O interesse legítimo é uma das bases legais previstas no art. 7º, IX da LGPD, que podem amparar operações de tratamento de dados pessoais. Trata-se da base legal mais flexível e a que suscita as maiores dúvidas.
Recentemente a ANPD abriu uma consulta à sociedade sobre um Estudo Preliminar referente à hipótese legal de tratamento de dados pessoais do legítimo interesse, que fornece algumas informações relevantes. O referido Estudo (que pode ser acessado aqui) tem o objetivo de subsidiar o conteúdo do Guia Orientativo sobre a hipótese legal do legítimo interesse, a partir da junção da expertise técnica da Autoridade com a experiência prática dos agentes de tratamento sobre o tema.
A consulta à sociedade está disponível na plataforma Participa Mais Brasil até o dia 15 de setembro de 2023.
Apresentamos abaixo um resumo dos principais pontos abordados no referido estudo preliminar.
1. O Estudo Preliminar contém um modelo simplificado de teste de balanceamento, que não é vinculante e nem deve ser obrigatoriamente utilizado em todas as ocasiões. O modelo proposto pela ANPD é composto por 3 (três) fases: (i) finalidade (análise do o contexto da realização do tratamento, com foco sobre os benefícios gerados e as finalidades que se pretende alcançar); (ii) necessidade (visa identificar se o tratamento baseado no legítimo interesse é necessário para atingir os objetivos do passo anterior, além de estabelecer medidas de minimização do uso de dados para atingir a finalidade pretendida) e (iii) balanceamento e salvaguardas (realização da ponderação entre, de um lado, os interesses do controlador ou de terceiro e, de outro, os direitos e liberdades fundamentais do titular).
2. O Estudo Preliminar reforça o entendimento no sentido de que o legítimo interesse não se aplica a dados pessoais sensíveis, por ausência de previsão legal no art. 11 da LGPD. É essencial, portanto, avaliar previamente a natureza dos dados envolvidos na operação de tratamento antes de decidir pela utilização da base legal do legítimo interesse.
3. A ANPD esclarece que o uso da base legal de garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos, prevista no art. 11, II, g da LGPD, também exige a realização de um teste de balanceamento, com as mesmas características do teste exigido para o uso da base legal do legítimo interesse.
4. Ressaltou o entendimento previsto no Enunciado 1/2023 que reconhece a possibilidade do uso do interesse legítimo como base legal para tratar dados de crianças e adolescentes, mas exigiu um requisito adicional: a avaliação do melhor interesse da criança ou adolescente, nos termos do art. 14.
5. Assim, ao usar o interesse legítimo como base legal para amparar operações de tratamento de dados de crianças e adolescentes o Estudo Preliminar recomenda que sejam adotadas as seguintes cautelas adicionais:
O controlador deve elaborar e manter registro da justificativa para a realização do tratamento, que deve ser adequada ao caso e capaz de demonstrar (i) o que foi considerado como sendo o melhor interesse da criança ou do adolescente; (ii) com base em quais critérios os seus direitos foram ponderados em face do interesse legítimo do controlador ou de terceiro; e (iii) que o tratamento não gera riscos ou impactos desproporcionais e excessivos, considerando a condição da criança e do adolescente como sujeitos de direitos.
6. Ainda sobre o tema do tratamento de dados pessoais de crianças e adolescentes, o Estudo Preliminar concluiu que “o tratamento de dados pessoais de crianças e adolescentes com base na hipótese do legítimo interesse tende a ser mais apropriado em situações nas quais há uma relação prévia e direta do controlador com os titulares e quando o tratamento visa a assegurar a proteção de seus direitos e interesses ou viabilizar a prestação de serviços que o beneficiem. Caso essas condições não estejam presentes, o controlador deve adotar cautela adicional, avaliando a existência de formas alternativas e menos invasivas para os titulares e, ainda, implementando as medidas de segurança e de mitigação de riscos adequadas à hipótese”
7. Ao analisar a legítima expectativa do titular o controlador deve levar em consideração os seguintes fatores:
a) a existência de uma relação prévia do controlador com o titular;
b) a fonte e a forma da coleta dos dados, isto é, se a coleta foi realizada diretamente pelo controlador, se os dados foram compartilhados por terceiros ou coletados de fontes públicas;
c) o contexto e o período de coleta dos dados; e
d) a finalidade original da coleta dos dados e a sua compatibilidade com o tratamento baseado no legítimo interesse.
8. O Estudo Preliminar destacou que “a existência de um possível risco ou impacto negativo sobre os titulares dos dados não afasta, por si só, a possibilidade de tratamento dos dados pessoais com base no legítimo interesse. O que a LGPD exige não é o impacto zero, mas, sim, que eventuais impactos sejam minimizados e levados em consideração na adoção de salvaguardas a fim de assegurar que, no caso concreto, prevalecem os direitos e as liberdades fundamentais do titular.”
Sugerimos que as empresas associadas acompanhem o resultado da consulta à sociedade sobre o Estudo Preliminar, para identificar se ele será alterado, com especial atenção para as questões das operações de dados pessoais que utilizam dados pessoais de crianças.
Sugerimos, ainda, que as empresas associadas avaliem a viabilidade de realizar um teste de balanceamento para amparar as eventuais operações de tratamento que utilizem a base legal prevista no art. 11, II, g da LGPD (“garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos”), caso essa medida ainda não tenha sido realizada.
Marco Tulio Castro é Vice-Presidente de Articulação Política e Sócio de WCW Advogados Associados