O guia da ANPD diz que o tratamento com respaldo nessa base deve ser precedido do teste e o trata como instrumento para demonstrar conformidade, nos termos do artigo 6º, inciso X, e do artigo 37.

Quando o teste precisa virar relatório de impacto?

São documentos diferentes. O artigo 10, parágrafo 3º, permite à autoridade solicitar o relatório quando o fundamento for o legítimo interesse, e o artigo 38 prevê essa determinação em termos gerais. O guia observa que o relatório pode incorporar o teste, com análise mais ampla de riscos e mitigações. O roteiro está em relatório de impacto para verificação biométrica.

Fontes citadas

• Lei 13.709/2018 (LGPD), artigos 6º, 7º, 10, 11, 14, 37 e 38, no portal do Planalto: planalto.gov.br
• ANPD, Guia orientativo "Hipóteses legais de tratamento de dados pessoais: legítimo interesse", versão 1.0, fevereiro de 2024, com os Anexos I e II: gov.br/anpd
• Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, artigo 4º, no Diário Oficial da União: in.gov.br
• Enunciado CD/ANPD nº 1, de 22 de maio de 2023, conforme reproduzido no guia de legítimo interesse da ANPD