Bases legais da LGPD: finalidade vem antes da hipótese jurídica

Base legal não é uma etiqueta escolhida depois que a empresa decidiu usar o dado. A hipótese precisa corresponder à finalidade e às circunstâncias concretas do tratamento. A LGPD prevê diferentes fundamentos para dados pessoais e disciplina de forma própria dados sensíveis. Consentimento é apenas uma dessas hipóteses.

Comece pela finalidade e pelos fatos

Perguntar “qual base eu uso?” antes de definir o que a operação faz costuma produzir justificativas frágeis. Primeiro descreva finalidade, dados necessários, relação com o titular, obrigações envolvidas, riscos e alternativas. Só depois confronte isso com as hipóteses legais.

Uma mesma jornada pode ter mais de uma operação. Contratar um serviço, emitir documento fiscal, prevenir fraude e enviar marketing não precisam compartilhar a mesma base só porque usam o mesmo e-mail.

Consentimento não é opção segura por definição

Quando não existe liberdade real de escolha, consentimento pode ser inadequado. Além disso, sua gestão exige prova, granularidade, informação e capacidade de revogação. Veja consentimento para a camada operacional.

Da mesma forma, “execução de contrato” não autoriza qualquer uso relacionado ao cliente. A operação precisa ser necessária à relação contratual ou às providências pertinentes previstas em lei.

Legítimo interesse exige teste próprio

Quando essa hipótese é cogitada, o controlador deve avaliar interesse, finalidade, necessidade, expectativas e salvaguardas. O Guia da ANPD sobre legítimo interesse reforça a necessidade de análise criteriosa no caso concreto.

Não basta dizer que a atividade “é do interesse da empresa”. O interesse deve ser legítimo, e os direitos e liberdades do titular continuam no centro da ponderação.

Dados sensíveis possuem conjunto próprio de hipóteses

Tentar transportar automaticamente a base de dados comuns para dados sensíveis é erro estrutural. Saúde, biometria em contextos previstos e outras categorias sensíveis exigem consulta às hipóteses específicas da lei e atenção reforçada à necessidade.

Mais de uma base possível não significa escolher a mais conveniente

Há operações que podem parecer enquadráveis em mais de um fundamento. A decisão deve refletir a realidade e as consequências operacionais. Se a empresa declara consentimento, por exemplo, precisa conseguir tratar revogação; se invoca obrigação legal, deve identificar a obrigação que efetivamente sustenta o tratamento.

A base precisa acompanhar a mudança de finalidade

Dados coletados para uma operação podem ser reutilizados apenas após nova análise de compatibilidade, transparência e fundamento. A existência do dado no banco não cria direito de uso futuro.

Por isso o registro de operações deve ligar finalidade e base legal. Essa conexão transforma a hipótese jurídica em decisão rastreável e permite revisar o tratamento quando produto ou contexto mudam.

Obrigação legal precisa apontar para obrigação real

Marcar “obrigação legal” em uma planilha não basta. A organização deve saber qual norma exige ou autoriza a conservação ou transmissão e qual dado é necessário para cumpri-la. Usar essa base como categoria genérica para “burocracia” impede revisão posterior.

Proteção do crédito, saúde e outras hipóteses não são atalhos universais

Algumas bases possuem contextos específicos e podem interagir com legislação setorial. O diagnóstico deve observar quem é o agente, qual relação existe e quais dados são usados. Uma hipótese presente na lista não se torna aplicável apenas porque parece semanticamente próxima da finalidade.

Base legal não substitui princípios

Mesmo quando existe fundamento, continuam valendo necessidade, adequação, transparência, segurança e não discriminação. A pergunta “posso tratar?” deve ser acompanhada de “preciso tratar dessa forma e com esse volume?”.

Mudança de sistema pode alterar a análise sem mudar o nome do processo

Migrar de planilha para plataforma com analytics, IA ou compartilhamento adicional pode introduzir novas operações. O registro precisa ser revisto quando tecnologia aumenta coleta, cria inferências ou muda destinatários.

Bases diferentes podem exigir controles diferentes

Consentimento exige gestão de escolhas; legítimo interesse demanda avaliação e salvaguardas; obrigação legal exige rastreabilidade do dever; exercício de direitos demanda preservação proporcional. Escolher corretamente também significa implementar a consequência operacional daquela escolha.

Uma revisão de bases legais é especialmente útil quando a empresa cresce por aquisições ou integra bases antigas. Sistemas diferentes podem justificar a mesma finalidade de formas incompatíveis, ou carregar consentimentos sem evidência de texto e versão. Antes de unificar cadastros, compare origem, finalidade e fundamento de cada conjunto. A migração tecnológica é oportunidade para eliminar dados sem necessidade e corrigir justificativas que só sobreviviam porque nunca tinham sido revisitadas.