Desvio de finalidade na coleta de dados e violação da LGPD

Quando a coleta de dados vai além da finalidade declarada, o controlador pratica violação expressa ao princípio da finalidade previsto na LGPD. Essa conduta pode gerar sanções administrativas, responsabilidade civil por danos causados e, em casos graves, até responsabilização penal. O advogado precisa identificar se houve desvio de finalidade, avaliar a extensão do uso indevido e estruturar a defesa ou a reparação cabível.

O que a Lei Geral de Proteção de Dados estabelece sobre finalidade na coleta?

O artigo 6º, inciso I, da Lei nº 13.709/2018 consagra o princípio da finalidade como um dos pilares do tratamento de dados pessoais. Esse princípio exige que a coleta seja realizada para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades.

O artigo 9º da LGPD reforça essa diretriz ao determinar que o titular deve ser informado, de forma clara e adequada, sobre a finalidade específica do tratamento. Sem essa comunicação transparente, o consentimento eventualmente obtido perde sua validade, porque não se pode consentir validamente com algo que não se conhece integralmente.

O artigo 18 da LGPD garante ao titular o direito de obter informações sobre o tratamento de seus dados, incluindo a confirmação da existência de tratamento, a finalidade específica e a possibilidade de solicitar a eliminação de dados tratados com fundamento em consentimento. Quando o controlador desvia da finalidade original, ele viola não apenas o princípio, mas também os direitos do titular.

A ANPD tem competência para fiscalizar e aplicar sanções quando identifica tratamento de dados além da finalidade declarada. O artigo 52 da LGPD prevê advertências, multas de até 2% do faturamento (limitadas a R$ 50 milhões por infração), publicização da infração e bloqueio ou eliminação dos dados.

Como os tribunais brasileiros têm interpretado o desvio de finalidade no tratamento de dados?

A jurisprudência ainda está em formação, mas já existem precedentes importantes. O Superior Tribunal de Justiça, em decisões envolvendo cadastros de consumo e proteção de dados pessoais antes mesmo da LGPD, já reconhecia a necessidade de respeito à finalidade informada na coleta, especialmente em relação a bancos de dados de proteção ao crédito.

Tribunais estaduais têm aplicado a LGPD para responsabilizar empresas que compartilharam dados de clientes com terceiros sem autorização específica para essa finalidade. Em casos envolvendo plataformas digitais, há decisões que determinaram a exclusão de dados e indenização por danos morais quando houve uso para marketing sem consentimento adequado.

Algumas decisões reconhecem a responsabilidade objetiva do controlador, com base no Código de Defesa do Consumidor aplicado de forma complementar à LGPD. Outras adotam linha mais cautelosa, exigindo prova do dano efetivo e do nexo causal, especialmente quando não há compartilhamento com terceiros, mas apenas uso interno diverso do declarado.

Há também precedentes que aplicam inversão do ônus da prova em favor do titular, obrigando o controlador a demonstrar que respeitou a finalidade declarada e que adotou medidas técnicas e organizacionais adequadas. Essa tendência se alinha à vulnerabilidade técnica do titular em relação ao controlador dos dados.

Como o desvio de finalidade altera a atuação do advogado na prática?

Na consultoria preventiva, o advogado precisa revisar políticas de privacidade e termos de uso para garantir que a descrição das finalidades seja específica, não genérica. Cláusulas vagas como “melhorar a experiência do usuário” ou “finalidades comerciais” não atendem ao requisito de especificidade da LGPD e expõem o cliente a questionamentos.

É essencial auditar os processos internos de tratamento de dados para identificar se há uso além do declarado. Muitas empresas coletam dados para uma finalidade e, posteriormente, passam a utilizá-los para marketing, compartilhamento com parceiros ou criação de perfis comportamentais sem atualizar a comunicação ao titular nem obter novo consentimento.

No contencioso, o advogado que representa o titular deve requerer acesso às informações sobre o tratamento (artigo 18, LGPD), identificar o desvio de finalidade mediante análise da política de privacidade vigente à época da coleta e confrontá-la com o uso efetivo. A prova pode incluir e-mails de marketing não autorizados, compartilhamento de dados com terceiros ou criação de perfis.

A defesa do controlador deve se concentrar em demonstrar que o tratamento estava previsto na política de privacidade ou que se enquadra em outra base legal além do consentimento, como legítimo interesse ou cumprimento de obrigação legal. A documentação do programa de governança e a demonstração de boas práticas podem atenuar sanções.

O advogado precisa orientar o cliente sobre a necessidade de notificação à ANPD em casos de incidentes envolvendo desvio de finalidade, especialmente quando há risco aos direitos dos titulares. A omissão nessa comunicação pode agravar a situação perante a autoridade e caracterizar má-fé em eventual processo administrativo ou judicial.

Perguntas frequentes