O que é consentimento segundo a LGPD
O Art. 5º, inciso XII da LGPD define consentimento como a “manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada”. Cada um desses três adjetivos carrega requisitos práticos que precisam ser atendidos simultaneamente.
Um ponto frequentemente ignorado: o consentimento é apenas uma das dez bases legais listadas no Art. 7º da lei. Não é a base padrão nem a mais recomendada para a maioria dos casos. Empresas que tratam dados com base em contrato, obrigação legal ou legítimo interesse não precisam, e muitas vezes não deveriam, recorrer ao consentimento.
A distinção importa por razões práticas. O legítimo interesse, por exemplo, não pode ser revogado pelo titular da mesma forma que o consentimento. A obrigação legal independe de qualquer manifestação do titular. Escolher a base legal errada cria vulnerabilidades operacionais e jurídicas que só aparecem quando o titular exerce seus direitos ou quando a ANPD fiscaliza.
Requisitos obrigatórios para um consentimento válido
Liberdade
O consentimento só é válido quando o titular tem a opção real de recusar sem sofrer penalidade. Se a empresa condiciona o acesso a um serviço ao consentimento para finalidades que não são essenciais à prestação daquele serviço, a liberdade está comprometida. Relações com desequilíbrio de poder, como o vínculo empregatício, exigem atenção redobrada: a ANPD tende a presumir coerção nesses contextos.
Informação
O titular precisa saber, antes de consentir, quais dados serão coletados, para qual finalidade específica, por quanto tempo serão armazenados e quem será o controlador e eventuais operadores. Aviso de privacidade genérico que remete a “dados necessários para melhorar sua experiência” não atende esse requisito.
Inequivocidade
Silêncio não vale. Caixa pré-marcada não vale. Continuar navegando no site não vale. A LGPD exige uma ação afirmativa clara do titular: um clique em checkbox desmarcado, uma assinatura, uma confirmação explícita. Qualquer mecanismo que interprete inação como concordância é inválido.
Especificidade e granularidade
A lei veda expressamente consentimentos genéricos. Cada finalidade de tratamento precisa de autorização própria. Se a empresa quer usar o e-mail do cliente para enviar comunicações de marketing e compartilhar os dados com parceiros comerciais, são duas finalidades distintas, e o titular deve poder consentir de forma independente para cada uma delas. Um único checkbox que agrupa tudo é inválido.
Quando o consentimento é a base legal adequada
O consentimento faz sentido quando nenhuma das outras nove bases legais do Art. 7º cobre o tratamento pretendido. Se o dado não é necessário para executar o contrato, não existe obrigação legal que o exija e não há legítimo interesse proporcional, o consentimento pode ser a saída correta.
Também é adequado quando o titular tem escolha real e o serviço funciona normalmente sem aquele dado. Envio de newsletter, personalização de anúncios com base em perfil comportamental e compartilhamento de dados com terceiros para fins não contratuais são exemplos típicos.
Para dados sensíveis, como saúde, biometria, origem racial e convicção religiosa, entre outros listados no Art. 11, o consentimento explícito e destacado é a base prioritária na maioria dos casos. “Explícito” aqui vai além do inequívoco: o titular deve manifestar concordância de forma ainda mais clara, e o aviso deve destacar visualmente que se trata de dado sensível.
A armadilha mais comum é usar o consentimento como “base de segurança” quando o legítimo interesse seria tecnicamente mais adequado. O raciocínio costuma ser: “se o titular consentiu, estamos protegidos”. O problema é que o consentimento pode ser revogado a qualquer momento, enquanto o legítimo interesse devidamente documentado oferece base mais estável para tratamentos contínuos e operacionalmente críticos.
Como registrar e documentar o consentimento
A LGPD não exige forma escrita, mas o Art. 8º, §2º coloca o ônus da prova sobre o controlador. Se o titular questionar que nunca consentiu, a empresa precisa demonstrar o contrário. Sem registro, não há como provar.
Os meios aceitos incluem formulários digitais com checkbox não pré-marcado, assinatura eletrônica qualificada ou simples conforme o contexto, e registros de interação em aplicativos que documentem a ação do usuário. O importante é que o mecanismo seja auditável.
O registro mínimo recomendado deve conter:
- Data e hora exatas da manifestação
- Versão do aviso de privacidade exibida no momento do consentimento
- Identificação do dado e da finalidade consentida
- Canal ou interface onde o consentimento foi coletado
- Identificador do titular (sem expor dados desnecessários no log)
Plataformas de gestão de consentimento, como OneTrust, Usercentrics ou CookieYes, oferecem logs auditáveis integrados. Para empresas que desenvolvem sistemas próprios, o ideal é que o banco de consentimentos seja separado do banco transacional e tenha controle de versão para o texto exibido ao titular.
Revogação do consentimento e suas consequências
O Art. 8º, §5º garante ao titular o direito de revogar o consentimento a qualquer momento, de forma gratuita e facilitada. “Facilitada” significa que o canal de revogação precisa ser pelo menos tão acessível quanto o canal de coleta. Se o consentimento foi coletado por um botão no aplicativo, não é aceitável exigir que a revogação ocorra por carta registrada.
Tratamentos realizados antes da revogação permanecem lícitos. A revogação não tem efeito retroativo: ela determina o fim do tratamento daquele dado para aquela finalidade a partir do momento em que é exercida.
Após a revogação, o controlador é obrigado a cessar o tratamento, salvo se existir outra base legal aplicável ao mesmo dado. Por exemplo: um cliente revoga o consentimento para comunicações de marketing, mas os dados cadastrais ainda podem ser mantidos com base na execução do contrato. Esses cenários precisam estar mapeados no RoPA (Registro de Operações de Tratamento) da empresa.
A política de privacidade deve descrever o prazo razoável para execução da revogação. Embora a lei não fixe um número de dias, prazos superiores a 15 dias úteis tendem a ser questionados pela ANPD em processos de fiscalização.
Erros frequentes de empresas brasileiras ao coletar consentimento
Usar modelos internacionais sem adequação. Termos copiados de frameworks europeus (GDPR) ou norte-americanos frequentemente não refletem a estrutura de bases legais da LGPD nem os requisitos específicos da ANPD. A redação precisa ser revisada por quem conhece a lei brasileira.
Condicionar acesso ao serviço ao consentimento para finalidades não essenciais. É o erro mais comum e um dos mais graves. Solicitar consentimento para marketing como pré-requisito para criar uma conta contamina a liberdade do consentimento e o torna inválido.
Não atualizar o consentimento quando a finalidade muda. Se a empresa decide passar a compartilhar dados com parceiros que antes não estavam no escopo, o consentimento original não cobre isso. É necessário coletar novo consentimento ou identificar outra base legal. Muitas empresas atualizam a política de privacidade mas esquecem de voltar ao titular.
Confundir aceite de termos de uso com consentimento para dados pessoais. O clique em “Li e aceito os Termos de Uso” serve para formalizar a relação contratual, não equivale a consentimento para tratamento de dados pessoais sob a LGPD. São instrumentos jurídicos distintos e precisam ser tratados separadamente, inclusive na interface.
Como avaliar a maturidade do seu processo de consentimento
Antes de implementar ou revisar o processo, responda às seguintes perguntas:
- Você tem um inventário de todas as finalidades que dependem de consentimento? Se não sabe quais tratamentos usam essa base legal, não é possível garantir conformidade.
- Cada finalidade tem um registro de consentimento separado e auditável? Verifique se seu sistema permite consultar, por titular, quais finalidades foram aceitas, quando e em qual versão do aviso.
- O canal de revogação é tão acessível quanto o canal de coleta? Teste a jornada do titular tentando revogar um consentimento: se for difícil para você, será impossível para ele.
- Seu time jurídico revisou os textos de consentimento nos últimos 12 meses? Finalidades mudam, operadores mudam, a jurisprudência da ANPD evolui.
- Você sabe o que acontece com cada dado após a revogação? Mapeie se existem outras bases legais que sustentam a retenção, ou se o dado precisa ser eliminado.
Uma auditoria de consentimento feita internamente a cada ano, combinada com testes de usabilidade da jornada do titular, é o mínimo necessário para manter o processo dentro dos requisitos da LGPD e reduzir o risco de sanções administrativas.
