Preciso pedir consentimento para tudo na LGPD?
Não. O consentimento é uma das dez hipóteses do Art. 7º da LGPD, e na maior parte do que uma empresa faz no dia a dia ele nem é a hipótese certa. Pior: é a mais frágil das dez para quem trata o dado, porque a prova é sua e a outra pessoa pode desligá-la quando quiser.
Se você já ouviu que "a LGPD exige autorização do cliente", ouviu uma simplificação que custa caro. Ela leva empresa a encher formulário de caixinha de aceite, a travar processo esperando assinatura que não precisava existir e, no fim, a ficar com uma base pior do que a que ela já tinha de graça. Este texto mostra como a lei realmente distribui as coisas, por que o consentimento costuma ser a escolha errada, e as poucas situações em que ele é mesmo obrigatório.
A versão curta
- O Art. 7º traz dez hipóteses que autorizam tratar dado pessoal. O consentimento é o inciso I, e a lei não o coloca acima dos outros nove.
- É a única base que o titular desliga quando quiser, por procedimento gratuito e facilitado, e a única em que o ônus da prova é seu.
- Autorização genérica é nula pelo Art. 8º, § 4º. O aceite único que cobre tudo de uma vez não sustenta nada.
- Não precisar de consentimento não te libera de nada: os princípios e os direitos do titular continuam valendo, e isso está escrito no Art. 7º, § 6º.
1. Uma base entre dez, e não a chefe das outras
O Art. 7º abre dizendo que o tratamento de dados pessoais somente poderá ser realizado nas seguintes hipóteses, e então lista dez. O consentimento é a primeira da lista, o que ajudou a criar a impressão de que é a principal. Ser a primeira não é ser a maior: as dez estão no mesmo nível, e a pergunta certa nunca é "tenho autorização?", é "qual das dez sustenta o que eu estou fazendo aqui?".
Repare no efeito prático dessa inversão. Uma loja que vende, emite nota, entrega e guarda o cadastro para a garantia está apoiada em duas hipóteses que não dependem de ninguém autorizar nada: a execução do contrato e o cumprimento de obrigação legal. Se essa loja resolver pedir consentimento para essas mesmas coisas, não fica mais protegida. Fica menos, e a seção 2 explica por quê.
| Hipótese | Caso típico | Onde está, e o que ela exige |
|---|---|---|
| Consentimento | Quando não há outra | Art. 7º, I. Precisa ser livre, informado, para finalidade determinada, e você guarda a prova. |
| Obrigação legal | Nota fiscal, folha | Art. 7º, II. Vale quando outra lei ou norma manda tratar aquele dado. Não é "seria bom ter": é dever escrito. |
| Políticas públicas | Só o poder público | Art. 7º, III. Reservada à administração pública, não serve para empresa privada. |
| Órgão de pesquisa | Pesquisa acadêmica | Art. 7º, IV. Exige anonimização sempre que possível, e o conceito de órgão de pesquisa é estreito. |
| Execução de contrato | Venda e entrega | Art. 7º, V. Cobre também os procedimentos preliminares, a pedido do titular. É a base do orçamento e da proposta. |
| Exercício de direitos | Processo e defesa | Art. 7º, VI. Processo judicial, administrativo ou arbitral. É o que sustenta guardar prova de uma discussão. |
| Proteção da vida | Emergência | Art. 7º, VII. Vida ou incolumidade física do titular ou de terceiro. Situação excepcional, não rotina. |
| Tutela da saúde | Clínica e consultório | Art. 7º, VIII. Em procedimento realizado por profissionais de saúde ou por entidades sanitárias. |
| Legítimo interesse | Segurança e cobrança | Art. 7º, IX. Só do controlador ou de terceiro, e cai quando prevalecerem direitos e liberdades do titular. Pede análise registrada. |
| Proteção do crédito | Análise de calote | Art. 7º, X. Inclusive nos termos da legislação própria de cadastro e crédito. |
Três dessas dez raramente aparecem em quem não é do setor público nem de pesquisa: políticas públicas é do poder público, órgão de pesquisa tem definição estreita, e proteção da vida é exceção de emergência. Na prática o jogo se decide entre quatro: obrigação legal, execução de contrato, legítimo interesse e, por último, consentimento.
2. Por que o consentimento é a base mais frágil
Porque ele é a única das dez que depende da vontade continuada de outra pessoa, e a única em que a lei põe a prova no seu colo. Duas frases curtas do Art. 8º explicam quase tudo o que dá errado com consentimento no mundo real.
Art. 8º, §§ 2º e 5º
§ 2º Cabe ao controlador o ônus da prova de que o consentimento foi obtido em conformidade com o disposto nesta Lei.§ 5º O consentimento pode ser revogado a qualquer momento mediante manifestação expressa do titular, por procedimento gratuito e facilitado, ratificados os tratamentos realizados sob amparo do consentimento anteriormente manifestado enquanto não houver requerimento de eliminação, nos termos do inciso VI do caput do art. 18 desta Lei.
O § 2º significa que, se alguém questionar, não basta você dizer que a pessoa autorizou. Você precisa mostrar que autorizou, quando, para quê e com qual texto na frente dela. Isso é um sistema de registro que quem não tem uma área de dados dificilmente montou. Nenhuma das outras nove hipóteses exige isso: para provar execução de contrato basta o contrato, e para provar obrigação legal basta apontar a lei.
O § 5º é ainda mais desconfortável. A pessoa pode revogar quando quiser, de graça e sem dificuldade, e você não pode criar obstáculo para isso. Ou seja, você construiu a sua operação em cima de uma autorização que o outro lado apaga com um clique. Repare, porém, no fim do parágrafo: ficam ratificados os tratamentos feitos enquanto a autorização valia. A revogação não transforma o passado em ilegalidade. O que ela faz é cortar o futuro, e é aí que dói: você para de poder continuar.
Junte as duas coisas e aparece a conclusão que quase nenhum material diz em voz alta. Trocar uma base sólida por consentimento não aumenta a sua segurança, diminui. Você sai de um fundamento que se prova sozinho e que ninguém pode desligar, e entra em um que precisa de prova e que pode acabar amanhã. Quando isso acontece no marketing, o efeito é bem concreto, e está em Posso mandar promoção por WhatsApp e e-mail.
3. O que faz um consentimento valer, e o que o anula
Quando o consentimento é mesmo o caminho, ele tem forma. A lei não exige papel assinado, mas exige que dê para demonstrar a manifestação de vontade, e desqualifica algumas práticas muito comuns de forma expressa.
O Art. 8º diz que o consentimento deverá ser fornecido por escrito ou por outro meio que demonstre a manifestação de vontade do titular. Isso abre espaço para caixa de seleção, gravação, registro de sistema. O que não abre espaço é para presumir: silêncio não é consentimento, e caixinha já marcada não demonstra vontade nenhuma.
A partir daí vêm quatro regras que anulam boa parte do que se vê por aí:
| Dispositivo | Exige | O que isso derruba na prática |
|---|---|---|
| Art. 8º, § 1º | Cláusula destacada | Consentimento escondido no meio do contrato ou dos termos de uso. Se está por escrito, tem que estar separado das demais cláusulas. |
| Art. 8º, § 4º | Finalidade determinada | O aceite único que cobre marketing, compartilhamento e o que mais vier. O parágrafo diz que autorizações genéricas são nulas. |
| Art. 8º, § 3º | Vontade sem vício | Consentimento arrancado com pressa, pressão ou informação torta. Tratamento com vício de consentimento é vedado. |
| Art. 9º, § 1º | Informação prévia | Explicar depois do clique. Se a informação foi enganosa, abusiva ou não veio antes, com clareza, o consentimento é nulo. |
Vale parar no § 4º, porque ele é o mais desrespeitado de todos. Aquele "li e concordo com os termos e autorizo o uso dos meus dados" que aparece uma vez só, no cadastro, e que serve de justificativa para tudo o que a empresa fizer depois, é exatamente a autorização genérica que a lei chama de nula. E nulo não é fraco: é como se não existisse. Quem apostou tudo nesse clique fica, no dia da pergunta, sem base nenhuma.
Tem ainda uma regra de honestidade que costuma passar batida. Pelo Art. 9º, § 3º, quando o tratamento de dados for condição para o fornecimento de produto ou de serviço, ou para o exercício de um direito, o titular precisa ser informado com destaque sobre esse fato. Ou seja, se sem aquele dado você não consegue prestar o serviço, diga isso na cara, em vez de fingir que é opcional.
4. Quando ele é mesmo obrigatório
Três situações concentram quase todos os casos em que o consentimento é o caminho, e em duas delas ele não tem substituto. Fora dessas, quase sempre existe outra hipótese do Art. 7º que serve melhor.
Dado sensível fora das exceções. O Art. 11 tem lista própria, mais curta que a do Art. 7º. Ou o titular consente de forma específica e destacada, para finalidades específicas, ou o tratamento precisa ser indispensável para uma das hipóteses do inciso II, que incluem cumprimento de obrigação legal e algumas situações de saúde e de proteção da vida, que é o caso do atestado médico nos dados de funcionários. Não existe legítimo interesse para dado sensível. É por isso que reconhecimento facial e leitura de digital mudam o jogo inteiro, como está em Posso usar biometria no ponto dos funcionários.
Dado de criança. Esta é a que tem uma camada a mais. O Art. 14, § 1º nomeia o consentimento específico e em destaque dado por pelo menos um dos pais ou pelo responsável legal, e aqui a palavra "destaque" está no texto da lei; a autorização precisa ser daquele responsável, e não da própria criança. Só que o Enunciado CD/ANPD nº 1, de 2023, fixou que dados de crianças e adolescentes também podem se apoiar em outra hipótese do Art. 7º ou do Art. 11, desde que o melhor interesse seja observado e prevaleça no caso concreto. O consentimento dos pais segue sendo a saída natural, e deixou de ser a única. A separação entre os dois regimes está em Dados de criança e de adolescente não seguem a mesma regra.
Compartilhar com outro controlador. Esta pega muita gente de surpresa. Pelo Art. 7º, § 5º, quem obteve consentimento e depois precisar comunicar ou compartilhar aqueles dados com outros controladores tem de obter consentimento específico para esse fim, ressalvadas as hipóteses de dispensa previstas na lei. Consentimento para você usar não é consentimento para você repassar.
Art. 7º, § 4º
Dado que a própria pessoa tornou público. A lei dispensa a exigência de consentimento para os dados tornados manifestamente públicos pelo titular, resguardados os direitos dele e os princípios da lei. Cuidado com a leitura larga: o parágrafo fala do que o titular tornou público de forma manifesta, e não de qualquer dado que alguém consiga achar na internet.5. Não precisar de consentimento não libera de nada
Esta é a parte que mais gente entende errado na direção contrária. Ao descobrir que não precisa pedir autorização, a empresa às vezes conclui que aquele tratamento saiu do alcance da LGPD. Não saiu, e a lei antecipou a confusão em um parágrafo específico.
Art. 7º, § 6º
A eventual dispensa da exigência do consentimento não desobriga os agentes de tratamento das demais obrigações previstas nesta Lei, especialmente da observância dos princípios gerais e da garantia dos direitos do titular.Na prática isso quer dizer que, mesmo sem pedir nada a ninguém, você continua tendo que informar de forma clara o que faz com os dados, e o Art. 9º lista o que precisa estar acessível: finalidade, forma e duração, quem é o controlador, contato, com quem os dados são compartilhados e para quê, responsabilidades e os direitos do titular. Continua tendo que coletar só o necessário, guardar apenas pelo tempo necessário, cuidar da segurança e responder quando alguém pedir acesso, correção ou exclusão.
É por isso que a conversa sobre base legal não substitui o resto do trabalho. Ela decide se você pode; o Aviso de Privacidade conta o que você faz; o registro das operações mostra onde cada dado está. Se essa parte ainda está no ar, o caminho é RoPA para pequena empresa.
6. E se você já pediu consentimento para tudo
Dá para corrigir, e não precisa ser um susto. O erro comum não é ter pedido: é ter registrado o consentimento como se fosse a base de coisas que se apoiam em outra hipótese, e depois ficar refém dele.
O roteiro é curto. Primeiro, separe o que você faz em blocos de finalidade: vender e entregar, cobrar, cumprir obrigação fiscal e trabalhista, cuidar da segurança do lugar, divulgar novidade. Segundo, para cada bloco, escreva qual das dez hipóteses sustenta aquilo. A maioria vai cair em execução de contrato ou obrigação legal, e nenhuma delas depende de autorização. Terceiro, deixe o consentimento apenas onde ele é a base de verdade, e ali sim guarde a prova de quando e como ele foi obtido.
Uma advertência honesta sobre trocar de base no meio do caminho. Se você pediu consentimento para uma finalidade e depois percebe que aquilo sempre esteve sustentado por outra hipótese, corrigir o registro é legítimo e desejável. O que não é legítimo é usar a troca como saída para ignorar quem já pediu para sair, ou para continuar um uso que a pessoa recusou de forma explícita. Nesse caso a recusa é parte do contexto, e ela pesa contra você em qualquer análise, inclusive na de legítimo interesse.
Se a sua dúvida específica é o consentimento do site, e não o do cadastro de clientes, o assunto tem regras próprias e está em Banner de cookies na LGPD. E se você quiser entender como esse conjunto todo se organiza em uma empresa que não tem departamento jurídico, o ponto de partida é LGPD para pequena empresa.
7. Perguntas frequentes
Se eu não pedir consentimento, estou irregular?
Não, desde que exista outra base do Art. 7º sustentando aquele tratamento. Consentimento é o inciso I de uma lista de dez, e a lei não o coloca acima dos outros. Vender para um cliente se apoia na execução de contrato, emitir nota fiscal se apoia no cumprimento de obrigação legal, e nenhum dos dois precisa de autorização assinada. Irregular é tratar dado sem base nenhuma, não é deixar de pedir consentimento.
O checkbox de aceite dos termos serve como consentimento?
Em regra não. O Art. 8º, § 1º exige que o consentimento por escrito conste de cláusula destacada das demais cláusulas contratuais, e o § 4º diz que autorizações genéricas para o tratamento de dados pessoais são nulas. Um aceite único que cobre contrato, marketing e compartilhamento ao mesmo tempo reúne os dois defeitos: não é destacado e não se refere a finalidades determinadas.
O titular pode voltar atrás depois de consentir?
Pode, a qualquer momento. O Art. 8º, § 5º garante a revogação por procedimento gratuito e facilitado. O mesmo parágrafo diz que ficam ratificados os tratamentos realizados enquanto o consentimento valia, então o que já foi feito não vira ilegal retroativamente. O que acaba é a base para continuar, e daí em diante você precisa parar ou encontrar outra hipótese que sustente aquele uso.
Em quais situações o consentimento é realmente obrigatório?
Nas situações em que a lei não oferece outro caminho para aquele caso concreto. As duas mais claras são: dado sensível fora das hipóteses do Art. 11, II, e aí o consentimento precisa ser específico e destacado; e o compartilhamento com outro controlador, que pelo Art. 7º, § 5º exige consentimento específico para esse fim. Dado de criança fica no meio do caminho: o Art. 14, § 1º nomeia o consentimento de um dos pais ou do responsável legal, mas o Enunciado CD/ANPD nº 1, de 2023, admite outra hipótese do Art. 7º ou do Art. 11 quando o melhor interesse for observado e prevalecer.
Não precisar de consentimento me libera das outras obrigações?
Não, e o Art. 7º, § 6º diz isso com todas as letras: a eventual dispensa da exigência do consentimento não desobriga os agentes de tratamento das demais obrigações previstas na Lei, especialmente da observância dos princípios gerais e da garantia dos direitos do titular. Você continua tendo que informar o que faz com os dados, guardar só o necessário, responder pedidos e cuidar da segurança.
Preciso de um termo de consentimento assinado?
Não. O Art. 8º diz que o consentimento é dado por escrito ou por outro meio que demonstre a manifestação de vontade do titular, então uma caixa marcada, uma resposta por mensagem ou um clique registrado valem, desde que a empresa consiga provar depois, porque o § 2º põe o ônus da prova no controlador. Quando vier por escrito, precisa estar em cláusula destacada das demais, pelo § 1º. O termo assinado só faz sentido para a operação que de fato depende de consentimento, e essas são poucas; para folha, nota fiscal, entrega e câmera, o papel assinado não acrescenta nada e ainda troca uma base sólida por uma que a pessoa revoga quando quiser.
Fontes: Lei nº 13.709/2018 (LGPD), Arts. 7º, 8º, 9º, 11 e 14 · Enunciado CD/ANPD nº 1, de 22 de maio de 2023, DOU de 24 de maio de 2023
Publicado por LGPD de Todos, projeto da EFAR Consultoria em TI. Veja como produzimos os nossos textos.
Qual base sustenta cada coisa que você faz?
O diagnóstico gratuito percorre o que a sua empresa trata e indica a hipótese do Art. 7º de cada finalidade, com o registro pronto para mostrar depois.
Começar de graça