O que é consentimento no contexto da LGPD

O Art. 5º, XII da Lei Geral de Proteção de Dados define consentimento como a “manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada”. Cada um desses adjetivos tem peso jurídico: livre significa sem coerção ou condicionamento indevido; informada exige que o titular saiba exatamente o que está autorizando; inequívoca afasta qualquer ambiguidade sobre a intenção de consentir.

O consentimento é apenas uma das dez bases legais previstas no Art. 7º da LGPD. As demais incluem o cumprimento de obrigação legal ou regulatória, a execução de contrato, o legítimo interesse do controlador e a proteção ao crédito, entre outras. Uma empresa não precisa, e muitas vezes não deveria, recorrer ao consentimento para toda e qualquer atividade de tratamento.

Na prática, o consentimento tende a ser a base legal mais escolhida por ser a mais conhecida, não porque seja a mais adequada. Essa escolha por padrão cria obrigações operacionais pesadas e riscos jurídicos desnecessários. Antes de optar por ele, vale verificar se outra base legal não se aplica de forma mais consistente ao caso concreto.

Requisitos para um consentimento válido

O Art. 8º da LGPD estabelece que o consentimento deve ser fornecido por escrito ou por outro meio que demonstre a manifestação de vontade do titular. Um clique em um botão de opt-in, desde que o contexto seja claro e o registro seja mantido, atende a esse requisito. O que não atende é o silêncio, a omissão ou uma caixa de seleção pré-marcada.

Finalidade específica e granularidade

A LGPD veda expressamente autorizações genéricas ou vagas. “Concordo com os termos de uso” não é consentimento válido para tratamento de dados pessoais: é apenas aceitação contratual. O consentimento precisa estar vinculado a uma finalidade determinada, descrita de forma compreensível.

Quando existem múltiplas finalidades distintas, como envio de comunicações de marketing, personalização de experiência e compartilhamento com parceiros comerciais, cada uma delas exige um consentimento separado. O agrupamento de finalidades heterogêneas em uma única autorização fragiliza juridicamente todo o tratamento.

Registro e evidência

O princípio da accountability (Art. 6º, X) obriga o controlador a demonstrar que o consentimento foi obtido de forma válida. Isso envolve registrar: data e hora da coleta, versão do texto exibido ao titular, identificação do canal, dados tratados e finalidade declarada. Sem esse registro, o consentimento não pode ser provado em caso de questionamento pela ANPD ou em esfera judicial.

O que o consentimento não autoriza

Um equívoco comum é tratar o consentimento original como uma autorização ampla para qualquer uso futuro dos dados. O compartilhamento de dados pessoais com terceiros não está coberto automaticamente pelo consentimento dado ao controlador original: exige nova base legal ou novo consentimento específico para aquela transferência e aquele destinatário.

O tratamento para finalidades incompatíveis com a original também é vedado, mesmo que o titular tenha assinado um consentimento amplo. A compatibilidade de finalidade é avaliada com base em critérios como a relação entre a finalidade original e a nova, o contexto da coleta, a natureza dos dados e as expectativas razoáveis do titular.

Outro ponto crítico é o desequilíbrio de poder. Consentimentos obtidos em contextos onde o titular não possui real liberdade de escolha, como numa relação de emprego em que o trabalhador teme consequências caso recuse, podem ser considerados viciados pela ANPD. A autoridade já sinalizou em suas orientações que relações hierárquicas tornam o consentimento uma base inadequada por comprometer o requisito de livre manifestação.

Revogação do consentimento e direitos do titular

O Art. 8º, §5º da LGPD garante ao titular o direito de revogar o consentimento a qualquer momento, de forma gratuita e por procedimento facilitado. “Facilitado” não é adjetivo vago: significa que o processo de revogação não pode ser mais difícil do que o processo de consentimento original. Se o titular consentiu com um clique, revogar também deve ser possível com poucos cliques.

Efeitos da revogação

A revogação não retroage. Os tratamentos realizados com base no consentimento válido antes da revogação permanecem lícitos. O que cessa é o tratamento futuro com fundamento naquele consentimento. Se o controlador precisar continuar tratando os dados por outra razão legítima, como cumprimento de obrigação legal, deverá comunicar ao titular a nova base legal que sustenta a continuidade.

Antes da coleta do consentimento, o controlador tem a obrigação de informar ao titular quais serão as consequências da eventual revogação. Isso inclui, por exemplo, a interrupção de um serviço, a exclusão de dados ou a impossibilidade de personalização. Essa informação antecipada é essencial para que o consentimento seja genuinamente livre e informado.

Prazo e processo recomendados

A LGPD não fixa prazo específico para atendimento de pedidos de revogação, mas a ANPD orienta que o tratamento seja feito em tempo razoável e compatível com a complexidade do pedido. Como referência prática, muitas organizações adotam 15 dias úteis como prazo máximo interno, com confirmação ao titular após o processamento. O processo deve ser documentado e auditável.

Como estruturar um Termo de Consentimento adequado

O termo de consentimento não é o mesmo documento que a política de privacidade. A política de privacidade descreve todas as práticas de tratamento de dados da organização. O termo de consentimento é específico: documenta uma autorização pontual do titular para uma ou mais finalidades determinadas. Misturar os dois compromete a validade de ambos.

Elementos obrigatórios

Um termo de consentimento adequado deve conter, no mínimo: identificação completa do controlador, descrição dos dados pessoais que serão coletados, finalidade específica do tratamento, prazo ou critério de término do tratamento, informação sobre eventual compartilhamento com terceiros e canais de contato do encarregado (DPO). A ausência de qualquer desses elementos pode invalidar o consentimento.

Linguagem e UX

O Art. 8º, §1º exige que o consentimento seja destacado das demais cláusulas contratuais quando estiver inserido em um contrato mais amplo. A linguagem também deve ser clara e acessível ao público-alvo: termos jurídicos herméticos como “transmissão de dados a subprocessadores internacionais” sem explicação contextual não atendem ao requisito de informação adequada para um consumidor comum.

Do ponto de vista de UX, a LGPD veda implicitamente as caixas de seleção pré-marcadas e os chamados dark patterns que induzem o consentimento. O opt-in deve ser explícito: o titular precisa realizar uma ação afirmativa e consciente. Caixas pré-marcadas que o usuário precisaria desmarcar para recusar configuram ausência de livre manifestação.

Quando o consentimento é a base legal mais arriscada

Do ponto de vista operacional, o consentimento é a base legal mais frágil disponível no Art. 7º. Qualquer titular pode revogá-lo a qualquer momento e, se o tratamento de dados for central para o negócio, uma revogação em escala, por exemplo após uma crise de reputação, pode interromper operações inteiras que deveriam estar apoiadas em bases mais estáveis.

Bases alternativas mais adequadas em cenários comuns

Para o envio de comunicações comerciais a clientes existentes, o legítimo interesse frequentemente é mais adequado do que o consentimento, desde que acompanhado do balancing test que pondera os interesses do controlador contra os direitos do titular. Para o tratamento de dados de funcionários, a execução do contrato de trabalho e o cumprimento de obrigação legal costumam ser bases mais sólidas do que tentar obter consentimento em uma relação hierárquica.

A ANPD tem demonstrado atenção especial a casos de consentimento forçado, situações em que o acesso a um serviço é condicionado ao consentimento para tratamentos que não são necessários à prestação daquele serviço (Art. 7º, §3º veda explicitamente essa prática). Empresas que utilizam o consentimento como moeda de troca para funcionalidades básicas estão expostas a autuações e advertências.

O risco do consentimento como base padrão

Organizações que adotam o consentimento como base legal padrão para todos os tratamentos, sem análise caso a caso, criam um passivo jurídico que cresce com a base de usuários. Cada novo titular é um potencial revogador. Quanto mais central o dado tratado for para o produto ou serviço, maior o risco sistêmico dessa escolha.

Como avaliar e estruturar sua estratégia de bases legais

O ponto de partida é o mapeamento de dados (data mapping), que deve identificar cada fluxo de tratamento, os dados envolvidos, a finalidade e o agente responsável. Para cada fluxo, a equipe jurídica ou de privacidade deve analisar qual das dez bases do Art. 7º melhor se aplica, antes de recorrer ao consentimento por conveniência.

Para tratamentos que efetivamente requerem consentimento, implemente um sistema de gestão de preferências que permita coleta granular, registro auditável e revogação facilitada. Ferramentas de Consent Management Platform (CMP), como OneTrust, Usercentrics e Cookiebot, podem automatizar parte desse processo, mas a responsabilidade jurídica pela adequação do consentimento continua sendo do controlador, não da ferramenta.

Revisite os consentimentos existentes sempre que houver alteração de finalidade, novo compartilhamento com terceiros ou atualização relevante no texto informado ao titular. Um consentimento válido na data da coleta pode deixar de sê-lo se as circunstâncias mudarem e o titular não for informado e consultado novamente.

Documente também as decisões sobre bases legais. O registro do raciocínio que levou à escolha de determinada base, incluindo a análise de alternativas, é parte do que a ANPD pode solicitar em uma fiscalização. Empresas que conseguem demonstrar que fizeram escolhas fundamentadas estão em posição significativamente melhor do que aquelas que simplesmente coletam consentimento sem análise prévia.