O que é consentimento na proteção de dados

O consentimento na proteção de dados é definido pelo artigo 5º, inciso XII, da LGPD como a “manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada”. Cada um desses três adjetivos tem peso jurídico específico e, se qualquer um falhar, o consentimento é nulo.

Um erro comum é tratar consentimento como sinônimo de base legal para tratamento de dados. A LGPD prevê dez bases legais distintas no artigo 7º, entre elas execução de contrato, legítimo interesse, obrigação legal e proteção ao crédito. O consentimento é apenas uma dessas hipóteses, não a mais ampla nem a mais segura.

Na prática, organizações que ancoram todo o tratamento de dados no consentimento ficam expostas: qualquer revogação interrompe o fluxo de dados, mesmo quando outras bases legais seriam suficientes e mais estáveis. Escolher a base legal correta para cada atividade de tratamento é uma decisão estratégica, não apenas formal.

Requisitos para um consentimento válido

Liberdade

O consentimento precisa ser dado sem coerção. Condicionar o acesso a um serviço ao fornecimento de dados que não são estritamente necessários para aquele serviço é uma forma de coerção velada. A ANPD e o GDPR europeu, referência interpretativa frequente, são explícitos: desequilíbrio de poder entre as partes compromete a liberdade do consentimento.

Um exemplo claro é o bloqueio de funcionalidades básicas de um aplicativo enquanto o usuário não aceita o recebimento de comunicações de marketing. Esse condicionamento invalida o consentimento para fins de marketing, ainda que o aceite tenha sido registrado.

Informação

O titular precisa saber, de forma clara e acessível, quais dados serão tratados, para qual finalidade, por quanto tempo e quem terá acesso. Textos longos em linguagem jurídica enterrados no rodapé de uma página não cumprem esse requisito. A informação deve estar visível no momento em que o consentimento é solicitado.

Finalidades genéricas como “melhorar a experiência do usuário” ou “fins comerciais” não são suficientes. A descrição precisa ser específica o bastante para que o titular consiga tomar uma decisão consciente.

Inequivocidade

Aceites genéricos, checkboxes pré-marcadas, banners onde apenas o botão “Aceitar” está em destaque, ou simplesmente continuar navegando no site: nenhuma dessas situações configura consentimento válido. A manifestação do titular precisa ser uma ação positiva e deliberada.

Silêncio jamais equivale a consentimento. Sem uma ação explícita do titular, como marcar uma caixa em branco ou clicar em um botão de confirmação, não há base legal estabelecida.

Granularidade

Quando o controlador tratar dados para finalidades distintas, o consentimento deve ser colhido separadamente para cada uma delas. Um único aceite abrangendo “envio de newsletter, compartilhamento com parceiros e análise de perfil comportamental” é insuficiente. O titular deve poder aceitar uma finalidade e recusar outra.

Isso tem impacto direto em como formulários e banners de cookies são estruturados: cada categoria de finalidade exige um toggle ou checkbox independente, com estado inicial desmarcado.

Quando usar o consentimento como base legal

Situações em que o consentimento é adequado

Marketing direto e perfilamento para fins publicitários são os casos mais típicos em que o consentimento é a base natural. Quando o tratamento não tem relação direta com a prestação do serviço contratado e serve exclusivamente aos interesses comerciais do controlador, o consentimento é a escolha mais transparente e defensável.

Compartilhamento de dados com terceiros para finalidades próprias desses terceiros também se enquadra aqui. Se o titular não tem como antecipar razoavelmente que seus dados serão passados a outra empresa, o consentimento é o caminho mais adequado.

Quando outras bases legais são mais apropriadas

Tratamento necessário para execução de um contrato, como processar pagamento ou entregar um pedido, deve ser fundamentado na base contratual, não no consentimento. Usar consentimento nesses casos cria vulnerabilidade: se o cliente revogar, tecnicamente o controlador perde a base para processar a transação, o que não faz sentido operacional nem jurídico.

Obrigações tributárias, fiscais e contábeis têm base em obrigação legal. Análise de fraude pode se apoiar em legítimo interesse, desde que o balanceamento de interesses esteja documentado. Cada atividade de tratamento deve ter sua base legal mapeada individualmente.

Dados sensíveis

Para dados sensíveis, como saúde, biometria, origem racial, convicção religiosa e dado genético, entre outros listados no artigo 2º da LGPD, o artigo 11 exige consentimento específico e destacado. Não basta incluir esses dados num consentimento genérico: é necessário um registro separado, com linguagem clara sobre a natureza sensível do dado e a finalidade de uso.

Algumas hipóteses do artigo 11 dispensam consentimento para dados sensíveis, como tutela da saúde por profissional de saúde ou obrigação legal. Quando o consentimento é a base escolhida, ele precisa ser ainda mais granular e explícito.

Crianças e adolescentes

O tratamento de dados de crianças, menores de 12 anos conforme o artigo 14 da LGPD, requer consentimento específico e em destaque dado por pelo menos um dos responsáveis legais. Para adolescentes entre 12 e 18 anos, a interpretação ainda está em consolidação regulatória, mas a orientação prudente é adotar a mesma cautela.

Plataformas digitais que coletam dados de menores sem verificação adequada da idade e sem o consentimento dos responsáveis estão em situação de alto risco regulatório. A ANPD tem sinalizado que este será um foco de fiscalização.

Como coletar e registrar o consentimento corretamente

Boas práticas em ambientes digitais

Banners de cookies devem apresentar opções equivalentes em destaque: aceitar e recusar devem ter o mesmo peso visual. Botões “Aceitar tudo” em verde e “Configurar” em cinza discreto configuram dark pattern e comprometem a validade do consentimento. Ferramentas de gerenciamento de consentimento (CMPs) como OneTrust, Cookiebot e Usercentrics implementam essas lógicas, mas a configuração correta depende do operador, não da ferramenta.

Formulários de cadastro e landing pages devem separar o consentimento de marketing do aceite dos termos de uso. Aceitar termos de uso é condição para uso do serviço; consentir com envio de newsletter é opcional. Misturar os dois em uma única caixa é prática inválida.

O que deve constar em um Termo de Consentimento

Um Termo de Consentimento para Tratamento de Dados deve conter, no mínimo: identificação do controlador, dados pessoais que serão tratados, finalidade específica de cada tratamento, prazo de retenção, informação sobre compartilhamento com terceiros, canais para exercício de direitos do titular e informação sobre como revogar o consentimento.

Linguagem simples é obrigatória. O documento precisa ser compreensível para o público-alvo, não apenas para advogados. A ANPD tem publicado orientações sobre comunicação clara com titulares.

Registro e evidência

O ônus da prova é do controlador. Se houver questionamento, a organização precisa demonstrar que o consentimento foi obtido de forma válida. Isso exige armazenar: data e hora do consentimento, versão do texto apresentado ao titular, canal pelo qual foi obtido, identificador do titular e, quando possível, endereço IP ou outro dado de autenticação.

Registros devem ser mantidos pelo prazo de retenção dos dados consentidos e estar acessíveis para auditorias internas, inspeções da ANPD e resposta a solicitações de titulares.

Atualização do consentimento

Se a finalidade do tratamento mudar, por exemplo, dados coletados para envio de confirmação de pedido que passam a ser usados também para análise de comportamento de compra, é necessário obter novo consentimento para a nova finalidade. Reutilizar um consentimento antigo para finalidades não previstas no momento da coleta é tratamento sem base legal válida.

Revogação do consentimento: direitos do titular

O direito de revogar

O artigo 8º, §5º, da LGPD é claro: o consentimento pode ser revogado a qualquer momento, mediante manifestação expressa do titular, por procedimento gratuito e facilitado. Impor burocracia para dificultar a revogação, como exigir ligação telefônica ou envio de carta física para quem consentiu online, é ilegal e configura potencial infração administrativa.

A revogação tem efeito a partir do momento em que é exercida: não retroage sobre os tratamentos já realizados com base no consentimento anterior, mas interrompe todo tratamento futuro que dependia exclusivamente dessa base legal.

O que acontece com os dados após a revogação

Quando o consentimento é a única base legal para um tratamento, a revogação obriga o controlador a encerrar esse tratamento específico. Os dados podem ser eliminados ou anonimizados, a menos que outra base legal autorize a retenção, como obrigação legal de guarda de registros fiscais.

Mapear, para cada conjunto de dados, quais tratamentos dependem exclusivamente do consentimento é um passo crítico. Dados que têm múltiplas bases legais podem continuar sendo tratados com fundamento nas demais bases, mesmo após a revogação do consentimento.

Mecanismos de opt-out

O canal de revogação deve ser tão acessível quanto o canal de consentimento. Se o consentimento foi obtido por email, um link de descadastro no próprio email é o mínimo esperado. Se foi obtido em formulário web, um painel de preferências online é a prática adequada. Portais de privacidade onde o titular gerencia todas as suas preferências em um único lugar são considerados boa prática pelo mercado.

Impacto nas operações de CRM e marketing

No contexto brasileiro, a gestão de consentimento tem impacto direto nas bases de dados de CRM. Contatos que revogam consentimento para comunicações de marketing precisam ser suprimidos das listas ativas em tempo hábil. A integração entre a plataforma de gestão de consentimento e o CRM, seja Salesforce, HubSpot, RD Station ou outro, deve ser automatizada para evitar envios indevidos após a revogação.

Manter contatos ativos em listas de disparo após revogação é um risco duplo: regulatório, pela infração à LGPD, e reputacional, pela deterioração da relação com o cliente.

Consequências do consentimento inválido ou ausente

Sanções administrativas

A ANPD pode aplicar sanções que vão desde advertência até multa de 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração. O tratamento de dados sem base legal adequada, incluindo consentimento inválido, é uma das infrações expressamente previstas. A progressividade das sanções considera reincidência, boa-fé do controlador e adoção de medidas corretivas.

A partir de 2023, a ANPD passou a instaurar processos administrativos sancionadores. O histórico regulatório está sendo construído agora, e as primeiras decisões definitivas definirão precedentes importantes para o mercado brasileiro.

Riscos reputacionais

Além das sanções formais, incidentes relacionados a consentimento inválido têm alto potencial de repercussão. Casos de dark patterns, venda de dados sem consentimento ou envio de comunicações após revogação geram cobertura negativa e erosão de confiança, ativos difíceis de recuperar, especialmente em setores como saúde, finanças e varejo, onde a relação com o cliente é central.

Orientações e casos da ANPD

A ANPD publicou guias orientativos sobre cookies, bases legais e direitos dos titulares que funcionam como referência interpretativa. O caso envolvendo o Serasa Experian, relacionado ao compartilhamento de dados sem base legal clara, foi um marco para o debate sobre legítimo interesse e consentimento no Brasil, mesmo sem uma decisão sancionadora final publicada à época.

A autoridade também emitiu notas sobre tratamento de dados de crianças por plataformas digitais, sinalizando áreas de atenção para a fiscalização nos próximos ciclos.

Como avaliar se o seu consentimento está em conformidade

Use o checklist abaixo como ponto de partida para uma revisão interna:

• Base legal correta: o consentimento foi escolhido porque é realmente a base mais adequada para essa finalidade, não por comodidade?
• Liberdade: o serviço funciona normalmente mesmo se o titular não consentir com finalidades não essenciais?
• Informação no momento certo: a finalidade, os dados e o prazo de retenção estão descritos claramente no momento em que o consentimento é solicitado?
• Ação positiva: o titular realizou uma ação explícita, como caixa desmarcada que ele marcou ou botão que ele clicou, sem pré-seleções?
• Granularidade: finalidades distintas têm registros de consentimento separados?
• Dados sensíveis: há consentimento específico e destacado para cada categoria de dado sensível?
• Registro com evidência: data, hora, versão do texto e canal estão armazenados e auditáveis?
• Mecanismo de revogação: o opt-out é tão simples quanto o opt-in e está integrado ao CRM?
• Atualização: há processo definido para solicitar novo consentimento quando a finalidade muda?
• Crianças: existe verificação de idade e processo para consentimento parental quando o público pode incluir menores?

Se qualquer item resultar em “não” ou “não sei”, esse é o próximo ponto a endereçar. A conformidade com a LGPD não é um projeto com data de término: é uma prática contínua de revisão, documentação e melhoria dos processos de tratamento de dados.