Bases legais da LGPD: as 10 hipóteses e uma base para cada finalidade

Toda empresa trata dados pessoais o dia inteiro: o formulário de orçamento, a nota fiscal, a mensagem de pós-venda no WhatsApp, o currículo que chega por e-mail, a câmera da recepção. Para cada uma dessas rotinas, a LGPD faz a mesma pergunta: com base em quê? A resposta é a base legal — e a maioria das empresas nunca a escreveu em lugar nenhum.

Os guias sobre o tema costumam listar as dez bases com exemplos genéricos e parar aí. Este artigo faz o caminho inverso: parte das rotinas comuns de uma empresa, mostra qual base costuma sustentar cada uma, explica as duas que desaparecem quando o dado é sensível e mostra, com uma decisão real da Agência Nacional de Proteção de Dados, quanto custa tratar dados "sem hipótese legal adequada".

O que são as bases legais da LGPD?

Base legal, ou hipótese legal, é a autorização que a lei dá para tratar um dado pessoal numa finalidade específica. A LGPD não proíbe o uso de dados; ela diz que o tratamento "somente poderá ser realizado" nas hipóteses que lista. Fora delas, não importa o quanto a finalidade seja boa: o tratamento é irregular.

Duas ideias organizam tudo. A primeira: a base se escolhe por finalidade. Não existe "a base legal do cliente"; existe a base para emitir a nota, outra para entregar o pedido, outra para mandar a oferta. A segunda: a base precisa ser definida antes do tratamento e registrada. O art. 37 exige que controlador e operador mantenham registro das operações, "especialmente quando baseado no legítimo interesse" — tema detalhado no artigo sobre o inventário de dados que a LGPD exige.

Quais são as 10 bases legais da LGPD?

Elas estão no art. 7º da Lei 13.709/2018, no texto compilado do Planalto, e a tabela abaixo traduz cada uma para a linguagem da operação.

Lei 13.709/2018, art. 7º; exemplos elaborados pela Alliance Comunicação.

Três delas raramente interessam a uma empresa privada comum: políticas públicas (só a administração pública usa), estudos por órgão de pesquisa (exige ser órgão de pesquisa) e proteção da vida (emergências). O dia a dia de quem vende gira em torno de cinco: contrato, obrigação legal, legítimo interesse, consentimento e proteção do crédito — com o exercício regular de direitos por trás, sustentando a guarda de provas.

Existe hierarquia entre as bases legais da LGPD?

Não. O art. 7º lista as hipóteses lado a lado, sem ordem de preferência, e o consentimento não vale "mais" do que as outras. Ele é apenas o primeiro da lista. O critério é a adequação: qual base descreve, com honestidade, o motivo real do tratamento.

Na prática, pedir consentimento para algo que já se apoia em outra base costuma ser um erro. Se o titular revoga — e o art. 8º, § 5º, garante que ele pode revogar a qualquer momento, por procedimento gratuito e facilitado —, a empresa fica numa situação estranha: precisa continuar emitindo a nota fiscal, mas o titular acredita ter retirado a autorização. O artigo sobre quando não pedir termo de consentimento mostra esse problema em detalhe.

Qual a base legal para dados pessoais sensíveis?

Dados sensíveis — origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual, dado genético ou biométrico — seguem outra lista, a do art. 11. Ela é mais curta e mais exigente: o consentimento precisa ser específico e destacado, e as demais hipóteses só valem quando o tratamento for indispensável.

Há uma diferença menos notada: no art. 11, a execução de contrato não aparece como hipótese própria. O que existe é o "exercício regular de direitos, inclusive em contrato". Para quem trata dado de saúde num plano, num exame admissional ou numa farmácia, isso muda o desenho do fluxo. E o § 1º do mesmo artigo estende essas regras a qualquer tratamento que revele dado sensível — por exemplo, um histórico de compras que permite inferir uma condição de saúde, caso discutido no post sobre o histórico de compras que vira dado de saúde.

O que acontece quando o tratamento não tem base legal adequada?

A falta de base legal não é uma irregularidade formal: ela está no centro de decisões da autoridade. O caso mais recente e de maior valor envolveu dados de crianças e adolescentes.

O caso vale para qualquer empresa por dois motivos. Primeiro, mostra que "sem hipótese legal adequada" é um fundamento de multa, não uma recomendação de boas práticas. Segundo, envolve um público com regra própria: o art. 14 da LGPD exige que o tratamento de dados de crianças seja feito em seu melhor interesse e, como regra, com consentimento específico e em destaque de um dos pais ou do responsável legal. Para entender como a ANPD calcula as multas e qual foi a primeira aplicada, veja as sanções da LGPD e a lista que gerou a primeira multa.

Como escolher a base legal para cada finalidade?

O roteiro abaixo é simplificado e não substitui a análise de cada caso, mas resolve a maior parte das rotinas de uma empresa. Ele começa sempre pela finalidade, nunca pelo dado.

1. Escreva a finalidade em uma frase

"Emitir nota fiscal da venda", "enviar a oferta mensal para clientes", "avaliar o currículo para a vaga de vendedor". Se a frase tiver "e" no meio, provavelmente são duas finalidades, e cada uma precisa da sua base.

2. Pergunte se o dado é sensível

Se for, saia do art. 7º e vá para o art. 11. Isso vale também para dados comuns que revelam dados sensíveis.

3. Procure uma lei ou um contrato

Há uma norma que obriga a guardar ou informar? É obrigação legal. O titular pediu o serviço, o orçamento ou a entrega? É execução de contrato ou procedimento preliminar. Essas duas bases cobrem boa parte da operação e não dependem de um "sim" do titular.

4. Avalie o legítimo interesse com teste escrito

Se a finalidade interessa à empresa, o titular razoavelmente a espera e os dados são os estritamente necessários (art. 10, § 1º), o legítimo interesse pode servir — desde que o teste de balanceamento esteja documentado. O passo a passo da ANPD está no artigo sobre o teste de legítimo interesse antes do e-mail promocional.

5. Só então, consentimento

Quando nenhuma outra base descreve o motivo, ou quando a empresa quer dar ao titular o controle real de dizer sim e não, o consentimento é o caminho. Ele precisa ser livre, informado, inequívoco e para finalidade determinada — autorizações genéricas são nulas (art. 8º, § 4º).

Qual base legal usar em cada rotina da empresa?

A tabela abaixo liga rotinas comuns à base que costuma sustentá-las. Ela é um ponto de partida para o inventário, não um parecer: o contexto de cada empresa pode mudar a resposta.

Mapeamento elaborado pela Alliance Comunicação a partir dos arts. 7º, 10 e 11 da Lei 13.709/2018; não substitui a análise jurídica de cada caso.

O remarketing merece nota à parte, porque depende de cookies e pixels de terceiros. O que a autoridade orienta sobre o banner está em o que a ANPD desaconselha no banner de cookies.

Quando usar a execução de contrato na LGPD?

Quando o dado é necessário para cumprir um contrato de que o titular faz parte, ou para os passos anteriores que ele pediu: orçamento, proposta, agendamento, cadastro para compra, entrega, suporte do produto comprado. A palavra que delimita a base é "necessário". O endereço é necessário para entregar; a data de aniversário, em regra, não é.

O erro clássico é esticar a base. O contato que pediu um orçamento autorizou a empresa a responder o orçamento, não a incluí-lo numa régua de e-mails por dois anos. Essa segunda finalidade precisa de outra base — legítimo interesse com teste ou consentimento.

Quando o consentimento é a base legal correta?

Quando o tratamento é opcional para o titular e a empresa quer que ele decida: newsletter para quem não é cliente, uso de imagem em campanha, cookies não essenciais, compartilhamento com parceiros para ofertas deles. Nesses casos, o consentimento dá ao titular um controle real — e a empresa precisa honrar a revogação.

O consentimento precisa ser demonstrável: o art. 8º põe no controlador o ônus da prova, e, se vier por escrito, deve estar em cláusula destacada. Caixa pré-marcada, aceite embutido nos termos de uso e "ao continuar você concorda" dificilmente passam nesse teste.

O que são as bases de proteção do crédito e de tutela da saúde?

A proteção do crédito (art. 7º, X) sustenta a análise de risco antes de conceder crédito, a consulta a birôs e a negativação de inadimplentes, nos termos da legislação própria. É uma base de uso amplo para quem vende a prazo — mas não existe no art. 11, então não alcança dados sensíveis.

A tutela da saúde (art. 7º, VIII, e art. 11, II, f) é estreita: vale exclusivamente em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária, na redação dada pela Lei 13.853/2019. Uma academia, uma loja de suplementos ou um aplicativo de bem-estar não se tornam "serviço de saúde" por tratarem de saúde no marketing.

Quais os erros mais comuns ao escolher a base legal?

• Uma base para o cadastro inteiro: o cliente tem várias finalidades, e cada uma pede a sua base.
• Consentimento para tudo: inclusive para o que já é obrigação legal ou contrato, criando revogações impossíveis de cumprir.
• Legítimo interesse sem teste: a base mais flexível é também a que mais exige documentação.
• Esquecer o dado sensível embutido: o currículo com laudo, a câmera com reconhecimento facial, o histórico que revela saúde.
• Base definida depois: escolher a hipótese quando chega a reclamação, e não antes de começar a coletar.
• Base certa, finalidade esticada: o dado coletado para o orçamento reaparece em campanhas sem nova análise.

A pergunta da LGPD nunca é "posso usar este dado?". É "posso usar este dado para isto?".

Por onde começar a revisar as bases legais da empresa?

1. Liste as rotinas que usam dados pessoais, uma por linha, começando por formulários, vendas, atendimento, RH e marketing.
2. Escreva a finalidade de cada rotina em uma frase e separe as que tiverem mais de um objetivo.
3. Marque as que envolvem dados sensíveis ou de crianças e adolescentes: elas seguem os arts. 11 e 14.
4. Atribua uma base a cada finalidade e registre o motivo, no formato do inventário do art. 37.
5. Documente o teste de balanceamento de toda finalidade apoiada em legítimo interesse.
6. Revise formulários e avisos para que digam ao titular, com clareza, para que o dado será usado.

Se a empresa nunca fez esse mapeamento, o trabalho de adequação à LGPD da Alliance começa exatamente por ele. E o diagnóstico de marketing gratuito, que leva cerca de 30 minutos, mostra como dados, CRM e automação da sua empresa estão posicionados frente às outras dimensões de maturidade — incluindo o que depende de base legal bem escolhida para funcionar.