Este artigo é para quem está prestes a disparar uma campanha para a base de clientes e ouviu, do jurídico ou de um fornecedor, que “dá para usar legítimo interesse”. Dá, em muitos casos. Mas a frase sozinha não sustenta nada: a lei pede que a empresa demonstre por que o interesse dela não passa por cima dos direitos de quem vai receber a mensagem.
Desde fevereiro de 2024, essa demonstração tem um roteiro oficial. A Autoridade Nacional de Proteção de Dados (ANPD) publicou um guia orientativo só sobre legítimo interesse, com exemplos e um modelo de teste. A maior parte do que se encontra sobre o tema ainda é anterior a ele, ou segue o modelo europeu. Aqui o guia é o eixo, e o caso é o mais comum no marketing: o e-mail promocional. O texto é informativo e não substitui a análise jurídica do seu caso.
O que é legítimo interesse na LGPD?
É uma das dez hipóteses do art. 7º da Lei Geral de Proteção de Dados que autorizam o tratamento de dados pessoais. As outras incluem o consentimento, o cumprimento de obrigação legal e a execução de contrato. O legítimo interesse é a mais flexível delas e, por isso, a que mais exige justificativa.
A frase tem duas metades, e a segunda é a que importa. A primeira diz que a empresa pode tratar dados quando tem um interesse legítimo. A segunda diz que isso deixa de valer se, no caso concreto, os direitos do titular pesarem mais. Quem decide o peso, num primeiro momento, é a própria empresa. E é ela quem precisa provar que pesou direito.
Na prática, “interesse” é qualquer benefício que a empresa tira do uso do dado: vender mais, prevenir fraude, proteger o local, divulgar um produto. A ANPD diz que ele só é legítimo quando cumpre três condições ao mesmo tempo: é compatível com o ordenamento jurídico, tem lastro em uma situação concreta e está ligado a uma finalidade legítima, específica e explícita. Interesse vago ou especulativo, do tipo “um dia pode ser útil”, não passa.
Legítimo interesse é base legal, e o que o art. 10 acrescenta?
É base legal, com o mesmo status das outras hipóteses do art. 7º. Não existe hierarquia em que o consentimento venha primeiro e o legítimo interesse seja um plano B. O que existe são condições extras, e elas estão no art. 10 da LGPD, que funciona como o manual de uso da hipótese.
Repare na expressão “promoção de atividades do controlador”. É o trecho que abre a porta para o marketing: divulgar os próprios produtos a quem já tem relação com a empresa cabe, em tese, no legítimo interesse. Os três parágrafos do artigo dizem o preço da porta aberta: dado mínimo, transparência reforçada e a possibilidade de a ANPD pedir um relatório de impacto.
Do controlador ou de terceiro
O interesse pode ser da própria empresa ou de outra pessoa. O guia traz um exemplo de terceiro: uma faculdade divulga aos funcionários uma campanha de uma escola de idiomas com 10% de desconto. O interesse é da escola, não da faculdade. A ANPD aceita a hipótese, mas exige o mesmo rigor: teste de balanceamento, aviso prévio de que promoções podem ser enviadas e mecanismo de descadastramento.
Qual a diferença entre legítimo interesse e consentimento no marketing?
As duas bases autorizam o envio de comunicação promocional, mas funcionam de jeitos opostos. No consentimento, quem decide é o titular, antes. No legítimo interesse, quem decide é a empresa, e o titular pode reagir depois. A tabela resume o que muda na operação.
| Consentimento | Legítimo interesse | |
|---|---|---|
| Quem decide primeiro | O titular, ao aceitar | A empresa, depois de avaliar |
| Base na LGPD | Art. 7º, I | Art. 7º, IX, e art. 10 |
| O que a empresa precisa provar | Que o aceite foi livre, informado e inequívoco | Que o interesse é legítimo, o dado é necessário e os direitos do titular não prevalecem |
| Documento típico | Registro do aceite (data, texto, canal) | Teste de balanceamento registrado |
| Quando o titular sai | Revoga o consentimento | Descadastra-se ou se opõe ao tratamento |
| Dado sensível | Pode, com consentimento específico e destacado | Não se aplica |
| Onde costuma servir | Lead novo, sem relação prévia; lista de captação | Cliente atual, com expectativa razoável de receber |
O erro comum é tratar a escolha como questão de conveniência: “consentimento dá trabalho, então vai de legítimo interesse”. A escolha depende do contexto. Para um contato que acabou de entrar por um formulário de material gratuito e nunca comprou nada, a expectativa de receber ofertas é menor, e o consentimento tende a ser o caminho mais sólido. Para o cliente que comprou no mês passado, ofertas parecidas estão dentro do que ele razoavelmente espera.
O que a ANPD diz sobre legítimo interesse?
Até 2024 havia pouca orientação oficial, e muito material da época pedia exatamente isso: que a ANPD dissesse como aplicar a hipótese. A orientação veio em forma de guia, com definições, sete exemplos comentados e, no Anexo II, um modelo de teste para preencher.
Dois pontos do guia mudam a conversa dentro da empresa. O primeiro: não há formulário oficial obrigatório. Cada organização pode usar o modelo da ANPD ou outra metodologia, desde que coerente com a lei. O segundo: o tamanho do teste acompanha o risco. Uma newsletter de ofertas para clientes atuais não precisa de um dossiê; um sistema que cruza grandes volumes de dados com novas tecnologias, segundo o próprio guia, pede mais detalhe e robustez.
O guia também diz o que a lei não exige. Ter algum risco para o titular não impede o uso da hipótese. O que se pede, nas palavras da ANPD, não é o impacto zero, e sim que os impactos sejam minimizados e compensados por salvaguardas. É uma leitura mais prática do que a de quem trata o legítimo interesse como terreno proibido.
Como fazer o teste de legítimo interesse em três fases?
Na Europa, o mesmo exercício é chamado de LIA, sigla de Legitimate Interest Assessment, e é por esse nome que muita gente o procura. A versão brasileira segue a mesma lógica, mas com as perguntas amarradas aos artigos da LGPD. Abaixo, as três fases aplicadas a uma campanha de e-mail para clientes.
1. Finalidade: o que a empresa quer e com que dado
A primeira pergunta é sobre a natureza do dado. Se houver dado sensível, como saúde, religião ou origem racial, o teste termina: o legítimo interesse não vale para ele. Se houver dados de crianças e adolescentes, o melhor interesse deles passa a guiar todas as fases. Depois, descreva o benefício e a finalidade em uma frase concreta. “Enviar ofertas mensais de acessórios a quem comprou um equipamento nos últimos 12 meses” é uma finalidade. “Comunicação de marketing” não é.
2. Necessidade: o mínimo para chegar lá
Aqui se pergunta se o tratamento é mesmo necessário e se existe um jeito menos intrusivo de alcançar o mesmo objetivo. Para mandar uma oferta por e-mail, bastam nome, e-mail e, se a oferta for segmentada, a categoria do que a pessoa comprou. CPF, data de nascimento e endereço completo não fazem falta. É a fase em que a lista de campos exportados para a ferramenta de envio costuma encolher.
3. Balanceamento e salvaguardas: o lado do titular
É a fase em que a empresa se coloca no lugar de quem recebe. O titular espera essa mensagem? O guia lista os fatores para responder: se existe relação prévia, de onde e como o dado foi coletado, em que contexto e quando, e se a finalidade original é compatível com o novo uso. Em seguida vêm os riscos e as salvaguardas: aviso claro na política de privacidade, descadastro em toda mensagem, canal para exercer direitos, nenhum repasse da base a terceiros.
A conclusão é binária. Se os direitos e as expectativas do titular prevalecem, a empresa não deve usar o legítimo interesse para aquela finalidade, e precisa de outra base ou de outra campanha. Se não prevalecem, o tratamento segue, e o teste vira documento.
Qual é o exemplo de e-mail promocional que a ANPD analisou?
O exemplo 5 do guia é o mais próximo da rotina de marketing que a autoridade publicou. Uma instituição de ensino superior privada envia a estudantes, professores e funcionários promoções de livros e produtos culturais da própria editora, por e-mail e por notificação no aplicativo.
Vale ler o caso pelo que ele tem, e não só pela conclusão. Há relação prévia: são alunos, professores e funcionários. A oferta é ligada à atividade da instituição e às atividades dos próprios destinatários. A análise ainda aponta um benefício direto ao titular, o desconto, o que conecta o caso também ao inciso II do art. 10. E há duas salvaguardas objetivas: a base não sai de casa, e sair da lista é fácil.
O guia traz o contraponto no exemplo 3. Um aplicativo educativo para crianças exibe anúncios de alimentos ultraprocessados e informa apenas, na política de privacidade, que usa legítimo interesse para “aprimoramento do aplicativo”. A conclusão é a oposta: não há expectativa de uso publicitário, a finalidade não foi informada e o conteúdo vai contra o melhor interesse da criança. Mesmo canal, mesma base legal declarada, resultado inverso.
O legítimo interesse não é uma autorização genérica para usar a base. É uma conclusão, finalidade por finalidade, que a empresa precisa conseguir mostrar.
Por que o teste vale para uma finalidade só?
Esse é o ponto que mais escapa na rotina. A empresa faz um teste para o e-mail de ofertas, aprova, e depois passa a usar a mesma lista para criar públicos em plataformas de anúncio, ou a oferece a um parceiro numa ação conjunta. Para a equipe, é a mesma base. Para a LGPD, são três tratamentos diferentes.
O motivo é simples quando se olha pela fase 3. Quem compra numa loja pode esperar receber ofertas dela. Esperar que o próprio e-mail seja enviado para uma plataforma de anúncios, ou chegar à caixa de entrada de uma marca com quem nunca falou, é outra conversa. A fonte do dado é a mesma; a expectativa, não. Há casos em que o segundo teste passa e casos em que não passa, e é exatamente por isso que ele precisa ser feito.
Descadastro ou direito de oposição: qual a diferença?
As duas coisas costumam ser tratadas como sinônimos, e não são. O descadastro é uma salvaguarda que a empresa oferece. A oposição é um direito que a lei dá ao titular, com um gatilho específico.
| Descadastro (opt-out) | Direito de oposição | |
|---|---|---|
| De onde vem | Salvaguarda prevista pela empresa no teste | LGPD, art. 18, § 2º |
| O titular precisa justificar? | Não. Um clique basta | Sim. Alega que o tratamento descumpre a lei |
| Alcance | Aquele envio, aquele canal | O tratamento como um todo, com pedido de encerramento e eliminação, quando couber |
| Se a empresa não atende | Reclamação no canal e risco de denúncia como spam | O titular pode peticionar contra o controlador na ANPD |
| O que a empresa faz | Para de enviar e mantém o pedido respeitado nas próximas campanhas | Reavalia o teste e responde pelo canal de direitos |
O descadastro resolve a maior parte dos casos, porque quem não quer mais receber simplesmente sai. A oposição aparece quando o titular contesta o tratamento em si: diz, por exemplo, que nunca teve relação com a empresa, que o dado veio de uma lista de terceiros ou que o uso foge do que lhe foi informado. O guia da ANPD liga as duas coisas à legítima expectativa: se o titular discordar da avaliação da empresa, pode se opor e pedir o fim da operação e a eliminação dos dados. Por isso o canal de direitos precisa funcionar, e não só o link no rodapé do e-mail.
O que guardar no registro do art. 37 e quando a ANPD pode pedir RIPD?
O art. 37 manda registrar todas as operações de tratamento e destaca o legítimo interesse com a palavra “especialmente”. A razão é que, nessa base, não existe aceite do titular para mostrar. O que comprova a decisão é a análise que a empresa fez. Se ela não está escrita, para efeito de fiscalização é como se não existisse.
O guia sugere o conteúdo mínimo do registro de cada teste. Na prática, uma página por finalidade costuma bastar para um envio de baixo impacto:
- operação, data do teste, quem preencheu e quando foi revisado;
- dados tratados e confirmação de que não há dado sensível;
- finalidade descrita em uma frase concreta e o interesse que a justifica;
- por que cada campo é necessário e o que foi deixado de fora;
- fatores de expectativa: relação prévia, origem e data da coleta;
- riscos identificados e salvaguardas adotadas, como descadastro, aviso e não compartilhamento;
- conclusão: pode ou não usar o legítimo interesse, com a justificativa.
O registro do teste conversa com o inventário de dados pessoais, que é onde a empresa anota cada tratamento, a base legal e o fluxo do dado. Se esse inventário ainda não existe, vale começar por ele, como explicamos em LGPD nas empresas: o inventário de dados que a maioria ainda não fez. Sem inventário, é difícil saber quantas finalidades a mesma base já está servindo.
O relatório de impacto à proteção de dados (RIPD) é outro documento, mais amplo, voltado a tratamentos de alto risco. O art. 10, § 3º, permite que a ANPD o solicite quando a base é o legítimo interesse. Segundo o guia, o RIPD pode incorporar o teste de balanceamento. Um e-mail de ofertas para clientes raramente chega a esse nível; monitoramento, uso de dados de crianças ou cruzamento massivo de dados, sim.
Quando o legítimo interesse não serve?
Há casos em que a resposta é não antes mesmo de começar o teste, e casos em que ela aparece na fase 3. Os mais frequentes no marketing:
- Dado sensível. Saúde, convicção religiosa, vida sexual, biometria e os demais dados do art. 5º, II, ficam fora do legítimo interesse. O cuidado é maior do que parece, porque um histórico de compras pode revelar saúde, como mostramos em dados sensíveis na LGPD e o histórico de compras que vira saúde.
- Contato sem relação prévia. A lista comprada ou cedida por terceiros enfraquece a expectativa logo no primeiro fator. O assunto, com as regras das plataformas de envio, está em comprar leads: o que a plataforma de e-mail barra antes de a LGPD chegar.
- Coleta excessiva. No exemplo 7 do guia, um software que registra tudo o que o funcionário digita e usa a webcam reprova, mesmo informado na política de privacidade, porque vai muito além do necessário.
- Finalidade escondida. Se o titular só descobre o uso lendo a política inteira, como no exemplo 3, a expectativa não se forma.
- Assimetria de forças. Quando o titular não tem como recusar, como o empregado diante do empregador, a ANPD trata a oposição como pouco efetiva, e o balanceamento pesa contra a empresa.
Quais os erros mais comuns com legítimo interesse no marketing?
Os erros abaixo aparecem com frequência em empresas que já declararam legítimo interesse na política de privacidade, mas nunca fizeram o teste:
- Declarar a base sem ter o teste escrito. A política diz “legítimo interesse”, mas ninguém consegue mostrar a análise.
- Um teste genérico para “marketing”. A finalidade ampla demais impede a fase 2, porque não dá para saber o que é necessário para algo indefinido.
- Estender o teste a novos usos. O mesmo documento passa a cobrir anúncios, parceiros e enriquecimento de base.
- Exportar a base inteira para a ferramenta de envio, com CPF e endereço, quando bastavam nome e e-mail.
- Esconder o descadastro ou exigir login para sair da lista.
- Ignorar os pedidos de oposição que chegam fora do canal de e-mail, pelo SAC, redes sociais ou WhatsApp.
- Nunca revisar. A base envelhece, e o cliente de cinco anos atrás não tem a mesma expectativa de quem comprou no mês passado.
Quase todos esses erros nascem da mesma confusão: tratar o legítimo interesse como um carimbo de autorização, quando ele é uma conclusão que precisa de método. Há também uma camada técnica que corre em paralelo: provedores como o Gmail têm exigências próprias de autenticação e descadastro, que valem independentemente da base legal, como detalhamos em e-mail marketing: o que o Gmail exige.
E o que muda por tipo de negócio?
O teste é o mesmo para todos; o que muda são as respostas. No varejo com recompra, a relação prévia costuma ser forte e as ofertas relacionadas ao que o cliente compra tendem a passar com salvaguardas simples. No B2B, o contato costuma ser o e-mail profissional de alguém que pediu proposta ou participou de um evento, e a finalidade precisa conversar com esse contexto. Em saúde, farmácia e bem-estar, a fase 1 pesa mais, porque o dado pode ser sensível ou permitir inferir saúde. Em educação, aparece o público menor de idade, e o melhor interesse da criança e do adolescente passa a orientar o teste inteiro.
Para empresas pequenas, a mensagem do guia ajuda: não há formulário obrigatório e o teste pode ser breve quando o impacto é claramente baixo. Breve não quer dizer ausente. Uma página por finalidade, revisada quando a campanha mudar, já coloca a empresa em posição muito melhor do que a frase solta na política de privacidade.
Por onde começar antes da próxima campanha
- Liste os usos que a sua base de contatos tem hoje: envio de ofertas, régua de relacionamento, públicos em anúncios, ações com parceiros.
- Para cada uso apoiado no legítimo interesse, escreva a finalidade em uma frase concreta.
- Aplique as três fases, com as perguntas do Anexo II do guia da ANPD, e anote a conclusão.
- Corte os campos que não são necessários antes de exportar a lista para a ferramenta de envio.
- Confira o descadastro em toda mensagem e o canal de direitos na política de privacidade.
- Arquive o teste junto do inventário de dados e marque uma data de revisão.
Se a sua empresa precisa organizar bases legais, inventário e o registro dos testes, o serviço de adequação à LGPD da Alliance trabalha esse percurso junto com o marketing, para que a campanha não pare e a base continue defensável. E se a dúvida é anterior, sobre como a base de contatos entra no seu funil, o diagnóstico de marketing gratuito ajuda a enxergar onde estão os dados e o que cada canal está fazendo com eles.