Qual Base Legal é Mais Apropriada para Cada Tratamento de Dados?

A LGPD estabelece diretrizes para o tratamento de dados pessoais no Brasil, seja para coleta, armazenamento, uso, compartilhamento ou eliminação e um dos pilares é a exigência de que todo tratamento seja fundamentado em uma base legal.

Isso significa que não basta apenas querer tratar os dados, é preciso ter um fundamento jurídico claro que autorize esse tratamento.

Fundamento

As bases legais são hipóteses previstas na LGPD que legitimam o tratamento de dados pessoais. A lei lista dez bases legais para dados pessoais e oito bases legais para dados sensíveis.

A escolha da base legal correta depende de fatores como o contexto do tratamento, dos interesses envolvidos, da natureza dos dados e da relação entre o titular e o controlador.

As 10 Bases Legais da LGPD para Dados Pessoais Comuns

1. Consentimento (Art. 7º, I)

Utilizado principalmente quando o titular precisa ter controle sobre o uso de seus dados, como por exemplo para receber newsletter ou campanhas de marketing. O consentimento deve ser livre, informado e inequívoco e pode ser revogado a qualquer tempo pelo titular. Quando não há o devido consentimento, caso o titular passe a receber e-mails sem autorização, este é considerado spam pelo uso indevido de dados.  

A base legal do consentimento deve ser utilizada nos casos em que nenhuma outra mais específica se adequar, isso porque o consentimento pode ser revogado a qualquer tempo, sendo mais frágil juridicamente e mais difícil de administrar.  

‍2. Cumprimento de obrigação legal ou regulatória (Art. 7º, II)

Utilizado quando a empresa é obrigada por lei a tratar determinados dados, como ocorre com informações enviadas à Receita Federal, emissão de notas fiscais e registros trabalhistas para admissão, pagamento de salário, recolhimento de FGTS e INSS.

É necessário comprovar qual lei ou regulamento exige aquele tratamento de dados, tratar apenas os dados específicos e obrigatórios e manter os documentos sempre atualizados.

3. Execução de políticas públicas (Art. 7º, III)

Utilizado por órgãos públicos ou entidades privadas que atuem em cooperação com o poder público para execução de políticas públicas previstas em lei ou regulamento. É o caso de programas de vacinação, censo demográfico, cadastro único ou educação pública. O tratamento deve se limitar exclusivamente à política pública, não podendo haver excessos ou desvio de finalidade.  

4. Realização de estudos por órgão de pesquisa (Art. 7º, IV)

Utilizado para pesquisas que garantam, sempre que possível, a anonimização dos dados, podendo se tratar de dados comuns ou sensíveis, como pesquisas acadêmicas sobre a prevalência de doenças crônicas, por exemplo, ou estudos de mercado por universidades. Deve ter o objetivo legítimo da pesquisa, não podendo ser utilizado para fins comerciais discriminatórios ou abusivos.  

5. Execução de contrato ou de procedimentos preliminares (Art. 7º, V)

Utilizado para viabilizar contratos com o titular, como quando é necessário cadastro para compra online ou para elaboração de proposta comercial.

6. Exercício regular de direitos em processo judicial, administrativo ou arbitral (Art. 7º, VI)

Utilizado para se defender ou garantir direitos legais, sendo o exemplo mais clássico o uso de dados de ponto eletrônico como prova em um eventual processo judicial trabalhista.  

Os dados devem ser armazenados apenas pelo tempo necessário para atingir sua finalidade, como por exemplo o prazo prescricional processual, devendo ser eliminados caso não haja outra base legal, já determinada desde o início do tratamento, que justifique que seja mantido, uma vez que um mesmo dado pode ser tratado com mais de uma base legal.

7. Proteção da vida ou da incolumidade física (Art. 7º, VII)

Utilizado em situações emergenciais que envolvem risco à vida ou saúde, como em caso de acidente em que uma escola deve compartilhar os dados médicos da criança ferida, como alergias e remédios de uso contínuo, com o serviço de emergência.  

8. Tutela da saúde (Art. 7º, VIII)

Utilizado exclusivamente por profissionais ou serviços da área da saúde em hospitais, clínicas, operadoras de plano de saúde ou autoridades sanitárias. As medidas de segurança devem ser reforçadas considerando a alta quantidade de dados sensíveis que são tratados.  

9. Interesse legítimo do controlador (Art. 7º, IX)

Utilizado quando há um interesse real da empresa, sem violar os direitos do titular, como é o caso da prevenção à fraude e segurança da informação. O interesse legítimo exige análise de balanceamento entre o interesse da empresa e os direitos do titular.

Para utilizar essa base legal o controlador deve realizar uma análise do interesse legítimo (LIA) documentando o interesse pretendido, a necessidade do tratamento e como os direitos dos titulares são protegidos.

10. Proteção do crédito (Art. 7º, X)

Utilizado para fins de análise e concessão de crédito pelos bancos e Serasa ao titular, uma vez que é necessário realizar esta análise para identificar devedores e bons credores.  

As 8 Bases Legais para Dados Pessoais Sensíveis (Art. 11)

Dados sensíveis exigem cuidados redobrados, por isso nem todas as bases legais usadas para o tratamento de dados comuns podem ser utilizadas, como é o caso do legítimo interesse, por ser um base legal mais flexível e mais difícil de ser controlada. Por isso, as bases legais permitidas pela LGPD para tratamento de dados sensíveis são:  

1. Consentimento específico e destacado.

2. Cumprimento de obrigação legal.

3. Tratamento pela administração pública.

4. Estudos por órgãos de pesquisa (com anonimização).

5. Exercício regular de direitos.

6. Proteção da vida.

7. Tutela da saúde (por profissionais de saúde).

8. Prevenção à fraude e segurança do titular.

As Bases Legais na Ecomply

A Ecomply simplifica todos os processos que levam a uma adequação completa e eficaz, viabilizando a gestão completa dos tratamentos de dados de uma organização e suas respectivas bases legais. O sistema permite que o histórico de todas as bases legais fique documentado, garantindo segurança jurídica para eventuais comprovações de conformidade.  

O sistema ainda possui a funcionalidade Avaliação do Legítimo Interesse que auxilia a definir se a base legal legítimo interesse é adequada no tratamento de dado comum em análise, considerando sua complexidade de ser categorizada e a ponderação dos direitos do titular bem como os interesses da empresa.

Além disso, o sistema conta com atualizações constantes, garantindo que o tratamento seja feito sempre em conformidade com as novas disposições legais.

Confira como é feito o tratamento de dados, a escolha das bases legais e muito mais de forma eficaz e rápida e proteja devidamente os dados de seus clientes e colaboradores.  

Como escolher a base legal correta?

Passo a passo prático:

1. Identifique o dado: pessoal ou sensível?

2. Avalie o contexto: qual a finalidade do tratamento?

3. Verifique a relação com o titular: há contrato? Interesse legítimo? Obrigação legal?

4. Escolha a base legal mais adequada: sempre opte pela mais segura, justificável e específica.  

5. Documente a escolha: registre a base legal definida no Registro de Operações de Tratamento (ROPA).

6. Evite o uso indevido do consentimento: use apenas quando for realmente necessário, caso haja uma base legal mais recomendada deve-se utilizá-la antes ao consentimento.  

Conclusão

A correta aplicação das bases legais da LGPD é essencial para garantir a conformidade jurídica e a proteção dos direitos dos titulares, mais do que uma obrigação é uma estratégia de governança e confiança.  

Cada base legal deve ser utilizada com responsabilidade, transparência e cumprindo a sua finalidade, sendo importante manter um respaldo documental que comprove a escolha feita para eventuais auditorias.  

Garanta a conformidade de excelência com ECOMPLY e certifique que as bases legais dos tratamentos de dados de sua organização estejam sempre apropriadas.