As 10 bases legais da LGPD: quais são e qual usar em cada caso

17 de setembro de 2026LGPD de Todos13 min de leitura

A LGPD só permite tratar dado pessoal com uma das dez hipóteses do Art. 7º, e o consentimento é apenas a primeira delas, não a principal. Para a maior parte do que uma empresa faz, como vender, emitir nota, pagar a equipe, cobrar e vigiar a loja, a base certa é outra: execução de contrato, obrigação legal ou legítimo interesse. Escolher a base é a primeira decisão de qualquer adequação, e ela vem antes de qualquer documento.

A expressão "base legal" assusta, mas o conceito cabe em uma frase: é o motivo, dentro da lei, que autoriza a sua empresa a usar um dado de alguém. Todo uso precisa de um. E o erro mais comum do mercado é achar que o motivo é sempre uma autorização assinada, quando na maior parte dos casos ela nem é a opção correta.

1. O que é uma base legal, e por que toda operação precisa de uma

Base legal é a hipótese do Art. 7º que autoriza uma operação específica com dados pessoais. Sem ela, a operação é irregular por definição, mesmo que a empresa tenha aviso de privacidade, Encarregado e cofre. O aviso conta o que você faz; a base é o que permite fazer.

O caput do artigo é uma frase fechada: o tratamento de dados pessoais "somente poderá ser realizado nas seguintes hipóteses". Não é uma lista de sugestões, é uma lista exaustiva. Se o que a sua empresa faz com um dado não cabe em nenhuma das dez, a resposta da lei é que não pode ser feito. Por isso a pergunta de partida da adequação nunca é "tenho autorização?", e sim "qual das dez sustenta isto?".

Esse parágrafo desmonta duas ideias erradas de uma vez. A primeira é que consentimento seria a regra e o resto exceção: a lei chama de "dispensa" justamente porque as outras nove valem por si. A segunda é que ter uma base resolve tudo: a base autoriza a operação, e os princípios e os direitos do titular continuam valendo por cima dela. Base legal não é passe livre, é o primeiro degrau.

2. As dez, uma a uma

Três das dez não servem para empresa privada, três são para situações excepcionais, e quatro sustentam quase tudo o que um negócio faz. Vale conhecer as dez pelo nome, porque é assim que elas aparecem no registro de operações e nos questionários que clientes grandes mandam.

Duas leituras que a tabela deixa claras. A primeira é que a maior parte do que uma empresa faz já está sustentada antes de ela pedir qualquer coisa a alguém: vender é contrato, emitir nota é obrigação legal, vigiar a loja é legítimo interesse. A segunda é que o consentimento fica para o resto, e o resto costuma ser pequeno. É o oposto do que os formulários de aceite espalhados pela internet sugerem.

Sobre o legítimo interesse, o Art. 10 impõe uma coleira que a tabela não cabe: ele só sustenta finalidades legítimas, em situações concretas, e o § 1º limita o tratamento ao estritamente necessário. A leitura completa, com o exemplo que a ANPD publicou, está em quando posso usar o legítimo interesse.

3. A ordem certa para escolher

Comece pela base que menos depende da vontade do titular e termine no consentimento, e não o contrário. A ordem importa porque uma base que a pessoa pode revogar amanhã é a base mais frágil que existe, e ninguém deveria apoiar a folha de pagamento nela.

Essa ordem não é capricho: ela segue o grau de estabilidade de cada base. Obrigação legal não depende de ninguém. Contrato depende de uma relação que já existe e que a pessoa quis. Legítimo interesse depende de um teste que a empresa faz e guarda. Consentimento depende de um clique que a pessoa pode desfazer, e que nasce nulo com facilidade quando é genérico, embutido ou condicionado.

Há ainda um caso à parte, no § 4º do Art. 7º: dados que o próprio titular tornou manifestamente públicos dispensam o consentimento, resguardados os direitos dele e os princípios da lei. O telefone que uma empresa publica na fachada ou o cargo que alguém escreve no perfil profissional entram aí. Dispensar o consentimento não dispensa ter uma base: em regra, o uso desses dados vai se apoiar no legítimo interesse, e o § 3º manda considerar a finalidade e a boa-fé que justificaram a publicação.

4. Dado sensível tem lista própria

Para dado sensível, as dez do Art. 7º não valem: a lista é a do Art. 11, e o legítimo interesse não está nela. Saúde, biometria, religião, opinião política, filiação sindical, origem racial, vida sexual e dado genético só podem ser tratados com consentimento específico e destacado ou em uma das hipóteses do inciso II.

As hipóteses do Art. 11, II parecem com as do Art. 7º, mas com o filtro do "indispensável": obrigação legal, políticas públicas, pesquisa, exercício regular de direitos, proteção da vida, tutela da saúde e prevenção à fraude em cadastro eletrônico. Na prática, para a maioria dos negócios, isso significa duas portas. A clínica trata prontuário por tutela da saúde. A empresa que recebe atestado médico do funcionário trata por obrigação legal, sem pedir autorização, porque a lei trabalhista manda guardar. O que não existe é a terceira porta, a do legítimo interesse, e é por isso que a câmera com reconhecimento facial muda de regime enquanto a câmera comum não muda. A lista fechada e os exemplos estão em dados sensíveis na LGPD.

5. Uma base por operação, e escrita

A base legal se escolhe por operação, antes de começar, e fica registrada. Uma empresa não tem "a base legal dela": ela tem uma base para o cadastro de clientes, outra para a folha, outra para a câmera, outra para a promoção. O mesmo dado pode ter bases diferentes conforme o que se faz com ele.

6. Os casos que mais aparecem

Nove operações comuns, com a base que costuma sustentá-las. "Costuma" porque a base depende do caso concreto, e a tabela mostra o raciocínio, não o veredito da sua empresa.

Duas linhas costumam surpreender. A promoção para cliente não pede consentimento, e a ANPD tem um exemplo publicado aprovando exatamente isso, como mostra posso mandar promoção por WhatsApp e e-mail?. E o currículo é contrato, não consentimento: quem se candidata pede para ser avaliado, e isso é o procedimento preliminar do inciso V.

7. Perguntas frequentes

Quais são as 10 bases legais da LGPD?

As dez hipóteses do Art. 7º: consentimento do titular; cumprimento de obrigação legal ou regulatória; execução de políticas públicas pela administração; estudos por órgão de pesquisa; execução de contrato ou de procedimentos preliminares a pedido do titular; exercício regular de direitos em processo judicial, administrativo ou arbitral; proteção da vida ou da incolumidade física; tutela da saúde por profissionais ou serviços de saúde; legítimo interesse do controlador ou de terceiro; e proteção do crédito. Para empresa privada, as que aparecem no dia a dia são contrato, obrigação legal, legítimo interesse, consentimento e, em alguns setores, proteção do crédito e tutela da saúde.

O consentimento é a base legal principal?

Não. Ele é a primeira da lista, e só isso. As dez hipóteses estão no mesmo nível, e o § 6º do Art. 7º diz que a dispensa do consentimento não desobriga de nenhuma outra obrigação da lei. Na prática ele é a base mais frágil, porque a pessoa pode revogar a qualquer momento e porque um consentimento mal colhido é nulo. Só entra quando nenhuma outra sustenta a operação.

Posso usar mais de uma base legal para a mesma operação?

A boa prática é uma base por operação, escolhida antes de começar e escrita no registro. Operações diferentes sobre o mesmo dado podem ter bases diferentes: guardar a nota fiscal do cliente é obrigação legal, entregar o pedido dele é execução de contrato, mandar promoção depois é legítimo interesse. O que não funciona é apoiar a mesma operação em duas bases ao mesmo tempo, porque na hora de responder a um pedido de titular ou a uma fiscalização a empresa precisa dizer qual é a sua.

Qual base legal vale para dado sensível?

A lista é outra, e está no Art. 11. Ou o titular consente de forma específica e destacada, para finalidades específicas, ou a operação se encaixa em uma das hipóteses do inciso II: obrigação legal, políticas públicas, pesquisa, exercício regular de direitos, proteção da vida, tutela da saúde ou prevenção à fraude em cadastro eletrônico. Legítimo interesse não está lá. Um atestado médico de funcionário, por exemplo, é dado sensível tratado por obrigação legal, sem consentimento.

Preciso escrever qual base legal uso em cada operação?

Precisa. O Art. 37 obriga controlador e operador a manter o registro das operações de tratamento, e diz especialmente quando baseado no legítimo interesse. A base legal é uma das colunas desse registro, e é a resposta que a empresa dá quando um cliente pergunta com qual fundamento os dados dele são tratados, pelo Art. 9º, II. Agente de pequeno porte pode fazer o registro simplificado, no modelo que a ANPD publicou.

O que é base legal na LGPD?

É a hipótese do Art. 7º que autoriza uma operação específica com dados pessoais. O caput diz que o tratamento "somente poderá ser realizado" nas dez hipóteses listadas, então a lista é fechada: se o que a empresa faz com um dado não cabe em nenhuma, não pode ser feito. Base legal não é o mesmo que autorização assinada; consentimento é só uma das dez. Emitir nota fiscal se apoia em obrigação legal, entregar um pedido se apoia em execução de contrato, e a câmera da loja se apoia em legítimo interesse, sem ninguém assinar nada. A base autoriza a operação; os princípios do Art. 6º e os direitos do titular continuam valendo por cima dela.

Fontes: Lei nº 13.709/2018 (LGPD), Arts. 7º (caput, I a X e §§ 3º a 6º), 8º, 9º, II, 10, 11 e 37 · ANPD, modelo de registro simplificado para agentes de pequeno porte

Publicado por LGPD de Todos, projeto da EFAR Consultoria em TI. Veja como produzimos os nossos textos.