Consentimento válido na LGPD: requisitos legais e interpretação

O consentimento do consumidor para tratamento de dados pessoais exige manifestação livre, informada e inequívoca, conforme a LGPD. Empresas devem documentar a autorização, informar finalidades específicas e garantir meios de revogação. Advogados precisam estruturar políticas de privacidade, termos de uso e processos internos que comprovem a validade do consentimento perante fiscalizações e demandas judiciais.

O que a Lei Geral de Proteção de Dados exige para o consentimento ser válido?

O artigo 8º da Lei nº 13.709/2018 (LGPD) estabelece que o consentimento deve ser fornecido por escrito ou por outro meio que demonstre a manifestação de vontade do titular. A redação legal exige que seja livre, informado e inequívoco, o que significa ausência de vício de vontade, conhecimento pleno sobre o tratamento e declaração positiva do titular.

A exigência de que seja informado implica que o controlador deve esclarecer previamente a finalidade específica do tratamento. O artigo 9º reforça essa obrigação ao determinar que o consentimento seja fornecido por escrito ou outro meio demonstrável, em cláusula destacada das demais disposições contratuais.

Dados sensíveis, conforme o artigo 11 da LGPD, demandam consentimento específico e destacado para finalidades também específicas. Isso significa que empresas não podem obter autorização genérica para múltiplas finalidades, especialmente quando envolvem informações sobre origem racial, convicções religiosas, saúde ou vida sexual.

O artigo 8º, parágrafo 5º, da LGPD prevê ainda que o consentimento pode ser revogado a qualquer momento, mediante manifestação expressa do titular. Essa revogação não afeta a licitude do tratamento realizado anteriormente, mas impede novos processamentos baseados naquela autorização.

Como os tribunais brasileiros estão interpretando o consentimento na LGPD?

O Tribunal de Justiça de São Paulo tem considerado inválidas cláusulas genéricas em termos de uso que não especificam claramente as finalidades do tratamento. Decisões recentes apontam que a simples navegação em sites ou uso de aplicativos não configura consentimento tácito para compartilhamento de dados com terceiros.

Algumas decisões do TJSP e TJRJ reconhecem que boxes pré-marcados (opt-out) violam o requisito de manifestação inequívoca, exigindo que o consumidor realize ação positiva para consentir. Essa interpretação alinha-se ao entendimento do Regulamento Geral de Proteção de Dados europeu (GDPR), frequentemente usado como parâmetro hermenêutico.

O Superior Tribunal de Justiça já enfrentou casos envolvendo cadastro positivo e scoring de crédito, reconhecendo que o legítimo interesse do controlador não dispensa transparência e respeito aos direitos do titular. Embora não sejam casos exclusivamente sobre consentimento, essas decisões indicam rigor na análise das bases legais para tratamento.

Tribunais também têm examinado a validade do consentimento obtido antes da vigência da LGPD. A posição majoritária considera que empresas devem renovar o consentimento quando as finalidades originais não estavam claramente especificadas ou quando houve alteração no propósito do tratamento.

Há divergências sobre o ônus probatório: alguns julgados transferem ao controlador a demonstração de que o consentimento foi obtido validamente, enquanto outros exigem que o consumidor comprove vício na manifestação de vontade. Essa indefinição representa risco operacional relevante para empresas.

Como essa exigência de consentimento válido transforma a advocacia em proteção de dados?

Advogados que atuam com empresas precisam revisar contratos, políticas de privacidade e termos de uso para garantir conformidade com os requisitos legais de consentimento. A simples adaptação de templates estrangeiros ou genéricos expõe clientes a autuações da Autoridade Nacional de Proteção de Dados (ANPD) e ações judiciais.

Na consultoria preventiva, cabe estruturar processos internos que documentem quando, como e para quais finalidades cada consentimento foi obtido. Sistemas de registro de consentimento (consent management platforms) tornaram-se necessários para empresas de médio e grande porte, exigindo que o advogado dialogue com equipes de TI e compliance.

Em litígios, a defesa de empresas demanda comprovação robusta do consentimento válido. Prints de tela, logs de sistema e cópias de e-mails de confirmação passam a integrar o conjunto probatório habitual. A ausência dessa documentação fragiliza qualquer tese defensiva baseada em autorização do titular.

Para quem atua na defesa de consumidores, identificar vícios no consentimento tornou-se estratégia central em demandas indenizatórias. Cláusulas genéricas, ausência de destaque, impossibilidade de revogação e falta de informações claras configuram violações que fundamentam danos morais e materiais.

A atuação preventiva ganha relevância: orientar clientes sobre necessidade de base legal alternativa ao consentimento (como execução de contrato ou legítimo interesse) evita dependência exclusiva de autorizações que podem ser revogadas a qualquer momento, comprometendo modelos de negócio.

Perguntas frequentes