ANPD exige teste de finalidade para tratamento de dados por legítimo interesse

A Autoridade Nacional de Proteção de Dados (ANPD), abriu em 16 de agosto 2023, uma consulta pública, por 30 dias, sobre quando cabe a hipótese legal de legítimo interesse para justificar o tratamento de dados. E para subsidiar a discussão, a ANPD apresenta um estudo preliminar que discute essa possibilidade.

Segundo a ANPD, o tema “é objeto de acentuada controvérsia entre acadêmicos, profissionais da área e representantes da sociedade civil, o que, na prática, se configura como uma situação de incerteza jurídica para os agentes de tratamento, nomeadamente em razão da indefinição sobre quais situações autorizam o tratamento de dados pessoais baseado na hipótese legal do Legítimo Interesse do controlador ou de terceiro”.  

A ideia, portanto, é discutir na consulta – aberta deste 16/8 até 15/9, via Participa Brasil – os pontos relevantes para a aplicação do legítimo interesse de controladores e de terceiros, inclusive no âmbito do poder publico. 

Nesse sentido, o estudo da ANPD traz orientações sobre a interpretação e a aplicação prática dessa hipótese legal. O cerne da análise é a necessidade de um “teste de balanceamento” para identificar se cabe legítimo interesse. E o documento traz inclusive um modelo para esse teste, que leva em conta finalidade, necessidade, balanceamento e salvaguardas. 

“O tratamento de dados com respaldo no legítimo interesse deve ser precedido de um teste de balanceamento que considere, de um lado, os interesses do controlador (ou de terceiro) e, de outro, os direitos e liberdades fundamentais dos titulares”, diz a ANPD. 

O estudo também aponta que considerações relativas ao legítimo interesse podem ser extrapoladas para os casos de garantia da prevenção à fraude e à segurança do titular e de tratamento de dados de crianças e adolescentes. E lembra que não cabe legítimo interesse para tratamento de dados pessoais sensíveis.

A fim de melhor discutir a hipótese legal, o estudo da ANPD aponta vários exemplos práticos e como deve ser interpretada a legislação, como na coleta de dados pessoais de estudantes para acesso ao WiFi da escola; no uso de câmeras em shopping centers; na instalação de software para rastrear atividades e medir produtividade de empregados; ou no envio de mensagens para clientes de uma loja online, entre outros. 

Finalmente, o estudo indica que essa hipótese legal não deve ser usada pelo poder público. “No exercício das obrigações legais do Poder Público não há como se realizar apropriadamente uma ponderação entre as expectativas dos titulares, bem como seus direitos e liberdades fundamentais, e os supostos interesses ou obrigações do Estado, visto que existe uma assimetria de forças que pode, conforme o caso, estabelecer restrições aos direitos individuais.”

E conclui: “Neste sentido, é recomendável que, em geral, órgãos e entidades públicas evitem recorrer ao uso do legítimo interesse, preferindo outras bases legais, a exemplo das hipóteses da execução de políticas públicas e do cumprimento de obrigação legal, para fundamentar os tratamentos de dados pessoais que realizam.”