O legítimo interesse na visão da ANPD
No dia 2 de fevereiro, na semana de comemoração do Dia Internacional de Proteção de Dados, a Autoridade Nacional de Proteção de Dados (ANPD) divulgou o seu tão aguardado Guia Orientativo das Hipótese Legais de Tratamento de Dados, focado primordialmente na base legal do legítimo interesse. A relevância de referido documento tem uma razão simples: não há empresa que não utilize o legítimo interesse para pautar ao menos uma de suas atividades de tratamento de dados pessoais.
Antes de se adentrar nas orientações trazidas pela ANPD a respeito do legítimo interesse, é importante reforçar um ponto que ainda suscita controvérsias desnecessárias: o consentimento do titular de dados nem sempre é necessário para que órgãos públicos e organizações da iniciativa privada possam coletar, armazenar, compartilhar, utilizar ou de outra forma tratar as suas informações pessoais.
A Lei Geral de Proteção de Dados Pessoais (LGPD) em momento algum estipula que o consentimento é fundamental para o tratamento de dados pessoais. Pelo contrário: a legislação disponibiliza, além do consentimento, outras 9 bases legais para o tratamento de dados não sensíveis e 7 hipóteses para o tratamento de informações sensíveis, e não cria qualquer forma de hierarquia entre elas. Nem mesmo para a coleta de dados de crianças e adolescentes se exige, em todos os casos, o consentimento dos pais ou representantes legais, conforme já reconhecido pela ANPD no seu Enunciado nº 1, de 22 de maio de 2023.
Dentre as bases legais para o tratamento de dados não sensíveis está o legítimo interesse, que, como mencionado acima, é na prática usado por toda e qualquer organização, salvo raríssimas exceções. Um exemplo cotidiano: se você, sócio ou empregado de uma empresa, recebe um e-mail de um representante de outra organização privada, a coleta e armazenamento dos dados de contato dessa pessoa (incluindo o seu nome, telefone e endereço de e-mail) serão provavelmente pautadas no legítimo interesse da sua organização ou do remetente.
A utilização de câmeras de vigilância, realização de campanhas de marketing direto ou análise das suas redes internas para fins de segurança da sua infraestrutura de tecnologia da informação são outros exemplos de operações de tratamento de dados pessoais que potencialmente serão realizadas com suporte no legítimo interesse. São situações corriqueiras, comuns e, em muitos casos, que trazem poucos riscos aos titulares de dados envolvidos.
A visão externada pela ANPD no Guia Orientativo vai, em linhas gerais, ao encontro de interpretações que já eram debatidas pelo mercado, de que o legítimo interesse não é uma carta branca que admite o tratamento de dados pessoais em qualquer cenário, sendo necessário observar os requisitos estipulados pela legislação antes da sua adoção.
Há um aspecto, porém, que merece atenção: o Guia Orientativo cria uma obrigação
documental não prevista expressamente na LGPD, de que controladores de dados elaborem um teste de balanceamento previamente à escolha do legítimo interesse para pautar uma atividade de tratamento de dados pessoais.
Essa interpretação trará um ônus burocrático adicional para as empresas, que precisarão documentar a realização do teste de balanceamento de todas as suas atividades de tratamento pautadas no legítimo interesse, uma a uma (haja vista que o teste precisa ser feito por operação de tratamento, e não de forma global e abrangente).
Para grandes organizações, que realizam incontáveis operações de tratamento, isso resultará na necessidade de elaboração de centenas de documentos. Embora o intuito por trás da elaboração de um teste de balanceamento seja salutar, impor a sua elaboração para toda e qualquer atividade de tratamento que seja pautada no legítimo interesse, mesmo aquelas de baixo risco, pode gerar um entrave significativo, especialmente para pequenas e médias empresas.
A escolha da ANPD de prever a obrigatoriedade da condução do teste de balanceamento em Guia Orientativo é curiosa. Como se extrai do seu próprio nome, respectivo instrumento serve primordialmente para orientar boas práticas, não para impor obrigações concretas, especialmente quando a Autoridade poderia se valer da edição de resolução ou de enunciado para tanto, na forma do artigo 51, I e II, do seu Regimento Interno.
De qualquer forma, a mensagem é cristalina: em caso de fiscalização por parte da Autoridade, a ausência de teste de balanceamento antes da adoção do legítimo interesse será vista como violação ao princípio da responsabilização e prestação de contas, previsto no artigo 6º, X, da LGPD, e eventualmente a outros dispositivos da legislação. Racional idêntico será potencialmente aplicado para a adoção da base legal de prevenção à fraude e à segurança do titular, mencionada expressamente no Guia Orientativo pela ANPD como hipótese que também demanda a elaboração prévia de teste de balanceamento.
Com a divulgação dessa orientação por parte da Autoridade, não há mais para onde correr. As organizações que usam o legítimo interesse como base legal para o tratamento de dados pessoais devem focar seus esforços na condução e documentação de testes de balanceamento, sob pena de ampliarem significativamente os riscos de exposição a sanções por infrações à LGPD. Entre a opção de perder até 2% do faturamento ou realizar registros internos da avaliação feita para adoção do legítimo interesse, a segunda parece ser bem menos prejudicial.
Este artigo foi escrito por nosso sócio Felipe Palhares, da área de Proteção de Dados e Cybersecurity. A publicação foi veiculada no Valor Econômico, no dia 22/02/2024, clique aqui e confira.
