A LGPD trouxe consigo diversas mudanças e desafios para as empresas que lidam com dados pessoais. Uma das hipóteses legais previstas pela LGPD para o tratamento desses dados é o chamado “legítimo interesse”. Neste artigo, vou explorar o que é o legítimo interesse, como ele pode ser aplicado e quais são os cuidados necessários para garantir a conformidade com a lei.
O que é o Legítimo Interesse?
O legítimo interesse é uma das hipóteses legais previstas pela LGPD que autoriza o tratamento de dados pessoais. De acordo com o artigo 7º, inciso IX da LGPD, o legítimo interesse permite que o controlador ou terceiros realizem o tratamento de dados pessoais quando esse tratamento atende a interesses legítimos e desde que sejam respeitados os direitos e liberdades fundamentais do titular dos dados.
Esse conceito é amplo e flexível, permitindo que as empresas utilizem dados pessoais sem a necessidade de obtenção de consentimento, desde que respeitem os direitos dos titulares. No entanto, é importante destacar que o legítimo interesse deve estar em conformidade com o ordenamento jurídico, ser baseado em situações concretas e vinculado a finalidades específicas e explícitas.
Como aplicar o Legítimo Interesse?
Para aplicar o legítimo interesse, é necessário realizar uma avaliação cuidadosa e documentar as bases para o uso dessa hipótese legal. A ANPD recomenda a realização de um teste de balanceamento ou avaliação do legítimo interesse.
Esse teste consiste em analisar a natureza dos dados pessoais envolvidos, a finalidade para a qual serão utilizados, se existe uma forma menos intrusiva de alcançar essa finalidade e quais são os possíveis riscos e medidas de proteção adotadas. Além disso, é fundamental informar o titular dos dados sobre o uso de seus dados pessoais e garantir que seus direitos sejam respeitados.
Algumas perguntas básicas que precisam ser respondidas antes de aplicar essa hipótese:
- Qual é o interesse legítimo em que pretende basear-se como fundamento lícito para o tratamento de dados pessoais?
- A atividade envolve o processamento de dados pessoais sensíveis?
- A atividade envolve tratamento de dados pessoais de crianças e adolescentes?
- Qual é a finalidade da atividade de processamento?
- O tratamento é necessário para satisfazer os seus interesses legítimos ou de terceiros?
- Trata apenas os dados pessoais estritamente necessários à finalidade pretendida?
- Quem experimentará os benefícios desta atividade de processamento?
- Outras…
Exemplos de aplicação do Legítimo Interesse
Existem diversas situações em que o legítimo interesse pode ser aplicado. Vamos explorar alguns exemplos para entender melhor como essa hipótese legal funciona.
Exemplo 1: E-commerce
Uma empresa que atua como intermediadora de vendas em um marketplace pode utilizar o legítimo interesse para tratar os dados pessoais dos consumidores e fornecedores. Nesse caso, a finalidade do tratamento seria promover as atividades da plataforma e proteger os interesses dos terceiros envolvidos. É importante garantir que a finalidade seja legítima, específica e explícita, e que os dados utilizados sejam estritamente necessários para alcançar o objetivo determinado.
Exemplo 2: Contato pós-evento
Uma empresa que realiza eventos e recebe cartões de visita dos participantes pode utilizar o legítimo interesse para contatá-los posteriormente. Nesse caso, o interesse legítimo seria estabelecer um primeiro contato para ampliar o networking e propor oportunidades de negócios. No entanto, é importante lembrar que, uma vez realizado o primeiro contato, será necessário obter o consentimento do titular para o envio de comunicações de marketing.
Exemplo 3: Pesquisas de clima organizacional
Uma empresa que busca melhorar o desempenho de seus funcionários pode utilizar o legítimo interesse para realizar pesquisas de clima organizacional. Nesse caso, o interesse legítimo seria identificar oportunidades de melhoria e promover um ambiente de trabalho mais saudável. É importante garantir que os direitos dos funcionários sejam respeitados e que as informações coletadas sejam utilizadas de forma segura e responsável.
Responsabilização e Prestação de Contas
A LGPD estabelece o princípio da responsabilização e prestação de contas, o que significa que as empresas devem adotar medidas para garantir a conformidade com a lei e estar preparadas para comprovar sua eficácia. Além de realizar o teste de balanceamento, é importante documentar todas as etapas do processo de avaliação do legítimo interesse, bem como manter registros das atividades de tratamento de dados pessoais.
Ao contrário do que se pode pensar inicialmente, o legítimo interesse não está diretamente relacionado aos interesses do titular dos dados, mas sim aos interesses do controlador. O texto da LGPD, em grande parte, defende o interesse do titular dos dados, o que pode gerar confusão em relação a essa hipótese legal.
Como assegurar a legitimidade dos interesses do controlador e até que ponto essa legitimidade pode se chocar com os direitos do titular?
Apesar de haver um artigo dedicado a essa hipótese se tratamento (art. 10), alguns pontos ainda são confusos e de interpretação ampla, o que gera insegurança jurídica quanto à sua aplicação.
Embora a lei defina que o legítimo interesse deve abranger o tratamento de dados pessoais realizados com finalidade legítima, a incerteza em relação a essa hipótese legal está relacionada ao poder concedido ao controlador. Isso abre a possibilidade de tratamento de dados sem a necessidade de consentimento do titular, o que pode comprometer a proteção dos dados pessoais.
Outro aspecto importante do legítimo interesse é que ele deve abranger apenas o uso de dados estritamente necessários para a finalidade pretendida. Isso significa que o controlador deve utilizar o mínimo necessário de dados do titular para atingir essa finalidade. A lei também garante ao titular o direito à transparência do tratamento de seus dados, mesmo que o consentimento não seja necessário.
Conclusão
O legítimo interesse é uma das hipóteses legais previstas pela LGPD que permite o tratamento de dados pessoais sem a necessidade de obtenção de consentimento. No entanto, é fundamental realizar uma avaliação cuidadosa e documentar as bases para o uso dessa hipótese legal, garantindo que os direitos dos titulares sejam respeitados. A responsabilização e prestação de contas são aspectos essenciais para garantir a conformidade com a lei e a proteção dos dados pessoais.
Portanto, o legítimo interesse, apesar de muitas vezes ser considerado a base mais apropriada para fundamentar o tratamento de dados pessoais, deve ser adotado com cuidado pelo controlador. Na verdade, recomendo que se evite, na medida do possível, recorrer a essa justificativa.
É importante sempre verificar se não há outras hipóteses legais aplicáveis antes de optar pelo legítimo interesse. Além disso, o controlador deve analisar se essa hipótese legal foi utilizada corretamente e documentar a necessidade do seu uso.
