Dado entregue para uma coisa, usado para outra: o desvio de finalidade

O que você autorizou na coleta é o limite do que vem depois

O art. 6º da LGPD abre a lista de princípios exigindo boa-fé e, no inciso I, define finalidade como a realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades. Cada palavra dessa definição carrega peso. Específico exclui o propósito vago. Explícito exclui o propósito subentendido. Informado ao titular exclui o propósito que existia na cabeça da empresa mas nunca chegou até você.

O inciso II acrescenta a adequação, que cobra compatibilidade entre o tratamento e as finalidades informadas, consideradas no contexto. E o inciso VI, transparência, garante ao titular informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e sobre quem o realiza.

Juntos, esses três princípios explicam por que "o dado já estava conosco" nunca funciona como resposta. A posse do dado não gera autorização retroativa para novos usos.

Nem toda mudança de uso é desvio de finalidade

Vale saber cedo onde a reclamação não prospera, para não gastar energia com o caso errado.

Uso compatível não é desvio. Se a loja usa o endereço da entrega para calcular o frete de uma segunda compra sua, isso permanece no contexto da relação. A régua do inciso II é compatibilidade com o que foi informado, não identidade absoluta.

Base legal diversa também não é desvio. O art. 7º lista dez hipóteses que autorizam o tratamento, e o consentimento é apenas uma delas. Execução de contrato, cumprimento de obrigação legal e legítimo interesse sustentam tratamentos que jamais dependeram de autorização sua. Quando a empresa invoca legítimo interesse, porém, o § 1º do art. 10 restringe o alcance: só podem ser tratados os dados estritamente necessários para a finalidade pretendida.

Dado verdadeiramente anonimizado sai do jogo, porque deixa de ser dado pessoal. "Verdadeiramente" é a palavra decisiva: se a reidentificação continua tecnicamente possível com esforço razoável, a proteção segue de pé.

Autorização genérica é nula, e isso desmonta a defesa mais comum

A resposta padrão das empresas costuma ser um recorte da política de privacidade: "você concordou com o uso dos seus dados para melhoria de serviços e ofertas de parceiros". É justamente esse tipo de cláusula que o § 4º do art. 8º derruba, ao exigir que o consentimento se refira a finalidades determinadas e ao declarar nulas as autorizações genéricas para tratamento de dados pessoais.

Há ainda um dever de aviso prévio que quase ninguém cumpre. Pelo § 2º do art. 9º, havendo mudança de finalidade incompatível com o consentimento original, o controlador deve informar previamente o titular, que pode revogar o consentimento se discordar. Prévia, não posterior — e não vale enterrar a mudança numa atualização de termos que ninguém foi convidado a ler.

Quando a empresa não consegue apontar o momento em que informou a nova finalidade nem exibir o registro do consentimento correspondente, sobra a admissão implícita de que o tratamento novo nasceu sem base.

Os sinais que denunciam o desvio e o que guardar de cada um

Desvio de finalidade raramente é confessado. Ele aparece por vestígios, e cada vestígio serve para uma coisa diferente no pedido.

• Contato de empresa com a qual você nunca se relacionou, citando informação que só um fornecedor específico tinha: guarde a gravação ou o print com o número de origem, porque isso indica compartilhamento.
• Oferta calibrada pelo seu histórico (valor do empréstimo próximo ao da compra, seguro do produto exato que você adquiriu): registre a mensagem inteira, com data e remetente.
• E-mail de marketing sobre uma categoria pela qual você nunca demonstrou interesse: preserve o cabeçalho completo da mensagem, não só o corpo.
• Atualização de termos recebida depois de o uso já ter começado: salve as duas versões, a antiga e a nova, com as datas.

O conjunto importa mais do que cada peça isolada. Um contato inesperado pode ser coincidência; três contatos de setores diferentes, todos com informação que remonta à mesma origem, desenham um padrão que a empresa terá de explicar.

Três pedidos que a empresa não pode simplesmente ignorar

Formule tudo num único requerimento escrito ao encarregado de dados, com protocolo de envio, e numere os pedidos. Requerimento numerado é difícil de responder pela metade sem que a omissão fique evidente.

O primeiro é o mapa do que aconteceu: pelo inciso VII do art. 18, o controlador tem de revelar quem mais recebeu o seu dado — entidades públicas e privadas com as quais houve uso compartilhado. Sem essa relação, você não sabe quantas empresas precisam ser acionadas.

O segundo é a interrupção. O § 2º do art. 18 permite ao titular opor-se a tratamento realizado com fundamento em hipótese de dispensa de consentimento, em caso de descumprimento da lei — é o pedido cabível quando a empresa alega legítimo interesse para o uso desviado.

O terceiro é a limpeza. Três providências cabem no inciso IV do art. 18 — anonimizar, bloquear ou eliminar — e elas alcançam o dado desnecessário, o excessivo e aquele que vem sendo tratado fora do que a lei permite. Uso fora da finalidade informada se encaixa nessa terceira categoria sem esforço interpretativo.

O prazo de referência está no art. 19. A confirmação de existência e o acesso podem vir em formato simplificado, de imediato. Já a declaração clara e completa reúne outros elementos: critérios utilizados, finalidade do tratamento, origem dos dados e inexistência de registro, tudo em até quinze dias contados da data do requerimento. E há o § 6º do art. 18: adotada a correção, a eliminação, a anonimização ou o bloqueio, o responsável deve avisar de imediato todos os agentes de tratamento que receberam aquele dado em uso compartilhado, justamente para que apliquem a mesma providência — o que impede a empresa de tratar o assunto como problema só dela.

Quando o caso vira reparação, e não só correção de rota

Se a resposta não vier, vier incompleta ou apenas prometer ajustes futuros, o titular pode peticionar contra o controlador perante a Agência Nacional de Proteção de Dados, conforme o § 1º do art. 18, e registrar reclamação no Procon ou em consumidor.gov.br quando houver relação de consumo.

Na esfera judicial, o dever de indenizar nasce do art. 42, que alcança quem trata dados pessoais e, nessa atividade, provoca prejuízo material ou abalo moral em desacordo com as normas de proteção. O § 1º espalha essa responsabilidade: os controladores diretamente envolvidos respondem solidariamente, e o operador que descumpre as próprias obrigações equipara-se ao controlador. Isso tem consequência prática direta — quem recebeu o dado desviado pode ser demandado junto com quem o repassou. Some-se o § 2º, que faculta ao magistrado transferir a prova para o outro lado diante de alegação verossímil, de hipossuficiência probatória ou de custo excessivo para o titular; num caso de repasse entre empresas, essa prova está toda do outro lado.

Situação típica: uma pessoa preenche cadastro numa clínica para agendar consulta e, semanas depois, recebe ofertas de plano de saúde de uma corretora, com menção ao procedimento que buscava. Aqui não há apenas uso fora da finalidade; há dado de saúde circulando, o que agrava o quadro e torna a explicação da clínica muito mais difícil.

Mapear a cadeia de repasses, formular pedidos que a empresa não consiga responder pela metade e decidir contra quem processar quando há mais de um envolvido é análise que se faz sobre documentos. Um advogado particular consegue conduzi-la a partir dos prints e e-mails que você já guardou, com procuração assinada eletronicamente.