Guia do legítimo interesse: orientações da ANPD

por Eduarda Costa Almeida e Pedro Henrique Santos

A ANPD publicou, no início de fevereiro, o Guia Orientativo de Hipóteses legais de tratamento de dados pessoais do Legítimo Interesse (LI). O Guia busca apresentar definições e parâmetros para se interpretar os conceitos-chave relacionados à base legal. Vamos ficar por dentro dos principais temas relacionados à aplicação do LI? 

• Um passo muito importante

Conhecido por ser uma base legal versátil, o legítimo interesse (LI) é uma opção comum para os controladores de diversas organizações. Contudo, sua utilização depende de uma análise entre as garantias e direitos fundamentais dos titulares e o interesse do controlador ou de terceiros, algo que não é simples em muitos casos. 

Nesse sentido, o “Guia: Hipóteses legais de tratamento de dados pessoais legítimo interesse” lançado no início fevereiro de 2024 pela Autoridade Nacional de Proteção de Dados (ANPD) é um passo importante no esclarecimento acerca dessa base legal tão importante.

Antes de seu lançamento, o guia recebeu contribuições de diferentes agentes na consulta pública aberta entre 16 de agosto a 15 de setembro de 2023. Dentre as contribuições, está a da Data Privacy Brasil. Embora este seja o primeiro material publicado pela autoridade com esse tema em específico, interpretações acerca do legítimo interesse já foram publicadas em outras ocasiões. Como destaque, a 1ª sanção da autoridade, o guia orientativo sobre proteção de dados e eleições e a Nota Técnica que analisou o tratamento de dados do TikTok integram alguns exemplos. Essa multiplicidade de fontes já foi até reunida por nós em uma edição do relatório de inteligência. 

Mesmo que o legítimo interesse seja um tema bastante abordado pela autoridade, a publicação do guia deve auxiliar todos aqueles que tratam dados pessoais, diminuindo dúvidas e indicando caminhos viáveis em prol da adequação à LGPD. Vamos conferir os destaques do Guia? 

• Adentrando o guia

De acordo com o Guia, o LI é uma hipótese legal que autoriza o tratamento de dados pessoais não sensíveis sempre que (i) o controlador demonstrar haver interesses legítimos próprios ou de terceiros no tratamento e (ii) esses interesses não violarem direitos e liberdades fundamentais do titular.  Por isso, na aplicação dessa hipótese legal, é necessário que seja feita uma análise para que o controlador avalie se o tratamento que ele pretende realizar atende esses dois requisitos. 

O Guia busca esclarecer conceitos importantes para a incidência do LI  nos casos concretos. Desses conceitos, vamos destacar 5 pontos de atenção basilares para determinar a aplicabilidade dessa hipótese legal:

1. identificar a natureza dos dados tratados, 
2. demonstrar o interesse legítimo do controlador ou de terceiros, 
3. avaliar o impacto a direitos e liberdades fundamentais, 
4. contrastar o legítimo interesse com a legítima expectativa do titular, e 
5. avaliar a aderência aos princípios da necessidade, transparência e prestação de contas.

a. Natureza dos dados tratados

De acordo com o guia,o LI autoriza o tratamento de dados pessoais não sensíveis, isso quer dizer que dados sensíveis, ainda que por inferência, são um impedimento absoluto ao uso da hipótese.

No caso de dados não sensíveis de crianças e adolescentes é possível que o tratamento ocorra com base no LI desde que  se registre um teste de balanceamento com informações adicionais e se avalie e considere prioritariamente o melhor interesse da criança e do adolescente. 

Isso quer dizer que o controlador deve elaborar um teste de balanceamento que explicite três informações para além dos requisitos padrões do teste. São eles:

• o que foi considerado como o melhor interesse da criança ou do adolescente;
• quais critérios de ponderação entre os direitos dos titulares e o interesse legítimo do controlador ou de terceiro; e 
• elementos que demonstrem o não acarretamento de riscos ou impactos desproporcionais e excessivos, considerando a condição da criança e do adolescente. 

Ainda, o melhor interesse deve ser considerado elemento prioritário de análise, de forma que a sua prevalência seja suficiente para justificar não ser possível realizar o tratamento com base no LI. Se o teste de balanceamento for inconclusivo ou se não forem identificadas medidas de segurança e de mitigação de risco adequadas à hipótese, o tratamento não deve ser feito.

O delineamento desses parâmetros para o uso do LI foi uma das recomendações feitas pela Data Privacy Brasil e atendidas pela ANPD. Por meio da Consulta Pública, a Data indicou que, diante da condição peculiar de desenvolvimento dos titulares em questão, é necessário adotar uma postura mais prescritiva sobre o tratamento de dados de titulares crianças e adolescentes. Isso quer dizer que a ANPD deveria fornecer orientações diretas e claras a serem cumpridas, como as indicadas pela Data e acolhidas pela Autoridade.

b. Interesse legítimo do controlador ou de terceiros

Um interesse legítimo depende da comprovação de: 

• compatibilidade com o ordenamento jurídico, ou seja, da inexistência de normas que vedem o tratamento; 
• lastro em situações concretas, não sendo possível que o tratamento seja genérico ou especulativo; e 
• vinculação a finalidades legítimas, específicas e explícitas.

Dessa forma, as finalidades devem ser descritas de forma clara, precisa e devem viabilizar a ponderação de interesses.

Para além do interesse do controlador de dados, essa hipótese pode fundamentar o tratamento de dados de qualquer outra pessoa diferente do controlador. Nesse sentido, a ANPD destaca a possibilidade de se atender um interesse da coletividade, abrangendo, inclusive, interesses de toda a sociedade. Quando o tratamento for justificado em interesse de terceiro, a Autoridade informa que há grau diferente de risco no tratamento, que exige um ônus argumentativo aumentado para definir a concretude do interesse desse terceiro.

c. Impacto a direitos e liberdades fundamentais

Nos casos em que dados pessoais forem tratados com base no LI, é fundamental que o controlador avalie a proporcionalidade do tratamento em relação a como o titular será afetado. Isso porque é pressuposto dessa hipótese que o controlador identifique e mitigue os riscos aos direitos e liberdades fundamentais dos titulares.

O teste de balanceamento é a ferramenta adequada para se realizar essa ponderação, já que tem como objetivo avaliar, de forma mais acurada, se os impactos causados são proporcionais e compatíveis com esses direitos e quais salvaguardas devem ser adotadas no caso concreto. 

Elaborando um pouco sobre o que seriam esses impactos, a ANPD destaca que o ponto chave é a consideração da autodeterminação informativa. Esse conceito garante o protagonismo do titular no uso de seus dados pessoais e cria obrigações para que os controladores atuem de maneira responsável. Nesse sentido, qualquer tratamento baseado no LI deve garantir que o titular conheça e participe das decisões referentes ao tratamento de seus dados, incluindo a possibilidade efetiva de se opor ao tratamento, quando esse contrariar o disposto na LGPD.

d. Legítimo interesse e legítima expectativa do titular

O tratamento fundado no LI deve respeitar as legítimas expectativas dos titulares. Isso quer dizer que o controlador deve demonstrar concretamente que o tratamento é razoavelmente esperado pelos titulares.

Para a Autoridade, a análise da legítima expectativa deve ser baseada em fatores como, no mínimo:

1. a existência de uma relação prévia do controlador com o titular;
2. a fonte e a forma da coleta dos dados, isto é, se a coleta foi realizada diretamente pelo controlador, se os dados foram compartilhados por terceiros ou coletados de fontes públicas; 
3. o contexto e o período de coleta dos dados; e
4. A finalidade pretendida da coleta dos dados e a sua compatibilidade com o tratamento baseado no legítimo interesse.

Seguindo as recomendações da Data, a ANPD buscou deixar explícita a relação imbricada entre a legítima expectativa e o princípio da boa-fé. A boa-fé conecta a legítima expectativa ao legítimo interesse na medida em que exige que os controladores assumam uma conduta de lealdade e cuidado com o titular, de forma que suas legítimas expectativas sejam respeitadas. Essa relação dá origem a outros critérios que auxiliam na concretização da legítima expectativa, são eles: 

• Intrusividade do tratamento
• Existência de mecanismos de exercício de direitos.
• Transparência como condição para o titular poder avaliar se o tratamento atende às suas legítimas expectativas.

Destes, a autoridade reforça que a transparência assume papel de condição para que o titular possa avaliar se o tratamento atende às suas legítimas expectativas. A partir de uma avaliação própria, o titular poderá considerar se o tratamento está ou não dentro de suas expectativas e, com isso, deve ser capaz de usar ferramentas do controlador para exercer seus direitos.

e. Aderência aos princípios da necessidade, transparência e prestação de contas

O LI também tensiona diversos outros conceitos da LGPD. A Autoridade reforçou o dever de observância do princípio da necessidade e a conexão entre seu sentido estrito e amplo, com destaque para o sentido amplo.

• Estrito: só os dados estritamente necessários para a finalidade 
• Amplo: Avaliação holística daquela atividade de tratamento e se há outras formas menos intrusivas e proporcionais para atingir a finalidade.

A transparência é entendida como princípio que garante o controle social em relação ao tratamento realizado, de forma que, a partir da disponibilização de informações mínimas, seja possível avaliar a conformidade do tratamento realizado.

Ainda, a ANPD entende o dever de registro, inclusive do teste de balanceamento, como uma forma de materializar a responsabilização e prestação de contas. Isso reforça a obrigação de elaborar documentos que demonstrem a conformidade do tratamento com a LGPD, inclusive por meio do teste de balanceamento e o Registro das Operações de Tratamento, indicado no art. 37, da LGPD.

• Principais pontos da contribuição da Data incorporados

• Boa fé 

Contribuição Data: abordamos de forma explícita a relação entre boa-fé e legítimas expectativas com menção a outros critérios que ajudam a concretizá-las a partir dessa relação.

Guia publicado:  A relação entre boa fé e legítimo interesse é mencionada junto com os critérios para concretizar melhor as legítimas expectativas. 

• Legítimo Interesse de terceiro

Contribuição Data: Argumentamos que o interesse do terceiro tem riscos distintos do interesse do controlador, razão pela qual seria preciso argumentar a concretude desse interesse. 

Guia publicado: foi reafirmando que não existem diferenças entre o interesse de terceiro e o do controlador no que tange aos requisitos do legítimo interesse. Contudo, a autoridade afirma que os riscos entre os interesses são distintos e, por conta disso, existe um ônus argumentativo aumentado quando se trata do interesse de um terceiro. 

• Dever de documentação e accountability

Contribuição Data: mostramos como o registro de atividades de tratamento é uma forma de cumprir com o princípio de responsabilização e prestação de contas, possibilitando a avaliação de conformidade feita pela ANPD. 

Guia publicado: além de ser uma forma de cumprir com o princípio da prestação de contas, a autoridade afirmou que o registro de atividades de tratamento também é uma forma de cumprir com o princípio da transparência.

• Teste de balanceamento no caso de crianças e adolescentes

Contribuição Data: no caso de aplicação do legítimo interesse para crianças e adolescentes, se o resultado do teste de balanceamento for inconclusivo, outra base legal deve ser adotada.

Guia publicado: O trecho foi adotado de forma integral. 

• Considerações finais

O Guia publicado pela ANPD também apresenta um modelo de teste do legítimo interesse simplificado que pode auxiliar os agentes de tratamento.

Ao mesmo tempo, o Guia apresenta interpretações relevantes para a aplicabilidade desta base legal de forma objetiva e concisa, algo de enorme relevância uma vez que o LI permite uma elasticidade maior aos casos de sua incidência se comparada com as outras hipóteses do art. 7º da LGPD. 

Muitas outras reflexões podem surgir a partir do Guia, por isso recomendamos que você acesse nossa Consulta Pública sobre o Guia, elaborada quando o Guia ainda era um Estudo Preliminar sobre o LI, mas que já apresenta recomendações seguidas pela ANPD e aprofunda alguns conceitos. Também recomendamos assistir ao Giro Regulatório sobre o tema onde  apresentamos, nossa análise em primeira mão ao Guia, confira já!