Base legal é a hipótese da lei que autoriza um tratamento de dados pessoais: consentimento, contrato, obrigação legal, legítimo interesse e as demais do art. 7 da LGPD e do art. 6 do GDPR. Todo tratamento precisa de uma, escolhida antes de começar e registrada. O seletor compara as hipóteses com o seu cenário, explica a escolha e, quando o legítimo interesse entra, monta o teste de três etapas (LIA).
Como usar
- Descreva a atividade de tratamento, a lei aplicável e a finalidade principal.
- Responda se há contrato, obrigação legal, atribuição pública ou proteção da vida envolvidos.
- Diga se a pessoa espera o uso, se pode recusar e se há dados sensíveis ou de crianças.
- Para o legítimo interesse, descreva o interesse, a necessidade, o impacto e as salvaguardas.
- Leia a base sugerida, as alternativas, as bases descartadas e a LIA; exporte em DOCX, PDF ou CSV.
O que cada campo pede
| Campo | O que preencher |
|---|---|
| Atividade de tratamento | O que é feito com os dados e para quê, numa frase. |
| Lei aplicável | A LGPD vale para tratamento no Brasil; o GDPR, para a Europa. Muitas empresas precisam das duas. |
| Finalidade principal | |
| O tratamento é necessário para cumprir um contrato com a própria pessoa (ou etapas antes dele)? | |
| Uma lei ou regulação obriga a organização a fazer este tratamento? | |
| É uma atribuição de órgão público ou execução de política pública? | |
| Serve para proteger a vida ou a integridade física de alguém? | |
| Situações previstas só na LGPD (opcional) | Marque se o tratamento se encaixa em alguma delas. |
| A pessoa espera, de forma razoável, que os dados sejam usados assim? | |
| A pessoa pode recusar sem sofrer prejuízo? | Se a recusa custa o serviço, o emprego ou um benefício, o consentimento não é livre. |
| Há desequilíbrio de poder (empregador, órgão público)? | |
| Envolve dados sensíveis? | Saúde, biometria, origem racial ou étnica, religião, opinião política, filiação sindical, vida sexual ou dados genéticos. |
| Envolve dados de crianças ou adolescentes? | |
| Interesse buscado (para o teste de legítimo interesse) | Qual benefício concreto o tratamento traz para a organização, para terceiros ou para a própria pessoa. |
| Existe uma forma menos invasiva de alcançar a mesma finalidade? | |
| Impacto provável sobre as pessoas | |
| Salvaguardas já previstas (opcional) |
Exemplo
Uma loja virtual fictícia quer analisar os pedidos para barrar fraudes com cartões de terceiros, sob a LGPD e o GDPR. Como o cliente não pode recusar a checagem, o consentimento é descartado. O seletor sugere o legítimo interesse (LGPD art. 7, IX; GDPR art. 6(1)(f)) com adequação forte, porque a checagem é esperada, tem impacto baixo e conta com minimização, retenção curta e aviso claro. A LIA conclui que a base se sustenta com salvaguardas.
Quando usar
- Antes de lançar um produto, uma campanha ou um novo uso de dados de clientes.
- Ao montar ou revisar o registro das operações de tratamento.
- Quando a equipe quer usar o consentimento por hábito e é preciso checar se ele é mesmo livre.
- Para documentar o teste de legítimo interesse que a ANPD ou a autoridade europeia pode pedir.
Perguntas frequentes
Quais são as bases legais da LGPD?
O art. 7 da LGPD traz dez hipóteses: consentimento, obrigação legal, execução de políticas públicas, estudos por órgão de pesquisa, contrato, exercício regular de direitos, proteção da vida, tutela da saúde, legítimo interesse e proteção do crédito. Para dados sensíveis, valem as hipóteses do art. 11.
O consentimento é sempre a base mais segura?
Não. O consentimento só vale se a pessoa pode recusar sem prejuízo e pode ser revogado a qualquer momento. Numa relação de emprego ou quando o serviço depende do tratamento, ele raramente é livre, e outra base costuma ser mais adequada.
O que é o teste de legítimo interesse (LIA)?
É a avaliação em três etapas que sustenta o uso do legítimo interesse: finalidade (o interesse é legítimo e concreto?), necessidade (há forma menos invasiva?) e ponderação (os direitos da pessoa prevalecem?). O registro deve ser guardado, porque a ANPD pode pedi-lo.
Posso usar legítimo interesse para dados sensíveis?
Na LGPD, não: o art. 11 não inclui essa hipótese para dados sensíveis. No GDPR, além de uma base do art. 6, é preciso uma condição do art. 9(2), como consentimento explícito ou obrigações de direito do trabalho.
Qual a diferença entre a LGPD e o GDPR nas bases legais?
O GDPR tem seis bases no art. 6. A LGPD tem dez no art. 7, incluindo proteção do crédito, tutela da saúde, estudos por órgão de pesquisa e exercício regular de direitos. O seletor mostra a referência das duas leis quando você escolhe ambas.
Que certificação da DPCert cobre este tema?
A DPAI (Data Protection & AI Professional) avalia bases legais e legítimo interesse no domínio de fundamentos de proteção de dados, junto com direitos dos titulares, accountability e incidentes.
O resultado vale como parecer jurídico?
Não. É uma ferramenta educativa que organiza a análise e o registro. A escolha final da base legal deve ser validada pelo encarregado e pela assessoria jurídica, com base nas regras vigentes.