Legítimo Interesse na Prática — LIA, Exemplos e Limites

Legítimo interesse é a base legal mais usada — e a mais mal compreendida — da LGPD. Muitas organizações a tratam como carta branca: "não sei qual base legal usar, vou colocar legítimo interesse." Mas o Art. 10 da Lei 13.709/2018 impõe requisitos específicos, a ANPD publicou um Guia Orientativo detalhado em fevereiro de 2024, e os primeiros casos de fiscalização já demonstram que a autoridade leva esses requisitos a sério — como no caso Meta, em que a ANPD rejeitou o uso de legítimo interesse para treinar IA com dados de redes sociais.

Este guia detalha como usar legítimo interesse corretamente: os requisitos legais, o teste de balanceamento (LIA) recomendado pela ANPD, exemplos concretos de uso legítimo e vedado, e um modelo de LIA preenchido.

---

O que o Art. 10 da LGPD exige

O Art. 7º, IX da LGPD lista o legítimo interesse como uma das bases legais para tratamento de dados pessoais não sensíveis:

"quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais."

O Art. 10 detalha os requisitos:

"O legítimo interesse do controlador somente poderá fundamentar tratamento de dados pessoais para finalidades legítimas, consideradas a partir de situações concretas, que incluem, mas não se limitam a: I — apoio e promoção de atividades do controlador; e II — proteção, em relação ao titular, do exercício regular de seus direitos ou prestação de serviços que o beneficiem, respeitadas as legítimas expectativas dele e os direitos e liberdades fundamentais."

Requisitos-chave extraídos do Art. 10

1. Finalidades legítimas — compatíveis com o ordenamento jurídico
2. Situações concretas — não hipotéticas ou genéricas
3. Legítimas expectativas do titular — o titular esperaria razoavelmente esse uso?
4. Direitos e liberdades fundamentais — não podem ser sobrepostos

Limitações expressas (Art. 10, §1º e §2º)

§1º: "Quando o tratamento for baseado no legítimo interesse do controlador, somente os dados pessoais estritamente necessários para a finalidade pretendida poderão ser tratados."

Isso é mais restritivo que o princípio geral de necessidade (Art. 6º, III) — aqui é "estritamente necessários", não apenas "necessários".

§2º: "O controlador deverá adotar medidas para garantir a transparência do tratamento de dados baseado em seu legítimo interesse."

Transparência reforçada — não basta mencionar na política de privacidade. O controlador tem obrigação ativa de informar.

§3º: "A autoridade nacional poderá solicitar ao controlador relatório de impacto à proteção de dados pessoais, quando o tratamento tiver como fundamento seu interesse legítimo."

A ANPD pode, a qualquer momento, exigir um RIPD para tratamentos baseados em legítimo interesse.

---

Guia Orientativo da ANPD sobre legítimo interesse — resumo prático

Em 2 de fevereiro de 2024, a ANPD publicou o "Guia Orientativo — Hipóteses Legais de Tratamento de Dados Pessoais: Legítimo Interesse", após consulta pública realizada entre 16 de agosto e 15 de setembro de 2023.

Principais orientações

• O modelo de teste de balanceamento (LIA) é recomendado, mas não obrigatório
• Legítimo interesse pode ser do controlador ou de terceiro (Art. 7º, IX)
• Aplica-se também ao setor público (diferente do entendimento comum)
• O interesse deve cumprir 3 condições: (i) compatibilidade com o ordenamento jurídico; (ii) fundamentação em situações concretas; (iii) vinculação a finalidades legítimas, específicas e explícitas

Vedação expressa para dados sensíveis

O Art. 11 da LGPD, que lista as bases legais para dados sensíveis, não inclui legítimo interesse. Portanto, legítimo interesse não pode ser usado para tratar dados sensíveis (saúde, biometria, raça, religião, orientação sexual, dados genéticos, opinião política, filiação sindical). Esta é uma das diferenças mais significativas em relação ao GDPR, que permite legítimo interesse para dados sensíveis com salvaguardas adicionais.

---

O Teste de Legítimo Interesse (LIA) em 3 fases

A ANPD estrutura o teste de balanceamento em 3 fases (não 4, como algumas fontes sugerem):

Fase 1 — Finalidade (legitimidade do interesse)

Perguntas a responder:

• Qual é o interesse concreto que justifica o tratamento?
• Esse interesse é legítimo (compatível com a lei)?
• Está baseado em uma situação concreta (não hipotética)?
• Quem é o beneficiário — o controlador ou um terceiro?

Exemplo prático: "Precisamos enviar comunicações sobre novos produtos para clientes que compraram nos últimos 12 meses." O interesse é concreto (manutenção de relacionamento comercial), legítimo (marketing direto é atividade lícita) e baseado em situação concreta (clientes existentes com compra recente).

Fase 2 — Necessidade

Perguntas a responder:

• Os dados tratados são estritamente necessários para a finalidade? (Art. 10, §1º)
• Existem formas menos intrusivas de alcançar o mesmo objetivo?
• Os dados estão atualizados e são relevantes?

Exemplo prático: para enviar comunicações sobre novos produtos, preciso de nome, e-mail e histórico de compras. Não preciso de CPF, endereço residencial ou data de nascimento — esses dados seriam excessivos para a finalidade.

Fase 3 — Balanceamento e salvaguardas

Perguntas a responder:

• Os direitos e liberdades fundamentais do titular prevalecem sobre o interesse do controlador?
• O titular esperaria razoavelmente esse uso dos dados? (legítimas expectativas)
• Quais salvaguardas serão implementadas para mitigar riscos?
• O titular pode se opor facilmente ao tratamento? (opt-out acessível)

Exemplo prático: clientes que compraram recentemente têm expectativa razoável de receber comunicações sobre produtos similares. Salvaguardas: opt-out fácil em todas as comunicações, frequência limitada, dados mínimos, sem compartilhamento com terceiros.

---

10 exemplos concretos de uso legítimo

1. Prevenção à fraude

Cenário: banco analisa padrões de transações para detectar atividades suspeitas em tempo real.

Justificativa: proteção do titular e do controlador contra fraude. Situação concreta e finalidade legítima. O titular espera que o banco proteja sua conta.

2. Segurança de rede e sistemas

Cenário: empresa monitora logs de acesso e tráfego de rede para detectar intrusões e vulnerabilidades.

Justificativa: proteção da infraestrutura e dos dados dos titulares. O monitoramento é necessário e proporcional.

3. Marketing direto para clientes existentes

Cenário: e-commerce envia newsletter com promoções para clientes que compraram nos últimos 12 meses.

Justificativa: apoio e promoção de atividades do controlador (Art. 10, I). O cliente tem expectativa razoável. Opt-out deve estar disponível.

4. Due diligence em operações societárias

Cenário: empresa em processo de aquisição analisa dados de clientes e fornecedores da empresa-alvo para avaliar riscos.

Justificativa: interesse legítimo de terceiro (potencial comprador). Finalidade legítima (avaliação de riscos comerciais), situação concreta (operação em andamento).

5. CRM e analytics internos

Cenário: empresa analisa padrões de uso de seu produto para melhorar a experiência do cliente e identificar oportunidades de upsell.

Justificativa: apoio e promoção de atividades (Art. 10, I). Dados não sensíveis. Titular espera melhoria do serviço.

6. Cobrança extrajudicial

Cenário: empresa contata devedor por e-mail e telefone para cobrar dívida vencida.

Justificativa: exercício regular de direitos do controlador (Art. 10, II). Situação concreta (dívida existente). Tratamento proporcional.

7. Videomonitoramento em estabelecimento comercial

Cenário: loja instala câmeras de segurança para proteção patrimonial.

Justificativa: proteção patrimonial é interesse legítimo. Proporcionalidade: câmeras em áreas comuns (não banheiros, vestiários). Placas informativas. Prazo de retenção definido.

8. Background check de candidatos a emprego

Cenário: empresa verifica informações públicas de candidato em fase final de seleção (mídias sociais públicas, certidões negativas).

Justificativa: interesse legítimo do controlador em verificar adequação do candidato. Limitado a informações publicamente acessíveis e relevantes para a função.

9. Compartilhamento dentro do grupo econômico

Cenário: holding compartilha dados de clientes entre subsidiárias para gestão integrada.

Justificativa: interesse legítimo de terceiro (subsidiária). Salvaguardas: DPA entre empresas do grupo, mesmas políticas de privacidade, informação ao titular.

10. Pesquisa de satisfação

Cenário: empresa envia pesquisa NPS por e-mail após prestação de serviço.

Justificativa: apoio a atividades do controlador (melhoria do serviço). Titular tem expectativa razoável. Opt-out disponível. Dados mínimos.

---

5 exemplos de quando NÃO usar legítimo interesse

1. Dados sensíveis — VEDADO

Cenário: hospital alega legítimo interesse para compartilhar diagnósticos de pacientes com empresa de analytics de saúde.

Por que não: o Art. 11 não lista legítimo interesse como base legal para dados sensíveis. Ponto final. Use tutela da saúde (Art. 11, II, f), consentimento específico ou pesquisa.

2. Perfilamento invasivo

Cenário: empresa de telecomunicações monitora todos os sites visitados por assinantes para criar perfis detalhados de comportamento e vender a anunciantes.

Por que não: o titular não espera esse nível de vigilância. Os direitos e liberdades fundamentais prevalecem. A finalidade (venda de perfis) é desproporcional ao tratamento.

3. Dados de crianças sem salvaguardas reforçadas

Cenário: rede social coleta dados de navegação de adolescentes para alimentar algoritmo de recomendação sem medidas de proteção específicas.

Por que não: o Enunciado CD/ANPD nº 1/2023 permite legítimo interesse para crianças e adolescentes, mas exige que o melhor interesse da criança prevaleça, com salvaguardas reforçadas. A ANPD suspendeu a Meta e o X/Twitter justamente por falta dessas salvaguardas.

4. Vigilância de funcionários desproporcional

Cenário: empresa instala keylogger nos computadores de todos os funcionários, monitorando cada tecla digitada, site visitado e mensagem pessoal.

Por que não: desproporcional. Viola expectativas legítimas de privacidade. Meios menos intrusivos existem para garantir produtividade e segurança.

5. Venda de dados pessoais a terceiros

Cenário: aplicativo de delivery vende base de dados de clientes (nome, endereço, hábitos de consumo) para empresa de marketing direto.

Por que não: o titular não consentiria nem esperaria esse uso. A monetização dos dados do titular para benefício exclusivo do controlador, em detrimento do titular, é o tipo de tratamento que o Art. 10 pretende vedar.

---

Legítimo interesse do controlador vs. de terceiro

O Art. 7º, IX permite legítimo interesse "do controlador ou de terceiro". Isso amplia significativamente as possibilidades:

Legítimo interesse do controlador

É o caso mais comum: a própria organização que trata os dados tem um interesse legítimo em fazê-lo. Todos os exemplos da seção anterior (1 a 10) são desse tipo.

Legítimo interesse de terceiro

Um terceiro (não o controlador) tem interesse legítimo no tratamento:

• Grupo econômico: subsidiária tem interesse em receber dados de clientes da holding
• Credor: tem interesse em receber dados do devedor para cobrança
• Investidor: tem interesse em dados da empresa-alvo durante due diligence
• Autoridade pública: em situações que não se enquadrem nas bases dos Arts. 7º, II ou III

O controlador continua sendo o responsável pelo tratamento — mas a justificativa vem do interesse de um terceiro. O LIA deve avaliar se esse interesse de terceiro é legítimo, necessário e se não prevalece sobre os direitos do titular.

---

Diferença entre LGPD e GDPR no legítimo interesse

A LGPD é mais restritiva que o GDPR:

Aspecto	LGPD (Art. 10)	GDPR (Art. 6(1)(f))
Exige situações concretas	Sim (expressamente)	Não exige explicitamente
Dados sensíveis	Vedado	Permitido com salvaguardas
Necessidade	Estritamente necessários (§1º)	Necessários (princípio geral)
Transparência	Obrigação específica (§2º)	Obrigação geral (Arts. 13-14)
RIPD	Expressamente previsto (§3º)	Pode ser exigido pela autoridade
Setor público	Aplicável (conforme Guia ANPD)	Exceção para autoridades públicas
Opt-out	Direito de oposição (Art. 18, §2º)	Direito de objeção (Art. 21)

Implicação prática: organizações que operam no Brasil e na Europa não podem simplesmente replicar a análise de legítimo interesse do GDPR para a LGPD. A análise brasileira é mais rigorosa em vários pontos.

---

Modelo de LIA preenchido (template)

Identificação

Campo	Conteúdo
Organização	[Nome da Empresa Ltda.]
Atividade de tratamento	Envio de newsletter com ofertas personalizadas para clientes ativos
Responsável pelo LIA	[Nome], DPO
Data	[DD/MM/AAAA]
Versão	1.0

Fase 1 — Finalidade

Pergunta	Resposta
Qual o interesse?	Promover produtos e serviços para clientes que compraram nos últimos 12 meses, aumentando recompra e receita
É legítimo?	Sim — marketing direto para clientes existentes é atividade lícita (Art. 10, I)
É concreto?	Sim — baseado em relacionamento comercial existente e histórico de compras
Beneficiário	Controlador (empresa) e, indiretamente, titular (ofertas relevantes)

Fase 2 — Necessidade

Pergunta	Resposta
Quais dados são tratados?	Nome, e-mail, histórico de compras (últimos 12 meses), preferências de produto
São estritamente necessários?	Sim — nome para personalização, e-mail para envio, histórico para relevância
Dados excessivos identificados?	CPF, endereço, telefone NÃO são utilizados nesta atividade
Alternativa menos intrusiva?	Newsletter genérica (sem personalização) — mas seria menos útil para o titular

Fase 3 — Balanceamento e salvaguardas

Pergunta	Resposta
Legítimas expectativas	Sim — cliente que comprou recentemente espera comunicações da empresa
Impacto no titular	Baixo — e-mail periódico, sem dados sensíveis, sem perfilamento invasivo
Direitos fundamentais	Não prevalecem — impacto mínimo, finalidade proporcional
Salvaguardas implementadas
Opt-out	Link de descadastro em todas as comunicações
Frequência	Máximo 2 e-mails por semana
Transparência	Informado na política de privacidade e no e-mail de boas-vindas
Minimização	Apenas dados necessários para a finalidade
Segurança	Dados armazenados com criptografia, acesso restrito à equipe de marketing
Retenção	Dados de marketing retidos enquanto cliente ativo; eliminados 12 meses após último opt-out

Conclusão do LIA

O interesse legítimo do controlador prevalece sobre os direitos do titular neste caso específico, considerando: (i) baixo impacto no titular, (ii) legítimas expectativas atendidas, (iii) salvaguardas adequadas implementadas, (iv) opt-out fácil e acessível.

Resultado: ✅ Legítimo interesse é base legal adequada para esta atividade.

---

Como documentar a análise

O LIA deve ser:

1. Documentado por escrito — nunca apenas "decidido mentalmente"
2. Datado — anterior ao início do tratamento (ou documentado retroativamente com justificativa)
3. Assinado pelo DPO ou responsável pela proteção de dados
4. Arquivado — disponível para apresentação à ANPD se solicitado (Art. 10, §3º)
5. Revisado periodicamente — quando mudam as circunstâncias, finalidades ou impactos
6. Vinculado ao ROPA — o registro de atividades de tratamento deve indicar a base legal e referenciar o LIA

Consulte o guia sobre como documentar evidências de conformidade para a ANPD.

---

Legítimo interesse não é carta branca — limites claros

O caso Meta como precedente

Em julho de 2024, a ANPD emitiu medida preventiva suspendendo o uso de dados pessoais do Facebook e Instagram pela Meta para treinar IA generativa no Brasil, com multa de R$ 50 mil por dia. A Meta alegava legítimo interesse como base legal. A ANPD rejeitou, fundamentando:

• Uso inadequado de legítimo interesse, especialmente por envolver dados potencialmente sensíveis (fotos, interações que revelam preferências)
• Falta de transparência adequada
• Dados de crianças e adolescentes sem salvaguardas específicas
• Titular não teria expectativa razoável de que suas fotos e posts seriam usados para treinar IA

Em agosto de 2024, a ANPD revogou a medida cautelar após a Meta assinar um Plano de Conformidade, comprometendo-se a não coletar dados de menores de 18 anos e implementar opt-out transparente.

Lições do caso

1. Legítimo interesse exige análise caso a caso — não é base legal genérica
2. A ANPD avalia ativamente se o legítimo interesse foi aplicado corretamente
3. Transparência deficiente invalida a base legal
4. Dados de crianças exigem salvaguardas reforçadas — mesmo com legítimo interesse
5. Multas são significativas: R$ 50 mil/dia por descumprimento

---

Checklist para uso de legítimo interesse

• Verificar que os dados NÃO são sensíveis (Art. 11 não permite legítimo interesse)
• Identificar interesse concreto e legítimo (não genérico)
• Realizar LIA em 3 fases (finalidade, necessidade, balanceamento)
• Documentar o LIA por escrito, datado e assinado
• Tratar apenas dados estritamente necessários (Art. 10, §1º)
• Implementar transparência reforçada (Art. 10, §2º) — informar o titular
• Disponibilizar opt-out fácil e acessível
• Implementar salvaguardas proporcionais ao risco
• Vincular o LIA ao ROPA
• Ter RIPD pronto para apresentar à ANPD se solicitado (Art. 10, §3º)
• Considerar legítimas expectativas do titular
• Revisar periodicamente quando circunstâncias mudarem
• Se envolver crianças/adolescentes: salvaguardas reforçadas + melhor interesse

---

Conclusão

Legítimo interesse é uma base legal poderosa quando usada corretamente — e um risco quando usada como atalho para evitar consentimento. O Guia Orientativo da ANPD de fevereiro de 2024 deixou claro: não basta alegar legítimo interesse. É preciso demonstrar finalidade legítima, situação concreta, necessidade estrita, balanceamento com direitos do titular e salvaguardas adequadas.

O LIA não é burocracia — é a documentação que protege sua organização quando a ANPD questionar sua escolha de base legal. E como o caso Meta demonstrou, a ANPD não hesita em agir quando o legítimo interesse é usado indevidamente.

---

A Confidata oferece funcionalidades para gestão de bases legais e documentação de conformidade: registro de base legal por atividade de tratamento, modelos de LIA integrados ao ROPA, RIPD com campos específicos para legítimo interesse e gestão de evidências para auditoria — tudo em uma plataforma que centraliza a governança de proteção de dados.