Hipóteses de Tratamento de Dados na LGPD: Como Escolher, Justificar e Registrar Corretamente
Desde sua entrada em vigor, a Lei Geral de Proteção de Dados (LGPD) exige das organizações não apenas transparência no uso de dados pessoais, mas também a demonstração clara e fundamentada da legalidade de cada operação de tratamento. Isso se dá por meio da escolha da base legal, também chamada de hipótese de tratamento.
Saber identificar corretamente a base legal aplicável a cada atividade não é apenas uma formalidade — é um dever legal, um instrumento de gestão de riscos e um pilar da governança de dados.
O que são as hipóteses de tratamento?
As hipóteses de tratamento são os fundamentos jurídicos que autorizam o uso de dados pessoais por empresas, órgãos públicos ou qualquer outro controlador. A LGPD, em seus artigos 7º (dados pessoais) e 11 (dados sensíveis), estabelece as bases legais que justificam essas operações.
Exemplos de hipóteses de tratamento previstas no art. 7º:
- Consentimento do titular;
- Cumprimento de obrigação legal ou regulatória;
- Execução de contrato;
- Exercício regular de direitos em processo judicial, administrativo ou arbitral;
- Proteção da vida ou da incolumidade física do titular ou de terceiro;
- Legítimo interesse do controlador ou de terceiro.
No caso de dados sensíveis (como informações sobre saúde, religião ou orientação sexual), as hipóteses são mais restritas e exigem cuidados reforçados (art. 11).
Escolher de forma equivocada a base legal pode comprometer toda a estrutura de proteção de dados da empresa.
Isso pode gerar:
- Sanções administrativas da ANPD;
- Ações judiciais por parte dos titulares;
- Perda de credibilidade com parceiros, clientes e órgãos reguladores;
- Riscos operacionais e reputacionais.
Além disso, cada base legal impõe obrigações diferentes. Por exemplo, ao usar o consentimento como base, é necessário oferecer mecanismos de revogação e manter prova da manifestação do titular. Já o legítimo interesse exige avaliação prévia de impacto (LIA).
Como aplicar na prática?
A definição da base legal deve ser feita atividade por atividade, no contexto do mapeamento de dados. A equipe responsável — geralmente composta por profissionais de privacidade, jurídico e tecnologia — deve:
- Compreender o propósito da atividade;
- Avaliar se a finalidade se enquadra em uma das bases legais da LGPD;
- Justificar a escolha com clareza, registrando evidências (contratos, normativos, consentimentos etc.);
- Documentar e manter atualizada essa informação, para fins de auditoria e transparência.
Exemplos de aplicação
| Atividade | Base Legal | Observações |
|---|---|---|
| Envio de folha de pagamento ao eSocial | Cumprimento de obrigação legal | Base legal obrigatória, dispensa consentimento. |
| Cadastro de cliente para emissão de nota fiscal | Cumprimento de obrigação legal | Também dispensa consentimento. |
| Ações de marketing direcionado | Legítimo interesse ou consentimento | Exige LIA ou coleta prévia de consentimento. |
| Atendimento de plano de saúde | Execução de contrato / Proteção da saúde | Requer cuidado por envolver dados sensíveis. |
| Monitoramento por câmeras em área restrita | Legítimo interesse | Deve ser justificado, proporcional e informado. |
A responsabilização e prestação de contas (accountability) exigem não apenas que a base legal seja definida, mas que isso esteja documentado, rastreável e validado.
Isso inclui:
- Inserir a base legal nos relatórios de atividades de tratamento;
- Associar contratos, políticas, consentimentos e avaliações de risco;
- Atualizar os registros em caso de mudança na atividade, sistema ou contexto legal.
Essa prática é crucial para gerar evidências de conformidade, especialmente em fiscalizações da ANPD ou auditorias internas.
Como lançar bases legais no PROTEGON
Para apoiar esse processo, o PROTEGON oferece uma interface intuitiva e segura para registro das bases legais associadas a cada atividade mapeada. O sistema permite:
- Selecionar a atividade ou processo;
- Escolher a base legal mais apropriada;
- Justificar a escolha com comentários e anexos;
- Criar um repositório de evidências para auditorias;
- Visualizar relatórios consolidados por setor, base legal ou risco.
Ao utilizar o PROTEGON, sua organização terá controle, organização e conformidade em tempo real, além de facilitar a comunicação com o Encarregado de Dados (DPO), jurídico e setores operacionais.
As hipóteses de tratamento da LGPD são muito mais do que um requisito normativo: são o alicerce sobre o qual se constrói a legalidade, a segurança e a confiança no tratamento de dados. Definir mal é um risco; justificar corretamente é uma proteção.
Se você quer tornar sua gestão de dados mais eficiente, segura e preparada para responder a qualquer fiscalização, conheça o PROTEGON. Veja como registrar, controlar e revisar suas bases legais de forma prática, inteligente e assertiva.
