Por A base legal é a hipótese da LGPD que autoriza determinada operação com dados pessoais. A organização deve identificar a finalidade e escolher uma hipótese que realmente se aplique ao caso, considerando os dados usados, o contexto, os direitos do titular e os demais princípios da lei.
Onde esse conceito aparece?
O art. 7º da LGPD prevê hipóteses para dados pessoais comuns, como consentimento, cumprimento de obrigação legal ou regulatória, execução de contrato ou procedimentos preliminares, exercício regular de direitos e legítimo interesse, entre outras. Dados pessoais sensíveis seguem o regime específico do art. 11. A mesma empresa pode usar bases diferentes para operações distintas; uma escolha genérica para toda a jornada costuma ocultar diferenças importantes.
Um registro útil para cada operação
Mantenha uma descrição concisa da finalidade, categorias de dados, titulares, origem, destinatários, prazo de retenção, hipótese legal e justificativa. Registre também os controles adotados e quem aprovou a avaliação. Esse inventário ajuda a responder solicitações e a detectar quando um novo uso não cabe na justificativa original. A forma de documentar deve ser proporcional ao risco e às obrigações aplicáveis; este roteiro não substitui análise jurídica ou de privacidade do caso.
Por que importa em uma decisão?
Descreva a operação com precisão: quais dados são coletados, de quem, para qual objetivo, por quanto tempo e com quem serão compartilhados. Em seguida, confronte os fatos com os requisitos legais da hipótese considerada e documente a justificativa. Se a base for consentimento, verifique se a manifestação é livre, informada, inequívoca e vinculada a finalidade determinada. Se for legítimo interesse, aplique as condições legais e avalie direitos, expectativas e salvaguardas; essa hipótese não se aplica a dados pessoais sensíveis.
Limites e cuidados de interpretação
Não existe uma base legal universal nem uma preferência automática pelo legítimo interesse. Ter um contrato não torna qualquer tratamento necessário à sua execução, e obter consentimento não corrige uma finalidade excessiva. A base escolhida também não afasta transparência, segurança, necessidade, direitos do titular e dever de prestação de contas. Reavalie a justificativa quando a finalidade, os dados ou o contexto mudarem.
Como escolher e documentar a hipótese legal
A base legal deve ser definida para uma finalidade concreta antes do tratamento, e não escolhida retrospectivamente para justificar qualquer uso. Mapeie quais dados são necessários, de quem vêm, como serão usados, por quanto tempo e com quem serão compartilhados. Em seguida, avalie as hipóteses da LGPD e registre a razão pela qual a escolhida se aplica, os interesses ou direitos envolvidos, as salvaguardas e a forma de transparência. Consentimento é uma das bases, não uma autorização universal; quando utilizado, precisa ser livre, informado, inequívoco e ligado a finalidade determinada, e sua revogação deve ser tratada conforme a lei. Dados pessoais sensíveis têm hipóteses próprias, e o tratamento de dados de crianças e adolescentes exige atenção específica ao melhor interesse. Uma mudança relevante de finalidade ou contexto exige nova avaliação. Mantenha evidência da análise e não confunda base legal com aviso de privacidade, contrato ou simples acesso público ao dado. Consulte LGPD, dado pessoal sensível e titular de dados.
Base legal deve corresponder à finalidade
A LGPD exige hipótese legal para cada finalidade de tratamento. Mapeie dado, titular, operação, agente, contexto e resultado esperado antes de escolher base. Uma lista de bases genéricas no aviso de privacidade não demonstra adequação nem autoriza toda reutilização futura.
Consentimento não é sempre obrigatório
A lei prevê diferentes hipóteses, como obrigação legal, execução contratual, exercício regular de direitos, proteção da vida e legítimo interesse em condições específicas. Escolha aquela que realmente se aplica e mantenha prova dos requisitos. Não use consentimento como atalho quando ele não é livre ou necessário.
Legítimo interesse exige avaliação
Quando aplicável, documente propósito legítimo, necessidade, expectativa do titular, impactos e salvaguardas, e considere direitos e liberdades fundamentais. A hipótese não se aplica a dados pessoais sensíveis pelo regime do art. 10; para esses dados, examine art. 11. O teste deve refletir a operação concreta.
Revisão ao longo do tempo
Se finalidade, dados, público, tecnologia ou compartilhamento mudarem, reavalie base, transparência e retenção. Registre decisão e evidências de conformidade. Consulte consentimento para tratamento, legítimo interesse e LGPD.
Registre o teste por operação
Mantenha inventário com finalidade, categoria de titular, dado, agente, base legal, destinatário, prazo e medidas de segurança. Um mesmo campo pode ter fundamentos diferentes em operações distintas. Documento interno deve explicar fatos que sustentam a escolha, e não apenas copiar artigo da lei.
Compatibilidade e uso secundário
Nova finalidade exige avaliar compatibilidade, transparência, expectativa, necessidade e impacto. Consentimento antigo não cobre automaticamente qualquer novo uso; legítimo interesse requer balanceamento e não se aplica ao tratamento de dados sensíveis pelo regime geral da LGPD. Se a finalidade mudar, informe titular e ajuste fluxo ou interrompa tratamento.
Revisão diante de mudança
Reavalie base quando mudar tecnologia, público, decisão automatizada, destinatário, retenção ou contexto. Preserve evidência da análise e autorizações. Consulte LGPD, consentimento para tratamento e dado pessoal sensível.
Accountability: prove a escolha e o cumprimento
O agente deve conseguir demonstrar por que a hipótese legal se aplica, quais dados são indispensáveis, quem acessa, como o titular é informado e quando o tratamento termina. Mantenha registro de análise, versão do aviso, contrato e controle de acesso. Evidência deve corresponder à operação real e ser atualizada após mudança de finalidade ou fornecedor.
Bases não são intercambiáveis por conveniência
Se consentimento for inválido, não substitua retroativamente por legítimo interesse sem avaliação e transparência. Obrigação legal deve indicar norma e dado necessário; execução contratual deve se relacionar à parte e à prestação; exercício de direitos exige finalidade compatível. Dados sensíveis seguem hipóteses próprias do art. 11. Consulte LGPD e legítimo interesse.
Mapa entre hipótese, dado e finalidade
Monte matriz que conecte cada objetivo ao dado estritamente necessário, hipótese legal, destinatário, retenção, direito do titular e controle. Se uma finalidade tiver bases alternativas, explique qual sustenta cada operação e por que. Não use uma cláusula genérica para cobrir marketing, prevenção a fraude, análise de crédito e cumprimento contratual ao mesmo tempo. Esse mapa ajuda a revisar consentimento, legítimo interesse e compartilhamento quando um processo muda.
Como escolher a base legal
A LGPD prevê hipóteses legais diferentes para tratar dados pessoais, como consentimento, cumprimento de obrigação legal ou regulatória, execução de contrato ou procedimentos preliminares, exercício regular de direitos, proteção da vida, tutela da saúde, legítimo interesse e proteção do crédito, entre outras. A lista aplicável a dados sensíveis é distinta. A base deve corresponder à finalidade e aos fatos; não se escolhe depois apenas para justificar uma operação já iniciada. Mapeie cada fluxo, titulares, dados, destinatários e consequência da escolha. Consulte legítimo interesse, consentimento e dado pessoal sensível.
Uma finalidade pode exigir mais de uma análise
Uma organização pode tratar dados em etapas com propósitos diferentes, e cada etapa precisa de base adequada. Coletar endereço para entregar produto pode se apoiar em execução contratual; conservar documento por prazo legal pode decorrer de obrigação normativa; usar histórico para marketing ou perfil exige análise própria. Uma base não se transfere automaticamente a todos os usos posteriores. Se a finalidade mudar, avalie compatibilidade, transparência e necessidade de nova hipótese antes de reutilizar dados.
Registro, transparência e direitos
Documente a hipótese, fundamento, finalidade, teste ou evidência pertinente, prazo de retenção e controles. Informe titulares de forma clara, disponibilize direitos e mantenha canal para correção, oposição ou revogação quando aplicável. Dados obtidos de fonte pública continuam sujeitos à LGPD e aos princípios legais. Em legítimo interesse, a ANPD recomenda avaliação de finalidade, necessidade, balanceamento e salvaguardas. Em consentimento, preserve prova da escolha. Em obrigação legal, identifique a norma e o período de retenção.
Revisão periódica e mudança de contexto
Revise a base quando produto, público, tecnologia, fornecedor, finalidade, escala ou risco mudar. Dados antigos podem ter sido coletados sob contexto diferente. Se a base deixa de ser necessária, encerre ou limite o tratamento, considerando obrigações de conservação e exercício de direitos. Não misture bases para obscurecer a finalidade: explique qual sustenta cada operação e qual consequência tem para o titular. Em dúvida, pause a ampliação do uso até concluir avaliação jurídica e de privacidade.
Fontes e leitura complementar
Consulte o texto institucional e a regra aplicável ao conceito. A interpretação em uma situação concreta depende dos documentos e do contexto.