Um cliente nosso aqui em Blumenau levou uma notificação da ANPD porque disparava mensagens de promoção no WhatsApp usando "legítimo interesse" como base legal. Sem relatório, sem critério escrito, sem nada que sustentasse a escolha. A empresa teve 15 dias pra responder e não tinha o que mostrar.
Essa confusão é a que mais aparece nas nossas consultorias. O empresário acha que legítimo interesse é uma base curinga, que serve pra qualquer tratamento que não seja flagrantemente ilegal. Não é. E consentimento também não é a saída segura que todo mundo imagina. Usar a base errada anula o tratamento inteiro, mesmo com boa intenção por trás.
Consentimento parece mais simples, mas é a base mais frágil
O art. 7º, I combinado com o art. 8º da LGPD exige que o consentimento seja específico, informado e inequívoco. Não vale caixinha marcada por padrão, não vale texto genérico em "termos de uso" de 20 páginas. E o titular pode revogar a qualquer momento, sem justificativa, e o ônus de provar que houve consentimento válido é seu, não dele.
Na prática: empresa que usa consentimento pra tudo cria um passivo de revogações que ela mesma não consegue rastrear. Vimos caso de e-commerce catarinense com mais de 40 mil contatos "consentidos" em 2019, sem log de quando e como o consentimento foi coletado. Hoje isso é inutilizável como prova.
O que legítimo interesse realmente cobre
O art. 7º, IX e o art. 10 tratam do legítimo interesse. Ele existe pra situações em que a empresa tem um interesse concreto, o titular teria expectativa razoável do tratamento, e não há necessidade de pedir permissão prévia porque o benefício supera o risco. Prevenção a fraude, segurança patrimonial, cobrança de dívida já contratada, comunicação com cliente que já comprou de você antes.
Nossa leitura: legítimo interesse funciona quando existe uma relação prévia com o titular. Cliente que comprou há 8 meses e recebe oferta de produto complementar tem expectativa razoável disso. Pessoa que nunca teve contato com sua empresa e recebe cold WhatsApp não tem. Essa é a linha que mais gera autuação.
O teste de balanceamento que quase ninguém documenta
O art. 10, §2º manda o controlador adotar medidas pra garantir transparência quando o tratamento é baseado em legítimo interesse, e a ANPD pode solicitar relatório de impacto a qualquer momento. Na prática isso significa fazer, por escrito, três perguntas antes de usar essa base:
- Necessidade: dá pra atingir a finalidade com menos dado ou de forma menos invasiva?
- Finalidade legítima: o interesse é real e específico, não genérico tipo "melhorar o negócio"?
- Proporcionalidade: o titular esperaria razoavelmente esse tratamento, considerando o contexto da relação?
Esse documento não precisa ter 30 páginas. Uma página, com data e responsável, já muda completamente sua posição numa fiscalização. É a diferença entre "a gente fez a análise" e "a gente decidiu no impulso".
Marketing é onde o legítimo interesse mais falha
Campanha pra base de clientes ativos, com opt-out visível em toda comunicação: legítimo interesse costuma sustentar. Campanha pra lista comprada, capturada em evento sem aviso claro, ou pra contato frio via WhatsApp: aí a base não se sustenta, porque não existe expectativa razoável nem relação prévia.
Falando sério: se o dado for sensível (saúde, orientação sexual, dado biométrico, convicção religiosa, filiação sindical, conforme o art. 5º, II), legítimo interesse está fora de cogitação. Nesses casos a base tem que ser consentimento específico ou outra hipótese do art. 11, nunca legítimo interesse puro.
Segurança e prevenção a fraude: aqui o legítimo interesse funciona
Câmera de segurança em loja, log de acesso a sistema, verificação antifraude em pagamento, análise de comportamento de rede pra detectar invasão: esses casos costumam ter legítimo interesse bem sustentado, porque a finalidade é concreta e o titular normalmente esperaria essa proteção existir.
Vale lembrar que proteção ao crédito tem base legal própria no art. 7º, X, então análise de score e histórico de pagamento não precisa forçar legítimo interesse, já tem previsão específica.
Os erros que anulam o legítimo interesse na prática
- Não documentar o teste de balanceamento antes de começar o tratamento, e sim depois de ser questionado
- Não oferecer opção clara de opt-out em cada comunicação
- Usar a base pra dado sensível
- Coletar mais dado do que a finalidade exige
- Nunca revisar a análise, mesmo quando o uso do dado muda de escopo com o tempo
Qualquer um desses pontos, isolado, já é suficiente pra ANPD desconsiderar a base legal alegada. E aí o tratamento vira ilegal retroativamente, com todas as consequências do art. 52: multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração.
O que fazer nas próximas duas semanas
Se sua empresa faz marketing direto, segurança patrimonial ou prevenção a fraude, dá pra organizar isso rápido:
- Listar todos os tratamentos de dado que hoje usam "legítimo interesse" sem documento nenhum por trás
- Pra cada um, escrever a resposta às três perguntas do teste de balanceamento em uma página
- Revisar se algum desses tratamentos envolve dado sensível, esse precisa migrar de base imediatamente
- Conferir se toda comunicação de marketing tem opt-out visível e funcional
- Se a empresa é micro, pequena ou startup, checar o regime simplificado da Resolução CD/ANPD 02/2022, que reduz a formalidade exigida sem eliminar a obrigação de ter critério
O encarregado (art. 41) é quem deveria puxar essa revisão. Se sua empresa ainda não nomeou um, formal ou informalmente, esse é o primeiro passo antes de qualquer outro ajuste.
Fale com um advogado da RSA.
Diagnóstico objetivo em até 24h úteis.
