* Fabio Correa Xavier

A Lei 13.709/2018, Lei Geral de Proteção de Dados Pessoais (LGPD), é uma legislação transversal que trata de proteção de dados pessoais. A LGPD define que essas informações somente podem ser tratadas de acordo com pelo menos uma das hipóteses legais previstas no art. 7º. As hipóteses legais, portanto, são presunções autorizativas para que um agente de tratamento possa realizar operações com dados pessoais, como a coleta, classificação, utilização, acesso, transmissão, processamento, armazenamento, eliminação e transferência, dentre outras.

Nessa toada, uma das dez hipóteses previstas é o legítimo interesse (art. 7º, IX) do controlador ou de terceiros, podendo ser utilizada desde que não viole os direitos e as liberdades fundamentais do titular, nem a sua privacidade (art. 2º, I) e autodeterminação informativa (art. 2º, II), liberdade para o desenvolvimento da própria personalidade do titular – especialmente os direitos à privacidade e intimidade (artigo 5º da CF).

Ao contrário das outras bases legais previstas no art. 7º, o legislador escolheu por incluir um artigo específico (art. 10), que dita alguns parâmetros para a aplicação do legítimo interesse: o controlador deve ter finalidades legítimas e situações concretas que terão que ser analisadas sempre e individualmente, para confirmar a sua aplicação. O art. 10 elenca situações concretas, a título exemplificativo: no inciso I, “o apoio e promoção de atividades do controlador”, coadunando com os fundamentos previstos no art. 2º, V – “desenvolvimento econômico e tecnológico e a inovação” – e VI – “a livre iniciativa, a livre concorrência e a defesa do consumidor”, inclusive a busca do lucro, conforme previsto no art. 170 da CF/88. Nesse sentido, o legítimo interesse pode ser visto como uma alternativa de uso de dados responsável com potencial de desenvolvimento econômico e a inovação, garantindo o direito à privacidade dos titulares. Ainda no art. 10, inciso II, temos outro exemplo de situação concreta: “a proteção, em relação ao titular, do exercício regular de seus direitos ou prestação de serviços que o beneficiem, respeitadas as legítimas expectativas dele e os direitos e liberdades fundamentais”. Além disso, o art. 37 destaca que o controlador e o operador devem manter registro das operações de tratamento de dados que realiza, “especialmente quando baseado no legítimo interesse”. Ressalta-se, novamente, que o legítimo interesse não se estende ao operador, sendo uma base legal exclusiva do controlador.

Destaca-se que no caput do art. 10 há ênfase ao uso dessa base legal com finalidade legítima. Podemos entender por finalidade legítima o uso revestido de boa-fé, especialmente no atendimento à legítima expectativa do titular dos dados. Nesse sentido, destaco que a boa-fé seria o ‘’princípio dos princípios’’, interpretação ratificada pela sua posição no caput do artigo 6º, revelando sua centralidade frente aos demais princípios listados nos incisos subsequentes. 

O uso dessa base legal deve, ainda, não contrariar a Lei, estar em consonância com as regras de conduta da sociedade e que, quando baseado no legítimo interesse do controlador, que o tratamento se restrinja exclusivamente aos dados pessoais necessários para a finalidade pretendida. Seria, portanto, uma categoria capaz de contemplar qualquer interesse protegido pela ordem jurídica que deve ser sopesado – ou balanceado – com os direitos do titular dos dados, se tornando uma base legal mais ampla. Se, na técnica de sopesamento ou balanceamento, os interesses do titular superarem o interesse do controlador, o uso dessa base legal para o tratamento de dados não será possível.

O uso do legítimo interesse como base legal deve ainda observar os princípios da necessidade e da transparência, sendo o controlador responsável por adotar medidas para garantir esses princípios. O uso do legítimo interesse como uma base legal para o tratamento de dados pessoais acaba por gerar um ônus argumentativo maior quanto ao princípio da finalidade, uma vez que, provavelmente para evitar seu uso indiscriminado, o legislador optou por frisar que sua aplicação só é possível em uma situação concreta. Contudo, apresenta-se como uma base legal mais flexível, dinâmica e exatamente por isso requer o uso constante da técnica de balanceamento entre os interesses do titular, de terceiros e do controlador, além de considerar as já citadas liberdades individuais. Para isso, seu uso deve ser precedido de uma detalhada análise de riscos, documentada, para atendimento ao previsto no § 3 do art. 10.

Por fim, cabe frisar que o terceiro interessado também pode alegar a presença de interesse legítimo para tratamento de dados pessoais, mediante autorização deste ao controlador. Assim, nota-se que o legítimo interesse se torna um instrumento amplo, sem deixar de consagrar os direitos fundamentais de proteção dos dados pessoais dos titulares. 

* Fabio Correa Xavier é Diretor do Departamento de Tecnologia da Informação do Tribunal de Contas do Estado de São Paulo (TCESP).