A Lei Geral de Proteção de Dados Pessoais (LGPD) é a primeira legislação transversal sobre proteção de dados pessoais no Brasil. O legítimo interesse é uma das dez bases legais previstas na LGPD para tratamento de dados pessoais (art. 7°, IX). As bases legais, por sua vez, são hipóteses autorizativas de tratamento de dados pessoais, o que engloba um grande número de operações realizadas com tais dados, incluindo a coleta, classificação, utilização, acesso, transmissão, processamento, armazenamento, eliminação, transferência, entre outros (art. 5°, X da LGDP).

A definição de qual é a base legal apropriada para fundamentar determinado tratamento de dados pessoais passa por uma reflexão em concreto, a partir das características particulares dos dados pessoais tratados e das finalidades para tratamento. Em outras palavras, não existe uma hierarquia entre bases legais, mas sim base legal mais ou menos adequada a determinado tratamento de dados pessoais. São dez as bases legais disponíveis para o tratamento de dados pessoais, em específico: (i) o cumprimento de obrigação legal ou regulatória; (ii) execução de políticas públicas; (iii) estudos por órgão de pesquisa; (iv) execução de contrato ou procedimentos preliminares ao contrato; (v) exercício regular de direitos; (vi) proteção da vida ou incolumidade física; (vii) tutela da saúde; (viii) proteção do crédito; (ix) o consentimento e o (x) legítimo interesse.

Como dito, o legítimo interesse encontra previsão no art. 7°, IX. Segundo a própria lei, a utilização do legítimo interesse deverá ser precedida por teste de adequação, enunciado pelo art. 10. Este, de forma resumida, afirma que o legítimo interesse do controlador ou terceiro poderá fundamentar tratamento de dados pessoais (art. 7º, I) estritamente necessários (art. 10, §1°) para realizar finalidades legítimas consideradas a partir de situações concretas (art. 10), resguardados os direitos e liberdades fundamentais dos titulares de dados pessoais, bem como respeitadas suas legítimas expectativas (art. 10, II).

Uma regra básica para a utilização dessa base legal é que ela não é aplicável para o tratamento de dados pessoais sensíveis (art. 11 da LGPD)¹. Dados sensíveis, segundo a legislação, são dados pessoais “sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;”, nos termos do art. 5°, II da LGPD.

A escolha a respeito do uso de uma determinada base legal, como já mencionado, dependerá essencialmente das atividades realizadas pelo controlador de dados pessoais. Novamente, não há que se falar em base legal melhor ou pior, a análise que se faz é uma de cabimento em relação à realidade do caso. Por exemplo, pode-se imaginar um aplicativo de delivery de comida em que o titular de dados pessoais oferece dados de endereço e cartão de crédito para o controlador com o objetivo de, respectivamente, permitir a entrega e formalização do pagamento da refeição. Nessas circunstâncias, como em variadas ocasiões em que existe potencial contratação entre o titular de dados pessoais e o controlador de dados, a base legal da execução do contrato ou de procedimentos preliminares relacionados ao contrato, prevista no art. 7°, V é a mais indicada.

Existe a percepção de que o legítimo interesse é uma base legal chave da norma, uma vez que, à primeira vista, é mais flexível e pouco “burocrática”, isto é não depende de elementos externos autorizativos – por exemplo, uma autorização expressa do titular de dados pessoais, no caso do consentimento, contrato formalizado ou mesmo uma obrigação legal ou regulatória bem definida. Reforçando essa impressão geral em torno da base legal, especialistas europeus estimam que, a partir da vigência do Regulamento Geral de Proteção de Dados europeu (GDPR), cerca de 70% dos processos de tratamento de dados pessoais estariam se dando a partir do legítimo interesse, que encontra previsão similar em referido regramento (Ustaran, 2018).

Essa percepção inicial, porém, precisa ser analisada com cautela. Segundo o próprio parecer de aprovação do Projeto de Lei da LGPD na Câmara, do Relator Orlando Silva, “o legítimo interesse não deve ser lido como um cheque em branco” (Brasil, 2018, p. 34). Neste sentido, o legítimo interesse é base legal que exige uma série de cuidados e medidas especiais, antes e durante o curso do tratamento de dados pessoais, à cuja análise se dedica o presente artigo. Recorrendo ao GDPR, o Article 29 Data Protection Working Party (WPDP29), entidade criada com o objetivo de unificar a interpretação em torno das normas europeias de proteção de dados pessoais, indica que o legítimo interesse é baseado no princípio da accountability (WPDP29, 2014, p. 45). Transpondo esse entendimento para o cenário brasileiro, seria necessário concluir que o legítimo interesse exige que os princípios da transparência, responsabilização e prestação de contas, previstos nos incisos VI e X do art. 6° da LGPD, encontrem especial ressonância quando da sua utilização para o tratamento de dados.

Nesse contexto, e tendo em vista que se trata de uma base legal largamente utilizada – por conta de sua plasticidade e adaptabilidade a variados cenários – é de extrema relevância que se busque construir debate doutrinário e jurisprudencial a fim de melhor definir seus contornos e hipóteses de aplicação. É nesse contexto que se insere esse artigo, a fim de contribuir para o debate. Para aprofundar as reflexões sobre o tema, o presente artigo estruturou-se a partir de pesquisa bibliográfica é dividido em duas seções: na primeira, argumenta-se que a doutrina constitucional associada ao princípio da proporcionalidade pode ser encarada como interessante referência para aplicação do legítimo interesse. Em seguida, são descritos os quatro passos de análise do legítimo interesse sob o pano de fundo do princípio da proporcionalidade: (i) legitimidade; (ii) adequação; (iii) necessidade e (iv) balanceamento. Na segunda seção, o artigo se volta para as medidas de transparência propostas pela LGPD e sua possível utilização no caso do legítimo interesse.

Conforme já apresentado, o art. 10 da LGPD traz orientações para a aplicação do legítimo interesse, as quais compõe o chamado “teste de adequação para utilização do legítimo interesse” ou “teste para utilização do legítimo interesse” – no GDPR, o teste recebe a nomenclatura de legitimate interest assessment (LIA). Embora o legislador brasileiro não tenha estruturado teste claro no texto legal, é possível esquematizar um teste que se adeque ao ordenamento jurídico brasileiro – Bruno Bioni é responsável pela principal articulação neste sentido (2019, pp. 263-265).

Sem o objetivo de se desconsiderar ou se sobrepor a este esforço, o presente artigo argumenta que a técnica do teste de proporcionalidade de direitos fundamentais, comumente utilizado e referenciado na cultura jurídica brasileira, pode operar como aliada no momento de tradução do LIA para o ordenamento jurídico brasileiro².

Vale ressaltar que esse teste é habitualmente adotado pelo Supremo Tribunal Federal (STF) na análise de casos que representam “conflitos” entre direitos constitucionais fundamentais, o que reverbera também para a prática interpretativa de instâncias inferiores (Silva, 2002; Andrade Neto, 2018). Exatamente por ser uma técnica habitual e já conhecida do Judiciário brasileiro, além de largamente estudada doutrinariamente e fortemente referenciada em direitos fundamentais, entende-se que é possível que ela se configure na prática como um referencial analítico relevante também para a LGPD, e para o legítimo interesse em concreto. Esse entendimento nos parece fortalecido à luz de posicionamentos recentes do STF sobre o tema, em especial dos votos exarados quando da análise das Ações Diretas de Inconstitucionalidade (ADIs) que tratavam da Medida Provisória nº 954/2020 (ADI nºs 6.387), nos quais o tribunal afirmou que os dados pessoais são objeto de proteção constitucional.

Portanto, com o objetivo de guiar a aplicação do teste do legítimo interesse, pode-se recuperar a aplicação desse teste, que se desenrola a partir de três requisitos: (i) adequação, (ii) necessidade e (iii) proporcionalidade em sentido estrito. No primeiro, deve-se analisar se a medida é apta a alcançar o resultado pretendido. Em seguida, o exame da necessidade exige que se questione se não há medida alternativa, menos gravosa para o direito fundamental atingido, que realize o objetivo com a mesma intensidade. Por fim, deve-se analisar a proporcionalidade em sentido estrito, que consiste em teste de sopesamento entre a intensidade da restrição ao direito fundamental atingido e a importância da realização do direito fundamental que se pretende alcançar e que fundamenta a adoção da medida restritiva (Silva, 2002, p. 40). É importante destacar que, na doutrina constitucional, um passo seguinte na análise do sopesamento só deve ser dado se cumprido o requisito do passo anterior. Em outras palavras, como destaca Robert Alexy, o constitucionalista a quem comumente se atribui a paternidade dessa teoria, uma análise de necessidade só pode ser feita uma vez que se conclua que a medida em concreto é adequada para a finalidade pretendida, e assim sucessivamente (2015, p. 120).

Além de entendermos que essa estrutura de raciocínio encontra paralelo com aquela que deve ser levada a cabo no caso da LGPD, a aplicação da proporcionalidade como teste de adequação do legítimo interesse encontra respaldo na utilização do instituto no contexto europeu. O GDPR também indica o legítimo interesse como uma das bases legais de tratamento Art 6º, f. Segundo o artigo, o tratamento de dados pessoais será lícito quando for necessário para os propósitos de interesses legítimos do controlador ou terceiro, exceto quando esses interesses forem superados por interesses ou direitos e liberdades fundamentais de titulares de dados pessoais, que demandam a proteção dos dados pessoais.

O tema também é tratado pela norma em seus Considerandos 47, 48 e 49, que já estabelecem alguns parâmetros para a sua aplicação. Um deles, que também é replicado na LGPD, é que o teste para utilização do legítimo interesse deve ser realizado em concreto³.

Vale destacar que, no contexto europeu, a base legal do legítimo interesse não é nova e já encontrava previsão na antiga Diretiva n° 95/46/EC , segundo a qual o tratamento de dados pessoais para interesses legítimos do controlador ou de terceiros seria legal quando não houvessem interesses, direitos ou liberdades dos titulares de dados pessoais sobrepostos àqueles interesses, tratando-se, portanto, de gramática própria da teoria constitucional da proporcionalidade Art. 7º, f. Neste sentido, antes mesmo da entrada em vigor do GDPR, em 2014, o WPDP29 disponibilizou orientações para a aplicação do teste do legítimo interesse, que também serão utilizadas como substrato para este artigo.

O teste tem sido identificado como um exercício de balanceamento no contexto europeu, reforçando a relação com a teoria constitucional. Irene Kamara e Paul De Hert, do centro de pesquisa Brussels Privacy Hub, entendem que a teoria constitucional do teste da proporcionalidade influenciou as normas de proteção de dados pessoais na estruturação do teste de adequação do legítimo interesse – destacando, entretanto, que não é possível fazer uma transposição pura do debate constitucional (Kamara & De Hert, 2018). Comentando a evolução do legítimo interesse na Europa e a possibilidade do uso da proporcionalidade, Daniel Bucar e Mario Viola afirmam:

A possibilidade de sopesamento de outros princípios à privacidade deve ser justificada, portanto, à renovada noção que exige o conceito, pelo que casos haverá em que a finalidade de uso dos dados, mesmo sem consentimento do titular, sem ofensa ao objetivo de sua proteção (mandatório, inclusive, ao cumprimento de justiça social e defesa do consumidor no exercício de livre-iniciativa, previsto no art. 170, caput, e inciso V, CF) e com a promoção, inclusive, de outros valores constitucionais. A cláusula geral de interesse legítimo, portanto, permite essa flexibilidade e sua conformidade se desenvolverá no caso concreto pelo correto uso do ônus argumentativo, o que revelará um resultado adequado. Essa deverá ser a direção para a futura concretização do legítimo interesse, pois perante a unidade do ordenamento jurídico, a ponderação será, portanto, indispensável (Bucar & Viola, 2019, p. 115).

No mesmo artigo, os autores argumentam que a LGPD fixa uma espécie de “regra de ponderação” e não se pode deixar de levar em consideração a técnica proposta por Alexy na ponderação de princípios constitucionais (2019, p. 116). Todavia, os autores entendem que a teoria constitucional por si só sofre de limitações uma vez que “aplicação transita unicamente entre princípios constitucionais e, também, no binarismo ‘conflito de princípios-conflito de regras’” (2019, p. 116) – defendem, então, que seja adotado o método civil-constitucional a partir de análise funcional do direito à privacidade, inclusive a partir de figuras como o abuso de direito.

Ainda que este artigo não defenda que o teste do legítimo interesse seja hipótese estrita de aplicação da proporcionalidade nos moldes constitucionais, entende-se que é possível utilizar a tradição constitucional existente como referencial metodológico, uma vez que se trata de instrumento comumente mobilizado na cultura jurídica brasileira e, como já dito, especialmente tendo em vista o reconhecimento do direito à proteção de dados pessoais pelo STF como direito fundamental. Não se trata de análise concorrente àquelas já disponíveis (Bioni, 2018; Teffé e Viola, 2020) , mas proposta interpretativa que joga luz sobre diferentes aspectos da aplicação do teste de adequação do legítimo interesse. Inclusive, como ficará evidente, a interpretação ora defendida possui inúmeros pontos de contato com aquelas – especialmente ao também utilizar documentos sobre a prática europeia para interlocução.

Assim, a partir da tradição de aplicação do teste da proporcionalidade e da experiência europeia de aplicação do teste de adequação do legítimo interesse, será aqui proposto teste equivalente à luz da LGPD, o qual será composto por quatro etapas: (i) legitimidade do interesse; (ii) adequação; (iii) necessidade; (iv) balanceamento, com análise das salvaguardas e medidas de accountability adotadas. Com o objetivo de explorar cada uma destas etapas, a presente seção do artigo será dividida nessas mesmas quatro partes, com uma seção adicional, que propõe questões em aberto sobre a interpretação da base legal ora tratada.

O primeiro passo de análise é identificar se o interesse perseguido pelo agente de tratamento de dados pessoais é legítimo. Voltando brevemente à teoria constitucional, existe certo desacordo sobre a inclusão da análise da legitimidade do interesse entre os passos de aplicação da proporcionalidade. Enquanto a tradicional formulação de Robert Alexy (2015) menciona apenas os requisitos da adequação, necessidade e proporcionalidade em sentido estrito, a jurisprudência constitucional europeia e outros relevantes teóricos indicam esse passo como preliminar (Rivers, 2006). Afinal, sequer faria sentido pensar na constitucionalidade de uma medida se o objetivo por trás de sua implementação é ilegítimo.⁴

Transportando essa análise para o âmbito da proteção de dados, antes que se questione se um interesse é legítimo, é preciso questionar e delimitar qual é esse interesse, ou o “propósito” deste tratamento de dados pessoais. O WPDP29 (2014), em Opinião relacionada ao tema do legítimo interesse, elaborou o seguinte passo-a-passo para identificar se um interesse pode ser considerado legítimo: (i) é preciso avaliar se ele é ilegal; (ii) é igualmente preciso que ele seja suficientemente claro e articulado, de modo a permitir que o teste seja realizado, isto é, o interesse deve ser suficientemente específico; (iii) é preciso que represente um interesse real e presente, isto é, não ser especulativo.

A delimitação proposta pode ser replicada na legislação brasileira, uma vez que o caput do art. 10 também afirma que o legítimo interesse do controlador deve ser fundamentado a partir de “finalidades legítimas, consideradas a partir de situações concretas”. Além disso, tal como a legislação europeia, a LGPD não chega a especificar o que seriam interesses legítimos, de modo que interpretando este artigo à luz das experiências europeia e constitucional brasileira, é factível afirmar que um interesse será legítimo quando for suficientemente claro e concreto, além de não ilegal.

A ilegalidade de determinado interesse deriva de vedação legal expressa. Como exemplo, pode-se imaginar um empregador que demite uma funcionária porque ela se encontra em idade reprodutiva. Na medida em que tal prática poderia ser classificada como ilícita nos termos da Lei nº 9.029/1995, ela seria também, sempre e todas as vezes, ilegítima. Outro exemplo ainda seria o caso do art. 11, §5º da LGPD, que traz vedação expressa ao tratamento de dados pessoais referentes à saúde para a prática de seleção de riscos na contratação de planos de saúde. Qualquer tratamento apoiado em referido propósito, isto é, diferenciação ilegal de possíveis contratantes, não poderia ser considerado legítimo da perspectiva do teste de adequação.

Em segundo lugar, o teste do legítimo interesse deve ser realizado em concreto. Isto é, não é possível realizar determinado tratamento de dados pessoais fundamentado no legítimo interesse com algum objetivo especulativo. Segundo Bioni, é necessário que o interesse esteja claramente articulado – quanto mais bem definida e articulada a situação, mais fácil será conduzir o restante do teste (2019, p. 264). Novamente buscando ilustrar essa questão: em transações societárias, é comum a realização de auditorias pela parte compradora, a qual poderá ter acesso a dados pessoais de funcionários da empresa. Em se tratando de operação societária específica, o requisito da concretude restaria realizado e o prosseguimento do teste seria factível (CIPL, 2017, p. 8).

Olhando para a experiência estrangeira, é possível indicar alguns propósitos de tratamentos de dados pessoais que tradicionalmente vêm sido considerados como legítimos, sendo estes: prevenção de fraude, segurança da informação, marketing direto e tratamento de dados pessoais de empregados (WPDP29, 2014, p. 25). A detecção e prevenção de fraudes chega a ser mencionada pelo Considerando 47 do GDPR como algo que pode “constituir” legítimo interesse do controlador de dados pessoais. Por exemplo, no caso de instituições financeiras, o legítimo interesse de redes de pagamento de se proteger contra fraudes está em concordância com os interesses dos demais agentes do ecossistema de pagamentos, incluindo as instituições financeiras, comerciantes e indivíduos que buscam minimizar os impactos e perdas decorrentes de fraudes. De forma semelhante, o Considerando 49 do GDPR estabelece que o tratamento de dados pessoais estritamente necessário para a garantia da segurança de redes e da informação também pode constituir legítimo interesse do controlador. Neste sentido, a norma chega a exemplificar que essa hipótese inclui os casos de tratamento de dados pessoais para prevenir eventos acidentais, ilegais ou maliciosos que comprometem a disponibilidade, autenticidade, integridade e confidencialidade de dados pessoais armazenados ou transmitidos.

Da jurisprudência europeia, vale destacar o caso Rynes (Corte de Justiça Europeia, 2014). Sua questão central era se a legislação europeia de proteção de dados pessoais seria aplicável para o caso de utilização de câmeras de vigilância, com visão para rua, em residências privadas. A Corte de Justiça entendeu que sim, pois a câmera estaria dirigida para um espaço público. Com relação à base legal para o tratamento, por sua vez, a Corte indicou entender que a proteção da propriedade, saúde e vida do indivíduo detentor da câmera e sua família representariam legítimos interesses para referido tratamento.⁵

A adequação consiste em avaliar se a medida é apta a fomentar o objetivo pretendido – isto é, é uma avaliação lastreada em possibilidades fáticas (Alexy, 2015, p. 589). Um exemplo da teoria constitucional é de legislação com estabelecimento de metas de racionamento de energia e punição em caso de desrespeito a tais metas. Considerando que a finalidade dessa medida é evitar a suspensão completa do fornecimento de energia e a medida é apta a levar a esse resultado, o meio utilizado para alcançar esse fim pode ser considerado adequado ao objetivo em questão (Silva, 2015, p. 15).

A análise da adequação no caso do tratamento de dados pessoais busca compreender se os dados pessoais tratados guardam relação com o propósito analisado. Isto é, se existe uma correlação suficiente entre o interesse perseguido e a medida em questão. De maneira mais objetiva, o que se analisa quando falamos de adequação é se o conjunto de dados coletados tem pertinência com a finalidade de tratamento almejada. Trata-se de exigência anterior à análise da necessidade, que será posteriormente descrita.

Por exemplo, pode-se imaginar um estacionamento de carros que cogita utilizar o legítimo interesse como base legal de tratamento de dados de seus clientes.⁶

Considerando que a finalidade de eventual coleta de dados seria simplesmente identificar o carro e possibilitar sua retirada pelo proprietário, seria adequada – ou seja, apta a atingir essa finalidade – a realização de um cadastro do dono, com, por exemplo, nome completo, fotografia, digital, documento de identificação e telefone. Considerando, respectivamente, o interesse do dono de voltar e buscar seu carro, o interesse do estacionamento em contatar o dono em caso de emergências e em certificar-se que se trata de mesmo indivíduo que deixou o carro, por exemplo, a coleta de tais dados é adequada para tais fins.

Novamente, pode-se pensar o exemplo da prevenção de fraudes em transações bancárias. Imaginando um núcleo de dados pessoais coletáveis para essa finalidade, como endereço de IP e localização, parece estar cumprido o requisito da adequação. Não parece adequado, no entanto, que a instituição bancária questione ao titular de dados pessoais se ele possui alguma restrição alimentar. Esse interesse, não obstante legítimo, à medida que não é ilegal, nem indeterminado ou especulativo, não é adequado para o fim pretendido. Esta coleta, portanto, não seria aprovada no teste do legítimo interesse.

Uma vez reconhecida a legitimidade e a adequação do interesse, passa-se à análise da necessidade. Esta, no campo constitucional, consiste em avaliação sobre a existência de medida menos gravosa para atingir aquela mesma finalidade de forma suficiente, isto é, que seja igualmente efetiva para o atingimento daquela finalidade e menos onerosa ao direito fundamental afetado (Alexy, 2015, p. 119). Neste sentido, tal como na análise da adequação, trata-se de exercício comparativo que depende necessariamente do caso concreto, isto é, uma reflexão sobre as possíveis medidas para o alcance daquela finalidade.

No campo da proteção de dados pessoais, de forma análoga, a análise refere-se aos impactos do tratamento de dados pessoais para o seu titular, onde deve-se questionar se o tratamento de dados pessoais é necessário em si, isto é, se não é possível alcançar a mesma finalidade de forma menos intrusiva ou onerosa. Trata-se de análise geral e comparativa – devendo ser comprovado que o tratamento de dados pessoais é estritamente necessário para a realização dos interesses legítimos do controlador. Isto é, que não existem meios alternativos menos invasivos ao titular dos dados pessoais para que o controlador alcance aquela finalidade. Tal como a adequação, a sua fundamentação legal deriva do art. 10, §1º da LGPD, especialmente quando este fala em necessidade estrita. A análise dialoga com os princípios da necessidade e minimização, enunciados pelo art. 6°, III da LGPD, que estabelecem que o tratamento de dados pessoais deverá ser limitado ao mínimo necessário para a realização de suas finalidades. O mesmo artigo afirma que o conjunto de dados pessoais tratados deverá ter abrangência “pertinente, proporcional e não excessiva” em relação às finalidades de tratamento.

Retornando ao exemplo do estacionamento, deve-se analisar a coleta do conjunto de dados proposto também à luz da necessidade. O nome e documento de identificação podem ser considerados estritamente necessários para permitir a identificação do proprietário do carro. O telefone, de forma semelhante, para permitir contato do proprietário em caso de emergências. A digital, porém, também teria a finalidade possibilitar a identificação do proprietário, mas não seria estritamente necessária para a realização desta finalidade considerando que o documento de identificação e a fotografia já cumpririam esta função. Vale destacar que a própria necessidade estrita da fotografia é questionável, à medida que o documento de identificação contém ele mesmo foto e permite a autenticação do proprietário do carro.

Passando ainda a um outro exemplo, pode-se utilizar o caso do tratamento de dados em relações de emprego – usualmente reconhecido no contexto europeu como um caso de aplicação do legítimo interesse (WPDP29, 2014; CIPL, 2017). Passando pelo teste de aplicação do legítimo interesse, em primeiro lugar, considera-se legítimo o tratamento de dados pessoais de funcionários e candidatos para acompanhamento de produtividade, horários de acesso ao escritório, dentre outras. Aprovado na primeira etapa do teste do legítimo interesse, argumenta-se que o tratamento de referidos dados pessoais é adequado para a finalidade de controle e acompanhamento de atividades operacionais, administrativas e de recrutamento, uma vez que são dados pertinentes para o monitoramento de sua produtividade. Por fim, com relação à necessidade, tanto WPDP29 quanto CIPL argumentam que existe consenso de que referidas análises sobre a atuação de funcionários só podem ser realizadas dessas formas, não existindo meios menos invasivos para tanto; restando comprovado, portanto, que o tratamento de dados pessoais é necessário.

Por fim, vale destacar que, no contexto brasileiro, Bruno Bioni propõe que a análise da necessidade também englobe a verificação se não há base legal diversa disponível para o tratamento de dados pessoais (2019, p. 265) – entendimento adotado por outros estudiosos do tema (Teffé & Viola, 2020, p. 18). Não obstante essa análise seja certamente meritória e deva ser feita sempre e todas as vezes para qualquer tratamento de dados pessoais, entendemos que ela não deve ser confundida com a análise de necessidade do teste aqui tratado. Isso porque a verificação sobre o cabimento do legítimo interesse no caso concreto é uma etapa pretérita ao teste propriamente dito, já que o teste, como o próprio art. 10 preconiza, se dá uma vez que o legítimo interesse já foi identificado como cabível. Portanto, caso se identifique o legítimo interesse como base legal de tratamento num primeiro momento e, ao realizar o teste de adequação, encontre-se algum empecilho, será necessário repensar a estrutura de tratamento de dados pessoais e seguir em outra direção, buscando outra base legal.

A última etapa do teste de aplicação do legítimo interesse é o balanceamento – circunstância na qual os interesses do controlador de dados pessoais e do titular de dados pessoais serão colocados na balança. De um lado da balança, teremos os interesses legítimos do controlador, isto é, as finalidades de tratamento e suas implicações para as atividades do controlador; de outro, as implicações do tratamento para o titular de dados pessoais, isto é, a avaliação sobre se o tratamento afeta os direitos e liberdades fundamentais do titular de dados pessoais e contraria suas legítimas expectativas.

Na seara constitucional, a última etapa do teste de proporcionalidade é chamada proporcionalidade em sentido estrito, na qual é realizada uma análise de “otimização”. Quanto maior for o grau de não-satisfação ou de afetação do direito fundamental em questão, tanto maior deverá ser a importância da satisfação do outro direito colidente. Assim, é preciso, respectivamente: (i) avaliar o grau de afetação do direito não-satisfeito; (ii) a relevância do direito colidente; e (iii) avaliar se a importância da satisfação do direito colidente justifica a afetação ou a não afetação do outro direito (Silva, 2002, p. 40).

Um exemplo tradicional na seara constitucional que ilustra essa análise é o caso de legislação que, com o objetivo de proteger o consumidor, obrigava os vendedores de botijões de gás a pesar os botijões na frente dos consumidores no momento da venda. Em análise, a medida foi considerada adequada e necessária à medida que, respectivamente, fomentaria a realização do fim de promoção da defesa do consumidor e seria mais eficiente que medidas alternativas, como a pesagem de alguns botijões por amostragem. Restaria, então, avaliar se a medida seria proporcional em sentido estrito. Conforme Virgílio Afonso da Silva argumenta, a restrição gerada ao princípio da livre iniciativa seria pequena, sendo que a promoção da defesa do consumidor teria peso maior do que a referida restrição mínima à liberdade de iniciativa (2002, p. 41). Um caso oposto citado pelo mesmo autor é o do combate à disseminação da Aids. Ele afirma que uma medida adequada e necessária para tal finalidade seria o encarceramento de todos aqueles infectados com o vírus; é uma medida que sem dúvida atinge o fim a que se pretende e para a qual é difícil imaginar alternativa igualmente eficaz (2002, p. 40). No entanto, é evidente perceber que não é possível aceitar essa proposta sob a ótica da proporcionalidade em sentido estrito, porque ela enseja uma restrição tremenda aos direitos de um grande número de pessoas.

O art. 10 da LGPD é responsável por orientar de que forma deve se dar essa avaliação no caso do teste de aplicação do legítimo interesse. Com o objetivo de adaptar os referidos critérios à LGPD, entende-se que são três os passos de análise: (i) implicações para o titular de dados pessoais; (ii) implicações para o controlador de dados pessoais; (iii) o sopesamento em si, onde (i) e (ii) são colocados nos dois lados da balança.

O art. 10, II da LGPD orienta como se pode avaliar o impacto da medida para o titular de dados pessoais, estabelecendo dois focos: as legítimas expectativas do titular e a afetação de seus direitos e liberdades fundamentais. Isto é, deve-se avaliar de que forma o tratamento de dados pessoais atende às legítimas expectativas do titular, ou seja, se seria razoável que o titular tivesse expectativa de que seus dados pessoais fossem tratados com aquelas finalidades no momento da coleta. Segundo Bioni, trata-se de análise contextual para verificar se o uso secundário seria esperado pelo titular de dados pessoais (2019, p. 264).

Por exemplo, pode-se imaginar situação de empresa de fornecimento de energia elétrica (a qual armazena dados cadastrais, como telefone e endereço de milhares de indivíduos) e que vende essa base de dados para uma empresa de telefonia. Esta, por sua vez, passa a entrar em contato com os titulares de dados pessoais localizados em regiões atendidas por sua rede, para fins de venda de seus serviços. Considerando que o objetivo do titular ao fornecer seus dados para a empresa de energia elétrica era somente ter acesso àquele serviço e ser capaz de pagar por ele, a transferência de seus dados sem sua autorização para propósito diverso desvia completamente de sua legítima expectativa.

Da perspectiva das implicações para o titular de dados pessoais, também é preciso analisar em que medida o tratamento afeta os seus direitos e liberdades fundamentais, conforme estabelecidos pela LGPD (art. 10, I). Trata-se de análise complexa, que deve ter em conta os direitos e liberdades fundamentais do indivíduo em geral e especialmente o quadro de princípios gerais de tratamento de dados pessoais. Os dez princípios, descritos no art. 6º da LGPD, ocupam posição central na norma e são essenciais para auxiliar no balanceamento do teste do legítimo interesse.

Com relação aos direitos e liberdades fundamentais do titular de dados pessoais, para além do próprio direito fundamental à proteção de dados pessoais recentemente reconhecido pelo STF (ADI nº 6.387), entende-se que os principais direitos potencialmente afetados estão descritos no art. 2° da LGPD, que descreve os fundamentos da disciplina da proteção de dados pessoais no Brasil. Dentre estes, destaca-se: (i) a privacidade; (ii) a autodeterminação informativa⁷

, que significa a possibilidade de o titular de dados pessoais exercer controle sob seus dados; (iii) a liberdade de expressão, de informação, de comunicação e de opinião; (iv) a inviolabilidade da intimidade, honra e imagem; (v) a defesa do consumidor e (vi) “o livre desenvolvimento da personalidade, a dignidade e o exercício da cidadania pelas pessoas naturais”. De forma ilustrativa, no já mencionado caso da empresa de fornecimento de energia elétrica, o compartilhamento de seus dados sem qualquer relação com a prestação dos serviços se daria em detrimento da privacidade e da autodeterminação informativa do indivíduo.

Pensando em concreto em ainda mais um exemplo, podemos analisar o caso de uma empresa de credit scoring, que utiliza bases de dados sabidamente desatualizadas. Considerando o princípio da qualidade de dados, a prática pode ser considerada ilegítima (art. 6º, V). Adicionalmente, ainda que os dados fossem obtidos com qualquer finalidade considerada “discriminatória” teria que ser descartada se produzisse resultados neste sentido a partir dos princípios enunciados pela LGPD (art. 6º, IX). Seria o caso, por exemplo, de aplicativo de relacionamentos que, tendo acesso à geolocalização do usuário que busca se cadastrar, recusa pedidos de ingresso à sua rede social advindos de regiões menos privilegiadas da cidade. Bioni relembra que, em sentido contrário aos exemplos acima, o tratamento de dados pessoais pode também beneficiar o titular de dados pessoais, oportunidade que pode pesar na balança em favor da legitimidade do tratamento (2019, p. 265).

Feita a avaliação sobre os impactos ao titular, passa-se a analisar o impacto da medida para o controlador de dados pessoais, conforme enunciado pelo art. 10, I. Isto é, qual a relevância daquilo que pretende o controlador com o tratamento e seus benefícios, mais especificamente, como tais benefícios se relacionam com o núcleo central de suas atividades e, especialmente, o impacto da ausência do tratamento seja para o próprio controlador, seja para os titulares de dados pessoais. Ainda analisando o caso da empresa de energia elétrica, a receita adicional decorrente da venda da base de dados não se relaciona ao núcleo central de suas atividades, de modo que não é possível atribuir a esse interesse peso relevante.

Um exemplo adicional seria o de um banco com contrato de financiamento firmado com certo indivíduo (ICO, [s.d.]). Em determinada oportunidade, este deixa de realizar os pagamentos e se descobre que mudou de endereço sem notificar o banco. O banco deseja entrar em contato com um agente de cobrança de dívidas, mas para tanto deve compartilhar com ele um conjunto mínimo de dados. O banco tem interesse legítimo em recuperar a dívida que é devida e, para atingir esse objetivo, é adequado que compartilhe esse conjunto mínimo de dados (como nome, documento, endereço anterior etc.) e necessário que o faça com uma agência de cobrança de dívidas para rastrear o cliente quanto ao pagamento devido – aqui, como ressaltado acima, será preciso atenção ao escopo dos dados compartilhados, para que se garanta que apenas aquelas informações efetivamente pertinentes sejam compartilhadas. Resta, portanto, a análise do balanceamento. Na análise de balanceamento, o banco conclui que é razoável que os clientes em geral, bem como esse cliente em específico, esperem que a instituição financeira tome medidas para o pagamento de dívidas pendentes. Os benefícios para o banco são claros e diretamente relacionados a suas atividades centrais – é possível vislumbrar que o banco teria consideráveis prejuízos se não adotasse medidas desse tipo em face de atuações potencialmente oportunistas de clientes.

Por fim, o último passo para realização do teste é o sopesamento em si – isto é, a verificação se a eventual restrição imposta aos interesses do titular de dados pessoais, incluindo a seus direitos, liberdades e legítimas expectativas, é justificada em razão dos interesses do controlador. Trata-se de exercício de calibragem que pode tanto indicar a preponderância do interesse do titular quanto do interesse do controlador.

Na análise do balanceamento, especialmente em caso de identificação de riscos relevantes para o titular de dados pessoais e seus direitos e liberdades fundamentais, deve-se considerar a adoção de salvaguardas adicionais aptas a limitar o impacto impróprio da medida para o titular de dados pessoais (Bioni, 2019, p. 265). Conforme descrito no início deste artigo, os §§ 2° e 3° do art. 10 estimulam a adoção de medidas de transparência no caso do legítimo interesse, de modo que estas deverão ser consideradas no momento do balanceamento⁸.

As salvaguardas de proteção de dados pessoais disponíveis para os controladores estão descritas ao longo da LGPD, sendo inclusive recomendável a sua utilização independentemente da base legal aplicada. Essas salvaguardas incluem: com relação à coleta e tratamento de dados, a utilização de técnicas como a anonimização⁹e pseudoanonimização (arts. 12 e 13 da LGPD), bem como a minimização dos dados coletados, encriptação e agregação dos dados pessoais tratados; com relação ao desenvolvimento de tecnologias, o desenvolvimento do privacy by design¹⁰ 

(art. 49) e mecanismos simplificados de transparência e exercícios dos direitos dos titulares, incluindo o direito de oposição (art. 10, § 2° e art. 18, § 2°). Além disso, no nível da organização, é necessário discutir a existência de controles de acesso aos dados ou quaisquer medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de tratamento (art. 46).

Se a adoção de qualquer uma dessas medidas tiver o condão de mudar o equilíbrio da balança, diminuindo de forma relevante e suficiente o impacto ao titular de dados, é possível que a análise seja afetada e seu resultado, alterado (WPDP29, 2014, p. 31). Por exemplo, pode-se pensar novamente no já mencionado caso de auditorias e due diligences realizadas como etapas preliminares de operações societárias (CIPL, 2017, pp. 8-9). Nestas ocasiões, por vezes dados pessoais serão tratados por meio do compartilhamento de informações sobre os quadros de funcionários – desde quadro de gerentes até o nível mais operacional, com análise dos contratos vigentes (CIPL, 2017). Partindo da premissa de que se trata de interesse legítimo e de medida adequada e necessária, deve-se realizar o balanceamento. De um lado, a medida não representa considerável restrição aos direitos e liberdades ou legítima expectativa do titular – ainda que implique em algum impacto para sua privacidade. De outro, trata-se de medida relevante para o controlador como preliminar a processos de integração societária. Neste sentido, não existe considerável descompasso entre os interesses do titular e do controlador. Todavia, é exigido que o controlador adote salvaguardas para minimização do impacto para a privacidade dos indivíduos. Neste sentido, seriam cabíveis: assinatura de non disclosure agreement e limitações do número de indivíduos com acesso a essas informações, com exigência que os documentos não sejam transmitidos a quaisquer outras pessoas, anonimização de informações que não sejam essenciais para os fins pretendidos pela análise, agregação de dados para retirar seu caráter individualizante etc.

Assim, retornando mais uma vez ao exemplo do uso secundário de dados cadastrais por empresa de energia elétrica, temos que, em relação aos impactos para titulares de dados pessoais, há relevante desconsideração das expectativas legítimas do titular de dados pessoais e de sua privacidade. Ainda que não se apresentasse qualquer questão no que tange à legitima expectativa do titular e portanto o uso do legítimo interesse não estivesse descartado, a análise dos interesses do controlador demonstra que não existe ligação direta entre a atividade e o núcleo central de atuação do controlador. Ao realizar o sopesamento em si, conclui-se pela existência de descompasso entre o impacto negativo gerado para o titular de dado pessoal e a justificabilidade do interesse do controlador. Nesta hipótese, ainda, não se vislumbra de que forma a adoção de salvaguardas adicionais seria apta a minimizar os impactos para o titular de dados pessoais – considerando que, além de violação de sua privacidade, existe quebra de sua legítima expectativa.

Também vale analisar novamente o caso do banco que contrata empresa de cobrança de dívidas para conseguir alcançar cliente que, além de não pagar mensalidade de contrato de financiamento, mudou-se sem notificar o banco. Conforme já descrito, a medida é aprovada em todas as etapas do teste de legítimo interesse até o balanceamento, isto é: trata-se de interesse legítimo e a medida proposta é adequada e necessária para alcançar a finalidade pretendida. Já na avaliação do balanceamento, entende-se que, da perspectiva do titular de dados pessoais, a medida não representa considerável violação de seus direitos e liberdades fundamentais, correspondendo, ainda, à sua legítima expectativa de ser cobrado por pagamento não realizado. De outro lado, o interesse do controlador em compartilhar informações do devedor é relevante para as suas atividades. Neste sentido, entende-se que os interesses do titular de dados pessoais não se sobreporiam aos interesses do banco em promover a medida.

Como argumentado, é possível traçar panorama acerca da aplicação do teste de adequação do legítimo interesse a partir das experiências de aplicação do teste da proporcionalidade na seara constitucional e da legislação europeia de proteção de dados pessoais. Não obstante, deve-se destacar alguns questionamentos que a legislação brasileira deixa em aberto, principalmente em comparação à europeia.

O primeiro deles é referente à aplicabilidade da referida base legal em caso de interesses de terceiros. No primeiro momento em que a base legal é apresentada, no artigo 7°, IX da LGPD, o legislador expressamente indica que este poderá ser um interesse legítimo do controlador ou de terceiro. Paralelamente, por sua vez, o art. 10, responsável por enunciar de forma mais completa o teste de adequação do legítimo interesse, não o faz, tratando somente do “legítimo interesse do controlador”. Resta, portanto, o questionamento sobre se esse é um caso de omissão propositada ou equivocada por parte do legislador. No debate brasileiro, Bruno Bioni sugere que a discussão sobre legítimo interesse de terceiro aparece no teste de adequação no momento da identificação de legítimas expectativas do titular de dados pessoais – dado que não existe relação pré-estabelecida (2019, p. 265). Mario Viola e Daniel Bucar também entendem que o terceiro encontra-se abarcado, desde que analisados os efeitos do ato para a autonomia existencial do titular (2019, p. 112).

A título comparativo, o GDPR trata de forma conjunta do “legítimo interesse do controlador ou de terceiro” no Art. 6, f e no Considerando 47. Neste contexto, o caso Rigas Satiksme julgado pela Corte Europeia de Justiça é um bom exemplo de tratamento de dados baseado no legítimo interesse de terceiro – ainda no contexto de aplicação da Diretiva nº 95/46/CE¹¹.

Avaliou-se ali acidente envolvendo um trolleybus e um passageiro de táxi, onde a empresa de transporte requereu os dados de identificação do passageiro para a polícia local tendo em vista ação de indenização pelos danos causados. Na oportunidade, a Corte afirmou que não restariam dúvidas de que o interesse de um terceiro em obter informações pessoais de pessoa que gerou danos à sua propriedade com o objetivo de buscar indenização seria um interesse legítimo.

Um outro aspecto da LGPD que permanece em aberto é a questão da base legal para o segundo uso. Por exemplo, pode-se imaginar controlador de dados pessoais que realiza o tratamento de dados pessoais justificando tal uso a partir de determinada base legal e deseja, em determinado momento, utilizar aqueles mesmos dados pessoais para uma finalidade adicional. Este, então, deve questionar se possui base legal para referido segundo uso. Se a pretensão fosse recorrer ao legítimo interesse neste caso, seria razoável questionar: (i) se dados pessoais tratados com base no legítimo interesse num primeiro momento podem ser utilizados para finalidade diversa da original, apoiando-se em outro teste de adequação do legítimo interesse ou mesmo em base legal diversa no caso de segundo uso; (ii) se dados pessoais tratados originalmente a partir de outra base legal, como, por exemplo, o cumprimento do contrato, podem passar a ser tratados para outra finalidade, num segundo uso, a partir do legítimo interesse.

O momento em que a LGPD chega mais perto de lidar com esse tema é no art. 9°, § 2º, no qual é estabelecida restrição ao segundo uso em caso de alteração de finalidade de consentimento coletado previamente. Seria razoável supor, assim, que dado que essa é a única restrição expressa disposta no texto, é também a única restrição à adaptação de base legal para segundo uso prevista na lei e que, portanto, ambos os cenários descritos acima são em tese viáveis.

Diferentemente da legislação brasileira, o GDPR chega a enfrentar o tema diretamente, no Art. 6, 4. A norma estabelece uma limitação clara em casos em que a primeira base legal de tratamento é o consentimento ou o cumprimento de obrigação legal/regulatória. Para as demais bases legais, a norma estabelece alguns critérios para essa avaliação sobre segundo uso, quais sejam: (i) alguma ligação entre as finalidades de tratamento inicial e as finalidades secundárias; (ii) o contexto em que os dados pessoais foram coletados, especialmente no que diz respeito à relação entre os titulares de dados pessoais e o controlador; (iii) a natureza do dado pessoal, especialmente se são dados pessoais sensíveis; (iv) as possíveis consequências do tratamento adicional e a (v) a existência de salvaguardas apropriadas para garantia da integridade dos tratamentos.

Por fim, entende-se que uma dificuldade que pode emergir no caso do legítimo interesse é sua aplicabilidade vis a vis a garantia dos direitos dos titulares de dados pessoais descritos no art. 18 da LGPD. Em se tratando de base legal que não conta com atuação positiva por parte do titular, como no caso do consentimento, é possível que os titulares sequer tenham conhecimento de que seus dados pessoais estão sendo tratados. Resta dúvida, então, sobre como possibilitar ao titular o exercício de seus direitos neste cenário, conforme estabelece o art. 7º, § 6º.

Embora possa parecer contrassenso à primeira vista, entende-se que a resposta deriva dos próprios direitos dos titulares de dados pessoais. Além das obrigações de transparência do controlador de dados pessoais descritas na próxima seção, este tem o dever de confirmar a existência de tratamento e providenciar acesso aos dados em caso de requisição pelo titular (nos termos dos incisos I e II do art. 18). Assim, ainda que o titular desconheça a princípio a realização de tratamento de seus dados pessoais, a LGPD cria as condições para que seja informado ou tome ciência deste fato, e, caso ele deseje confirmar se o tratamento de fato ocorre, há obrigação específica de informação pelo controlador. Vale ressaltar que o titular terá também os direitos de retificação, anonimização, portabilidade, informações sobre compartilhamento e oposição. Com relação ao último, previsto no art. 18, § 2º, destaca-se que se trata de mecanismo de objeção ao tratamento de dados pessoais justificado a partir do legítimo interesse que se dê de forma irregular¹².

A responsabilização e a prestação de contas são um dos princípios gerais de tratamento de dados pessoais da LGPD (art. 6º, X). Trata-se de orientação no sentido de que o agente deve demonstrar a adoção de medidas eficazes e aptas de comprovar o cumprimento das normas de proteção de dados pessoais, bem como a eficácia dos procedimentos adotados. Assim, a lei prescreve a necessidade de que o agente demonstre que o tratamento por ele realizado é regular da perspectiva da proteção dos dados pessoais. As medidas de accountability associadas ao legítimo interesse, neste sentido, representam exatamente formas de garantir a possibilidade de escrutínio posterior do emprego da base legal por parte de titulares e outros stakeholders, como o próprio regulador.

Conforme mencionado, o legítimo interesse é base legal que, ao representar dispensa de obrigação de obtenção de autorização expressa por parte do titular de dados pessoais, gera ao controlador obrigações especiais de transparência. Trata-se de exigência do art. 10, § 2º, que estabelece que “O controlador deverá adotar medidas para garantir a transparência do tratamento de dados baseado em seu legítimo interesse”. O que não implica, todavia, que referidas medidas de transparência ora tratadas não sejam necessárias no tratamento de dados pessoais justificados a partir das demais bases legais. Nesta seção, serão tratadas: (i) as obrigações especiais de registro no caso do legítimo interesse; (ii) os relatórios de impacto à proteção de dados pessoais; e (iii) medidas adicionais de transparência.

O art. 37 da LGPD estabelece um dever geral de registro de quaisquer operações de tratamento de dados pessoais realizadas. Afinal, trata-se de medida necessária para o atendimento dos direitos dos titulares, como, por exemplo, a confirmação de tratamento e o direito de acesso, e também a responsabilização e prestação de contas com relação a tratamentos já realizados. O mesmo art. 37, por sua vez, estabelece que essa disposição é especialmente aplicável no caso de tratamentos de dados pessoais realizados a partir do legítimo interesse, isto é, a lei orienta que nestas oportunidades a manutenção de registros pelo agente de tratamento é, além de obrigatória como as demais, de suma relevância.

Considerando referida exigência e o dever geral de transparência previsto para a base legal do legítimo interesse (art. 10, § 2º), é recomendado que o teste do legítimo interesse seja documentado de forma suficientemente detalhada e transparente – de modo que a sua reconstrução completa e correta possa ser verificada por stakeholders relevantes, como os titulares de dados pessoais, a Autoridade Nacional de Proteção de Dados e até mesmo o Judiciário, em eventuais demandas (WPDP29, 2014, p. 43; ICO, [s.d]; Teffé & Viola, 2020, p. 19).

Uma das principais medidas de accountability previstas pela LGPD é o relatório de impacto à proteção de dados pessoais. Segundo a definição do art. 5°, XVII, trata-se de “documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco;” , A ideia do relatório é que ele não é um documento em si mesmo, mas sim o resultado de um processo conduzido pelo controlador de dados pessoais de identificação e minimização de riscos associados à proteção de dados pessoais (Ustaran, 2018, p. 207).

Na LGPD, não existe uma obrigação a priori de preparação do relatório de impacto à proteção de dados (Teffé & Viola, 2020, p. 19). Conforme previsto no art. 38, a ANPD poderá determinar ao controlador que elabore o relatório de impacto referente a suas obrigações de tratamento de dados pessoais. Trata-se de disposição distinta do GDPR, que estabelece uma obrigação imediata de preparação de um Data Protection Impact Assessment (DPIA) quando determinado tratamento seja propenso a gerar altos riscos para os direitos e liberdades fundamentais dos titulares, em razão de seu escopo, contexto e finalidades (Artigo 35 do GDPR).

No entanto, na medida em que o art. 10, §3º especificamente prevê que a ANPD poderá requisitar relatório para todo e qualquer caso de tratamento que tenha como base legal o legítimo interesse, é recomendável analisar e considerar desde o primeiro momento se um relatório deste tipo não deve ser elaborado desde o princípio do processo. Embora esta disposição não implique que o legítimo interesse seja hipótese única de demanda por relatório de impacto à proteção de dados pessoais, demonstra que o relatório é encarado como medida de transparência e accountability, particularmente relevante nos termos do dever especial de transparência previsto com relação ao legítimo interesse.

Quanto ao formato e conteúdo do relatório de impacto à proteção de dados, o parágrafo único do art. 38 traz seus requisitos mínimos, quais sejam: a descrição dos tipos de dados coletados, a metodologia utilizada para a coleta e para a garantia da segurança das informações e a análise do controlador com relação a medidas, salvaguardas e mecanismos de mitigação de risco adotados. A exata medida de detalhe em que tais informações deverão ser fornecidas, entretanto, dependerá da atuação e eventual regulamentação por parte da ANPD. Neste sentido, vale destacar que o art. 55-J, XIII da LGPD confere explicitamente à ANPD a competência para editar regulamentos e procedimentos sobre proteção de dados pessoais, incluindo nestes a elaboração de relatórios de impacto à proteção de dados pessoais.

Ainda, vale destacar que o relatório de impacto à proteção de dados não se confunde com o registro do teste do legítimo interesse, embora existam similaridades. Comparando ambos, o ICO indica, com base na lei europeia, que o teste para utilização do legítimo interesse é uma forma mais simples de mensuração de riscos, sendo necessário para qualquer utilização do legítimo interesse (ICO, [s.d.]). Em paralelo, o DPIA é processo mais detalhado, com uma série de requisitos mínimos, independendo da base legal utilizada, mas necessário somente em casos de tratamentos que gerem riscos razoáveis para os titulares de dados pessoais.

Todavia, o ICO indica que os dois documentos tratam de temas comuns, afirmando que o DPIA pode funcionar como um teste de adequação para utilização do legítimo interesse. Assim, a autoridade afirma que é possível tanto adaptar um teste de adequação, a partir de maior detalhamento, em um DPIA; quanto não é necessário realizar especificamente o teste de adequação do legítimo interesse quando o DPIA já tiver sido realizado (ICO, [s.d.]). Ademais, os dois instrumentos relacionam-se à medida que – no caso do teste de utilização do legítimo interesse identificar consideráveis riscos aos direitos e liberdades do titular de dados pessoais, é recomendado – nos termos da legislação europeia – que seja realizado DPIA para analisar os riscos e potenciais salvaguardas disponíveis para aquelas formas de tratamento de dados pessoais em maior detalhe. Considerando o contexto brasileiro, entende-se que, por mais que exista alguma sobreposição entre os temas abordados pelos dois instrumentos, a sua realização difere principalmente com relação ao momento em que deve ser realizada. Enquanto o relatório de impacto à privacidade só é obrigatório mediante requerimento da ANPD, o teste para utilização do legítimo interesse deve ser realizado antes do início do tratamento que se apoia nesta base legal. Além disso, a efetiva semelhança entre os dois documentos dependerá de regulamentação e manifestações sobre o tema pela ANPD.

Por fim, esses dois documentos também diferem-se dos registros de operações de tratamento regulados pelo art. 37 da LGPD. Enquanto o teste de adequação do legítimo interesse e o relatório de impacto de proteção de dados pessoais consistem em instrumentos valorativos, isto é, de avaliação de risco, o registro contém apenas caráter descritivo das atividades de tratamento realizadas pelo controlador.

Conforme argumentado ao longo deste artigo, a adoção do legítimo interesse como base legal para a realização de tratamento de dados pessoais gera uma obrigação especial de transparência por parte do controlador de dados pessoais. Ao descrever duas medidas de transparência aplicáveis a todas as bases legais (obrigação de registro e relatório de impacto à proteção de dados pessoais), o legislador chega a destacar sua potencial mobilização em casos de tratamentos baseados no legítimo interesse. Essa menção expressa, entretanto, não implica que estas sejas as únicas medidas de transparência recomendáveis para controladores de dados interessados em fazer uso desta base legal.

Por exemplo, uma medida adicional de transparência recomendada é a disponibilização de informações claras e acessíveis sobre o tratamento de dados pessoais – por exemplo, por meio de um portal na Internet. É interessante que estas informações indiquem ao menos aspectos centrais do teste para utilização do legítimo interesse. Esse nível mínimo de informação é essencial, como já mencionado, tanto para o exercício dos direitos dos titulares quanto para escrutínio sobre a utilização do legítimo interesse por stakeholders relevantes, como os próprios titulares, a ANPD e até mesmo terceiros que desejam contatar com o controlador.

Ao longo do presente artigo, buscou-se articular um possível critério para o teste de adequação do legítimo interesse, previsto na legislação brasileira, utilizando a teoria constitucional de aplicação do teste da proporcionalidade como um referencial. Buscou-se, a partir de pesquisa bibliográfica, também apontar as possíveis lacunas e questões que permanecem em aberto e que precisam ser ainda endereçadas pela doutrina e pela jurisprudência. O que concluímos a respeito do tema é que, sem dúvida, há bastante espaço interpretativo e será essencial a articulação de entendimentos e conjugação de ideias, com construção sólida de parâmetros pela futura Autoridade Nacional de Proteção de Dados (ANPD) e também pelo Judiciário. É igualmente inequívoco que, especialmente em face da recente narrativa construída pelo STF de reconhecimento da proteção de dados pessoais como direito fundamental constitucionalmente reconhecido, a influência da doutrina constitucional é altamente plausível e daí o interesse em absorvê-la aos debates brasileiros de aplicação do legítimo interesse.

Ação Civil Pública no 0721735-15.2019.8.07.0001. Vivo Ads., (Tribunal de Justiça do Distrito Federal e dos Territórios novembro de 2019). https://www.tjdft.jus.br/institucional/imprensa/noticias/2019/novembro/tjdft-nega-pedido-do-mpdft-para-que-vivo-suspenda-servicos

Alexy, R. (2015). Teoria dos direitos fundamentais (V. A. da Silva, Trad.). Malheiros Editores.

Andrade Neto, J. (2018). Borrowing Justification for Proportionality: On the Influence of the Principles Theory in Brazil (1st edition 2019). Springer.

Article 29 Data Protection Working Party. (2014). Opinion 06/2014 on the notion of legitimate interests of the data controller under Article 7 of Directive 95/46/EC. https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp217_en.pdf

Article 29 Data Protection Working Party. (2017). Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679. https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=611236

Bioni, B. R. (2019). Proteção de dados pessoais: A função e os limites do consentimento. Gen, Editora Forense.

Brasil, C. dos D. (2018). Parecer da Comissão Especial destinada a proferir parecer ao Projeto de Lei no 4060, de 2016. https://www.camara.leg.br/proposicoesWeb/prop_mostrarintegra?codteor=1663305&filename=SBT+1+PL406012+%3D%3E+PL+4060/2012

Bucar, D., & Viola, M. (2019). Tratamento de dados pessoais por “legítimo interesse do controlador”: Primeiras questões e apontamentos. In G. Tepedino, A. F. de A. Lopes, M. D. Oliva, & A. Veronese (Orgs.), Lei geral de proteção de dados pessoais e suas repercussões no direito brasileiro. Thomson Reuters, Revista dos Tribunais.

Case C-212/13, (Corte de Justiça Europeia 11 de dezembro de 2014). http://curia.europa.eu/juris/document/document.jsf?docid=160561&doclang=EN

CIPL, enter for I. P. L. (2017). Examples of Legitimate Interest Grounds for Processing Personal Data. Discussion Draft. https://www.informationpolicycentre.com/uploads/5/7/1/0/57104281/final_cipl_examples_of_legitimate_interest_grounds_for_processing_of_personal_data_16_march_2017.pdf

ICO, I. C. O. ([s.d.]). What is the ‘legitimate interests’ basis? https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/legitimate-interests/what-is-the-legitimate-interests-basis/#

Inquérito Civil Público n. 08190.005366/18-16. Vivo Ads., (Ministério Público do Distrito Federal e Territórios 16 de abril de 2019). https://www.mpdft.mp.br/portal/pdf/Despacho_DPIA_3_1.pdf

Kamara, I., & De Hert, P. (2018). Understanding the Balancing Act behind the Legitimate Interest of the Controller Ground: A Pragmatic Approach. In E. Selinger, J. Polonetsky, & O. Tene (Orgs.), The Cambridge Handbook of Consumer Privacy (1o ed, p. 321–352). Cambridge University Press. https://doi.org/10.1017/9781316831960.019

Rivers, J. (2006). Proportionality and variable intensity of review. The Cambridge Law Journal, 65(1), 174–207. https://doi.org/10.1017/S0008197306007082

Ruas, Celiana Diehl. “Eficácia dos Direitos Fundamentais nas Relações entre Paticulares: Critérios para Ponderação de Interesses.” Revista Digital Constituição e Garantia de Direitos 8, no 2 (2015): 45–73.

Silva, V. A. da. (2002). O proporcional e o razoável. Revista dos Tribunais, 798, 23–50.

Snapshot. ([s.d.]). Recuperado 31 de maio de 2020, de https://www.cambridge.org/core/journals/cambridge-law-journal/article/proportionality-and-variable-intensity-of-review/5230D27782A8177C6E4F5230D8F03918

Teffé, C. S. de, & Viola, M. (2020). Tratamento de dados pessoais na LGPD: Estudo sobre as bases legais. civilistica.com, 9(1), 1–38.

Ustaran, E. (Org.). (2018). European data protection: Law and practice. an IAPP Publication, International Association of Privacy Professionals.