Legítimo interesse na LGPD: quando pode ser usado e o que a empresa precisa demonstrar
O legítimo interesse (art. 7º, IX, e art. 10 da LGPD) é uma das bases legais mais utilizadas, e também uma das mais mal aplicadas, para o tratamento de dados pessoais. Diferentemente do consentimento, e4le dispensa autorização prévia do titular, mas isso não significa ausência de controle: a lei exige que o controlador demonstre, de forma documentada, que seu interesse é legítimo e que não prevalece sobre os direitos fundamentais do titular.
O que a LGPD exige na prática:
Só vale para dados não sensíveis. Legítimo interesse não pode fundamentar tratamento de dados sensíveis (saúde, origem racial, orientação sexual, dados de crianças em contextos que exijam proteção reforçada, entre outros).
Teste de balanceamento (LIA): a ANPD, no Guia Orientativo sobre Legítimo Interesse (publicado em fevereiro de 2024), recomenda a realização de um teste dividido em três fases: (i) finalidade legítima e específica; (ii) necessidade, o tratamento deve ser o mínimo indispensável para atingir o objetivo; e (iii) balanceamento entre o interesse do controlador e os direitos do titular, com adoção de salvaguardas quando necessário.
Documentação é essencial. Embora o teste de balanceamento não seja formalmente obrigatório por lei, a ANPD já demonstrou, em casos concretos de fiscalização, que cobra esse tipo de justificativa por escrito. A ausência de registro documentado dificulta a defesa da empresa em eventual questionamento.
Transparência ao titular. Mesmo sem precisar de consentimento, o controlador deve informar o titular sobre o tratamento e garantir a possibilidade de oposição, quando cabível.
Não é "carta branca". A ANPD já rejeitou o uso de legítimo interesse em casos concretos, como o uso de dados de redes sociais para treinamento de modelos de IA, justamente por entender que a finalidade não superava os riscos aos titulares.
O caso mais emblemático da fiscalização da ANPD sobre o tema envolveu a Meta: em julho de 2024, a autoridade suspendeu, por medida preventiva, o uso de dados de usuários do Facebook e Instagram para treinar IA generativa, com multa diária de R$ 50 mil por descumprimento. A empresa invocava legítimo interesse para justificar o tratamento, mas a ANPD apontou quatro falhas centrais: a possível presença de dados sensíveis no conjunto tratado (fotos e interações que revelam características pessoais), finalidade genérica e incompatível com o propósito original da coleta, obstáculos excessivos ao exercício do direito de oposição e ausência de salvaguardas para dados de crianças e adolescentes. A suspensão só foi revertida após a empresa apresentar teste de balanceamento detalhado e assinar plano de conformidade, comprometendo-se a excluir menores de 18 anos do tratamento e a facilitar o opt-out.
Esse precedente deixou claro um ponto que costuma passar despercebido pelas empresas: o legítimo interesse exige análise caso a caso, e não pode ser usado como base legal genérica ou "coringa" quando nenhuma outra hipótese parece se encaixar.
A ANPD tem sinalizado que fiscalizará com rigor crescente esse tipo de justificativa, sobretudo em tratamentos envolvendo grande volume de titulares, dados coletados de fontes públicas (que podem conter informações sensíveis mesmo sem essa intenção) e uso de dados para finalidades distintas daquela que motivou a coleta original.
Usar legítimo interesse sem documentação de suporte é um dos erros mais comuns, e mais arriscados, na adequação à LGPD. Empresas que tratam dados com essa base legal (por exemplo, para segurança patrimonial, prevenção a fraudes, marketing direto a clientes já existentes ou aprimoramento de produtos) devem manter um relatório de teste de balanceamento arquivado, pronto para apresentação em caso de fiscalização da ANPD.
© 2025 - Todos os direitos reservados | FD.law - Gustavo Tonet Fagundes Sociedade Individual de Advocacia
Itajaí - SC
Rua Samuel Heusi
nº 190, sala 701, Centro
CEP 88301-320
(47) 98806-7489