Dez hipóteses legais que dispensam consentimento na LGPD

O consentimento pode ser dispensado nas dez hipóteses de tratamento legítimo previstas no art. 7º da Lei 13.709/2018 (LGPD), como cumprimento de obrigação legal, execução de política pública, realização de estudos por órgão de pesquisa, execução de contrato, exercício regular de direitos, proteção da vida, tutela da saúde, legítimo interesse e proteção do crédito. São bases legais autônomas que afastam a exigência de autorização do titular.

Quais são as hipóteses legais que dispensam o consentimento para tratamento de dados?

O art. 7º da Lei 13.709/2018 estabelece dez bases legais que autorizam o tratamento de dados pessoais sem necessidade de consentimento do titular. A primeira é o cumprimento de obrigação legal ou regulatória pelo controlador (inciso II). A segunda hipótese é a execução, pela administração pública, de políticas públicas previstas em leis ou regulamentos (inciso III).

A terceira base legal é a realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados (inciso IV). A quarta hipótese ocorre quando o tratamento é necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular (inciso V).

O exercício regular de direitos em processo judicial, administrativo ou arbitral constitui a quinta base legal (inciso VI). A sexta hipótese é a proteção da vida ou da incolumidade física do titular ou de terceiro (inciso VII). A tutela da saúde, exclusivamente em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária, representa a sétima base (inciso VIII).

A oitava hipótese autoriza o tratamento quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais (inciso IX). A nona base é a proteção do crédito, conforme disposto em legislação específica (inciso X). Por fim, a décima hipótese, embora pareça contraditória, é o próprio consentimento (inciso I).

Qual é o entendimento da ANPD sobre o legítimo interesse como base legal?

A Autoridade Nacional de Proteção de Dados (ANPD) consolidou o entendimento de que o legítimo interesse, previsto no art. 7º, IX, da Lei 13.709/2018, exige a realização do Teste de Proporcionalidade em Três Etapas (LIA — Legitimate Interest Assessment). O controlador deve demonstrar que o tratamento atende a uma finalidade legítima, que é necessário para essa finalidade e que os interesses do controlador não são superados pelos direitos fundamentais do titular.

A ANPD considera que o legítimo interesse não pode ser invocado de forma genérica. É necessário documentar a análise caso a caso, especialmente quando houver tratamento de dados sensíveis ou de crianças e adolescentes. O Guia Orientativo da ANPD sobre Tratamento de Dados Pessoais pelo Poder Público reforça que essa base legal deve ser aplicada com cautela e transparência.

O entendimento também diferencia o legítimo interesse do consentimento: enquanto este pode ser revogado a qualquer momento pelo titular, aquele permite tratamento contínuo desde que atendidos os requisitos de legitimidade, necessidade e equilíbrio. A jurisprudência administrativa da ANPD tem exigido comprovação robusta dessa ponderação em processos de fiscalização.

Como a dispensa de consentimento costuma cair na prova do Exame de Ordem?

A pegadinha clássica está na confusão entre consentimento e legítimo interesse. A banca apresenta situações em que o controlador alega “interesse legítimo” quando, na verdade, deveria obter consentimento porque não há relação contratual prévia nem finalidade que justifique o tratamento unilateral. O examinador costuma descrever casos de marketing direto ou compartilhamento de dados com terceiros, situações em que o legítimo interesse é frágil.

Outra armadilha recorrente envolve a execução de contrato (art. 7º, V). A questão descreve tratamento que vai além do estritamente necessário para cumprir o contrato, mas afirma que está dispensado de consentimento. É preciso identificar se o tratamento é realmente indispensável para a execução contratual ou se representa finalidade adicional que exigiria autorização específica do titular.

A diferenciação entre obrigação legal (inciso II) e política pública (inciso III) também aparece com frequência. O examinador descreve uma atividade estatal e exige que o candidato identifique se há lei específica impondo o tratamento (obrigação legal) ou se trata de programa governamental baseado em regulamento (política pública). Ambas dispensam consentimento, mas a fundamentação legal é distinta.

Por fim, questões sobre dados sensíveis costumam gerar dúvida. O art. 11 da LGPD estabelece que dados sensíveis também podem ser tratados sem consentimento nas hipóteses específicas de seus incisos, que são mais restritas que as do art. 7º. A banca explora essa diferença ao apresentar tratamento de dado sensível com base em hipótese válida apenas para dados comuns.

Perguntas frequentes