Legítimo interesse na LGPD: quando usar a base que parece livre e é a mais vigiada

2 de setembro de 2026LGPD de Todos10 min de leitura

Quando a finalidade é concreta, os dados são os estritamente necessários e os direitos do titular não prevalecem sobre ela. O legítimo interesse é a base que dispensa consentimento, e por isso virou a favorita de quem não quer pedir nada. Só que ela é a única do Art. 7º que a lei manda registrar pelo nome, e a única que a autoridade pode pedir para ver por escrito.

Existe um mal-entendido confortável circulando: o de que o legítimo interesse é o caminho de quem não conseguiu consentimento. Ele não é o plano B do consentimento, e não é mais fácil. É uma decisão que você toma, assume e precisa conseguir defender depois, o que é o oposto de um atalho. Este texto separa o que está escrito na lei do que o mercado vende como se estivesse.

1. O que a base diz, e as duas palavras que somem na tradução

O inciso IX é uma frase só, e quase toda reprodução dele perde dois pedaços. Vale ler inteiro antes de decidir qualquer coisa.

O primeiro pedaço que some é "ou de terceiro". O interesse legítimo não precisa ser da sua empresa: ele pode ser de outra pessoa, e mesmo assim fundamentar o tratamento que você faz. Isso amplia a base, e amplia também o que você tem que conseguir explicar, porque agora o interesse que sustenta o tratamento não é nem o seu.

O segundo é a exceção final. Ela não é um comentário de doutrina nem uma cautela que alguém acrescentou: está dentro do inciso, com a mesma força do resto. A base existe até o ponto em que prevalecem direitos e liberdades fundamentais do titular que exijam a proteção dos dados. Ou seja, o teste não é uma etapa depois da escolha. Ele é a condição da escolha.

2. O Art. 10 não é uma licença, é uma coleira

Quase todo material trata os dois incisos do Art. 10 como uma lista de usos permitidos. Eles são exemplos, e o artigo inteiro é uma restrição.

Repare no desenho da frase. Ela começa com "somente poderá fundamentar", que é linguagem de limite, e termina com "incluem, mas não se limitam a", que é linguagem de lista aberta. As duas coisas ao mesmo tempo: a lista de situações não é fechada, e mesmo assim nem tudo entra. O que decide não é achar o seu caso em um dos incisos, é a expressão do meio, "consideradas a partir de situações concretas".

Situação concreta é o contrário de finalidade genérica. "Melhorar a experiência do cliente" não é situação concreta. "Avisar por e-mail quem já comprou que o produto voltou ao estoque" é. Quem escreve a primeira no aviso de privacidade está anunciando que não fez a conta.

E o § 1º aperta mais do que o princípio geral da necessidade: nessa base, somente os dados estritamente necessários para a finalidade pretendida podem ser tratados. A palavra "estritamente" só aparece aqui. Se para avisar sobre o estoque basta o e-mail, o CPF não entra junto de carona.

3. O teste que a lei não exige

Procure "LIA", "teste de proporcionalidade" ou "avaliação de legítimo interesse" no texto da LGPD. Não estão lá. O que existe é outra coisa, e a diferença muda o que você precisa fazer.

O que o Art. 10 monta é um conjunto de exigências de conteúdo: finalidade legítima, situação concreta, dados estritamente necessários, transparência. E o § 3º diz que a autoridade nacional poderá solicitar relatório de impacto quando o tratamento se fundar no interesse legítimo. Poderá solicitar não é o mesmo que você deve produzir e guardar desde já.

Isso não é argumento para não documentar, e seria leitura preguiçosa entender assim. É argumento para documentar a coisa certa. O documento que a lei cobra está no artigo seguinte deste texto, e ele é mais simples e mais barato do que o pacote que costuma ser vendido junto com a palavra LIA. Fazer o teste continua sendo o jeito mais organizado de chegar na decisão. Ele é a forma, e não a obrigação.

4. O que ela exige mesmo: registrar e contar

O Art. 37 é o único lugar da LGPD que cita o legítimo interesse dentro de um dever de registro, e ele cita com destaque.

Leia de novo a palavra especialmente. O dever de manter registro das operações vale para tudo, mas a lei destaca essa base. É coerente com o resto do desenho: como aqui não existe um "sim" do titular para mostrar, o que sobra para mostrar é o seu raciocínio. Sem registro, você tem uma decisão que ninguém consegue conferir, o que na prática equivale a não ter tomado decisão nenhuma.

O registro não precisa ser um documento caro. Precisa responder três coisas por tratamento: qual é a finalidade concreta, quais dados são os estritamente necessários para ela, e por que os direitos do titular não prevalecem naquele caso. Se a sua empresa já mantém o registro das operações, esses três campos entram na linha que já existe. Se ainda não mantém, o modelo simplificado da ANPD é por onde começar.

E tem o § 2º, que quase ninguém cita: o controlador deverá adotar medidas para garantir a transparência do tratamento baseado no legítimo interesse. Na prática isso mora no aviso de privacidade, e mora dito de um jeito que a pessoa entenda. Usar a base e não contar que usa é descumprir a metade do artigo.

5. Onde essa base simplesmente não entra

Dado pessoal sensível tem lista própria, ela é fechada, e o legítimo interesse não está nela.

O Art. 11 abre dizendo que o tratamento de dados pessoais sensíveis somente poderá ocorrer nas hipóteses que ele lista. Não há inciso de interesse legítimo ali. Isso não depende de a finalidade ser boa nem de o impacto ser pequeno: se o dado é de saúde, biometria, religião, opinião política, filiação sindical ou origem racial, a conversa muda de artigo e o legítimo interesse sai da mesa. É por isso que biometria no ponto não se resolve por essa via, e é o que separa dado comum de dado sensível na hora de escolher a base.

O outro lugar onde ela não entra é a criança e o adolescente, cujo regime tem artigo próprio e critério próprio, tratado em dados de criança e de adolescente.

6. Como decidir, na prática, em quatro perguntas

Se as quatro respostas saírem com facilidade, a base se sustenta. Se alguma travar, ela provavelmente não é a base certa para aquele tratamento.

Que situação concreta é essa? Descreva o tratamento com verbo e complemento, não com adjetivo. Se a resposta couber em qualquer empresa do mundo, ela está genérica demais.

De quais dados eu preciso mesmo? Liste e depois corte. Tudo o que sobrar sem justificar a própria presença viola o § 1º, que é o parágrafo mais fácil de descumprir sem perceber.

A pessoa esperaria isso? A legítima expectativa aparece no inciso II do Art. 10 e é o melhor termômetro que a lei oferece. Quem deixou o e-mail para receber a nota fiscal não esperava entrar em uma régua de remarketing.

O que eu faço se ela disser não? Essa base convive com o direito de oposição do titular. Se não existe um caminho simples para a pessoa sair, a decisão está incompleta, e o problema vai chegar como pedido de exclusão ou como reclamação.

Nenhuma dessas quatro perguntas exige advogado para ser respondida. O que elas exigem é que alguém na empresa saiba o que a empresa faz com os dados, o que é justamente o que quase nunca está escrito em lugar nenhum.

7. Perguntas frequentes

O que é legítimo interesse na LGPD?

É a hipótese do Art. 7º, IX: tratar dados quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais. Duas coisas costumam passar batidas nessa frase. A primeira é que o interesse pode ser de terceiro, e não só de quem trata. A segunda é que a exceção está dentro da própria base: ela não é uma ressalva que alguém inventou depois, é parte do inciso.

Preciso fazer o LIA, o teste de proporcionalidade?

A LGPD não usa essa palavra e não exige esse documento. O que o Art. 10 diz é que a finalidade precisa ser legítima e considerada a partir de situações concretas, que o § 1º limita o tratamento aos dados estritamente necessários, que o § 2º manda garantir transparência e que o § 3º permite à autoridade nacional solicitar relatório de impacto. Fazer o teste continua sendo o jeito mais simples de chegar nessa decisão e de conseguir mostrá-la depois, mas ele é a forma, não a obrigação. A obrigação escrita é o registro do Art. 37.

O que a lei manda guardar quando eu uso essa base?

O Art. 37 diz que o controlador e o operador devem manter registro das operações de tratamento que realizarem, especialmente quando baseado no legítimo interesse. É o único ponto da lei que cita a base pelo nome dentro de um dever de registro. Na prática, o registro precisa dizer qual é a finalidade concreta, quais dados são os estritamente necessários para ela e por que os direitos do titular não prevalecem naquele caso.

Posso usar legítimo interesse para dado sensível?

Não. O Art. 11 tem uma lista própria e fechada de hipóteses para dado pessoal sensível, e o legítimo interesse não está nela. Isso vale mesmo quando a finalidade é boa e o impacto é pequeno: se o dado é de saúde, biometria, religião, opinião política, filiação a sindicato ou origem racial, a conversa muda de artigo.

Legítimo interesse serve para mandar promoção?

Serve como ponto de partida, e não como resposta pronta. A própria LGPD trata publicidade dentro do desenho do Art. 7º, IX com a exceção dos direitos do titular, e o que decide é a situação concreta: quem é a pessoa, o que ela esperava quando deixou o contato e como ela sai da lista. O caminho prático de contato por WhatsApp e e-mail está no texto próprio sobre o assunto.

Quais são exemplos de legítimo interesse na LGPD?

Câmera de segurança na loja, promoção para quem já é cliente, prevenção a fraude, cobrança de quem deve e medição de audiência do próprio site, em certos contextos. Em todos eles o interesse é concreto, a pessoa poderia esperar aquele uso na situação em que deu o dado, e existe um jeito fácil de se opor. O que não é exemplo: comprar lista de contatos, montar perfil a partir de dado sensível ou qualquer tratamento de dado sensível, porque a lista do Art. 11 não tem legítimo interesse. E o exemplo só vale se o teste de balanceamento estiver registrado.

Fontes: Lei nº 13.709/2018 (LGPD), Arts. 7º, IX, 10 (caput, I, II e §§ 1º, 2º e 3º), 11 e 37

Publicado por LGPD de Todos, projeto da EFAR Consultoria em TI. Veja como produzimos os nossos textos.