‍

Desde a criação da Lei Geral de Proteção de Dados (LGPD) em 14 de agosto de 2018, a comparação com a GDPR europeia foi inevitável, afinal a LGPD brasileira sofreu uma grande influência da lei congênere publicada pouco mais de dois anos antes na Europa. Enquanto a LGPD possuía dez bases legais para fundamentar o tratamento de dados pessoais, a GDPR possuía apenas seis bases legais.

A LGPD, em síntese, segue a mesma filosofia da GDPR com algumas diferenças, como o fato de antecedentes criminais serem considerados dado pessoal sensível para a Europa, mas não para a LGPD. Outro aspecto interessante é a LGPD ser silente quanto aos dados financeiros de indivíduos, já que tais dados não são considerados dados pessoais sensíveis. Sequer há qualquer menção destes como dados pessoais, com exceção da base legal da proteção ao crédito para o tratamento de dados pessoais. Aqui caberia a discussão se o dado financeiro poderia ser considerado ou não como um dado pessoal. Para tanto, valeria a definição de dado pessoal dada pela própria lei, como informação relacionada a uma pessoa natural identificada ou identificável.

Por outro lado, um aspecto da lei que sempre gerou muita controvérsia foi a base legal do legítimo interesse para justificar o tratamento de dados pessoais de indivíduos, dispensando a necessidade de obter seu consentimento prévio.

Existem questionamentos quanto à aplicabilidade da lei por parte da ANPD, devido à atuação da agência na fiscalização da lei ocorrer de forma reativa a alguma denúncia, sendo que o Brasil não possui a cultura de estímulo ao informante (whistleblower), ainda mais na área de proteção de dados pessoais. Apesar disso, é inegável o esforço valioso empreendido pela ANPD na construção de guias e manuais para orientar a sociedade e o mundo corporativo a se adequar de maneira apropriada ao cumprimento da LGPD. Dessa forma, a ANPD publicou, em fevereiro de 2024, um Guia Orientativo sobre o legítimo interesse, demonstrando a visão de seus gestores diante de alguns exemplos práticos, que serão explicitados a seguir.

‍

Exemplo 1 – Dados Pessoais de Saúde e Legítimo Interesse

No exemplo 1, a ANPD expõe o seguinte caso: Uma clínica médica coleta e armazena dados pessoais relativos à saúde de seus pacientes, incluindo histórico médico e resultados de exames. A clínica decide utilizar a hipótese legal do legítimo interesse para o tratamento desses dados, alegando que é necessário para fins de aprimoramento dos fluxos administrativos da clínica e melhoria dos serviços prestados.

Nesse exemplo, o processo é facilitado para os especialistas em privacidade e proteção de dados pessoais, mas não para o restante da sociedade. A facilidade ora referida ocorre em razão da base legal do legítimo interesse existir na lei apenas para fundamentar o tratamento de dados pessoais, mas não o tratamento de dados pessoais sensíveis, sendo que dados relativos à saúde de um indivíduo são considerados sensíveis. Assim, duas bases legais poderiam fundamentar esse tratamento: (i) o consentimento específico e de forma destacada de cada paciente ou (ii) sem o consentimento, mas justificando a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde ou serviços de saúde.

‍

Exemplo 2 – Dados Pessoais de Crianças e Adolescentes e Rede Wi-fi da Escola

No exemplo 2, a ANPD expõe o seguinte caso: Uma escola coleta dados pessoais de estudantes quando estes acessam a rede “wi-fi” disponibilizada no local. A coleta dos dados pessoais é efetuada com a finalidade de viabilizar o acesso à rede e de garantir a segurança das crianças e adolescentes no ambiente digital. A escola avalia se seria necessário obter o consentimento dos responsáveis legais ou se seria possível utilizar outra hipótese legal, como o legítimo interesse.

Neste caso, a ANPD entende que o legítimo interesse poderia justificar a coleta de tais dados pessoais de estudantes, em razão de visar a segurança dos titulares e a adequada autenticação na rede da escola de forma a impedir o acesso indevido a determinado conteúdo ou a identificar uma criança que acessou determinada página em horário específico. Entretanto, para confirmar a adequação do legítimo interesse e justificar tal coleta de dados, a ANPD complementa que é necessário avaliar se prevalecem o melhor interesse e os direitos fundamentais dos titulares crianças e adolescentes, o que pode ser feito por meio de um teste de balanceamento.

Nesse caso, significa dizer que a justificativa pelo legítimo interesse dispensa a necessidade do consentimento, que seria dado pelos responsáveis no caso de crianças e adolescentes. A LGPD excepciona ainda o tratamento de dados pessoais de crianças e adolescentes sem consentimento quando a coleta for necessária para contatar os pais ou o responsável legal, desde que utilizados uma única vez e sem armazenamento, ou necessária para proteção. E é justamente na questão da proteção que reside a incidência do legítimo interesse.

‍

Exemplo 3 – Uso de Dados de Crianças e Adolescentes para Publicidade

No exemplo 3, a ANPD expõe o seguinte caso: Uma startup do ramo educacional desenvolve um aplicativo para o ensino de geografia para crianças e adolescentes. Para sua execução, o app solicita informações como: nome de usuário, data de nascimento e endereço residencial. Durante a utilização do app, anúncios publicitários sobre alimentos ultraprocessados e com alto teor de açúcar são exibidos aos titulares. Na política de privacidade disponibilizada em sua página na internet, consta apenas a informação de que a hipótese legal utilizada é o legítimo interesse do controlador e que tais dados são utilizados para o aprimoramento do aplicativo.

Neste caso, a ANPD considera que a finalidade do tratamento de dados em questão envolve o direcionamento de publicidade para crianças e adolescentes. Consequentemente, a interpretação da agência é de que o legítimo interesse não será a hipótese legal mais apropriada, tendo em vista que não há legítima expectativa do titular quanto ao tratamento de seus dados pessoais para fins publicitários, inclusive porque nada é informado a respeito. A agência ressalta ainda o risco a saúde de crianças e adolescentes em razão de se tratarem de alimentos ultraprocessados e com alto teor de açúcar. Recomenda-se o teste de balanceamento, considerando que o mesmo demonstrará a impossibilidade de uso do legítimo interesse.

‍

Exemplo 4 – Câmera de Segurança em Shopping Center

No exemplo 4, a ANPD expõe o seguinte caso: Um shopping center pretende instalar câmeras a fim de proteger a segurança do local e inibir a prática de atos ilícitos. A hipótese legal fundamentada para a realização do tratamento dos dados pessoais coletados é o legítimo interesse. Previamente à instalação, foi verificado que também seriam tratados dados pessoais de crianças e adolescentes que frequentam o shopping. Tais informações poderiam ser utilizadas, por exemplo, quando necessário localizar crianças que se perderam dos pais. A equipe responsável realizou teste de balanceamento, no qual avaliou que o tratamento dos dados desses titulares seria compatível com o princípio do melhor interesse da criança. No entanto, recomendou a adoção de medidas de mitigação de risco, entre as quais o rígido controle de acesso aos vídeos, um prazo mais curto de armazenamento, a divulgação em pontos estratégicos do shopping de informações sobre o funcionamento das câmeras e a não utilização de tecnologias que

tratem as imagens a nível biométrico, levando assim ao tratamento de dados sensíveis. Além disso, em atenção ao princípio da necessidade, recomendou o judicioso planejamento de segurança, visando à redução do número de câmeras a serem instaladas.

Diante de todas as medidas de mitigação e considerando a segurança de todos, até de crianças e adolescentes, a ANPD considerou a hipótese perfeitamente cabível sob a base legal do legítimo interesse, sem a necessidade de consentimento, portanto, dos titulares de dados pessoais eventualmente filmados por tais câmeras. Entretanto, recomendou ainda a elaboração de um relatório de impacto à proteção de dados pessoais, considerando o alto risco que esse tratamento pode causar à garantia dos princípios gerais de proteção de dados pessoais e às liberdades civis e aos direitos fundamentais dos titulares.

‍

Exemplo 5 – Envio de Promoções de Livros e Produtos Culturais e Artísticos a Estudantes

No exemplo 5, a ANPD expõe o seguinte caso: Uma instituição de ensino superior privada encaminha a estudantes, professores e demais funcionários promoções e descontos referentes a livros e produtos culturais e artísticos de sua editora. As mensagens são encaminhadas por e-mail e notificações no aplicativo de celular da instituição. O tratamento dos dados pessoais foi realizado com amparo na hipótese legal do legítimo interesse. A Instituição entendeu que não encontrou forma menos intrusiva para realizar essas divulgações. Ainda, a fim de mitigar os riscos aos titulares, a instituição não compartilha os dados da sua base com terceiros, por entender ser desnecessária para a finalidade do tratamento no caso concreto, e prevê um mecanismo de descadastramento da lista de envios ao final dos e-mails ou no próprio aplicativo de celular.

A ANPD concorda com a utilização da base legal do legítimo interesse, na medida em que o tratamento dos dados pessoais é compatível com o ordenamento jurídico, atende a situações concretas e está vinculado a finalidades legítimas, específicas e explícitas. Além de que, por se tratar de um estabelecimento de ensino e editora, é razoável supor que a divulgação de livros e produtos culturais e artísticos faz parte do apoio e promoção da sua atividade institucional, e essa divulgação à comunidade acadêmica atende às legítimas expectativas dos titulares, com os quais possui uma relação prévia. Além disso, a finalidade dos descontos e abatimentos pode beneficiar os titulares de dados pessoais e a possibilidade de requerer a sua retirada da lista de envios mitiga eventuais riscos a esses titulares de dados pessoais.

‍

Exemplo 6 – Legítimo Interesse de Terceiro: Divulgação de Cursos de Idiomas

No exemplo 6, a ANPD expõe o seguinte caso: Uma Instituição de Ensino Superior (IES) particular oferece formação de ensino superior e pós-graduações. A IES possui cerca de 1.600 estudantes e 200 funcionários. Com base no legítimo interesse de terceiro e buscando potencializar a formação do corpo docente e seus técnicos administrativos, a instituição divulgou para os seus funcionários uma campanha promocional de uma escola de idiomas na qual terão 10% de desconto nas mensalidades de cursos de inglês e espanhol. Neste caso, a ação foi realizada apenas uma vez e com o propósito específico, porém a instituição promove campanhas dessa natureza para o incentivo ao aperfeiçoamento de seus colaboradores.

A ANPD entende perfeitamente cabível a justificativa com base no legítimo interesse de terceiros, ou seja, da escola de idiomas, visto que o apoio da IES é legítimo na busca da capacitação e benefício de seus funcionários, além de beneficiar o terceiro com a ampliação da sua quantidade de clientes. Mais uma vez, a ANPD recomenda nesse caso a realização do teste de balanceamento do legítimo interesse para permitir a transparência da sua implementação, assim como a possibilidade de descadastramento, caso o titular dos dados pessoais não queira mais receber esse tipo de mensagem.

‍

Exemplo 7 – Instalação de Software para Rastrear Atividades e Medir a Produtividade de Funcionários

No exemplo 7, a ANPD expõe o seguinte caso: Uma empresa utiliza a hipótese legal do legítimo interesse para justificar a utilização de software que rastreia as atividades dos empregados, incluindo o uso de webcam e o registro de tudo o que é digitado nos computadores da empresa. O objetivo da coleta é medir a produtividade dos funcionários e propiciar meios de identificação de compartilhamentos indevidos de informações de natureza confidencial.

Neste caso, a ANPD interpreta que a coleta de dados feita pelo software, incluindo imagens e textos, interfere de forma excessiva e desproporcional sobre os direitos e liberdades fundamentais dos titulares e contraria a sua legítima expectativa, mesmo que esta atividade possa ter sido previamente informada e conste da política de privacidade. Entende ainda a ANPD que os empregados estão em posição de maior vulnerabilidade em face de seu empregador, não possuindo meios efetivos de oposição ao tratamento. Portanto, tal iniciativa não poderia ser empreendida com fundamentação na base legal do legítimo interesse.

‍

Conclusão

Após a descrição de todos esses exemplos que, com efeito, ocorrem no dia a dia de indivíduos e empresas, resta parabenizar a ANPD pela iniciativa. Os exemplos foram muito bem escolhidos e certamente irão colaborar sobremaneira para empresas que estejam diante de situações idênticas ou similares aos casos apresentados.

É importante deixar claro que ainda que determinada situação não possa ser amparada pela base legal do legítimo interesse, existem as demais bases legais previstas na LGPD para justificar o respectivo tratamento de dados. Embora para uma empresa seja muito mais fácil tentar justificar o tratamento de dados pessoais pela base legal do legítimo interesse, dispensando o consentimento prévio do titular dos dados pessoais. Não obstante, como foi visto nos exemplos acima, nem sempre isso é possível.

‍