Preciso pedir consentimento para tudo?
Consentimento é uma das dez hipóteses do art. 7º da LGPD, e a mais frágil de todas: pode ser revogado a qualquer momento, de graça. Quem pede consentimento onde a lei já dava outra base troca um direito estável por uma permissão que o titular cancela quando quiser.
Existe um reflexo quase automático nas empresas brasileiras: sempre que aparece um dado pessoal, alguém sugere colocar uma caixinha de "aceito o tratamento dos meus dados". Cadastro no site, ficha do funcionário, lista de fornecedores, formulário de contato. Consentimento em tudo, por precaução.
A intenção é boa e o resultado é ruim. Consentimento não é o modo seguro de tratar dados: é o modo mais frágil. E pedir consentimento onde a lei já te dava outra base é o erro mais caro que se comete na LGPD (Lei 13.709/2018), porque você troca um direito que tinha por uma permissão que o titular pode cancelar quando quiser.
Consentimento é uma das dez hipóteses, não a regra
O art. 7º abre dizendo que o tratamento "somente poderá ser realizado nas seguintes hipóteses", e lista dez. O consentimento é apenas o inciso I:
I - mediante o fornecimento de consentimento pelo titular;
II - para o cumprimento de obrigação legal ou regulatória pelo controlador;
III - pela administração pública, para execução de políticas públicas;
IV - para a realização de estudos por órgão de pesquisa;
V - quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados;
VI - para o exercício regular de direitos em processo judicial, administrativo ou arbitral;
VII - para a proteção da vida ou da incolumidade física do titular ou de terceiro;
VIII - para a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária;
IX - quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular;
X - para a proteção do crédito.
A lista é taxativa: se a sua operação não cabe em nenhuma das dez, ela não pode acontecer. Mas repare que nove delas não dependem de o titular dizer sim. A lei já autorizou.
O que o consentimento carrega e as outras nove não carregam
Escolher consentimento não é neutro. Ele vem com quatro obrigações que as outras bases não têm.
1. Ele pode ser desligado a qualquer momento. O art. 8º, §5º é explícito: o consentimento "pode ser revogado a qualquer momento mediante manifestação expressa do titular, por procedimento gratuito e facilitado". Gratuito e facilitado. Você é obrigado a oferecer o botão que desliga a sua própria operação.
2. Revogado, o titular ainda pode pedir a exclusão. O art. 18, inciso VI dá ao titular o direito de obter "eliminação dos dados pessoais tratados com o consentimento do titular". Ou seja, o dado que você guardava com base em consentimento pode simplesmente ter de sair da sua base.
3. A prova é sua. O art. 8º, §2º põe o ônus no controlador: cabe a você provar que obteve o consentimento conforme a lei. Não basta ter havido o clique, é preciso conseguir demonstrar depois.
4. Consentimento genérico não vale nada. O art. 8º, §4º diz que o consentimento "deverá referir-se a finalidades determinadas, e as autorizações genéricas para o tratamento de dados pessoais serão nulas". Aquela frase larga do tipo "autorizo o uso dos meus dados para as finalidades da empresa" é nula por escrito na lei.
Somando: quem baseia tudo em consentimento constrói uma operação que qualquer titular pode desmontar, que exige guardar prova de cada clique, e que é nula se a redação for preguiçosa.
Vale olhar o que "guardar prova de cada clique" significa na prática. A tela abaixo é o módulo de Consentimento da truwe, na conta da Venice IT Services, que é a empresa onde nós mesmos usamos a plataforma:
Quando o consentimento é a base correta, é isto que a lei cobra depois: quem consentiu, quando, por qual canal, para qual política, com identificador próprio, e um botão de revogar que funciona de verdade. Dados ilustrativos.
Repare no botão Revogar em cada linha. Ele não está ali por gentileza: é o art. 8º, §5º sendo cumprido. E as colunas de IP, data e identificador existem porque, no dia em que alguém questionar, o §2º diz que a prova é sua. Nenhuma das outras nove bases legais exige essa contabilidade.
O teste prático, operação por operação
A pergunta certa não é "preciso pedir consentimento?". É "por que eu preciso desse dado?". A resposta honesta quase sempre aponta a base sozinha.
Folha de pagamento e dados do funcionário. Você não trata esses dados porque o funcionário deixou, e sim porque a lei trabalhista e a fiscal obrigam, e porque existe um contrato de trabalho. É obrigação legal (II) somada a execução de contrato (V). Pedir consentimento aqui é pior que inútil: sugere que o funcionário poderia dizer não, e ele não pode, porque a empresa vai ter de recolher o INSS de qualquer jeito.
Emitir nota fiscal para um cliente. Obrigação legal (II). Ninguém precisa autorizar você a cumprir a legislação tributária.
Entregar o produto que a pessoa comprou. Execução de contrato (V). O endereço é necessário para entregar, e foi o titular quem pediu.
Mandar newsletter para quem nunca comprou nada. Aqui sim, consentimento (I), e de verdade: específico, destacado e com o botão de descadastro funcionando. É exatamente o caso em que a base frágil é a base correta, porque a pessoa não tem nenhuma outra relação com você.
Antifraude e segurança do cadastro. Costuma ser legítimo interesse (IX), que não é um curinga: exige que você avalie antes se os direitos do titular não prevalecem, e documente essa avaliação.
Note o padrão: a maior parte da operação de uma empresa comum já está autorizada por contrato ou por obrigação legal. O consentimento sobra para o que é opcional para o titular, que é uma fatia menor do que parece.
A armadilha dos dados sensíveis
Se o dado for sensível, como saúde, biometria, origem racial, convicção religiosa ou dado sindical, a lista do art. 7º não se aplica. Vale o art. 11, que tem hipóteses próprias e mais estreitas.
E há uma ausência que costuma passar despercebida: legítimo interesse não existe no art. 11. Quem se acostumou a resolver tudo com legítimo interesse descobre tarde que, para dado sensível, aquela porta simplesmente não está lá. Quando o consentimento é a via escolhida, o art. 11, inciso I exige que ele seja "de forma específica e destacada, para finalidades específicas".
Trocar de base depois é mais difícil do que definir agora
Quem pediu consentimento e depois percebe que tinha uma base melhor não apaga o passado com uma canetada. O titular já foi informado de que aquilo dependia do sim dele, e o art. 9º, §1º diz que o consentimento é nulo se as informações fornecidas "tenham conteúdo enganoso ou abusivo ou não tenham sido apresentadas previamente com transparência, de forma clara e inequívoca".
Por isso a base legal se decide antes do tratamento, e se registra. O art. 37 não deixa isso opcional: "o controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse".
Esse registro é o ROPA, e ele existe justamente para responder à pergunta que a ANPD faria primeiro: qual dado, para qual finalidade, com qual base legal, por quanto tempo.
Um detalhe que quase ninguém aplica
O art. 7º, §5º diz que quem obteve consentimento e depois precisa compartilhar aquele dado com outro controlador tem de obter um consentimento específico para isso. Não é o mesmo sim.
Na prática, isso alcança situações banais: mandar sua base para uma ferramenta de e-mail marketing que decide coisas por conta própria, repassar contatos para um parceiro comercial, integrar sistemas entre empresas do mesmo grupo. O consentimento original não cobre automaticamente esses destinos.
O resumo em uma frase
Consentimento não é o caminho seguro, é o caminho que devolve o controle ao titular. Use quando for a base correta, e pare de usar onde a lei já tinha te dado uma base mais estável. O trabalho não é escolher uma base para a empresa: é escolher uma base para cada operação, e conseguir mostrar isso depois.
Como a truwe ajuda
O módulo de ROPA da truwe existe para essa parte chata: mapear cada operação de tratamento, registrar a base legal escolhida, a finalidade e o prazo de retenção, e manter isso vivo em vez de virar uma planilha que envelhece. É o registro que o art. 37 exige, no formato que serve de resposta se a ANPD perguntar.
Se você ainda não sabe em que pé está, comece pelo diagnóstico gratuito. São de 10 a 15 minutos e ele aponta onde a sua empresa está exposta, inclusive se existe tratamento sem base legal definida.
É consultor ou escritório que cuida da adequação de vários clientes? A plataforma DPO como Serviço foi feita para gerenciar essas bases legais cliente a cliente, sem misturar as operações de cada um.