O que é consentimento de dados pessoais

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) define consentimento como a “manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada” (art. 5º, XII). Cada um desses três adjetivos tem peso jurídico próprio e condiciona a validade de qualquer coleta baseada nessa base legal.

Livre significa que o titular não pode ser pressionado, coagido ou privado de um serviço simplesmente por não consentir. Informada exige que a organização explique de forma clara e acessível o que será feito com os dados. Inequívoca elimina qualquer ambiguidade: silêncio, caixas pré-marcadas e concordâncias genéricas não valem.

Consentimento é apenas uma das dez hipóteses que autorizam o tratamento de dados pessoais no art. 7º da LGPD. As outras nove, que incluem execução de contrato, cumprimento de obrigação legal, legítimo interesse e proteção da vida, entre outras, independem de manifestação formal do titular.

Essa distinção tem consequências práticas relevantes. Escolher o consentimento como base legal quando outra hipótese seria mais adequada cria um problema operacional sério: qualquer revogação posterior obriga a organização a interromper o tratamento, mesmo que ele seja legítimo. O consentimento, portanto, frequentemente não é a base legal mais indicada.

Requisitos para um consentimento válido

Liberdade

O consentimento não pode ser condição para a prestação de um serviço quando os dados solicitados não são estritamente necessários para aquela finalidade. Vincular o cadastro em um e-commerce ao aceite do envio de newsletters, por exemplo, viola o requisito de liberdade. A ANPD e reguladores europeus como o ICO já consolidaram o entendimento de que consentimento “empacotado” junto a termos de uso não satisfaz esse critério.

Informação

O titular precisa saber, antes de consentir, quais dados serão coletados, com qual finalidade, por quanto tempo serão retidos e com quem poderão ser compartilhados. Textos longos em linguagem jurídica densa não atendem ao requisito de informação adequada. A LGPD demanda linguagem clara e acessível (art. 8º, § 6º).

Inequivocidade

Caixas de seleção pré-marcadas, rolagem de página interpretada como aceite e consentimento por omissão são práticas expressamente vedadas. A manifestação precisa ser um ato positivo e deliberado do titular: o clique em um botão de “aceito”, a assinatura de um documento ou qualquer outro mecanismo que demonstre ação consciente.

Granularidade

Finalidades distintas exigem consentimentos separados. Se uma organização pretende usar o e-mail de um titular para enviar confirmações de pedido e para campanhas de marketing, precisa coletar dois consentimentos distintos. Um aceite genérico que englobe múltiplas finalidades incompatíveis não é válido pela LGPD.

Quando o consentimento é necessário — e quando não é

As dez bases legais da LGPD

O art. 7º da LGPD lista dez hipóteses que autorizam o tratamento de dados pessoais. Além do consentimento, estão: cumprimento de obrigação legal ou regulatória, execução de políticas públicas, realização de estudos por órgão de pesquisa, execução de contrato, exercício regular de direitos em processo judicial ou administrativo, proteção da vida, tutela da saúde, atendimento de interesses legítimos do controlador e proteção do crédito.

Na prática de CRM e marketing digital, as bases mais utilizadas além do consentimento são execução de contrato e legítimo interesse. Uma empresa pode tratar dados de um cliente para entregar o produto que ele comprou sem precisar de consentimento específico para isso.

Quando dispensar o consentimento

Se um usuário firma contrato de prestação de serviços, o tratamento dos dados necessários para a execução desse contrato dispensa consentimento. Da mesma forma, obrigações fiscais e trabalhistas têm respaldo no cumprimento de obrigação legal. O legítimo interesse cobre situações como prevenção a fraudes, segurança da informação e comunicações sobre produtos ou serviços similares aos já contratados, desde que o interesse do titular não prevaleça sobre o do controlador.

Dados sensíveis: regras mais rígidas

Dados pessoais sensíveis, que incluem origem racial ou étnica, convicção religiosa, opinião política, saúde, vida sexual, dado genético ou biométrico, têm tratamento disciplinado pelo art. 11º da LGPD, com hipóteses mais restritas. Para esses dados, o consentimento precisa ser “específico e destacado”, e as exceções ao consentimento são mais limitadas do que para dados comuns.

Erros comuns no mercado brasileiro

Uma prática recorrente é a inclusão de banners de cookies com linguagem que sugere que o usuário precisa consentir com tudo para acessar o site, quando na verdade cookies estritamente necessários não demandam consentimento. Outro erro frequente é coletar consentimento para finalidades que poderiam se amparar em legítimo interesse, criando passivo desnecessário. Solicitar consentimento em excesso não é mais seguro; pelo contrário, aumenta a superfície de exposição à revogação e ao questionamento.

Como coletar e registrar o consentimento corretamente

Formatos aceitos

A LGPD admite consentimento por escrito, eletrônico ou “por outro meio que demonstre a manifestação da vontade do titular” (art. 8º). Isso inclui registros digitais em formulários web, aceites em aplicativos móveis e gravações de voz em centrais de atendimento, desde que haja evidência auditável do ato de consentimento.

O ônus da prova é do controlador. Se a ANPD ou o titular questionarem a validade do consentimento, a organização precisa demonstrar que ele foi obtido nos termos da lei. Não basta dizer que o usuário concordou; é preciso provar quando, como e com qual versão do texto.

O que deve constar no termo de consentimento

Um termo de consentimento válido deve identificar o controlador e, se houver, o operador; descrever as finalidades específicas do tratamento; indicar o prazo de retenção dos dados ou os critérios usados para determiná-lo; listar os direitos do titular e o canal para exercê-los; e informar se haverá compartilhamento com terceiros e quem são esses terceiros.

Textos genéricos como “usaremos seus dados para melhorar sua experiência” não atendem ao requisito de especificidade de finalidade. A descrição precisa ser concreta e compreensível para o público-alvo.

Boas práticas em formulários digitais

Em opt-ins digitais, o ideal é apresentar o pedido de consentimento separado dos demais campos do formulário, com linguagem direta e link para a política de privacidade completa. A caixa de seleção deve estar desmarcada por padrão. Para múltiplas finalidades, use caixas de seleção individuais, uma para cada propósito.

Evite textos acima de três linhas no campo de consentimento do formulário. Se a explicação for longa, use um modelo progressivo: um resumo direto no formulário e o detalhamento completo na política de privacidade linkada.

Guarda de evidências

O registro de consentimento deve incluir, no mínimo: identificador único do titular, data e hora do consentimento, versão do texto exibido, endereço IP ou outro identificador técnico, e o canal pelo qual o consentimento foi coletado. Plataformas de CRM e gestão de consentimento como OneTrust, Usercentrics e Didomi oferecem funcionalidades nativas para esse tipo de log, mas a mesma lógica pode ser implementada em banco de dados próprio, desde que a integridade dos registros seja garantida.

Direitos do titular e revogação do consentimento

Revogação a qualquer momento

O titular pode revogar o consentimento a qualquer momento, por procedimento gratuito e facilitado (art. 8º, § 5º). A revogação não retroage: ela não invalida o tratamento realizado enquanto o consentimento estava vigente. A partir do momento em que é exercida, porém, o controlador deve cessar o tratamento baseado naquela base legal.

Se a organização depender exclusivamente do consentimento para determinado tratamento e ele for revogado, não há alternativa: os dados devem ser eliminados ou anonimizados, salvo se outra base legal, como obrigação legal ou exercício regular de direitos, justificar a retenção.

Obrigações após a revogação

Após a revogação, o controlador deve interromper o uso dos dados para a finalidade consentida, comunicar a revogação a eventuais operadores e terceiros com quem os dados foram compartilhados, e eliminar os dados, salvo as exceções previstas em lei. O prazo para resposta a solicitações de revogação não está fixado em dias na LGPD, mas a ANPD orienta que deve ser razoável e compatível com a facilidade exigida pela lei.

Como o titular exerce seus direitos

Os direitos do titular estão listados no art. 18º da LGPD: confirmação da existência de tratamento, acesso aos dados, correção, anonimização ou bloqueio, portabilidade, eliminação e revogação do consentimento. O controlador deve disponibilizar um canal específico para essas solicitações, que pode ser um formulário web, e-mail dedicado ou funcionalidade dentro do produto. O canal precisa ser facilmente localizável, preferencialmente na política de privacidade e no rodapé do site.

Papel da ANPD

A Autoridade Nacional de Proteção de Dados fiscaliza o cumprimento da LGPD e aplica sanções administrativas. Titulares que tiverem seus direitos desrespeitados podem registrar reclamações diretamente no site da ANPD (gov.br/anpd). A autoridade também publica guias orientativos, resoluções e notas técnicas que complementam e esclarecem a aplicação da lei em situações específicas.

Consequências do tratamento sem consentimento adequado

Sanções administrativas

O art. 52º da LGPD prevê um rol de sanções aplicáveis pela ANPD, que vão de advertência com prazo para adoção de medidas corretivas até multa simples de até 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração. Há ainda a possibilidade de publicização da infração, bloqueio dos dados e suspensão parcial ou total do banco de dados.

As sanções são graduadas conforme a gravidade da infração, a boa-fé do infrator, a adoção de boas práticas de governança e o grau de dano causado aos titulares. Organizações com programa de privacidade estruturado tendem a receber penalidades menores em processos administrativos.

Riscos reputacionais

Além das sanções regulatórias, o tratamento inadequado de dados gera impacto direto na confiança do consumidor. Pesquisas da FGV e do Comitê Gestor da Internet no Brasil indicam que consumidores brasileiros estão cada vez mais atentos à destinação de seus dados. Incidentes de segurança e uso indevido de dados repercutem rapidamente em redes sociais e veículos de imprensa, afetando a reputação da marca de forma duradoura.

Casos relevantes no Brasil

O Brasil já registrou casos emblemáticos de exposição de dados sem consentimento adequado. O vazamento de dados do Detran envolvendo centenas de milhões de registros, os incidentes com operadoras de saúde e os casos de enriquecimento ilícito de bases de dados por data brokers sem vinculação a uma base legal válida ilustram os riscos concretos. A ANPD instaurou processos administrativos em pelo menos dezenas de casos desde que ganhou competência sancionatória plena.

Estruturando um programa mínimo de conformidade

Para reduzir exposição legal, as organizações devem mapear todos os fluxos de tratamento de dados (RoPA — Registro de Operações de Tratamento), identificar a base legal adequada para cada finalidade, revisar contratos com operadores e incluir cláusulas de proteção de dados, e nomear um Encarregado de Proteção de Dados (DPO) com canal de contato público.

O consentimento deve aparecer no programa apenas onde for genuinamente necessário. Para as demais finalidades, documentar a base legal escolhida e o raciocínio jurídico que a sustenta é tão importante quanto o consentimento em si: é essa documentação que ampara a organização em caso de questionamento.

Como avaliar sua situação atual

Use as perguntas abaixo como ponto de partida para um diagnóstico rápido de conformidade em relação ao consentimento de dados pessoais:

• Mapeamento: Você sabe exatamente quais dados coleta, para quais finalidades e com qual base legal para cada fluxo?
• Validade do consentimento: Os consentimentos coletados são livres, informados e inequívocos? Há caixas pré-marcadas ou linguagem ambígua nos formulários?
• Granularidade: Finalidades distintas têm consentimentos separados, ou existe um aceite genérico cobrindo múltiplos propósitos?
• Evidência: Você consegue recuperar, para qualquer titular, a data, o canal e o texto exibido no momento do consentimento?
• Revogação: Existe um canal funcional, gratuito e fácil de localizar para revogação e demais solicitações de direitos?
• Adequação de base legal: Algum tratamento atual poderia migrar do consentimento para uma base legal mais adequada, como legítimo interesse ou execução de contrato, reduzindo o risco operacional?
• Dados sensíveis: Se sua operação trata dados sensíveis, o consentimento é “específico e destacado”, e as exceções estão devidamente documentadas?

Respostas negativas a qualquer um desses pontos indicam áreas que demandam ação antes de um eventual processo administrativo ou questionamento de titular. A conformidade com a LGPD não é um evento único, mas um processo contínuo de revisão e adequação.