- O que é uma base legal, e por que ela sustenta todo o programa de LGPD?
- Quais são as 10 bases legais do art. 7º e as 8 do art. 11 para dado sensível?
- Por que o consentimento é a base mais frágil da LGPD?
- Legítimo interesse é a base mais útil da LGPD, e a mais mal aplicada?
- Como mapear cada tratamento à base legal correta, em 6 etapas?
- Base legal é a fundação do edifício LGPD
- Perguntas Frequentes
Uma empresa de e-commerce brasileira construiu, ao longo de oito anos, uma base de 800 mil e-mails de clientes. Em 2022, já com a LGPD em vigor, o time de marketing adicionou um pop-up ao site: “aceito receber comunicações de marketing e ofertas”. Todo cliente novo aceitava, e a base seguiu crescendo.
Em 2025, a encarregada de dados, recém-saída de um treinamento sobre bases legais da LGPD, fez a pergunta que ninguém tinha feito antes: qual é a base legal dos 800 mil e-mails que já estavam na base antes de 2022?
Silêncio na sala. O consentimento coletado a partir de 2023 vale para quem aceitou o pop-up. Para os 800 mil contatos anteriores, não vale, e usar esse consentimento de forma retroativa é juridicamente frágil.
Esse cenário é a regra, não a exceção. A maioria das empresas brasileiras trata o consentimento como base legal universal para tratamento de dado pessoal. É herança de uma cultura importada, e mal traduzida, do GDPR europeu, que também não funciona assim.
Vejo esse mesmo padrão se repetir a cada novo ciclo regulatório desde os anos 2000: o mercado importa o vocabulário e a lógica de uma lei estrangeira antes de checar se ela realmente se aplica ao Brasil. Aconteceu com “compliance” chegando dos Estados Unidos, está acontecendo agora com o consentimento importado do GDPR.
A LGPD listou dez bases legais no art. 7º exatamente para deixar claro que o consentimento é uma entre várias opções, e com frequência não é a melhor. Bruno Bioni, pesquisador da Data Privacy Brasil Research, vem apontando há anos que essa fixação reflete uma leitura equivocada da lógica da lei.
Danilo Doneda, cuja obra segue como referência doutrinária no Brasil, já defendia essa distinção entre bases em textos anteriores à própria LGPD.
Em 2 de fevereiro de 2024, a ANPD publicou o Guia Orientativo das Hipóteses Legais de Tratamento de Dados: Legítimo Interesse. No lançamento, Rodrigo Santana, Coordenador-Geral de Normatização da autoridade, foi direto: “consentimento não é a única base legal para o tratamento de dados pessoais”.
Uma frase que precisou virar guia oficial mostra o tamanho da confusão no mercado.
Este artigo é o mapa das bases legais da LGPD: o que é uma base legal e por que ela sustenta todo o programa de proteção de dados; as dez hipóteses do art. 7º e as oito do art. 11 para dado sensível, em linguagem operacional; e por que o consentimento é, na prática, a base mais frágil da lei.
Também mostra como aplicar o legítimo interesse à luz do Guia ANPD de 02/02/2024, e como auditar, em seis etapas, se a sua empresa está usando a base certa em cada tratamento. Esse processo de auditoria dialoga diretamente com o trabalho de quem responde institucionalmente pela adequação, com o inventário de dados que sustenta qualquer decisão de base legal, com o relatório de impacto que documenta risco no tratamento e com o protocolo que a empresa aciona quando algo dá errado.
O que é uma base legal, e por que ela sustenta todo o programa de LGPD?
Base legal é a hipótese jurídica que autoriza o tratamento de dado pessoal sob a LGPD. Sem uma base aplicável, o tratamento é vedado: os arts. 7º e 11 da Lei nº 13.709/2018 são taxativos, não exemplificativos.
Escolher a base correta antes de o tratamento entrar em operação, e documentar essa escolha, é o alicerce sobre o qual todo o resto do programa de proteção de dados é construído.
A lógica da LGPD é simples de enunciar e fácil de esquecer no dia a dia: dado pessoal só pode ser tratado quando a lei autoriza. Não basta a empresa querer, ter interesse comercial ou considerar útil.
Isso inverte a lógica comum do direito privado, em que tudo o que não é proibido é permitido. Em proteção de dados, o padrão é o oposto: tudo o que não está expressamente autorizado é vedado.
A lei separa dois regimes, e confundi-los é o primeiro erro que compromete um programa de conformidade:
| Categoria | Definição na LGPD | Bases legais aplicáveis |
|---|---|---|
| Dado pessoal comum | Informação relacionada a pessoa natural identificada ou identificável (art. 5º, I) | 10 hipóteses do art. 7º |
| Dado pessoal sensível | Origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, convicção filosófica, dado sobre saúde ou vida sexual, dado genético ou biométrico (art. 5º, II) | 8 hipóteses do art. 11, regime mais restritivo |
A escolha da base importa em três frentes. Na dimensão jurídica, a ausência ou inadequação de base legal é o primeiro ponto que a ANPD verifica em fiscalização ou reclamação de titular. O art. 6º, X exige que o controlador demonstre, não apenas escolha, por que aquela base é adequada para aquela finalidade específica.
Na dimensão operacional, cada base implica direitos e obrigações diferentes: consentimento pode ser revogado a qualquer momento, legítimo interesse exige teste de balanceamento documentado, execução de contrato limita o tratamento ao estritamente necessário. Confundir bases significa aplicar o regime errado.
Na dimensão contratual e reputacional, contratos com operadores, termos de compartilhamento e avisos de privacidade precisam explicitar a hipótese legal: dizer apenas “base legal: LGPD” descumpre o dever de transparência do art. 6º, VI.
O erro mais comum em 2026 não é escolher a base errada, é não escolher base alguma. A empresa tem Registro das Operações de Tratamento (ROPA), tem política de privacidade, tem canal do encarregado.
Mas, perguntada sobre a base legal de um tratamento específico, a resposta é “não sei” ou “acho que é o consentimento”. Essa lacuna é exatamente o que um RIPD bem feito revela primeiro, e o que a ANPD questiona diretamente em fiscalização.
Quais são as 10 bases legais do art. 7º e as 8 do art. 11 para dado sensível?
O art. 7º da LGPD lista dez hipóteses de base legal para tratamento de dado pessoal comum, cada uma com finalidade específica. Não são intercambiáveis. Qual delas se aplica depende da finalidade concreta do tratamento, da relação com o titular e do contexto operacional.
| Inciso | Base legal (art. 7º) | Uso operacional típico |
|---|---|---|
| I | Consentimento | Marketing direto opt-in, cadastro voluntário em programa de benefícios, cookies não essenciais |
| II | Cumprimento de obrigação legal ou regulatória | Dado fiscal (Receita Federal), trabalhista (CLT), bancário (Bacen) |
| III | Execução de políticas públicas | Cadastro em programa social, benefício governamental, atendimento no SUS |
| IV | Estudos por órgão de pesquisa, com anonimização quando possível | Pesquisa acadêmica, estudo epidemiológico, censo |
| V | Execução de contrato ou procedimentos preliminares | Cadastro de cliente, entrega, faturamento, cobrança |
| VI | Exercício regular de direitos em processo judicial, administrativo ou arbitral | Documentação de disputa, defesa em ação |
| VII | Proteção da vida ou incolumidade física | Emergência médica, socorro |
| VIII | Tutela da saúde por profissional, serviço de saúde ou autoridade sanitária | Atendimento clínico, prontuário, laudo médico |
| IX | Legítimo interesse do controlador ou de terceiro | Prevenção a fraude, segurança da informação, marketing para cliente ativo, personalização |
| X | Proteção do crédito | Consulta a bureau, análise de risco, cadastro em SPC/Serasa |
Dado sensível segue regime à parte, e mais restritivo: as oito hipóteses do art. 11. A diferença mais importante entre os dois regimes é que não existe “legítimo interesse” para dado sensível. Onde o art. 7º tem o inciso IX como válvula de flexibilidade, o art. 11 simplesmente não tem hipótese equivalente.
| Base para dado sensível (art. 11) | Diferença em relação ao art. 7º |
|---|---|
| I. Consentimento específico e destacado para finalidade específica | Requisitos mais rigorosos: específico e destacado; genérico é insuficiente |
| II.a Cumprimento de obrigação legal ou regulatória | Equivalente ao art. 7º, II |
| II.b Tratamento compartilhado para execução de políticas públicas | Restrito a órgãos e entidades públicas |
| II.c Estudos por órgão de pesquisa | Equivalente ao art. 7º, IV |
| II.d Exercício regular de direitos em contrato, processo judicial, administrativo ou arbitral | Equivalente ao art. 7º, VI |
| II.e Proteção da vida ou incolumidade física | Equivalente ao art. 7º, VII |
| II.f Tutela da saúde | Equivalente ao art. 7º, VIII |
| II.g Prevenção à fraude e à segurança do titular, em processo de identificação e autenticação | Hipótese exclusiva do art. 11: não é “legítimo interesse”, é finalidade específica e restrita |
Na prática, uma mesma área da empresa costuma combinar bases diferentes conforme o tipo de dado. Em trabalho e RH: execução de contrato (art. 7º, V) para o vínculo empregatício, obrigação legal (art. 7º, II) para folha e encargos, e hipóteses do art. 11 para dado sensível como atestado médico.
Em marketing: consentimento (art. 7º, I) para prospecção fria, legítimo interesse (art. 7º, IX) para cliente ativo, sempre com teste de balanceamento, inclusive em atendimento automatizado via WhatsApp, em que a base legal muda conforme o tipo de mensagem enviada.
Em prevenção a fraude: legítimo interesse para dado comum, e a hipótese específica do art. 11, II, g para biometria de autenticação. Em cobrança e crédito: execução de contrato para o dado do próprio cliente, proteção do crédito (art. 7º, X) para consulta a bureau, e exercício regular de direito (art. 7º, VI) para cobrança judicial.
Uma leitura por finalidade ajuda a auditar o ROPA e o inventário de dados de relance — verde é a base primária; amarelo, a alternativa possível conforme o contexto:
| Finalidade | Base primária | Alternativa possível | Observação crítica |
|---|---|---|---|
| Contratação e cadastro de cliente | 🟢 Execução de contrato (V) | — | Nunca consentimento: o dado é necessário ao serviço |
| Folha e encargos trabalhistas | 🟢 Obrigação legal (II) | 🟡 Execução de contrato (V) | Dado sensível (atestado) migra para o art. 11 |
| Marketing para cliente ativo | 🟢 Legítimo interesse (IX) | 🟡 Consentimento (I) | Exige teste de balanceamento documentado |
| Prospecção fria (cold outreach) | 🟢 Consentimento (I) | — | Sem relação prévia, não há legítima expectativa |
| Cobrança amigável | 🟢 Execução de contrato (V) | 🟡 Legítimo interesse (IX) | Cobrança judicial migra para o inciso VI |
| Consulta a bureau de crédito | 🟢 Proteção do crédito (X) | — | Base específica, não legítimo interesse genérico; quando a decisão de crédito for automatizada, o titular tem direito a solicitar revisão humana e explicação sobre os critérios utilizados, conforme art. 20 da LGPD |
| Prevenção a fraude | 🟢 Legítimo interesse (IX) | — | Biometria de autenticação vai ao art. 11, II, g |
| Atendimento clínico e prontuário | 🟢 Tutela da saúde (art. 11, f) | — | Dado sensível: fora do art. 7º |
Fonte: LGPD, arts. 7º e 11.
Por que o consentimento é a base mais frágil da LGPD?
Consentimento é a base mais frágil da LGPD, não porque a lei o desqualifique, mas porque ele carrega requisitos rigorosos e um comportamento operacional restritivo que a maioria das empresas ignora ao adotá-lo. Base frágil não é base ruim: é base que quebra em qualquer contexto no qual a operação não pode simplesmente parar quando o titular decidir revogar.
O art. 5º, XII, combinado com os arts. 8º e 9º da LGPD, estabelece cinco requisitos para que o consentimento seja válido:
- Livre. Sem coação ou condicionamento indevido. Se o titular só recebe o serviço caso “aceite” o tratamento para uma finalidade não relacionada, como marketing embutido na finalização de uma compra, o consentimento não é livre.
- Informado. O titular precisa saber exatamente quais dados, para qual finalidade, por quanto tempo e com quem serão compartilhados. Um pop-up genérico de “aceito a política de privacidade” é presumidamente inválido.
- Inequívoco. Não pode ser inferido de silêncio, inatividade ou simples continuação de uso. Exige manifestação positiva do titular.
- Específico. Vale para uma finalidade determinada. Autorização genérica é nula, pelo art. 8º, §4º.
- Documentado. Cabe ao controlador provar que houve consentimento, não ao titular provar que não consentiu (art. 8º, §2º). Sem log de coleta, não há consentimento juridicamente válido.
A fragilidade operacional vai além dos requisitos de coleta. O consentimento pode ser revogado a qualquer momento, e a revogação deve ser tão fácil quanto a coleta (art. 8º, §5º). Se ele sustenta uma operação essencial, a base de clientes de um SaaS, por exemplo, qualquer onda de revogação quebra a operação.
Base legal séria para atividade essencial não pode depender apenas de manifestação revogável — mas isso não significa evitar o consentimento como estratégia para ‘travar’ o titular: significa que, quando o tratamento é essencial e legítimo por outra via, a empresa deve usar a base correta, preservando ainda assim o direito do titular à informação, à oposição e à revisão sobre qualquer tratamento que o afete. O consentimento também precisa ser destacado: se está no meio de um contrato longo ou embutido em cláusula geral, é presumidamente nulo (art. 8º, §1º).
E precisa ser renovado a cada mudança de finalidade (art. 8º, §6º). Uma empresa que coletou consentimento em 2022 para “receber ofertas” e em 2024 passou a compartilhar o dado com um parceiro de fidelidade precisava de novo consentimento, e a maioria não fez.
Isso não significa evitar o consentimento sempre. Ele é a base correta quando o tratamento é acessório à relação principal (marketing além do contratual, cookies não essenciais, pesquisa opcional), quando o titular tem escolha real de dizer não sem perder o serviço, e quando a empresa consegue manter registro robusto de coleta e revogação.
É a base errada, e ainda assim a mais usada, em situações onde o mercado deveria recorrer a outra hipótese. Contrato de trabalho, por exemplo: o consentimento de colaborador é presumidamente viciado pela relação de subordinação, então a base é execução de contrato mais obrigação legal. Cadastro de cliente para prestação de serviço também é execução de contrato, não consentimento.
O mesmo vale para prevenção a fraude, que se apoia em legítimo interesse, já que um fraudador jamais consentiria em ser detectado, e para dado retido por obrigação fiscal ou trabalhista, que independe do que o titular consente.
Legítimo interesse é a base mais útil da LGPD, e a mais mal aplicada?
Legítimo interesse, art. 7º, IX, é a base legal mais versátil da LGPD: permite tratamento sem consentimento em contextos amplos, como cliente ativo, prevenção a fraude, segurança da informação e personalização razoável, desde que cumpridos requisitos rigorosos.
O Guia Orientativo da ANPD, publicado em 02/02/2024, formalizou o método de aplicação: teste de balanceamento em três fases, análise de legítima expectativa do titular e documentação obrigatória.
O guia estabelece três critérios de legitimidade. O tratamento precisa ter compatibilidade com o ordenamento jurídico: legítimo interesse não legaliza o que já seria vedado por outra norma. Precisa ter lastro em situação concreta, não em interesse abstrato ou especulativo.
E precisa estar vinculado a finalidade legítima, específica e explícita: “melhorar o negócio” não qualifica; “reduzir a taxa de fraude em transação com cartão em 15% no próximo trimestre” qualifica.
| Fase | O que analisar | O que documentar |
|---|---|---|
| 1. Finalidade | O interesse é legítimo, concreto e específico? É do controlador ou de terceiro? Vincula-se a atividade lícita? | Descrição objetiva da finalidade, identificação do interessado, base normativa complementar |
| 2. Necessidade | O tratamento é necessário, ou existe alternativa menos invasiva? Os dados coletados são estritamente adequados? | Alternativas consideradas e descartadas, inventário e justificativa por dado, proporcionalidade |
| 3. Balanceamento e salvaguardas | Os direitos do titular prevalecem sobre o interesse? Qual é a legítima expectativa dele? Que salvaguardas mitigam o impacto? | Análise de legítima expectativa, mapeamento de riscos, salvaguardas técnicas e organizacionais, mecanismo de exercício de direitos |
A legítima expectativa do titular é o coração do teste: o tratamento precisa ser razoavelmente esperado pelo titular naquele contexto.
O guia lista fatores objetivos para avaliar isso: a relação prévia entre controlador e titular (cliente ativo ou colaborador gera expectativa maior que desconhecido); e a fonte e forma da coleta (dado coletado diretamente do titular gera expectativa maior que dado adquirido de terceiro).
Somam-se o contexto e o período em que o dado foi obtido, e se a nova finalidade é compatível com o propósito declarado originalmente.
Um exemplo do próprio guia ilustra a lógica: uma instituição de ensino superior com 1.600 estudantes e 200 funcionários divulga aos funcionários uma campanha promocional de uma escola de idiomas parceira, com desconto. A base é legítimo interesse de terceiro, a escola.
A instituição já promove campanhas de aperfeiçoamento, o que torna a expectativa do titular razoável; a finalidade é específica; a situação é concreta. O tratamento passa no teste.
O legítimo interesse tem quatro restrições que não podem ser ignoradas. Não se aplica a dado sensível: o art. 7º, IX é expresso, e o art. 11 não tem hipótese equivalente. Exige documentação obrigatória: o teste de balanceamento por escrito, registrado no ROPA (art. 37).
Pode exigir RIPD quando o tratamento for de alto risco, conforme o art. 10, §3º, o mesmo relatório que documenta risco em outras frentes da LGPD. E preserva o direito de oposição do titular, art. 18, §2º: ele pode se opor ao tratamento, e o controlador precisa avaliar essa oposição.
Há um recorte que costuma gerar dúvida: e dado de criança ou adolescente? O art. 14 da LGPD exige que o tratamento se dê no melhor interesse do menor, e por anos o mercado leu isso como “só cabe o consentimento de um dos pais”. O Enunciado nº 1/2023 da ANPD (22 de maio de 2023) desfez o mito: o tratamento de dado de criança e adolescente pode se apoiar em qualquer hipótese do art. 7º ou do art. 11, inclusive o legítimo interesse, desde que o melhor interesse do menor seja observado e prevaleça, avaliado no caso concreto. Legítimo interesse não está vedado aqui — mas o teste de balanceamento fica mais exigente, porque a legítima expectativa passa a ser lida sob a proteção reforçada que o art. 14 impõe. Laura Schertel Mendes, uma das vozes mais ativas do debate brasileiro de proteção de dados, trabalha justamente essa intersecção entre autodeterminação informativa e legítima expectativa em contextos de vulnerabilidade.
Como mapear cada tratamento à base legal correta, em 6 etapas?
Empresa madura em LGPD tem um inventário de tratamentos no qual cada um tem base legal identificada, justificada e documentada. O processo é sequencial: mapear o tratamento, explicitar a finalidade, testar as bases aplicáveis, escolher a mais adequada, documentar a escolha e revisar periodicamente.
Em forma de árvore de decisão, a lógica é esta — e começa sempre pelo tipo de dado, não pela ferramenta:
| Pergunta | Se sim | Se não |
|---|---|---|
| É dado sensível (art. 5º, II)? | Vá às 8 hipóteses do art. 11; não existe legítimo interesse aqui | Siga para o art. 7º |
| Há contrato ou fase pré-contratual com o titular? | Execução de contrato (art. 7º, V) | Próxima pergunta |
| Uma lei ou norma obriga o tratamento? | Obrigação legal (art. 7º, II) | Próxima pergunta |
| É para proteger vida/saúde ou exercer direito em processo? | Incisos VII, VIII ou VI conforme o caso | Próxima pergunta |
| Há interesse legítimo concreto, com expectativa razoável do titular? | Legítimo interesse (art. 7º, IX) com teste de balanceamento | Próxima pergunta |
| O titular tem escolha real de dizer não sem perder o serviço? | Consentimento (art. 7º, I), a última opção | Reveja a finalidade: talvez o tratamento não deva existir |
Fonte: LGPD, arts. 5º II, 7º e 11.
- Inventariar os tratamentos. O ROPA, Registro das Operações de Tratamento (art. 37), é o ponto de partida. Se ele ainda não existe, montá-lo é o primeiro passo, com finalidade, categorias de dados e de titulares, destinatários, transferências internacionais, prazo de retenção e medidas de segurança em cada linha.
- Explicitar a finalidade real. “Comunicação com o cliente” é vago. “Comunicação transacional relacionada ao pedido em curso” é específico. Finalidade vaga força a escolha errada de base.
- Verificar quais bases se aplicam. Uma mesma finalidade pode ter mais de uma base potencial: uma cobrança amigável, por exemplo, pode se sustentar em execução de contrato, legítimo interesse ou obrigação legal, dependendo do contexto. Listar todas antes de decidir.
- Escolher a base mais adequada. O critério prático: qual base sustenta o tratamento sem depender de manifestação revogável do titular, quando outra base já cobre a mesma finalidade? Consentimento é a última opção, não a primeira.
- Documentar a escolha. Justificativa por escrito no ROPA, no RIPD quando o tratamento for de alto risco, ou em política interna. Para legítimo interesse, o teste de balanceamento formal. O encarregado valida essa escolha antes de o tratamento entrar em operação, o mesmo critério aplicado quando a empresa avalia um fornecedor de IA antes da assinatura.
- Revisar periodicamente. Mudança de finalidade, categoria de dado, integração ou público exige revisão da base. Boa prática: revisão anual programada, mais revisão extraordinária a cada alteração significativa, no mesmo espírito de uma auditoria interna de sistemas de IA.
Cada satélite LGPD da Mabex documenta uma peça deste mesmo quebra-cabeça operacional: quem responde institucionalmente pelo tratamento é o DPO; como documentar o risco do tratamento é o RIPD.
E como responder quando algo dá errado é o protocolo de incidente em três dias úteis; sobre qual base o tratamento se sustenta é este artigo.
Empresa que domina os quatro tem uma base sólida para navegar a fiscalização da ANPD, hoje Agência Nacional de Proteção de Dados, em 2026.
Base legal é a fundação do edifício LGPD
As dez bases do art. 7º e as oito do art. 11 para dado sensível não são intercambiáveis: escolher a errada compromete o programa inteiro. Consentimento é a base mais frágil, revogável, exigente, restritiva: deve ser a última opção, não a primeira.
Legítimo interesse é a mais versátil, com o Guia ANPD de 02/02/2024 formalizando o teste de balanceamento em três fases. E o mapeamento de cada tratamento segue seis etapas: inventariar, explicitar a finalidade, verificar as bases aplicáveis, escolher, documentar, revisar.
O caminho operacional para quem ainda não fez essa auditoria: revisar as bases legais do ROPA nos próximos 60 a 90 dias; identificar tratamentos com base indevida, como consentimento onde deveria haver contrato ou legítimo interesse; e executar testes de balanceamento formais para tudo o que hoje se apoia em legítimo interesse.
Documentar cada escolha, e estabelecer um ciclo de revisão. Esse roteiro se conecta ao restante da adequação da empresa descrita no panorama da LGPD na prática da Mabex.
Base legal é a fundação do edifício LGPD. Uma empresa pode até parecer conforme por fora sem ela sólida, mas o primeiro empurrão real, uma fiscalização, uma reclamação de titular, um incidente, derruba tudo.
Consertar a fundação depois de construído é caro. Fazer certo desde o início é o padrão do quarteto operacional LGPD da Mabex.
Perguntas Frequentes
Quais são as 10 bases legais da LGPD?
O art. 7º lista dez hipóteses para dado pessoal comum: consentimento (I), obrigação legal (II), políticas públicas (III), estudos por órgão de pesquisa (IV), execução de contrato (V), exercício de direitos em processo (VI), proteção da vida (VII), tutela da saúde (VIII), legítimo interesse (IX) e proteção do crédito (X). Dado sensível segue o art. 11, com oito hipóteses mais restritivas.
O consentimento é sempre a melhor base legal?
Não. É a mais frágil da LGPD: pode ser revogado a qualquer momento, exige coleta livre, informada, inequívoca, específica e documentada, e precisa ser renovado a cada mudança de finalidade. Para atividade essencial, outra base costuma ser mais adequada: execução de contrato, obrigação legal ou legítimo interesse. Consentimento é a última opção, não a primeira.
O legítimo interesse serve para dado sensível?
Não. Essa é a diferença central entre os dois regimes: o legítimo interesse está no art. 7º, IX, e o art. 11 (dado sensível) não tem hipótese equivalente. Para tratar dado de saúde, biometria, opinião política ou filiação sindical, é preciso enquadrar numa das oito hipóteses do art. 11, e o consentimento, quando usado, tem de ser específico e destacado.
O consentimento de um colaborador vale?
É presumidamente viciado. A relação de subordinação compromete a liberdade da manifestação, então o consentimento do empregado não é base sólida. O tratamento de dado de colaborador se apoia em execução de contrato (art. 7º, V) para o vínculo e em obrigação legal (art. 7º, II) para folha e encargos; dado sensível, como atestado médico, vai para o art. 11.
Posso mudar a base legal de um tratamento depois?
Pode, e às vezes deve, desde que documente a nova escolha e a justificativa no ROPA. O que não funciona é tratar por anos sob consentimento frágil e, na fiscalização, alegar legítimo interesse sem teste de balanceamento feito na época. Mudança de finalidade exige reavaliar a base; base legal não é etiqueta retroativa.
Como tratar dado de criança ou adolescente sob a LGPD?
Pode ser qualquer hipótese do art. 7º ou do art. 11, inclusive legítimo interesse, desde que o melhor interesse do menor seja observado e prevaleça (art. 14). O Enunciado nº 1/2023 da ANPD desfez o mito de que só caberia consentimento dos pais. Na prática, o teste de balanceamento fica mais exigente pela proteção reforçada que a lei dá a esse titular.
