As dez bases legais para tratar dados pessoais

As hipóteses que a lei prevê

O art. 7º autoriza o tratamento mediante consentimento do titular, para cumprimento de obrigação legal ou regulatória, pela administração pública na execução de políticas públicas, para estudos por órgão de pesquisa, para execução de contrato do qual o titular seja parte, para exercício regular de direitos em processo, para proteção da vida ou incolumidade física, para tutela da saúde por profissional habilitado, quando houver legítimo interesse do controlador, e para proteção do crédito. Cada hipótese tem requisitos próprios, e mais de uma pode coexistir para operações diferentes dentro da mesma empresa.

Não é a empresa que escolhe a base que preferir

A base legal precisa corresponder à real natureza do tratamento. Um banco que consulta dados de inadimplência para avaliar concessão de crédito usa a hipótese de proteção do crédito, não precisa de consentimento para isso; já uma loja que envia promoção por WhatsApp a partir de número obtido em cadastro depende, em regra, de consentimento específico do cliente para aquela finalidade de marketing.

Trocar de base legal no meio do caminho é arriscado

Se o controlador coletou o dado com base no consentimento e depois tenta justificar o mesmo tratamento por legítimo interesse para continuar usando o dado após a revogação, a mudança de fundamento pode ser questionada pela ANPD ou pelo Judiciário como tentativa de contornar a vontade do titular — a base legal deve ser definida e informada antes do início do tratamento, não ajustada conforme a conveniência.

Para dado pessoal sensível, o rol de bases legais é mais estreito: o art. 11 restringe as hipóteses de tratamento sem consentimento específico, o que reforça a necessidade de identificar corretamente o tipo de dado antes de escolher o fundamento.