A introdução da Lei Geral de Proteção de Dados Pessoais (LGPD), nos cuidados aos quais as empresas brasileiras devem se atentar, trouxe diversos termos especiais: “dados sensíveis”, “controlador” e “consentimento” ganharam significados próprios e, entre eles, surgiu também a preocupação com o chamado “legítimo interesse”. Mas para que ele serve? O que é necessário para um interesse ser considerado legítimo? 

Nessa perspectiva, torna-se essencial compreender não só o significado de legítimo interesse, e sim como sua a aplicação de forma efetiva na LGPD é uma etapa fundamental na adequação à legislação, o que proporciona vantagens às empresas que sabem quando e como utilizá-lo. 

Em primeiro lugar, porém, é indispensável entender as bases legais da LGPD e como as mesmas impactam na definição e aplicação do legítimo interesse.

Como funciona a proteção de dados no Brasil?

A proteção de dados no Brasil está profundamente ligada à já mencionada Lei Geral de Proteção de Dados Pessoais (LGPD), em vigor no país desde 2020. Apesar disso, essa Lei, que trouxe a ideia de legítimo interesse, já havia sido aprovada em 2018. 

A LGPD foi em grande parte influenciada pelo Regulamento Geral de Proteção de Dados (ou GDPR), adotado na União Europeia, que também define como deve ser realizado o tratamento de dados pessoais por meio físico ou digital. 

Tal tratamento inclui toda ação envolvendo os dados pessoais de uma pessoa que fornece seus dados (o chamado “titular” dos dados), o que abrange desde o armazenamento até o uso efetivo dessas informações, o que também se aplica para o legítimo interesse. 

Apesar das empresas estarem excluídas do papel de titular dos dados pessoais, as mesmas podem ser consideradas controladoras ou operadoras dos dados de seus clientes e funcionários. No primeiro caso, representam quem define o que será feito com esse conhecimento, enquanto no segundo lidam com ele em nome de outra pessoa ou empresa. 

Outra das medidas criadas foi a fundação da Agência Nacional de Proteção de Dados (ANPD), uma autarquia especial que fiscaliza a adequação de empresas à LGPD. Por ser responsável pela definição de certos pré-requisitos vagos no texto da Lei, a Agência está muito próxima do legítimo interesse, conforme exploraremos adiante no artigo

Além da própria LGPD e da ANPD, é importante ressaltar que a própria Constituição Federal define como direito fundamental a privacidade. Dessa forma, a proteção de dados pessoais é um motivo de precaução legal de várias maneiras, e compreender o legítimo interesse é uma tranquilidade a mais para o seu negócio.

Dados pessoais e sensíveis são a mesma coisa?

Apesar de serem ambos temas tratados pela LGPD, dados pessoais e dados sensíveis são muito distintos entre si. Os sensíveis são informações que podem causar constrangimento ou que estão relacionadas a questões íntimas, como:

• identidade racial;
• opção religiosa;
• preferência política;
• fatos de saúde;
• orientação sexual;
• informação biométrica. 

Já os dados pessoais são todos aqueles que permitem identificar uma pessoa viva de forma direta ou indireta, como seu CPF ou as postagens que curte em redes sociais. Essa diferenciação é fundamental ao tratar do legítimo interesse, já que este é uma base legal somente para os dados pessoais, e não para os sensíveis. 

O legítimo interesse é uma “base legal”?

Um dos principais motivos para a relevância que a LGPD atingiu nos últimos anos está ligado às consequências geradas pelo seu desrespeito: em especial, as pesadas multas, que podem atingir valores milionários. Essas penalidades são dirigidas àqueles que não seguem os devidos procedimentos de tratamento de dados (artigos 52, 53 e 54 da Lei).  

Justamente devido a essas ameaças, adequar-se à LGPD do modo mais seguro possível, sem dispensar as etapas de onboarding, mapeamento, regularização e treinamento de equipe, não serve apenas como uma garantia de segurança para clientes, mas para o empreendimento como um todo, o que abrange o legítimo interesse.  

No entanto, além do devido processo de tratamento dos dados, antes de tudo, é necessário ter uma justificativa suficientemente razoável, dentro do que legisla a LGPD, para que essas informações estejam sendo processadas. Tais motivações são as chamadas “bases legais da LGPD”, sendo o legítimo interesse uma delas. 

As bases legais da LGPD para o tratamento de dados pessoais, as quais não possuem uma hierarquia entre si, estão dispostas no artigo 7° da LGPD, correspondendo:

• ao consentimento do titular;
• ao cumprimento de obrigação legal;
• à execução de políticas públicas (para a administração pública);
• à realização de estudos e pesquisas;
• à necessidade de execução de contrato;
• ao exercício regular de direitos em processo judicial, administrativo ou arbitral;
• à proteção da vida ou da integridade física;
• à tutela da saúde (pelos profissionais adequados);
• ao legítimo interesse; 
• à proteção do crédito. 

É aqui, portanto, que se encontra o legítimo interesse, o qual pode se estender, além do controlador, a um terceiro, porém tais casos não são mais profundamente explorados pela LGPD, restando à ANPD definir quanto à essa possibilidade. 

De qualquer modo, o legítimo interesse, mesmo nos casos previamente estabelecidos pela LGPD, está em grande parte associado a casos concretos, logo não podemos separá-lo do contexto em que é utilizado. 

Qualquer interesse é legítimo, então? 

Apesar de sua conexão com situações práticas, o legítimo interesse tem outras condições legais. Já que não está nem acima, nem abaixo do consentimento como base legal, torna-se um assunto bastante delicado. 

As suas principais exigências são encontradas no artigo 10 da LGPD, o qual é iniciado reforçando a necessidade de existência de finalidades legítimas para que a opção pelo legítimo interesse seja feita. Os cenários utilizados como exemplo pela LGPD são os de:

• apoio e promoção de atividades do controlador;
• proteção do exercício regular de direitos do titular;
• prestação de serviço que beneficie o titular.

No último caso, são ressalvados os direitos e liberdades fundamentais do titular, enfatizando o respeito às suas expectativas. Além disso, é salientada a exigência de tratamento dos dados estritamente necessários, e nenhum a mais.

É garantida, ainda, a transparência ao longo desse processamento para que o legítimo interesse não se torne abusivo. Outra previsão é de que a ANPD poderá exigir a entrega de um relatório, chamado Relatório de Impacto à Proteção de Dados Pessoais. 

O legítimo interesse é uma alternativa bastante flexível por natureza e dependente de interpretação, mas, como colocado até aqui, ele não é ilimitado. Mais uma de suas regras está no artigo 37 da LGPD, que define a obrigação de manter um registro de todos os dados tratados através do legítimo interesse por parte do controlador e do operador. 

Mas e o legítimo interesse na prática? 

Apesar de todos os deveres legais até agora mencionados, aplicar o legítimo interesse pode ser bastante simples, e muitas vezes é praticado sem que se perceba. Isso fica especialmente explícito em algumas situações concretas. 

Considere, por exemplo, uma empresa que faz uso de um website para promover e vender os seus produtos. Como forma de melhorar o design da sua plataforma, essa empresa decide coletar a quantidade e o local de cliques dados pelos seus visitantes. 

Um cenário como esse pode gerar dúvidas à primeira vista quanto à sua legalidade. Se eu não consenti para que esses dados fossem coletados, a minha privacidade está sendo invadida? O legítimo interesse sugere que não. 

O motivo disso é que o legítimo interesse, como explicado anteriormente, está associado a finalidades legítimas. No caso em questão, podem-se identificar, inclusive, duas das hipóteses encontradas no artigo 10 da LGPD. 

Isso porque o tratamento dos cliques não apenas serve para promover os serviços prestados pela empresa, como poderá beneficiar os titulares cujos cliques serão analisados para oferecer a melhor experiência possível no website. Portanto, tem-se um interesse legítimo.

Outra circunstância viável de utilização do legítimo interesse está na realização de pesquisas sobre o bem-estar dos funcionários de uma empresa. Similarmente ao caso anterior, os titulares dos dados analisados se beneficiarão com a criação de políticas voltadas ao seu ambiente de trabalho, e a empresa, como controladora, terá as suas atividades promovidas com o aumento de produtividade. 

E agora, como trazer o legítimo interesse para a minha empresa? 

Como reportado até o momento, existem certas regras bem-definidas pela LGPD, enquanto outras são mais vagas, tendo a ANPD liberdade para tratar desses casos da maneira que julgar mais adequada. O legítimo interesse se encaixa nessa segunda situação de diversas formas. 

É possível, sim, inspirar-se no exterior para adequar o seu negócio no Brasil. No caso do legítimo interesse, seguir a Legitimate Interests Assessment (LIA) como um exemplo seguro de registro é uma alternativa.

De qualquer modo, adequar o seu negócio aos diversos contextos proporcionados pelo legítimo interesse muitas vezes envolve pesquisas diversas, envolvendo casos brasileiros e internacionais. Assim como a LGPD em sua totalidade, confiar numa consultoria jurídica personalizada é uma opção que pode proporcionar mais tranquilidade para o empreendedor.