O que significa consentimento segundo a LGPD

O artigo 5º, inciso XII da LGPD define consentimento como a manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada. Cada um desses três termos tem peso jurídico próprio e, na prática, é o que diferencia um consentimento válido de um formulário que apenas aparenta conformidade.

A finalidade determinada é um ponto crítico: o titular precisa concordar com um uso específico, não com uma autorização genérica do tipo “aceito que meus dados sejam usados pela empresa e seus parceiros”. Consentimentos amplos, vagos ou que englobam usos indeterminados não são reconhecidos como válidos pela lei.

A LGPD também afasta a figura do consentimento tácito, aquele obtido pela ausência de rejeição. Se o titular não fizer nada, isso não equivale a concordar. A lei exige uma manifestação positiva e explícita, o que elimina práticas como caixas pré-marcadas ou a simples continuação do uso de um serviço como forma de aceite.

Consentimento é apenas uma das bases legais — não a única

Um erro recorrente entre empresas brasileiras é tratar o consentimento como a única porta de entrada para o tratamento de dados pessoais. O artigo 7º da LGPD lista dez hipóteses que autorizam o tratamento, e o consentimento é apenas a primeira delas.

Outros fundamentos comuns incluem a execução de contrato (quando o dado é necessário para cumprir uma obrigação contratual com o próprio titular), o cumprimento de obrigação legal ou regulatória e o legítimo interesse do controlador. Em muitos casos práticos, essas bases são mais adequadas do que o consentimento, e usá-las corretamente reduz a exposição regulatória da organização.

A dependência excessiva do consentimento cria um risco operacional direto: se o titular revogar o consentimento e ele for a única base legal que sustenta o tratamento, a empresa precisa interromper o uso dos dados imediatamente. Quem fundamentou o tratamento em base mais estável, como execução de contrato, não enfrenta esse problema.

Para dados sensíveis, como dados de saúde, biométricos, origem racial, opiniões políticas e convicções religiosas, as regras são ainda mais rígidas. O artigo 11º da LGPD define bases legais próprias para esse tipo de dado, e o consentimento exigido nesse contexto precisa ser ainda mais específico e destacado.

Requisitos para que o consentimento seja válido

Livre

O consentimento não pode ser condicionado. Se a empresa negar o acesso a um serviço porque o usuário recusou compartilhar dados além do estritamente necessário para aquele serviço, o consentimento obtido sob essa pressão é viciado. A LGPD veda explicitamente o consentimento obtido como condição genérica para o fornecimento de produto ou serviço (art. 8º, §3º).

Informado

O titular precisa entender, antes de consentir, quais dados serão coletados, para qual finalidade, por quanto tempo serão mantidos, se serão compartilhados com terceiros e quem é o controlador responsável. Informar apenas o mínimo ou usar linguagem técnica inacessível compromete a validade do consentimento.

Inequívoco

Silêncio não é consentimento. Inação não é consentimento. Caixa pré-marcada não é consentimento. A manifestação precisa ser ativa e clara. Em ambientes digitais, isso geralmente significa um clique deliberado em uma opção desmarcada por padrão, acompanhado de informação suficiente sobre o que está sendo autorizado.

Finalidade específica

Um consentimento dado para envio de comunicações transacionais não cobre o uso do mesmo e-mail para campanhas de marketing. Cada finalidade relevante precisa de sua própria autorização. Usos secundários não previstos no momento da coleta exigem novo consentimento ou outra base legal aplicável.

Forma

A LGPD permite que o consentimento seja obtido por escrito ou por qualquer outro meio que demonstre a manifestação do titular. O que a lei exige é que o ônus da prova recaia sobre o controlador, ou seja, é a empresa que precisa comprovar que obteve o consentimento, não o titular que precisa provar que não consentiu.

Direitos do titular relacionados ao consentimento

O artigo 8º, §5º da LGPD garante ao titular o direito de revogar o consentimento a qualquer momento, de forma gratuita e por meio facilitado. O fluxo de retirada de consentimento precisa ser tão acessível quanto o fluxo de coleta: criar burocracia para dificultar a revogação é prática irregular.

A revogação, no entanto, não tem efeito retroativo. Os tratamentos realizados com base no consentimento anterior, enquanto ele era válido, não precisam ser desfeitos. O que cessa é o tratamento futuro, a partir do momento em que a revogação é comunicada ao controlador.

O titular também tem direito de solicitar ao controlador informações sobre quais dados foram coletados e com qual finalidade, e o controlador é obrigado a responder de forma clara e completa. Quando o consentimento for a única base legal que ampara o tratamento, o titular pode ainda solicitar a eliminação dos dados após a revogação.

Boas práticas para coletar e registrar consentimento no Brasil

Linguagem clara e acessível

Formulários de consentimento escritos em linguagem jurídica não informam o titular, apenas criam a aparência de conformidade. O padrão esperado é que uma pessoa com escolaridade média consiga entender o que está autorizando sem precisar de assessoria jurídica. Isso vale tanto para banners de cookies quanto para contratos de adesão.

Granularidade por finalidade

Permitir que o usuário consinta de forma separada para cada finalidade é uma boa prática amplamente adotada em mercados com regulações similares. Um usuário pode aceitar cookies de funcionalidade e recusar cookies de publicidade comportamental. O mesmo princípio se aplica ao marketing por e-mail, ao compartilhamento com parceiros e à personalização de conteúdo.

Registro de evidência

Guardar o log de consentimento é essencial. O registro precisa conter: data e hora da manifestação, versão da política de privacidade exibida no momento, canal utilizado (web, app, presencial) e a finalidade específica para a qual o consentimento foi dado. Esse log é o que sustenta a defesa da empresa em caso de questionamento pela ANPD ou pelo próprio titular.

Fluxo de revogação visível

O caminho para revogar o consentimento não pode estar enterrado em submenus ou exigir envio de e-mail sem resposta garantida. O padrão aceitável é um botão ou link acessível na área logada do usuário, na central de preferências de comunicação ou em lugar equivalente de fácil localização.

Revisão periódica de consentimentos

Consentimentos coletados antes da vigência da LGPD, ou antes de mudanças relevantes na finalidade do tratamento, podem precisar ser renovados. Quando a finalidade muda de forma significativa, o tratamento futuro com base no consentimento anterior pode não ser válido, e uma nova coleta se torna necessária.

Consequências de usar o consentimento de forma incorreta

A ANPD pode aplicar sanções administrativas que vão desde advertências até multas de até 2% do faturamento bruto da empresa no último exercício, limitadas a R$ 50 milhões por infração. A autoridade pode ainda determinar a publicização da infração, o que, em mercados onde a reputação é ativo crítico, representa risco superior ao valor da multa.

Consentimento obtido com vício, por coerção, falta de informação adequada ou qualquer forma de pressão, é juridicamente nulo. O tratamento realizado com base nele não tem amparo legal, mesmo que a empresa possua o registro formal do aceite do titular.

O tratamento de dados de crianças e adolescentes exige atenção redobrada: a LGPD determina que o consentimento seja dado pelos pais ou responsáveis legais, de forma específica e em destaque. Consentimentos obtidos diretamente de menores, sem a anuência dos responsáveis, não têm validade.

O risco reputacional também é concreto. Práticas inadequadas de consentimento, como banners de cookies que dificultam a recusa ou formulários que vinculam o serviço à aceitação de comunicações de marketing, têm gerado exposição pública negativa e reclamações formais à ANPD, mesmo antes de multas serem aplicadas.

Como avaliar a maturidade do seu processo de consentimento

Uma avaliação direta começa com quatro perguntas operacionais:

1. Você consegue provar que obteve consentimento válido para cada finalidade de tratamento que depende dessa base legal? O log existe, está acessível e contém as informações necessárias?
2. O fluxo de revogação é tão simples quanto o fluxo de coleta? Um usuário consegue revogar o consentimento em menos de dois minutos sem contato com atendimento?
3. Cada finalidade está descrita separadamente e o titular pode consentir de forma granular, sem ser forçado a um aceite global?
4. O consentimento é realmente necessário para cada tratamento ou há bases legais mais adequadas que poderiam ser aplicadas, reduzindo a dependência de um ativo revogável a qualquer momento?

Se alguma dessas perguntas não tiver resposta clara e documentada, esse é o ponto de partida para adequação. O consentimento bem estruturado não é apenas obrigação legal: é também um mecanismo de construção de confiança com o titular, com impacto direto na qualidade do dado coletado e na relação de longo prazo com o cliente.