O que é consentimento segundo a LGPD

A LGPD define consentimento no art. 5º, inciso XII como a manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada. Cada um desses três adjetivos tem peso jurídico: “livre” afasta qualquer pressão ou condicionamento; “informada” exige clareza sobre o que está sendo autorizado; “inequívoca” elimina ambiguidades ou interpretações favoráveis à empresa.

Um equívoco comum é tratar consentimento como sinônimo de base legal para tratamento de dados. A lei prevê dez bases legais distintas no art. 7º, e consentimento é apenas uma delas. Nas relações de consumo e negócios, bases como execução de contrato, obrigação legal e legítimo interesse muitas vezes são mais adequadas e mais estáveis do que o consentimento.

A distinção entre consentimento tácito e expresso é fundamental. Consentimento tácito, inferido a partir de silêncio, inércia ou comportamento passivo do usuário, é inválido sob a LGPD. Caixas pré-marcadas, continuação do uso do site ou ausência de resposta a um e-mail não configuram consentimento válido. A manifestação precisa ser ativa e verificável.

Requisitos formais para um consentimento válido

O art. 8º da LGPD estabelece que o consentimento deve ser fornecido por escrito ou por outro meio que demonstre a manifestação do titular. Isso inclui cliques em botões de aceite, registros digitais com timestamp e formulários eletrônicos, desde que o sistema registre a ação de forma auditável.

O texto que embase o consentimento não pode estar diluído em blocos genéricos de termos de uso. A lei exige cláusula destacada, separada das demais disposições contratuais. Um aviso no rodapé de um contrato de adesão, por exemplo, não atende a esse requisito.

A finalidade precisa ser específica e determinada. Autorizações abertas como “uso dos seus dados para fins comerciais” ou “compartilhamento com parceiros” são nulas de pleno direito. O titular precisa saber exatamente para que seus dados serão usados antes de autorizar.

Há ainda uma restrição importante: é proibido condicionar a prestação de um serviço ao consentimento quando o tratamento de dados não é necessário para a execução daquele serviço. Se o dado é imprescindível ao serviço contratado, a base legal correta provavelmente é execução de contrato, não consentimento.

Quando usar consentimento — e quando evitá-lo

Consentimento é a base legal adequada para tratamentos genuinamente opcionais: envio de newsletter, personalização de anúncios, comunicações de marketing, participação em programas de fidelidade com perfil enriquecido. Nesses casos, o tratamento só existe porque o titular quis e pode deixar de existir quando ele mudar de ideia.

Para serviços essenciais, a lógica é diferente. Uma operadora de plano de saúde precisa processar dados do beneficiário para executar o contrato. Um banco precisa manter registros por exigência do Banco Central. Nesses cenários, execução de contrato, obrigação legal e legítimo interesse são bases mais estáveis e operacionalmente mais seguras.

O risco prático de usar consentimento onde ele não é necessário é considerável. Se a empresa apoia uma operação crítica sobre consentimento e o titular revoga, o tratamento precisa cessar imediatamente, mesmo que isso interrompa um processo de negócio importante. Essa fragilidade se evita com a escolha correta da base legal desde o início.

A ANPD tem orientado publicamente que as empresas devem mapear a base legal correta antes de recorrer ao consentimento por conveniência. Escolher consentimento porque parece mais simples de implementar é um erro estratégico que cria passivos regulatórios futuros.

Direito de revogação e consequências para o negócio

O titular pode revogar o consentimento a qualquer momento, de forma gratuita e sem qualquer ônus. A empresa não pode dificultar esse processo, cobrar por ele ou exigir justificativa. Mecanismos de opt-out escondidos em menus de difícil acesso ou que exigem múltiplas etapas já foram alvo de orientações da ANPD.

Após a revogação, o tratamento baseado naquele consentimento deve cessar. Dados coletados antes da revogação podem ser mantidos, porém, se houver outra base legal que sustente a retenção, como obrigação legal de guarda de registros ou legítimo interesse devidamente documentado.

Do ponto de vista operacional, sistemas de CRM e CDP precisam ser capazes de registrar a revogação e propagar essa informação para todos os pontos de processamento em tempo hábil. Uma revogação registrada no portal do cliente que não se reflete no sistema de e-mail marketing configura infração continuada.

A ausência de mecanismo de revogação acessível é considerada uma infração autônoma pela ANPD, independentemente de qualquer dano ao titular. A empresa pode ser autuada mesmo que ninguém tenha solicitado revogação ainda.

Consentimento para dados sensíveis e de crianças

O art. 11 da LGPD cria um regime mais restritivo para dados sensíveis: informações sobre saúde, biometria, origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dado genético e vida sexual. Para essa categoria, o consentimento precisa ser específico e destacado. Um consentimento genérico que mencione dados sensíveis en passant não é suficiente.

No caso de crianças, menores de 12 anos conforme o Estatuto da Criança e do Adolescente, o consentimento deve ser concedido por pelo menos um dos pais ou responsável legal. Para adolescentes entre 12 e 18 anos, a LGPD não exige consentimento parental obrigatório em todos os casos, mas há debate doutrinário e a ANPD ainda não regulamentou o tema de forma definitiva.

Coletar dados sensíveis sem consentimento válido expõe a empresa a multa agravada e à obrigação de comunicar o incidente à ANPD nos casos em que o tratamento irregular gerar risco ou dano aos titulares. O valor da multa pode chegar a 2% do faturamento da empresa no Brasil, limitado a R$ 50 milhões por infração.

Plataformas digitais com público potencialmente infantil precisam implementar mecanismos de verificação de idade antes de qualquer coleta de dados. A ausência desse controle não é aceita como justificativa: o ônus de verificar é da empresa, não do titular.

Boas práticas para documentar e gerenciar o consentimento

O ônus da prova é da empresa. Se a ANPD questionar se determinado consentimento foi obtido de forma válida, cabe à organização demonstrar que sim, não ao titular provar que não autorizou. Por isso, o registro do consentimento precisa incluir data, hora, versão exata do texto apresentado e o canal pelo qual a manifestação ocorreu (web, app, atendimento presencial etc.).

Logs auditáveis devem ser armazenados com integridade, idealmente com controles que impeçam alteração retroativa. Uma planilha editável não é suficiente. O registro precisa ser imutável e rastreável para ter valor probatório.

Sempre que a finalidade do tratamento mudar, o consentimento anterior não se estende automaticamente à nova finalidade. A empresa precisa obter um novo consentimento para o novo uso, o que vale também para mudanças na forma de compartilhamento ou no perfil dos destinatários dos dados.

Ferramentas de Consent Management Platform (CMP), como OneTrust, Usercentrics, Cookiebot e outras, podem automatizar a coleta, o versionamento e o registro dos consentimentos. Essas ferramentas não substituem a revisão jurídica do conteúdo. Uma CMP bem configurada com textos vagos ou finalidades genéricas continua produzindo consentimentos inválidos.

Como avaliar a maturidade do seu processo de consentimento

Use os pontos abaixo como checklist de diagnóstico antes de qualquer auditoria interna ou externa:

• Mapeamento de bases legais: cada tratamento de dados da organização tem uma base legal documentada? O consentimento foi escolhido por necessidade ou por conveniência?
• Granularidade das finalidades: os textos de consentimento descrevem finalidades específicas ou usam linguagem genérica que a ANPD consideraria nula?
• Mecanismo de revogação: é possível revogar o consentimento em no máximo dois cliques, sem contato com atendimento humano?
• Propagação da revogação: quando um titular revoga, todos os sistemas downstream — CRM, CDP, ESP, plataformas de mídia — recebem e aplicam essa informação?
• Registro auditável: a empresa consegue apresentar, em até 72 horas, o log completo de um consentimento específico incluindo versão do texto e timestamp?
• Dados sensíveis e menores: há fluxos distintos para coleta de dados sensíveis e verificação de idade para menores?
• Revisão periódica: existe um processo formal para revisar os textos de consentimento quando finalidades ou parceiros mudam?

Organizações que conseguem responder “sim” a todos esses pontos com evidências documentadas estão em posição defensável perante a ANPD. As que identificam lacunas têm um roteiro claro de onde concentrar esforços de adequação.