Desde que iniciei minha jornada de estudos sobre a Lei Geral de Proteção de Dados, sempre tive a base legal do Consentimento como a “protagonista” dentre as bases dispostas na LGPD. Em que pese não haver hierarquia entre elas, cabendo ao Controlador a análise quanto ao cabimento em cada caso concreto, o Consentimento sempre foi o mais debatido, o que mais dúvidas suscitou e ainda suscita, a hipótese mais aventada dentre as bases para utilização. Ou seja, aquela base que sempre abria infinitas possibilidades de discussão.
De uns meses pra cá, e levando em consideração a análise acertada de muitos estudiosos do tema, penso que o Legítimo Interesse, embora não seja a base tratada como “protagonista”, e sim a mais polêmica, será, sem dúvidas, a que mais será utilizada para justificar o tratamento de dados pessoais no âmbito da Lei Geral de Proteção de Dados. Mas é preciso ter cuidado! Use com moderação!
Dispõe o “Art. 7º da LGPD: O tratamento de dados pessoais somente poderá ser realizado nas seguintes hipóteses:IX – quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais”.
O Legítimo Interesse se difere e muito das demais bases contidas na legislação, e talvez por isso, seja considerado tão polêmico. Esta base objetiva uma aplicabilidade mais ampla, de forma autorizar o tratamento àquelas situações cujo objetivo do tratamento não está expressamente delineado. Nesse caso, podemos exemplificar: o tratamento de dados para cumprimento de obrigação legal ou regulatória, fins perfectibilização e execução de contrato, dentre outras situações.
Muito embora essa base legal, de um lado pareça positiva, por se encaixar em inúmeras hipóteses para justificar o tratamento de dados pessoais, sua aplicação sem critérios que a justifique, pode trazer dores de cabeça ao controlador.
A Lei Geral de Proteção de Dados dispõe que o Legítimo Interesse do controlador somente estará amparado nos casos em que sua aplicabilidade notratamento de dados pessoais seja utilizado parafinalidades legítimas, de acordo com situações concretas, conforme previsão do Art. 10 da LGPD, que assim preceitua: “I – apoio e promoção de atividades do controlador; e II – proteção, em relação ao titular, do exercício regular de seus direitos ou prestação de serviços que o beneficiem, respeitadas as legítimas expectativas dele e os direitos e liberdades fundamentais, nos termos desta Lei”.
Da análise desta limitação, penso que acertou o legislador, quando impediu que a base legal do Legítimo Interesse, fosse utilizada de forma indiscriminada objetivando justificar o tratamento de dados pessoais em situações não definidas, o que abriria brechas interpretativas das mais variadas.
Nesse caso, o que se observa é que para a utilização adequada desta base pelo Controlador, este deverá ter um olhar atento e criterioso quando da necessidade de utilização do Legítimo Interesse para justificar o tratamento dos dados pessoais.
O Controlador, como figura responsável pela base de dados da companhia, deverá realizar uma análise ancorada na proporcionalidade entre o interesse que entende legitimar o tratamento dos dados, em cotejo com os direitos e liberdades dos titulares destes dados, lembrando sempre, que os direitos e liberdades dos titulares dos dados prevalecerão sobre o interesse legítimo do Controlador.
Esta análise, contudo, deve ser feita sempre de forma prévia ao tratamento de dados que o Controlador pretende, pontuando que, ao optar pela base legal do Legítimo Interesse, é importante também, que o Controlador elabore um Relatório de Impacto à Proteção de Dados.
O Relatório de Impacto à Proteção de Dados Pessoais, previsto no Artigo 5º, inciso XVII, da LGPD, não menciona de forma obejtiva ou expressa tal necessidade, entretanto, esta documentação do Controlador que dispõe sobre processos de tratamento de dados pessoais capazes de gerar riscos às liberdades civis e aos direitos fundamentais, medidas a serem adotadas em caso de incidentes de segurança, bem como mecanismos de mitigação de risco, são capazes de justificar a utilização da base do Legítimo Interesse pelo Controlador, uma vez que este relatório, pode embasar a análise de proporcionalidade executada pelo Controlador, entre o Legítimo Interesse de terceiro ou do controlador em face dos direitos e liberdades individuais dos titulares dos dados.
Outra informação importante acerca do Legítimo Interesse, é que esta base legal é inaplicável ao tratamento de dados pessoais sensíveis previstos nos “Art. 5º: dizem respeito a origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural”.
É válido mencionar também, a possível inaplicabilidade do Legítimo Interesse ao tratamento de dados de crianças e adolescentes, visto que o “Art. 14 dispõe: O tratamento de dados pessoais de crianças e de adolescentes deverá ser realizado em seu melhor interesse, nos termos deste artigo e da legislação pertinente.
Parágrafo 1º – O tratamento de dados pessoais de crianças deverá ser realizado com o consentimento específico e em destaque dado por pelo menos um dos pais ou pelo responsável legal.
Nesse caso, sempre que houver tratamento de dados envolvendo crianças e adolescentes existe a necessidade expressa de consentimento específico e destacado de ao menos um dos pais ou do responsáveis legais da criança, de modo a, assim como nos casos de tratamento de dados sensíveis, afastar a possibilidade de utilização da base legal do Legítimo Interesse.
Desse modo, o que se pode extrair desta análise, é que a aplicação do Legítimo Interesse como base legal apta a embasar o tratamento de dados pessoais, exigirá do Controlador a demonstração de que existe, de fato, equilíbrio entre o seu interesse e os direitos e liberdades dos titulares dos dados pessoais, de modo a justificar o tratamento pretendido, trazendo razões objetivas que demonstrem que tal tratamento de dados é necessário para que ele atinja a finalidade de seu négocio, mas que tal conduta não venha a ferir os direitos e garantias individuais do titular do dado pessoal.
Assim, entendo que ao Controlador caberá esse juízo minucioso de ponderação quanto à utilização ou não da base legal do Legítimo Interesse, pois o ônus de provar a finalidade e o uso desta base para justificar o tratamento de dados pessoais será todo seu.
