O que é legítimo interesse?
Diferentemente do consentimento, o legítimo interesse não exige que a pessoa concorde ativamente com o tratamento. No entanto, a organização deve conseguir justificar por que o tratamento é lícito, necessário e proporcional.
Uma avaliação de legítimo interesse (LIA) é comumente usada para documentar essa análise.
Importante: O legítimo interesse não é uma isenção geral dos requisitos de consentimento. Em particular, usar o legítimo interesse não autoriza automaticamente cookies não essenciais, rastreadores de publicidade ou outras tecnologias quando as regras de ePrivacy aplicáveis exigem consentimento.
Legítimo interesse em termos simples
Legítimo interesse significa que a organização tem um motivo genuíno e lícito para usar dados pessoais, que o tratamento é necessário para alcançar essa finalidade e que os interesses de privacidade da pessoa não prevalecem sobre o interesse da organização.
Por exemplo, uma organização pode ter legítimo interesse em:
- Prevenir fraudes
- Proteger a segurança da rede e da informação
- Detectar abusos
- Manter um relacionamento existente com o cliente
- Determinadas formas de marketing direto
- Recuperar créditos
- Proteger pretensões jurídicas
- Melhorar as operações internas do negócio
- Prevenir o uso indevido de serviços
A aplicabilidade do legítimo interesse depende das circunstâncias específicas.
O fato de uma atividade ser comercialmente útil não a torna automaticamente um legítimo interesse.
O legítimo interesse é uma base legal no GDPR?
Sim.
O Artigo 6(1)(f) do GDPR reconhece os legítimos interesses como uma das bases legais para o tratamento de dados pessoais.
Ele se aplica quando:
- A organização ou um terceiro tem um legítimo interesse.
- O tratamento dos dados pessoais é necessário para esse interesse.
- Os interesses, direitos ou liberdades da pessoa não prevalecem sobre o legítimo interesse.
Essas condições são cumulativas. As três precisam ser satisfeitas.
O teste de legítimo interesse em três partes
O núcleo do legítimo interesse é uma avaliação em três partes.
Teste da finalidade
Primeiro, identifique o legítimo interesse.
Pergunte:
- O que estamos tentando alcançar?
- Quem se beneficia do tratamento?
- O interesse é lícito?
- O interesse está claramente definido?
- Existe um interesse genuíno e atual?
Os possíveis interesses podem incluir interesses comerciais, individuais, operacionais, de segurança ou sociais mais amplos.
O interesse deve ser articulado com clareza, em vez de descrito em termos vagos como “finalidades comerciais”.
Teste da necessidade
Em seguida, determine se o tratamento de dados pessoais é de fato necessário para alcançar esse interesse.
Pergunte:
- O tratamento proposto ajuda a alcançar o objetivo identificado?
- O tratamento é razoavelmente necessário?
- O mesmo objetivo poderia ser alcançado de outra forma?
- Existe um método menos intrusivo?
Se houver razoavelmente disponível um método igualmente eficaz e menos intrusivo à privacidade, o legítimo interesse pode não ser uma base adequada.
O teste da necessidade, portanto, não significa simplesmente que o tratamento é conveniente.
Teste de balanceamento
Por fim, pondere o legítimo interesse da organização em face dos interesses, direitos e liberdades da pessoa.
Considere:
- Quais dados pessoais estão sendo tratados?
- Quão sensíveis eles são?
- Qual é o impacto provável sobre as pessoas?
- As pessoas esperariam razoavelmente esse tratamento?
- Quão forte é o interesse da organização?
- O tratamento é intrusivo?
- Há crianças ou pessoas vulneráveis envolvidas?
- Quais salvaguardas podem reduzir o impacto?
Se os interesses, direitos ou liberdades da pessoa prevalecerem sobre o legítimo interesse da organização, o Artigo 6(1)(f) não pode ser invocado para esse tratamento.
O que é uma avaliação de legítimo interesse (LIA)?
Uma avaliação de legítimo interesse (LIA) é uma avaliação documentada usada para determinar se o legítimo interesse é uma base legal adequada para uma determinada atividade de tratamento.
Uma boa LIA normalmente deve documentar:
- A finalidade do tratamento
- O legítimo interesse perseguido
- As partes que se beneficiam
- Os dados pessoais envolvidos
- Por que o tratamento é necessário
- Os métodos alternativos considerados
- O impacto potencial sobre as pessoas
- As expectativas razoáveis das pessoas
- As salvaguardas pertinentes
- A conclusão do balanceamento
- Quaisquer condições ou limitações ao tratamento
A avaliação deve ser realizada antes de a organização se basear no legítimo interesse para o tratamento.
O ICO descreve a LIA como uma avaliação de risco simplificada, baseada nas circunstâncias específicas do tratamento proposto, e recomenda documentar o resultado.
O legítimo interesse pode substituir o consentimento?
Não, não em geral.
O legítimo interesse pode, às vezes, ser uma base legal alternativa no GDPR para uma determinada atividade de tratamento, mas ele não afasta outros requisitos legais.
Essa distinção é especialmente importante para sites.
Por exemplo, uma organização pode ter legítimo interesse em manter a segurança do site. Isso não significa automaticamente que ela possa instalar todos os cookies de analytics ou de publicidade sem consentimento.
As regras sobre cookies e comunicações eletrônicas podem impor requisitos adicionais além da análise da base legal do GDPR.
Portanto:
base legal do GDPR ≠ permissão automática para instalar cookies ou tecnologias de rastreamento.
Essa é uma das distinções mais importantes a serem compreendidas pelas equipes de privacidade.
Legítimo interesse e cookies
O legítimo interesse não deve ser usado como justificativa geral para cookies não essenciais.
Por exemplo, um site não pode simplesmente rotular um rastreador de publicidade como “legítimo interesse” e presumir que o rastreador possa carregar antes do consentimento quando as regras aplicáveis de cookies/ePrivacy exigem consentimento prévio.
Uma análise adequada deve considerar separadamente:
- Se o tratamento de dados pessoais tem uma base legal válida no GDPR.
- Se a tecnologia usada para coletar ou acessar informações está sujeita a requisitos adicionais de cookies/ePrivacy.
- Se o consentimento é exigido antes de a tecnologia operar.
- Se o tratamento é compatível com as expectativas e os direitos da pessoa.
Essa distinção evita que as organizações confundam a base legal do GDPR com os requisitos de armazenamento e acesso a informações por cookies.
Legítimo interesse e analytics
O analytics pode envolver diversas atividades de tratamento distintas.
Uma organização não deve classificar automaticamente todo o analytics como legítimo interesse.
Considere:
- Quais informações são coletadas?
- Os dados são agregados ou identificáveis?
- São usados identificadores persistentes?
- As informações são compartilhadas com terceiros?
- Há rastreamento entre sites?
- É realizado perfilamento?
- Quais expectativas o usuário tem?
- Há cookies ou tecnologias semelhantes envolvidos?
- Existe outro método de analytics menos intrusivo disponível?
Uma atividade interna de analytics de baixo impacto pode ter uma análise jurídica diferente da do rastreamento comportamental em sites e serviços.
A base legal deve, portanto, ser avaliada com base na implementação efetiva.
Legítimo interesse e prevenção de fraudes
A prevenção de fraudes é um legítimo interesse comumente considerado.
Uma organização pode ter forte interesse em detectar:
- Tomada de contas
- Fraude em pagamentos
- Contas falsas
- Abuso de credenciais
- Ataques automatizados
- Transações suspeitas
- Uso indevido do serviço
No entanto, a prevenção de fraudes não é automaticamente lícita apenas porque a organização a descreve como relacionada à segurança.
A organização ainda deve avaliar a necessidade, a proporcionalidade, o impacto, as expectativas razoáveis e as salvaguardas aplicáveis.
Legítimo interesse e marketing direto
O marketing direto pode, às vezes, basear-se no legítimo interesse no GDPR/UK GDPR, mas isso exige uma análise específica do contexto e pode estar sujeito a regras adicionais de marketing eletrônico.
O ICO observa que o legítimo interesse pode se aplicar ao marketing direto quando as regras aplicáveis de comunicações eletrônicas não exigem consentimento, desde que o tratamento seja proporcional, tenha impacto mínimo sobre a privacidade e não seja inesperado nem suscetível de provocar oposição injustificada.
Por essa razão, uma empresa não deve tratar:
“Temos legítimo interesse em fazer marketing”
como justificativa suficiente por si só.
Ela deve considerar separadamente:
- A natureza do relacionamento
- A condição de cliente existente
- O que as pessoas esperam razoavelmente
- O tipo de marketing
- O canal de comunicação
- As regras aplicáveis de ePrivacy/marketing direto
- O direito de oposição da pessoa
Legítimo interesse e perfilamento
O perfilamento pode, às vezes, basear-se no legítimo interesse, mas a análise se torna mais importante à medida que aumenta o impacto sobre as pessoas.
Considere:
- Quais informações são usadas?
- Quais características são inferidas?
- O perfilamento é usado para publicidade?
- Ele afeta o acesso a produtos ou serviços?
- Há efeito significativo sobre as pessoas?
- As pessoas esperariam razoavelmente o perfilamento?
- Elas podem se opor?
- Quais salvaguardas estão disponíveis?
Uma avaliação de legítimo interesse deve refletir as consequências reais do perfilamento, em vez de tratar o perfilamento como um tratamento comum.
Legítimo interesse e direitos dos titulares dos dados
As pessoas conservam direitos importantes mesmo quando o tratamento se baseia no legítimo interesse.
No GDPR, a pessoa pode se opor ao tratamento baseado no Artigo 6(1)(e) ou 6(1)(f) por motivos relacionados à sua situação particular.
Se a oposição for ao marketing direto, o direito de oposição é mais forte: os dados pessoais não podem mais ser tratados para finalidades de marketing direto.
Isso significa que as organizações que se baseiam no legítimo interesse devem ter processos para:
- Receber oposições
- Avaliar oposições
- Registrar oposições
- Atualizar as preferências de tratamento
- Interromper o tratamento quando exigido
- Documentar qualquer motivo lícito para prosseguir com o tratamento quando permitido
Legítimo interesse e crianças
As crianças exigem cuidado especial.
Nos termos do Artigo 6(1)(f) do GDPR, os direitos e as liberdades do titular dos dados, em particular quando a pessoa é uma criança, são expressamente relevantes para a análise de legítimo interesse.
O tratamento que envolve crianças pode, portanto, exigir salvaguardas mais fortes e uma avaliação de balanceamento mais cautelosa.
A organização não deve presumir que um legítimo interesse aceitável para adultos permaneça automaticamente adequado para crianças.
Legítimo interesse e dados sensíveis
O legítimo interesse nos termos do Artigo 6(1)(f) não é, por si só, suficiente para tratar dados de categorias especiais no GDPR.
Quando há dados de categorias especiais envolvidos, a organização geralmente precisa de:
- Uma base legal nos termos do Artigo 6; e
- Uma condição aplicável nos termos do Artigo 9.
A análise pode, portanto, exigir salvaguardas jurídicas adicionais.
Da mesma forma, os dados relativos a infrações penais têm requisitos adicionais.
Legítimo interesse versus contrato
O legítimo interesse e a necessidade contratual são bases legais distintas.
Necessidade contratual
O tratamento é necessário para executar um contrato com a pessoa ou para adotar providências a pedido dela antes da celebração de um contrato.
Legítimo interesse
O tratamento é necessário para um legítimo interesse, sujeito ao teste de balanceamento em três partes.
A organização não deve usar o contrato como base apenas porque o tratamento é útil para o seu negócio.
Da mesma forma, o legítimo interesse não deve ser usado quando a necessidade contratual for a base mais adequada.
A base legal deve refletir a finalidade e a necessidade reais do tratamento.
Legítimo interesse versus obrigação legal
A obrigação legal se aplica quando o tratamento é necessário para cumprir uma exigência legal imposta à organização.
O legítimo interesse é diferente.
Por exemplo:
Obrigação legal:
tratamento exigido pela legislação aplicável.
Legítimo interesse:
tratamento necessário para um interesse legítimo comercial, de segurança, operacional ou de terceiro que sobreviva ao teste de balanceamento.
Escolher a base legal correta importa porque os direitos e os requisitos de conformidade associados podem ser diferentes.
Legítimo interesse e avisos de privacidade
Ao se basearem no legítimo interesse, as organizações devem explicar os legítimos interesses pertinentes em suas informações de privacidade.
O aviso de privacidade não deve apenas declarar:
“Tratamos suas informações com base em legítimo interesse.”
Ele deve fornecer informações significativas sobre o legítimo interesse perseguido.
Isso ajuda as pessoas a entender:
- Por que seus dados estão sendo tratados
- O que a organização está tentando alcançar
- Como o tratamento as afeta
- Quais direitos elas têm
- Como podem se opor
A orientação do EDPB estabelece que os controladores que se baseiam no Artigo 6(1)(f) devem informar os titulares dos dados sobre os legítimos interesses perseguidos.
Legítimo interesse na DPDPA
A Digital Personal Data Protection Act, 2023 (DPDP Act) da Índia adota uma estrutura diferente da do GDPR.
A lei prevê que os dados pessoais podem ser tratados para uma finalidade lícita com base em:
- Consentimento; ou
- Determinados usos legítimos.
A Seção 7 define esses “determinados usos legítimos” e lista as circunstâncias específicas em que um Data Fiduciary pode tratar dados pessoais.
Essa é uma distinção importante.
O conceito de legítimo interesse do GDPR, nos termos do Artigo 6(1)(f), não deve ser simplesmente copiado para um marco de conformidade com a DPDPA indiana.
Em vez disso:
GDPR:
o legítimo interesse é uma base legal específica nos termos do Artigo 6(1)(f).
DPDPA:
os “determinados usos legítimos” são fundamentos legais específicos previstos na Seção 7.
O ConsentX deve preservar essa distinção em todo o seu conteúdo voltado à Índia.
Exemplos de determinados usos legítimos na DPDPA
A Seção 7 abrange circunstâncias específicas, como o tratamento de dados pessoais para uma finalidade determinada para a qual o Data Principal forneceu voluntariamente os dados e não manifestou recusa de consentimento.
A lei também prevê outras categorias de uso legítimo envolvendo áreas como:
- Benefícios e serviços do Estado
- Funções do Estado
- Obrigações legais e divulgações
- Emergências médicas
- Determinadas finalidades relacionadas ao emprego
- Dados pessoais disponíveis publicamente em circunstâncias determinadas
As condições precisas dependem da disposição aplicável e das circunstâncias.
Portanto, o ConsentX deve evitar descrever a DPDPA como se ela simplesmente tivesse uma base legal de “legítimo interesse” nos moldes do GDPR.
Essa distinção é especialmente importante para organizações que atuam tanto na Europa quanto na Índia.
Legítimo interesse e plataformas de gestão de consentimento
Uma plataforma de gestão de consentimento (CMP) gerencia principalmente sinais de consentimento e de preferências.
Ela não determina automaticamente se a organização pode se basear no legítimo interesse.
Uma CMP pode ajudar com:
- Registrar o consentimento
- Registrar as recusas
- Gerenciar alterações de preferências
- Aplicar as escolhas de consentimento
- Apresentar as escolhas de privacidade
- Apoiar as evidências de auditoria
Mas a organização deve documentar separadamente sua análise de base legal.
No caso do legítimo interesse, isso pode incluir manter uma LIA ao lado dos registros pertinentes de privacidade e de tratamento.
O legítimo interesse deve ser registrado?
Sim.
Uma LIA documentada ajuda a demonstrar por que o legítimo interesse foi escolhido e como a organização avaliou o tratamento.
O registro não deve ser um modelo genérico copiado entre atividades de tratamento sem relação entre si.
Uma LIA útil deve ser específica quanto a:
- A finalidade do tratamento
- Os dados envolvidos
- As pessoas afetadas
- A tecnologia utilizada
- O impacto esperado
- As salvaguardas aplicadas
- A conclusão
O ICO recomenda documentar o resultado da avaliação em três partes e fazê-lo antes do início do tratamento.
Checklist de avaliação de legítimo interesse
Antes de se basear no legítimo interesse, pergunte:
Finalidade
- Qual legítimo interesse estamos perseguindo?
- Ele é lícito e está claramente definido?
- Quem se beneficia?
Necessidade
- O tratamento de dados pessoais é de fato necessário?
- Ele contribui de forma relevante para a finalidade?
- Existe uma alternativa menos intrusiva?
Balanceamento
- Qual impacto o tratamento terá?
- O que as pessoas esperariam razoavelmente?
- Os dados são sensíveis ou privados?
- O tratamento poderia causar dano?
- Há crianças envolvidas?
- Os direitos individuais prevalecem sobre o interesse da organização?
Salvaguardas
- Podemos minimizar os dados?
- Podemos reduzir a retenção?
- Podemos pseudonimizar as informações?
- Podemos restringir o acesso?
- Podemos reduzir o alcance do perfilamento?
- Podemos oferecer às pessoas controles significativos?
Prestação de contas
- A LIA foi documentada?
- O aviso de privacidade foi atualizado?
- O legítimo interesse está claramente descrito?
- Existe um processo para tratar as oposições?
- A organização consegue demonstrar por que a base legal foi escolhida?
Erros comuns em legítimo interesse
Tratar o legítimo interesse como “não exige consentimento”
O legítimo interesse pode ser uma base legal no GDPR, mas outras leis ainda podem exigir consentimento para determinadas tecnologias ou comunicações.
Pular a LIA
Simplesmente escrever “legítimo interesse” em uma política de privacidade não é o mesmo que realizar o teste em três partes.
Usar uma LIA genérica
Uma avaliação de legítimo interesse deve refletir o tratamento e o contexto reais.
Ignorar as expectativas razoáveis
Saber se as pessoas esperariam razoavelmente o tratamento é uma parte importante do exercício de balanceamento.
Ignorar alternativas menos intrusivas
Se o mesmo objetivo puder ser razoavelmente alcançado com menos tratamento de dados pessoais, a necessidade pode não se sustentar.
Tratar o benefício comercial como suficiente
Um benefício para o negócio não prevalece automaticamente sobre os direitos e as liberdades da pessoa.
Usar o legítimo interesse para contornar o consentimento de cookies
Uma base legal do GDPR não afasta automaticamente os requisitos aplicáveis de cookies ou de ePrivacy.
Tratar o legítimo interesse do GDPR e os usos legítimos da DPDPA como idênticos
Os dois marcos usam estruturas jurídicas diferentes e devem ser analisados separadamente.
Legítimo interesse e o ConsentX
O ConsentX ajuda as organizações a gerenciar consentimento, preferências de privacidade, registros de consentimento e evidências de auditoria em diferentes marcos de privacidade.
Para fluxos de trabalho de legítimo interesse, o ConsentX pode complementar a gestão de consentimento ajudando as organizações a distinguir entre:
- Tratamento que exige consentimento
- Tratamento baseado em outra base legal
- Preferências de consentimento
- Oposições e alterações de preferências
- Evidências de consentimento
- Documentação de conformidade em privacidade
Essa distinção é particularmente importante para sites que usam analytics, publicidade, personalização e outras tecnologias de terceiros.
O ConsentX não deve ser apresentado como algo que decide automaticamente que uma atividade de tratamento se enquadra no legítimo interesse. A organização continua responsável por determinar e documentar sua base legal.
Legítimo interesse: principais conclusões
- O legítimo interesse é uma base legal do GDPR e do UK GDPR nos termos do Artigo 6(1)(f).
- Ele exige uma avaliação em três partes: finalidade, necessidade e balanceamento.
- Uma avaliação de legítimo interesse (LIA) normalmente deve ser documentada antes do início do tratamento.
- O legítimo interesse não exige consentimento afirmativo, mas exige prestação de contas e proteção dos direitos individuais.
- As pessoas têm o direito de se opor ao tratamento baseado em legítimo interesse nas circunstâncias aplicáveis.
- O marketing direto exige a consideração adicional das regras aplicáveis de marketing eletrônico.
- O legítimo interesse não autoriza automaticamente cookies não essenciais ou tecnologias de rastreamento.
- Os dados de categorias especiais e os dados relativos a infrações penais têm requisitos adicionais.
- Na DPDPA da Índia, os determinados usos legítimos previstos na Seção 7 são distintos do Artigo 6(1)(f) do GDPR.
- Uma CMP gerencia consentimento e preferências; ela não estabelece por si só que o legítimo interesse se aplica.
- Programas de privacidade robustos documentam a base legal de cada atividade de tratamento, em vez de tratar uma única base legal como adequada para tudo.
Saiba qual tratamento exige consentimento e comprove isso
O ConsentX ajuda as organizações a gerenciar consentimento, preferências de privacidade, registros de consentimento e evidências de auditoria em diferentes marcos de privacidade, para que as equipes possam distinguir o tratamento que exige consentimento daquele baseado em outra base legal. A organização continua responsável por determinar e documentar sua base legal.