Princípios da LGPD: os 10 do art. 6º e o que pede prova no marketing

Quem busca “princípios da LGPD” costuma querer uma lista, e ela vem logo abaixo, com a contagem certa e o artigo da lei. Mas a lista sozinha resolve pouco para quem cuida de marketing. A pergunta que interessa é outra: como cada princípio aparece numa lista de e-mail, num pixel de anúncio, num CRM ou num público personalizado, e o que fica guardado para provar que ele foi seguido.

Esse último ponto é o que a maioria dos textos pula. O décimo princípio da lista não pede apenas que a empresa cumpra a lei: pede que ela demonstre que cumpre, e que as medidas funcionam. Este artigo é informativo e não substitui a análise jurídica do seu caso.

Quais são os princípios da LGPD?

São os critérios que toda atividade de tratamento de dados pessoais tem de observar, do formulário que coleta um e-mail até a planilha que alimenta uma campanha. Eles estão no art. 6º da Lei nº 13.709/2018, a Lei Geral de Proteção de Dados, logo depois das definições, e valem para qualquer base legal que a empresa use.

A ordem da lei não é aleatória. Os três primeiros tratam do porquê do tratamento (para que serve, se combina com o que foi dito, se usa só o necessário). Os três seguintes tratam do que o titular vê (acesso, qualidade, transparência). Os quatro últimos tratam de risco e prova (segurança, prevenção, não discriminação e responsabilização).

Ter os princípios como filtro muda a forma de ler o resto da lei. Uma base legal bem escolhida não salva um tratamento que coleta dados demais, e uma política de privacidade bonita não salva uma finalidade que ninguém informou. Os princípios valem ao mesmo tempo, e não um no lugar do outro.

São 10 ou 11 princípios? E de onde vêm os “3 princípios”?

A lei numera dez princípios, do inciso I ao X. A boa-fé aparece no caput do mesmo artigo, antes da lista, como regra que acompanha todos eles. Por isso há quem conte onze: a contagem muda conforme a boa-fé entra ou não na soma. Para prova e concurso, a resposta segura é “dez princípios, mais a boa-fé no caput”.

Os “3 princípios da LGPD” que aparecem em buscas e em alguns cursos não estão na lei. Costumam ser finalidade, necessidade e transparência, escolhidos por serem os mais visíveis para o titular. Servem como resumo didático, mas tratar a lei como se tivesse três princípios deixa de fora justamente o que pesa numa fiscalização: segurança, prevenção e prestação de contas.

Outra confusão comum é chamar de princípio o que a lei chama de outra coisa. As dez bases legais do art. 7º, os direitos do titular do art. 18 e os fundamentos do art. 2º são partes diferentes da lei, com funções diferentes. A próxima seção separa os fundamentos, que são os mais confundidos.

Qual a diferença entre princípios e fundamentos da LGPD?

Os fundamentos explicam por que a lei existe e o que ela protege. Os princípios dizem como o tratamento deve ser feito. Um fundamento orienta a interpretação; um princípio é critério de conduta, verificável em cada operação.

Repare que o desenvolvimento econômico, a inovação e a livre iniciativa estão entre os fundamentos. A lei não foi escrita contra o marketing: ela reconhece o interesse da empresa e o equilibra com a autodeterminação de quem tem os dados. Os princípios são o instrumento desse equilíbrio no dia a dia.

Lei nº 13.709/2018, arts. 2º e 6º, texto compilado no Planalto

O que cada princípio quer dizer no marketing?

A definição de cada inciso é curta, e vale ler o texto da lei. O que muda é a tradução para as rotinas de uma área de marketing. A seguir, os dez em quatro grupos, com o que cada um cobra de uma campanha.

1. Finalidade, adequação e necessidade: o porquê

Finalidade exige propósitos legítimos, específicos, explícitos e informados ao titular, sem uso posterior incompatível. Adequação exige que o tratamento combine com a finalidade informada, no contexto em que o dado foi coletado. Necessidade limita o tratamento ao mínimo, com dados pertinentes, proporcionais e não excessivos.

No marketing, os três aparecem juntos no mesmo lugar: o formulário. O e-mail coletado para enviar um material rico foi informado para essa finalidade. Usá-lo para incluir a pessoa numa régua de vendas de outro produto é a pergunta de adequação. Pedir CPF para baixar um e-book é a pergunta de necessidade, tratada a fundo no artigo sobre o campo do formulário de contato que ninguém usa.

2. Livre acesso, qualidade dos dados e transparência: o que o titular vê

Livre acesso garante consulta facilitada e gratuita sobre a forma e a duração do tratamento e sobre a integralidade dos dados. Qualidade garante exatidão, clareza, relevância e atualização. Transparência garante informações claras, precisas e facilmente acessíveis sobre o tratamento e sobre quem o faz, observados os segredos comercial e industrial.

Na prática, isso é a política de privacidade que responde de verdade, o canal para o titular pedir seus dados e uma base que não manda e-mail com o nome errado para um contato que já pediu correção. O art. 9º detalha o que precisa ser informado, como finalidade, forma e duração, identificação e contato do controlador e uso compartilhado.

3. Segurança e prevenção: o risco

Segurança pede medidas técnicas e administrativas contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão. Prevenção pede medidas para evitar o dano antes que ele aconteça.

Para o marketing, o risco mora nas exportações. A planilha de leads baixada do CRM e enviada por e-mail para o fornecedor de disparo, o acesso de uma agência que terminou o contrato e nunca foi revogado, o link público de uma pasta com a lista do evento. O art. 46, § 2º, manda observar as medidas de segurança desde a concepção do produto ou serviço.

4. Não discriminação e responsabilização: o limite e a prova

Não discriminação proíbe tratamento para fins discriminatórios ilícitos ou abusivos. Responsabilização e prestação de contas pede que o agente demonstre a adoção de medidas eficazes e a eficácia delas. O primeiro desses dois é um limite; o segundo é uma obrigação de prova, e por isso tem seção própria mais adiante.

Segmentação de público e pontuação automática de leads são o ponto de atenção para o princípio da não discriminação. O art. 20 dá ao titular o direito de pedir revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, incluídas as que definem perfil de consumo. Quando o modelo de pontuação pesa dados pessoais, o artigo sobre o lead scoring que pede relatório de impacto mostra o passo seguinte.

Como os princípios se aplicam a cada artefato de marketing?

O jeito mais útil de usar a lista é transformá-la em perguntas de verificação, uma para cada princípio, apontadas para um artefato concreto. A tabela abaixo faz isso e acrescenta a coluna que quase nunca aparece: qual documento mostra, depois, que a resposta foi “sim”.

Elaboração da Alliance a partir da Lei nº 13.709/2018, arts. 6º, 9º, 20, 37, 46 e 50

A tabela não é um checklist jurídico completo. É um ponto de partida para o marketing conversar com o jurídico e com o encarregado com perguntas concretas, em vez de “estamos adequados à LGPD?”. Muitas das respostas dependem de um mapa dos dados que a empresa trata, assunto do artigo sobre o inventário de dados que falta nas empresas.

Por que o décimo princípio pede prova?

Porque é o único que fala, com todas as letras, em demonstrar. Os outros nove descrevem como o tratamento deve ser. O inciso X diz que não basta ser assim: é preciso conseguir mostrar.

A frase tem três camadas. A empresa precisa adotar medidas, precisa que elas sejam capazes de comprovar o cumprimento e precisa mostrar a eficácia delas. Uma política de privacidade publicada é uma medida. Saber que ela foi seguida na campanha do mês passado é a prova de eficácia.

O mesmo raciocínio aparece espalhado pela lei. O art. 8º, § 2º, põe no controlador o ônus de provar que o consentimento foi obtido conforme a lei. O art. 37 manda controlador e operador manterem registro das operações de tratamento, especialmente quando a base é o legítimo interesse. E o art. 50, § 2º, ao tratar de programa de governança, fala em demonstrar a efetividade do programa quando apropriado, em especial a pedido da autoridade.

Na LGPD, o cuidado que não deixou registro é difícil de distinguir do cuidado que não existiu.

Para o marketing, a consequência é prática. O e-mail de confirmação de cadastro, o print do formulário com o aviso, a data em que uma ferramenta foi desligada e o registro de quem pediu para sair da lista são as peças que permitem responder a uma fiscalização ou a uma reclamação. Quando não existem, a empresa fica com a palavra dela contra o texto da lei.

O que acontece se a empresa descumprir um princípio?

A violação de um princípio pode aparecer como infração à LGPD e levar às sanções do art. 52, que vão da advertência à proibição do tratamento. Os detalhes de valores, prazos e do primeiro caso julgado estão no artigo sobre as sanções da LGPD e a primeira multa. Aqui interessa o caminho inverso: como os princípios entram na conta da sanção.

Repare na palavra “demonstrada” no inciso VIII. A lei não premia o mecanismo interno que existe só na intenção; premia o que foi adotado de forma reiterada e que a empresa consegue mostrar. É o décimo princípio reaparecendo na hora da sanção.

O Regulamento de Dosimetria da ANPD (Resolução CD/ANPD nº 4/2023) transformou esse critério em número. O art. 13, II, prevê redução de 20% na multa simples quando há política de boas práticas e de governança implementada, ou adoção reiterada e demonstrada de mecanismos internos para minimizar danos, até a decisão de primeira instância. E o § 3º do mesmo artigo põe no infrator o ônus de comprovar os requisitos da atenuante.

Ou seja: o princípio cumprido sem registro tende a valer como não cumprido. Não por má vontade da autoridade, mas porque a lei e o regulamento pedem prova, e a prova é responsabilidade de quem trata os dados.

Quais não são princípios da LGPD?

A pergunta aparece muito em prova e concurso, e a resposta é simples quando se separam as partes da lei. Não são princípios do art. 6º:

• Os fundamentos do art. 2º, como a autodeterminação informativa, o respeito à privacidade e a livre iniciativa.
• As bases legais do art. 7º, como consentimento e legítimo interesse, que respondem quando o tratamento é permitido. O artigo sobre as bases legais da LGPD, uma por finalidade cobre o assunto.
• Os direitos do titular do art. 18, como acesso, correção e eliminação, que são o lado do titular de vários princípios.
• A boa-fé, que está no caput do art. 6º, mas fora da lista numerada.

Há ainda uma ressalva no fim da lei. O art. 64 diz que os direitos e princípios expressos na LGPD não excluem outros previstos no ordenamento jurídico ou em tratados internacionais de que o Brasil seja parte. A lista do art. 6º é a da LGPD, e não o limite de tudo o que se aplica à proteção de dados no país.

Quais os erros mais comuns ao aplicar os princípios no marketing?

Os erros se repetem porque nascem da mesma ideia: tratar a LGPD como documento a publicar, e não como rotina a registrar.

• Finalidade genérica. “Para fins de marketing” não é finalidade específica. O consentimento com autorização genérica é nulo pelo art. 8º, § 4º.
• Lista que muda de uso sem aviso. A base de inscritos de um evento vira lista de prospecção. Mudar a finalidade sem informar o titular esbarra em finalidade e adequação, e o art. 9º, § 2º, pede aviso prévio quando a base é o consentimento.
• Campos por via das dúvidas. Data de nascimento, CPF e cargo coletados sem uso definido ferem a necessidade, e com legítimo interesse a lei restringe aos dados estritamente necessários (art. 10, § 1º).
• Descadastro que não chega a todas as ferramentas. O contato sai da plataforma de e-mail e continua no público de anúncio. É um problema de qualidade dos dados e de direitos do titular, tratado no artigo sobre o pedido de exclusão que não chega ao CRM.
• Adequação sem registro. A empresa fez tudo certo, mas não guardou nada. Na hora de demonstrar, sobra a memória da equipe.

Como medir se os princípios estão sendo cumpridos?

O décimo princípio fala em eficácia, e eficácia se mede. Não existe um indicador oficial, mas algumas métricas simples mostram se as medidas funcionam ou ficaram no papel:

• Prazo de resposta a pedidos de titulares, do recebimento à resposta, e quantos ficaram sem resposta.
• Tempo de propagação de um descadastro entre a ferramenta de e-mail, o CRM e os públicos de anúncio.
• Percentual de listas com origem registrada no total de listas ativas.
• Campos sem uso encontrados na revisão periódica do formulário e do CRM.
• Acessos revogados de fornecedores e ex-colaboradores após o fim do contrato ou do vínculo.

Essas métricas não substituem um programa de governança, mas criam a evidência que o inciso X pede. Quem acompanha os números consegue mostrar não só que tem regras, mas que elas são seguidas. Quando o tema chega à alta direção, o papel do encarregado de dados, o DPO é dar dono a esse acompanhamento.

O que muda por tipo de negócio?

Os princípios são os mesmos para todos, mas o ponto de maior atenção muda conforme o modelo de negócio e o tipo de dado.

• Comércio eletrônico: pixel, recuperação de carrinho e públicos de anúncio pedem atenção à transparência e à adequação, já que o dado de navegação vira dado de campanha.
• Empresas B2B: listas de prospecção e enriquecimento de contatos testam finalidade e necessidade, e a escolha do legítimo interesse exige a ponderação discutida no artigo sobre o teste do legítimo interesse antes do e-mail.
• Saúde, educação e serviços a crianças: dados sensíveis e de crianças e adolescentes têm regras próprias (arts. 11 e 14), e a segurança e a prevenção pesam mais.
• Eventos: credenciamento, listas de presença e fotos multiplicam os artefatos, e a prova de finalidade costuma ficar só no formulário de inscrição.

Por onde começar hoje?

Comece pelo princípio que dá sentido aos outros nove: a prestação de contas. Escolha uma campanha recente e tente montar, com o que já existe, a trilha de prova de cada princípio da tabela. O que faltar vira a lista de prioridades.

Na sequência, ligue os princípios ao plano de marketing, porque cada canal novo traz um artefato novo para verificar. O diagnóstico de marketing gratuito da Alliance, que leva cerca de 30 minutos, mostra a maturidade em dados e mensuração junto com as demais dimensões. E, para transformar a tabela deste artigo em rotina com registro, a Alliance apoia a adequação pelo serviço de LGPD para marketing, em conjunto com o jurídico da empresa.