Termo de consentimento LGPD: quando pedir dá ao cliente o botão de desligar

Quase todo conteúdo sobre termo de consentimento ensina a redigir o documento: que cláusulas pôr, que linguagem usar, onde colher a assinatura. Falta a pergunta anterior. Antes de escrever o termo, a empresa precisa saber se aquele uso do dado depende mesmo de consentimento. Em boa parte dos formulários de site, não depende.

Este artigo faz o caminho inverso. Parte das finalidades mais comuns no marketing e no comercial (cadastro, entrega, nota fiscal, newsletter, repasse de lead) e mostra, uma a uma, qual base legal da LGPD sustenta cada uma e quando o termo entra. Também explica o mecanismo que torna o consentimento desnecessário um risco, e não uma precaução. O texto é informativo e não substitui a análise jurídica do seu caso.

O que é termo de consentimento LGPD?

É o documento, ou o registro eletrônico, que comprova que o titular concordou com um tratamento específico dos seus dados. A própria lei define o que conta como consentimento: “manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada” (art. 5º, XII).

Cada palavra da definição é um requisito. Livre quer dizer que recusar não pode ser um castigo disfarçado. Informada quer dizer que a pessoa sabia o que aceitava. Inequívoca quer dizer que houve um gesto claro, e não silêncio. E finalidade determinada quer dizer que o aceite vale para um uso, não para tudo.

A lei não exige papel. O art. 8º diz que o consentimento deve ser fornecido “por escrito ou por outro meio que demonstre a manifestação de vontade do titular”. Uma caixa de seleção num formulário, um botão num aplicativo ou uma confirmação por e-mail podem servir, desde que fique registrado quem aceitou, o quê e quando. Por isso “termo” aqui é menos um documento assinado e mais a prova do aceite.

O consentimento é obrigatório na LGPD?

Não. É a confusão mais cara do tema. A LGPD não diz que todo tratamento depende de autorização do titular. Ela diz que todo tratamento precisa de uma base legal, e lista dez delas.

O artigo põe as dez hipóteses lado a lado, como alternativas. Nada no texto diz que o consentimento venha primeiro e as outras sejam plano B. A lei ainda reforça a ideia em outro trecho: o § 6º do art. 7º fala em “dispensa da exigência do consentimento” e avisa que ela não desobriga a empresa dos princípios e dos direitos do titular. Ou seja, tratar sem consentimento é normal; tratar sem base e sem respeitar os direitos é que não é.

Para o marketing, quatro hipóteses resolvem quase tudo: consentimento (I), obrigação legal (II), execução de contrato (V) e legítimo interesse (IX). A escolha entre elas é feita por finalidade, antes de o formulário existir.

O que acontece quando o titular revoga o consentimento?

É aqui que o termo deixa de ser uma formalidade inofensiva. Quando a base é o consentimento, a lei entrega ao titular um botão de desligar, e o liga a outros dois direitos.

Na sequência, o que acontece é: o titular revoga, o uso para aquela finalidade termina, ele pede a eliminação e os dados são apagados. Só ficam guardados nas exceções do art. 16, entre elas o cumprimento de obrigação legal ou regulatória. O que foi feito antes da revogação não vira ilegal: o § 5º do art. 8º ratifica os tratamentos anteriores enquanto não houver pedido de eliminação.

Compare com a outra metade do diagrama. Se a base é o contrato ou a lei, não existe consentimento para revogar. O titular continua com os direitos de confirmação, acesso e correção (art. 18, I a III), e pode se opor ao tratamento feito sem consentimento “em caso de descumprimento ao disposto nesta Lei” (art. 18, § 2º). Mas o endereço necessário para entregar o pedido não precisa sumir porque o cliente mudou de ideia sobre receber e-mails.

Por que pedir consentimento para o que não precisa é um risco?

Porque o termo diz ao titular, por escrito, que aquela operação depende da vontade dele. Se a empresa pede consentimento para usar o endereço na entrega, ela comunicou que a entrega depende de um aceite que pode ser retirado. Três consequências da lei pesam nesse cenário.

1. O titular ganha a revogação e a eliminação

Ao escolher o consentimento como base, a empresa aceita as regras dele: revogação a qualquer tempo e direito de eliminação dos dados tratados com o aceite. Para uma newsletter, isso é exatamente o que deve acontecer. Para o cadastro do cliente que tem um contrato em andamento, é um problema criado pela própria empresa.

2. A prova fica toda com a empresa

Cada termo pedido é um aceite que a empresa terá de conseguir mostrar depois: o texto exibido, a data, o canal, a pessoa. Termo desnecessário multiplica registros a guardar sem acrescentar nenhuma proteção, porque o tratamento já estava amparado por outra base.

3. O consentimento obrigatório não é livre

Quando o formulário só avança se a caixa de “concordo com o tratamento dos meus dados” for marcada, o aceite deixa de ser livre: quem recusa não compra. A lei já prevê o caminho honesto para esse caso. Quando o tratamento é condição para fornecer o produto ou o serviço, o art. 9º, § 3º, manda informar o titular “com destaque” sobre esse fato e sobre como exercer seus direitos. É dever de informar, não pedido de licença.

Pedir consentimento para o que é contrato ou lei não protege a empresa. Entrega ao cliente um botão de desligar que a operação não pode obedecer.

Quando precisa de termo de consentimento, finalidade por finalidade?

A pergunta certa não é “meu site precisa de termo?”, e sim “esta finalidade precisa?”. O mesmo cliente pode ter o endereço tratado por contrato, o CPF por obrigação fiscal e o e-mail de ofertas por consentimento ou legítimo interesse. O quadro abaixo cobre as finalidades que mais aparecem num formulário de site.

Leitura da Lei nº 13.709/2018, arts. 7º, 9º e 11. Quadro informativo; a base de cada caso depende do contexto.

A linha da oferta a cliente atual é a que mais gera dúvida. O legítimo interesse pode sustentar o e-mail promocional para quem já compra, mas só depois de uma avaliação registrada. O passo a passo dessa avaliação está no nosso artigo sobre o teste de legítimo interesse da ANPD antes do e-mail promocional. Aqui basta saber: se o teste não fechar, a saída é o consentimento.

Qual situação exige consentimento na LGPD?

Há casos em que o consentimento é a base natural, ou a única viável. No marketing, os mais frequentes são quatro.

• Comunicação a quem não tem relação com a empresa. O contato que baixou um material gratuito e nunca comprou tem pouca expectativa de receber ofertas. O consentimento, colhido no próprio formulário, é o caminho mais sólido.
• Compartilhamento com outro controlador. Se a empresa obteve o consentimento e quer comunicar ou compartilhar os dados com outros controladores, precisa de “consentimento específico do titular para esse fim”, ressalvadas as dispensas da lei (art. 7º, § 5º). É o caso clássico do evento que repassa a lista de inscritos aos patrocinadores.
• Dados sensíveis sem outra hipótese do art. 11. Saúde, religião, biometria e os demais dados do art. 5º, II, só podem ser tratados para marketing com consentimento “de forma específica e destacada, para finalidades específicas” (art. 11, I), porque o legítimo interesse não existe no art. 11.
• Cookies e rastreamento não necessários. Publicidade e medição de terceiros costumam depender de aceite. Como montar esse aceite sem padrões enganosos está no artigo sobre o que a ANPD desaconselha no banner de cookies.

Dados de crianças merecem nota à parte. O art. 14, § 1º, pede consentimento específico e em destaque de pelo menos um dos pais ou do responsável legal. Mas a ANPD firmou, no Enunciado nº 1/2023, que o tratamento de dados de crianças e adolescentes também pode usar as hipóteses dos arts. 7º e 11, desde que o melhor interesse deles prevaleça.

Como separar o checkbox de marketing do aceite do contrato?

O erro mais comum nos formulários é a caixa única: “Li e aceito os termos de uso, a política de privacidade e o recebimento de comunicações”. Ela mistura três coisas de naturezas diferentes num gesto só, e a lei não ajuda quem faz isso. O consentimento por escrito precisa estar em cláusula destacada das demais (art. 8º, § 1º), e a autorização genérica é nula (§ 4º).

A separação prática fica assim:

1. Aceite dos termos de uso. Contrato. Pode ser condição para seguir, porque sem ele não há serviço.
2. Aviso de privacidade. Não é aceite, é informação. Um link visível para a política, com a frase de que os dados do cadastro são usados para executar o pedido e cumprir obrigações legais.
3. Caixa de comunicações de marketing. Consentimento. Própria, desmarcada, opcional, com a finalidade escrita ao lado. Quem não marca compra igual.
4. Caixa de compartilhamento com parceiros, se houver. Outro consentimento, separado do de marketing, porque o § 5º do art. 7º pede um aceite específico para esse fim.

Caixa já vem marcada não é manifestação inequívoca do titular: quem decidiu foi a empresa, ao programar o formulário. E o art. 18, VIII, dá ao titular o direito de ser informado “sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa”, o que só faz sentido se a negativa for possível.

O que deve ter o termo de consentimento para tratamento de dados pessoais?

Quando o consentimento é a base certa, o termo precisa permitir que a pessoa entenda o que está aceitando. O art. 9º lista as informações a que o titular tem direito, de forma “clara, adequada e ostensiva”, e o § 1º avisa que o consentimento é nulo se essas informações forem enganosas, abusivas ou não forem apresentadas previamente com transparência. Na prática, o termo cobre:

1. A finalidade específica, em linguagem comum: “receber nossa newsletter mensal sobre gestão”, não “fins de marketing”.
2. Quais dados serão usados para essa finalidade, e só os necessários a ela.
3. Quem é o controlador e como falar com ele (art. 9º, III e IV).
4. Se haverá compartilhamento, com quem e para quê (art. 9º, V).
5. Forma e duração do tratamento (art. 9º, II): até quando o e-mail será usado.
6. Como revogar, por caminho tão simples quanto o de aceitar, e os demais direitos do art. 18, com menção explícita a eles (art. 9º, VII).

Se a finalidade mudar depois, de modo incompatível com o aceite original, o art. 9º, § 2º, manda informar o titular antes, e ele pode revogar se discordar. Um consentimento para newsletter não se estica para venda por telefone.

Consentimento, contrato ou obrigação legal: o que muda na prática?

A tabela compara as três bases que mais se confundem num cadastro. Ela mostra por que a escolha errada não é só uma questão de nomenclatura na política de privacidade.

Repare na linha de execução de contrato. A hipótese cobre também os “procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados”. O lead que preenche o formulário pedindo um orçamento está nessa situação: usar o telefone dele para enviar a proposta não depende de termo. Inscrevê-lo numa régua de nutrição por seis meses já é outra finalidade.

Como fazer termo de consentimento para uso de imagem?

Foto e vídeo de uma pessoa identificável são dados pessoais, e a LGPD se aplica a eles. Mas a imagem tem uma camada a mais, fora da LGPD: o art. 20 do Código Civil permite que a pessoa proíba a utilização da sua imagem, salvo se autorizada, quando ela lhe atingir a honra, a boa fama ou a respeitabilidade, ou se se destinar a fins comerciais.

Para depoimento de cliente, foto de evento usada em anúncio ou vídeo de funcionário numa campanha, o caminho comum é uma autorização de uso de imagem que diga onde a imagem será veiculada, por quanto tempo e com que finalidade. Vale a mesma lógica do restante do artigo: uma autorização por finalidade, sem cláusula genérica do tipo “para qualquer fim”.

Quais os erros mais comuns no termo de consentimento?

• Pedir consentimento para o que é contrato. O cadastro da compra vira revogável no papel, e a empresa passa a ter de explicar por que não apagou.
• Caixa única para tudo. Termos de uso, privacidade e marketing num gesto só esbarram na cláusula destacada e na nulidade da autorização genérica.
• Finalidade vaga. “Melhorar sua experiência” e “fins comerciais” não são finalidades determinadas.
• Revogação difícil. Aceitar com um clique e revogar por carta registrada contraria o “procedimento gratuito e facilitado”.
• Repassar a lista sem aceite específico. O consentimento para receber e-mails da empresa não cobre o envio dos dados a um parceiro. Como isso aparece na compra e venda de bases, veja o artigo sobre comprar leads e o que as plataformas barram.
• Não guardar a versão do texto. Sem saber qual termo a pessoa viu, a empresa não consegue cumprir o ônus da prova.

Por onde começar a revisar os termos da empresa?

1. Liste os formulários do site, das landing pages e do atendimento, e as finalidades de cada um.
2. Dê uma base legal a cada finalidade, usando o quadro deste artigo como ponto de partida.
3. Corte o termo onde a base é contrato ou lei, trocando-o por aviso claro e link para a política de privacidade.
4. Separe as caixas de marketing e de compartilhamento, desmarcadas e opcionais.
5. Registre cada aceite com data, canal, versão do texto e identificação do titular.
6. Teste a revogação: descadastre-se de verdade e veja se o pedido chega a quem precisa apagar o dado.

Esse mapa de finalidades e bases é a base do registro das operações de tratamento que o art. 37 da LGPD exige do controlador, e é o ponto em que a adequação à LGPD feita pela Alliance costuma começar. Se a dúvida for anterior, sobre como o site, os formulários e a captação de leads estão funcionando como um todo, o diagnóstico de marketing gratuito mostra onde a operação está mais exposta antes de qualquer campanha nova.