Bases legais

Explicando de forma simples

Você compra uma passagem pela internet e o site pede seu nome e seu CPF. Não apareceu nenhuma caixinha de “autorizo o uso dos meus dados” — e a empresa pode usar essas informações mesmo assim. Não é descuido: existe um motivo permitido por lei.

Esse motivo tem um nome: base legal. A LGPD (Lei Geral de Proteção de Dados) exige que ele exista. Sem um motivo desses, uma empresa ou um órgão público não pode usar seus dados pessoais.

A lei lista dez situações em que usar dados é permitido. Quem usa os seus precisa se encaixar em uma delas. Uma dessas dez é o consentimento: você dizer “sim, pode usar”. É comum achar que a empresa sempre tem de pedir essa autorização. Boa parte do que acontece no dia a dia dispensa o seu “sim”, porque outra base já permite o uso.

Exemplo do dia a dia

Vamos à passagem de ônibus comprada pela internet. Na hora de fechar a compra, o site pede seu nome completo e seu CPF, sem nenhuma caixinha de autorização à vista.

O motivo é que a base legal aqui não é o consentimento. É a execução de um contrato: sem o seu nome no bilhete, não existe passagem. Pedir uma autorização à parte seria até estranho. Você acabou de comprar a viagem.

Acontece o mesmo quando a empresa onde você trabalha informa seus dados ao governo para recolher impostos. Ela faz isso por obrigação legal, não porque você autorizou. Nos dois casos o uso é legítimo, sem nenhum consentimento.

Preciso sempre autorizar o uso dos meus dados?

Não. O consentimento é apenas uma das dez situações que a LGPD permite. A lei numera essas dez situações de I a X, no art. 7º. Vão aqui em linguagem do dia a dia:

• I — Consentimento: você autoriza o uso.
• II — Obrigação legal ou regulatória: uma lei ou uma regra do governo obriga a empresa a usar o dado.
• III — Políticas públicas: o poder público usa dados para executar políticas previstas em lei.
• IV — Estudos de pesquisa: feitos por órgão de pesquisa, com anonimização dos dados sempre que possível.
• V — Execução de contrato: o dado é necessário para um contrato, ou para os preparativos dele, que você mesmo pediu.
• VI — Direitos em processo: para defender direitos em processo na Justiça, em processo administrativo ou em arbitragem — quando as partes resolvem a disputa fora da Justiça, com um árbitro.
• VII — Proteção da vida: para proteger a vida ou a integridade física de alguém.
• VIII — Cuidado com a saúde: exclusivamente para cuidar da saúde, em atendimento feito por profissionais de saúde, serviços de saúde ou autoridade sanitária, como a vigilância sanitária da sua cidade.
• IX — Legítimo interesse: quem usa os dados, ou um terceiro, tem um motivo próprio e razoável, ligado à sua atividade, e só pode usar o que for necessário para aquele fim. A lei manda olhar caso a caso, respeitando o que você razoavelmente esperava, e cita entre os exemplos o apoio às atividades da própria empresa. Essa base não vale quando os seus direitos e liberdades básicos pesam mais.
• X — Proteção do crédito: por exemplo, a consulta a cadastros para avaliar se alguém tem condições de pagar.

Três coisas ajudam a ler essa lista.

A ordem não é um ranking. Ser o primeiro item da lista não faz o consentimento valer mais que os outros nove.

A base tem de caber no caso. São dez caminhos alternativos, e quem usa os seus dados precisa conseguir sustentar aquele em que se apoiou.

Dispensar o consentimento não dispensa o resto. Mesmo quando o “sim” não é exigido, quem usa os dados continua com as demais obrigações da lei, inclusive respeitar os princípios e os seus direitos.

Uma ressalva: essas dez situações valem para os dados pessoais comuns. Os dados sensíveis, como saúde, religião ou biometria, têm uma lista própria e mais curta, no art. 11 da lei — é o que está explicado em Dados sensíveis. Os dados de crianças e adolescentes também têm regra própria, no art. 14.

O que você pode fazer?

• Pergunte com que justificativa estão usando o seu dado. A pergunta pode ser assim: “com base em quê vocês usam esse dado — na minha autorização, num contrato ou numa obrigação legal?”. A lei garante a você informações claras sobre o tratamento, sobre quem é a empresa responsável e sobre como falar com ela.
• Procure a base legal na política de privacidade. Use a busca da página (Ctrl+F, ou “Localizar na página” no celular) por “base legal”, “art. 7º” ou “por que usamos”. Não achando, escreva ao canal de privacidade da empresa — o contato costuma ficar no rodapé do site ou no fim da própria política.
• Confira se a autorização é específica. Um “sim” genérico, valendo para tudo, é nulo pela lei: o consentimento precisa dizer para quais finalidades vale. Quando vier por escrito, o pedido tem de ficar num trecho separado e em destaque, e não escondido no meio dos outros termos. E, se entregar o dado for condição para conseguir o serviço, isso também tem de ser informado a você com destaque.
• Retire o consentimento quando ele for a base. Peça por escrito, pelo canal de privacidade ou pelo contato do encarregado publicado na política de privacidade. Guarde o protocolo ou uma cópia do e-mail. A retirada pode ser feita a qualquer momento, e o procedimento tem de ser gratuito e fácil. Os usos feitos antes da retirada continuam válidos, a não ser que você peça a eliminação dos dados. E, se a base for outra, como uma obrigação legal, retirar o “sim” pode não interromper o uso.
• Reclame se ficar sem resposta. Fale primeiro com a empresa, pelo canal de privacidade. Sem solução, leve o caso à ANPD (Agência Nacional de Proteção de Dados), a agência pública que fiscaliza a LGPD, pelos canais em gov.br/anpd. Se a compra tiver sido de um produto ou serviço, o Procon também atende; e, se a empresa for cadastrada no consumidor.gov.br, dá para reclamar por lá.

Resumo

Para usar seus dados é preciso uma base legal: uma das dez situações do art. 7º da LGPD. O consentimento é só uma delas — muitas vezes o seu “sim” nem é exigido, porque um contrato ou uma obrigação legal já autoriza o uso. Cada situação pede a base que cabe nela, e dispensar o consentimento não dispensa o resto da lei. Os dados sensíveis, por sua vez, seguem uma lista própria, tratada em outro assunto.