Não existe tratamento de dados sem base legal. Para dados comuns, as hipóteses estão no art. 7º da LGPD; para dados sensíveis, no art. 11, que são mais restritas. Escolher a base certa é uma das decisões mais importantes da adequação, e um dos erros mais comuns é recorrer ao consentimento para tudo.
O que é base legal
É o fundamento jurídico que torna lícito um tratamento específico de dados pessoais. A LGPD lista hipóteses taxativas: o controlador só pode tratar dados quando uma delas se aplica. A escolha deve ser feita para cada atividade de tratamento (por exemplo, matrícula escolar, atendimento de saúde, folha de pagamento), antes de seu início, e documentada no registro das operações.
Para que serve
Garante que o uso de dados tenha fundamento, finalidade e limites. Na administração pública, a base mais comum não é o consentimento, e sim o cumprimento de obrigação legal e a execução de políticas públicas.
As hipóteses do art. 7º (dados pessoais comuns)
| Base | Quando se aplica |
|---|---|
| Consentimento | Quando o titular concorda, de forma livre, informada e inequívoca, para finalidade determinada |
| Obrigação legal ou regulatória | Quando a lei ou regulamento exige o tratamento |
| Políticas públicas | Pela administração pública, para tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres |
| Estudos por órgão de pesquisa | Com anonimização sempre que possível |
| Execução de contrato | Contrato do qual o titular seja parte, ou procedimentos preliminares a pedido dele |
| Exercício regular de direitos | Em processo judicial, administrativo ou arbitral |
| Proteção da vida | Da vida ou da incolumidade física do titular ou de terceiro |
| Tutela da saúde | Exclusivamente em procedimento por profissionais de saúde, serviços de saúde ou autoridade sanitária |
| Legítimo interesse | Interesses legítimos do controlador ou de terceiro, salvo se prevalecerem direitos e liberdades do titular. Veja legítimo interesse |
| Proteção do crédito | Inclusive conforme a legislação pertinente |
Para dados pessoais sensíveis, o art. 11 traz um rol mais restrito. Veja dado pessoal sensível.
O poder público e o art. 23
O art. 23 acrescenta que o poder público deve tratar dados para atender sua finalidade pública, na persecução do interesse público, com o objetivo de executar competências legais ou cumprir atribuições legais do serviço público, informando ao cidadão, em veículos de fácil acesso, as hipóteses de tratamento, a previsão legal, a finalidade e os procedimentos. Em outras palavras: a base do poder público costuma estar na própria lei que lhe atribui competência. As competências dos municípios vêm da Constituição, das leis federais e estaduais aplicáveis e das leis municipais; por isso cada município deve identificar, para cada tratamento, qual norma o fundamenta.
Como funciona na prática
- No mapeamento de dados, liste cada atividade (matrícula escolar, atendimento de saúde, folha de pagamento, cadastro de fornecedores, controle de acesso ao prédio).
- Para cada uma, identifique a finalidade e verifique qual hipótese do art. 7º (ou 11) se aplica.
- Registre a base e a norma que a sustenta.
- Informe o titular no aviso de privacidade.
- Revise quando a finalidade, a norma ou a tecnologia mudar.
Imagine uma prefeitura de pequeno porte que mapeia o cadastro de alunos da rede municipal. A base é a execução de política pública de educação, prevista em lei, e não o consentimento dos pais. Para a publicação de fotos de alunos em redes sociais da prefeitura, que não é indispensável ao serviço, a base mais adequada, em regra, é o consentimento específico dos responsáveis.
Base legal e finalidade: duas coisas distintas
A base legal responde “por que posso tratar?”. A finalidade responde “para que vou usar?”. Um tratamento só é regular se tiver as duas, e o uso posterior para finalidade diferente exige nova análise. Dado coletado para matrícula, por exemplo, não pode ser reaproveitado para campanha política ou promoção pessoal.
Erros comuns
- Pedir consentimento em tudo, o que é frágil quando o titular não tem escolha real.
- Escolher a base depois, para justificar o que já foi feito.
- Não distinguir dados comuns de sensíveis.
- Usar o legítimo interesse como “coringa” no setor público.
- Não registrar a norma que fundamenta o tratamento.
Tabela de decisão simples para o gestor
Uma forma prática de decidir é perguntar, na ordem: a lei ou um regulamento manda tratar este dado? Se sim, obrigação legal. O dado é necessário para executar uma política pública prevista em lei, regulamento, contrato ou convênio? Se sim, política pública. O tratamento é necessário para proteger a vida ou tutelar a saúde em atendimento por profissionais de saúde? Se sim, as bases específicas. Não se enquadra? Considere o consentimento, se houver escolha real, e só então o legítimo interesse, com análise documentada. Esse roteiro evita o uso indiscriminado do consentimento.
Em resumo: escolha a base antes, documente a norma que a sustenta e informe o titular de modo claro.
