Bases legais · a coluna vertebral da LGPD.
Todo tratamento de dados pessoais pela Lei 13.709/18 precisa de uma base legal explícita. O Art. 7º lista 10 pra dados comuns; o Art. 11 lista 5 pra dados sensíveis. Consentimento é só uma delas · a maioria das operações comerciais se sustenta em outras.
As 10 bases do Art. 7º · dados comuns.
A hierarquia prática das bases legais não segue a ordem numérica. Prefira execução de contrato (V) · obrigação legal (II) · legítimo interesse (IX) com LIA · consentimento (I) como último recurso. Bases III, IV, VI, VII, VIII, X são específicas e não servem pra operações comerciais comuns.
- Consentimento (I) · manifestação livre, informada e inequívoca · revogável a qualquer momento · específica por finalidade
- Obrigação legal (II) · cumprimento de lei/regulação · ex: CLT, CTN, PLD
- Administração pública (III) · políticas públicas em lei · raramente se aplica a empresa privada
- Estudos por órgão de pesquisa (IV) · anonimização obrigatória sempre que possível
- Execução de contrato (V) · contrato ou procedimentos preliminares · base principal em e-commerce e SaaS
- Exercício de direitos (VI) · processo judicial, arbitral, administrativo
- Proteção da vida (VII) · incolumidade física · emergências médicas
- Tutela de saúde (VIII) · exclusivo pra profissionais de saúde/autoridade sanitária
- Legítimo interesse (IX) · exige LIA documentado · antifraude, prevenção, segurança
- Proteção do crédito (X) · bureau de crédito · SCR · Score
As 5 bases do Art. 11 · dados sensíveis.
Dados sensíveis (origem racial, convicção religiosa, opinião política, saúde, orientação sexual, biometria, filiação sindical) têm regime mais rigoroso. Art. 11 limita a 5 bases legais mais estritas:
- Consentimento específico e destacado · não pode estar em bloco com outros tratamentos
- Obrigação legal/regulatória do controlador
- Administração pública · execução de políticas
- Estudos por órgão de pesquisa · anonimização sempre que possível
- Exercício regular de direitos em processo ou proteção da vida
LIA · legítimo interesse documentado.
O Teste de Legítimo Interesse (LIA, Legitimate Interest Assessment) é exigência prática da ANPD pra validar base Art. 7º IX. Sem LIA documentado, legítimo interesse não prevalece em fiscalização. Estrutura mínima do LIA tem 3 fases:
Interesse é específico, real e atual? Exemplo: antifraude em e-commerce = legítimo. "Marketing em geral" = vago demais.
Não há alternativa menos invasiva? Poderia usar base diferente (consentimento, contrato)? Minimização Art. 6º III.
Interesse do controlador × direitos do titular. Expectativa razoável do titular? Proteções técnicas (opt-out, anonimização)?