O que a LGPD entende por autorização de uso de dados

No uso cotidiano, “autorização” soa como sinônimo de pedir permissão antes de usar os dados de alguém. A LGPD opera com um conceito técnico diferente: o de base legal. O art. 7º da lei lista dez hipóteses que legitimam o tratamento de dados pessoais, e o consentimento é apenas uma delas.

Essa distinção tem consequências diretas. Uma empresa que trata dados com base em execução de contrato não precisa pedir consentimento ao titular. Se pedir mesmo assim, sem necessidade, pode criar obrigações desnecessárias, como a de interromper o tratamento caso o consentimento seja revogado, mesmo que o contrato ainda esteja vigente.

As outras bases legais previstas no art. 7º incluem o cumprimento de obrigação legal, a execução de políticas públicas, estudos por órgãos de pesquisa, exercício regular de direitos, proteção à vida, tutela da saúde, interesse legítimo do controlador e proteção ao crédito. Cada uma tem critérios próprios de aplicação.

Escolher a base legal errada não é um erro formal sem consequências. A ANPD pode considerar todo o tratamento ilícito, sujeitando o controlador a sanções que vão de advertências a multas de até 2% do faturamento, limitadas a R$ 50 milhões por infração.

Requisitos para um consentimento válido segundo a LGPD

Quando o consentimento é de fato a base legal adequada, a lei impõe quatro atributos cumulativos: ele deve ser livre, informado, inequívoco e referente a finalidade determinada. A ausência de qualquer um desses atributos torna o consentimento inválido.

“Livre” significa que o titular não pode ser coagido nem condicionado a consentir como requisito para acessar um serviço que não depende daquele tratamento específico. “Informado” exige que o titular saiba exatamente o que está autorizando antes de manifestar sua vontade. “Inequívoco” afasta qualquer forma de consentimento tácito ou presumido. “Finalidade determinada” proíbe autorizações abertas e genéricas.

A lei admite que o consentimento seja dado por escrito ou por qualquer outro meio que demonstre a manifestação de vontade do titular. Isso inclui mecanismos digitais, desde que a ação do usuário seja ativa e específica: clicar em um botão de confirmação, por exemplo, e não simplesmente continuar navegando em um site.

O ônus de comprovar que o consentimento foi obtido corretamente recai sobre o controlador, não sobre o titular. As empresas são obrigadas a manter registros técnicos rastreáveis: timestamp, versão do termo apresentado, canal utilizado e identificação do titular.

Para crianças e adolescentes, as regras são mais restritivas. O tratamento de dados de menores de 18 anos exige consentimento específico e em destaque dado por pelo menos um dos pais ou pelo responsável legal. Coletar dados de crianças sem essa anuência é uma das infrações que a ANPD já sinalizou como prioritárias em sua agenda de fiscalização.

Como elaborar um termo de consentimento dentro da LGPD

Um termo de consentimento válido deve identificar claramente o controlador dos dados, descrever cada finalidade do tratamento, listar os tipos de dados coletados, informar o prazo de retenção e enumerar os direitos do titular previstos no art. 18 da LGPD.

A linguagem precisa ser acessível ao cidadão comum. Termos como “cessão onerosa de informações cadastrais a parceiros comerciais estratégicos” não atendem ao requisito de informação clara. A ANPD referencia o princípio da transparência como vetor interpretativo para avaliar se o titular realmente compreendeu o que autorizou.

O consentimento não pode estar embutido em termos de uso extensos, contratos de adesão ou políticas de privacidade longas com aceitação única. Precisa ser destacado e separado dos demais instrumentos contratuais. Uma caixa de seleção desmarcada, posicionada após a descrição objetiva da finalidade, é o formato mais comum e tecnicamente adequado.

Quando o controlador tratar dados para múltiplas finalidades, o ideal é aplicar granularidade: permitir que o titular aceite cada finalidade de forma independente. Um usuário pode consentir com o envio de comunicações transacionais e recusar o uso dos dados para campanhas de marketing, por exemplo. Agrupar finalidades distintas em um único aceite fragiliza juridicamente todo o consentimento.

Direito de revogar a autorização e consequências para o controlador

O titular pode revogar o consentimento a qualquer momento, sem custo e por meio de procedimento simples. A LGPD é expressa nesse ponto: a revogação deve ser tão fácil quanto a manifestação original do consentimento. Exigir ligação telefônica, envio de carta ou processo burocrático para revogar o que foi autorizado com um clique é uma violação direta da lei.

Após a revogação, o controlador é obrigado a cessar o tratamento dos dados cobertos por aquele consentimento. A exceção ocorre quando existe outra base legal que justifique a continuidade, por exemplo, se os dados também são necessários para o cumprimento de obrigação legal ou para execução de contrato ainda vigente. Nesses casos, o tratamento continua com fundamento na base legal alternativa, e o titular deve ser informado disso.

A revogação aciona direitos complementares: o titular pode solicitar a portabilidade dos dados a outro fornecedor ou a eliminação dos dados tratados com base no consentimento revogado. O controlador tem prazo para responder a essas solicitações e deve documentar cada etapa do processo.

Para demonstrar conformidade à ANPD, é necessário manter um registro auditável de todas as solicitações de revogação: data do pedido, canal utilizado, ação tomada e prazo de resposta. Esse log é evidência primária em caso de investigação ou reclamação formal do titular.

Casos práticos comuns no mercado brasileiro

Marketing e e-mail marketing

O envio de comunicações comerciais para leads que forneceram o e-mail em troca de um material pode se apoiar no legítimo interesse, desde que haja relação direta entre o conteúdo enviado e o interesse que motivou o cadastro, e desde que o opt-out seja fácil. Quando a comunicação é de natureza mais ampla ou envolve terceiros parceiros, o consentimento específico é mais seguro.

Uso de imagem em campanhas publicitárias

O uso da imagem de pessoas físicas em campanhas exige autorização expressa que especifique o tipo de mídia, a duração, o território de divulgação e se a imagem pode ser editada ou associada a outros produtos. Uma autorização genérica “para uso publicitário” não atende aos requisitos de finalidade determinada da LGPD nem ao Código Civil.

Recrutamento e seleção

Dados de candidatos podem ser tratados com base no legítimo interesse do controlador durante o processo seletivo. Retê-los por prazo indeterminado em um banco de talentos, porém, requer consentimento específico e informação sobre por quanto tempo os dados serão mantidos. Dados sensíveis, como informações de saúde exigidas para determinadas funções, demandam consentimento explícito, conforme o art. 11 da LGPD.

SaaS e startups

Definir a base legal para cada categoria de dados antes do lançamento evita dois problemas custosos: multas em fase inicial e retrabalho de arquitetura de produto. Um sistema construído assumindo consentimento como base legal universal precisará ser reformulado se o modelo de negócio mudar, por exemplo, ao adicionar analytics comportamental ou compartilhamento de dados com parceiros.

Erros frequentes e como evitá-los

Usar consentimento como base legal padrão para tudo é o erro mais comum. Além de criar dependência operacional desnecessária (qualquer revogação em massa pode paralisar processos), sinaliza que a empresa não fez a análise jurídica adequada sobre qual base legal realmente se aplica a cada tratamento.

Caixas pré-marcadas e consentimento presumido são práticas explicitamente vedadas. A LGPD exige manifestação ativa e positiva do titular. Aceitar termos ao continuar usando um serviço, sem nenhuma ação afirmativa, não configura consentimento válido.

Não atualizar o termo quando a finalidade muda invalida o consentimento original. Se uma startup começa coletando e-mail para envio de nota fiscal e depois decide usar o mesmo dado para segmentação de campanhas, precisa obter novo consentimento para a nova finalidade. O aceite anterior não pode ser reaproveitado.

Ignorar os posicionamentos da ANPD é um risco crescente. A autoridade já publicou guias sobre cookies, dados de crianças e segurança da informação, além de ter aplicado as primeiras sanções. Esses documentos funcionam como jurisprudência administrativa e orientam como a lei será interpretada em casos concretos.

Como avaliar a conformidade do seu processo de consentimento

Um checklist mínimo para revisar o processo atual inclui os seguintes pontos:

• Cada tratamento de dados tem uma base legal formalmente documentada no Registro de Atividades de Tratamento (RAT)?
• Os termos de consentimento descrevem finalidades específicas, sem agrupamentos genéricos?
• O mecanismo de coleta exige ação afirmativa do titular, sem caixas pré-marcadas?
• Existe um canal fácil, gratuito e documentado para revogação do consentimento?
• Os logs de consentimento e revogação são armazenados com timestamp e versão do termo?
• Os termos foram atualizados nas últimas mudanças de produto ou de modelo de negócio?
• O tratamento de dados de menores segue as regras diferenciadas do art. 14?

Se alguma resposta for negativa, o próximo passo é mapear os tratamentos afetados, corrigir a base legal ou o mecanismo de coleta e registrar a correção com data e responsável. A ANPD considera a adoção de medidas corretivas proativas como fator atenuante em processos sancionatórios.