O interesse legítimo — Art. 6(1)(f) do GDPR — é a base legal mais útil e a mais mal interpretada do regulamento. Os profissionais de marketing recorrem a ela porque não exige um banner de consentimento; os reguladores escrutinam-na porque não se deve tornar um livre-trânsito genérico. Este artigo explica o que o artigo realmente diz, o teste de três etapas que os reguladores esperam que realize, um exemplo prático para identificação de visitantes ao nível da empresa e onde estão os limites.
O que o Art. 6(1)(f) diz realmente
O artigo permite o tratamento de dados pessoais quando este é "necessário para efeito dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros, exceto se prevalecerem os interesses ou direitos e liberdades fundamentais do titular". Duas palavras carregam a maior parte do peso — "necessário" e "prevalecerem" — e o terceiro pilar é implícito mas esperado: o seu interesse legítimo deve, por si só, ser lícito. Se qualquer um dos três falhar, a base legal falha.
O regulador não decide por si. Cabe-lhe a si realizar a análise, registar a análise e, se for questionado, apresentar a análise. Não há submissão, nem registo, nem aprovação — mas também não há defesa se o equilíbrio não tiver sido efetivamente realizado.
O teste de equilíbrio de três etapas
As autoridades de proteção de dados europeias convergem para a mesma estrutura de três etapas, por vezes chamada de LIA (Legitimate Interests Assessment). Cada etapa deve ser aprovada.
- Teste de finalidade — o interesse é lícito, específico e real? Um genérico "queremos vender mais" não serve. "Identificar empresas que visitam o nosso website B2B para contactar o decisor correto com informação relevante" serve.
- Teste de necessidade — o tratamento é a forma menos intrusiva de atingir o objetivo? Se um método menos invasivo funcionar (analítica agregada, newsletter opt-in, um formulário), deve ser preferido. Necessidade significa que não pode razoavelmente fazê-lo de outra forma.
- Teste de equilíbrio — os interesses, direitos e liberdades do titular dos dados prevalecem sobre os seus? Considere as suas expectativas razoáveis, a natureza dos dados, a sensibilidade, o contexto em que foram recolhidos e quaisquer salvaguardas que aplique.
Exemplo prático: identificação de visitantes ao nível da empresa
Suponha que uma empresa SaaS B2B que opera na UE deseja identificar as organizações por trás das visitas ao seu website — identificação ao nível da empresa, sem cookies, sem identificadores pessoais. Eis como se parece uma LIA defensável, passo a passo.
Etapa 1 — Finalidade
A finalidade é identificar empresas que estão ativamente a pesquisar um serviço B2B de forma a enviar-lhes informações relevantes e direcionadas (um email personalizado, um caso de estudo, um convite para uma chamada de quinze minutos). A finalidade é lícita, específica e real. Não se trata de recolha de dados "apenas por precaução".
Etapa 2 — Necessidade
Poderia o objetivo ser alcançado de forma menos invasiva? A analítica agregada responde a "quantos?", mas não a "quem?" — não pode cumprir a finalidade. Uma newsletter genérica chega a subscritores voluntários, mas não às empresas que estão a pesquisar ativamente agora. Um formulário apenas capta a pequena fração de visitantes que voluntaria os seus detalhes. A identificação ao nível da empresa, que resolve o IP para uma organização sem tocar num identificador pessoal, é um meio proporcionado e necessário para a finalidade declarada.
Etapa 3 — Equilíbrio
Expectativas razoáveis: visitantes profissionais que navegam num website de serviços B2B durante o horário de trabalho esperam geralmente que o operador do site saiba que uma empresa (não necessariamente um indivíduo) o visitou. Natureza dos dados: a entidade identificada é uma pessoa coletiva (uma organização), não uma pessoa singular. Sensibilidade: não estão envolvidos dados de categorias especiais. Contexto: os dados foram recolhidos no próprio website do responsável pelo tratamento no decurso normal da atividade. Salvaguardas: sem cookies, sem fingerprinting, sem rastreio cross-site, sem perfil do visitante individual; um opt-out acessível para a empresa identificada; um aviso de privacidade público explicando exatamente o que acontece.
Nesse equilíbrio, o interesse do responsável pelo tratamento em chegar a um decisor com informação relevante não é, no caso B2B comum, anulado pelos interesses, direitos e liberdades do titular dos dados. Um tratamento diferente (digamos, rastreio ao nível individual ou a reutilização dos dados para venda a terceiros) inverteria o equilíbrio — a análise é específica para o que realmente faz.
Como é realmente a documentação
Uma LIA defensável é um documento curto e datado — geralmente de duas a quatro páginas — assinado por uma pessoa responsável. Abaixo está a estrutura que a maioria das autoridades de proteção de dados europeias aceita.
| Secção | Conteúdo | Extensão |
|---|---|---|
| Cabeçalho | Nome do responsável, morada, contacto do DPO se existir, data de vigência | 1 linha cada |
| Finalidade | Interesse específico, lícito e real — um parágrafo | ~100 palavras |
| Necessidade | Alternativas consideradas e por que não cumprem a finalidade | ~150 palavras |
| Equilíbrio | Expectativas razoáveis, natureza, sensibilidade, contexto, salvaguardas | ~300 palavras |
| Salvaguardas | Medidas concretas: opt-out, retenção, sem identificadores pessoais, DPA com subcontratantes | ~150 palavras |
| Revisão | Assinado por (nome, cargo); próxima data de revisão (anual) | 2 linhas |
O que difere por país
O Art. 6(1)(f) é uniforme em toda a UE, mas a dimensão ePrivacy (na Alemanha, § 25 TDDDG) rege se pode colocar ou ler informações no equipamento terminal — cookies, local storage, fingerprinting. A identificação ao nível da empresa sem qualquer armazenamento no lado do cliente fica fora da exigência de consentimento do § 25; a introdução de qualquer identificador no lado do cliente move-o para o território do consentimento, independentemente da sua base no Art. 6.
Quando o consentimento — e não o interesse legítimo — é a base correta
O interesse legítimo não é um substituto universal para o consentimento. A base correta muda para consentimento (Art. 6(1)(a)) em pelo menos três situações comuns de B2B.
- Sempre que a informação é armazenada ou lida do dispositivo do visitante além do estritamente necessário — um cookie de rastreio, um identificador localStorage, um fingerprint — ePrivacy/§ 25 TDDDG exige consentimento independentemente da sua base no Art. 6.
- Tratamento de dados pessoais de pessoas singulares para publicidade comportamental, criação de perfis cross-site ou revenda a terceiros. Estes extravasam largamente um interesse de contacto B2B proporcionado.
- Dados de categorias sensíveis (Art. 9) — saúde, opiniões políticas, biometria — nunca são cobertos pelo interesse legítimo comum; é necessária uma base específica do Art. 9 adicionalmente ao Art. 6.
Uma checklist operacional
- Tem uma LIA escrita e datada que cobre o tratamento específico.
- O seu aviso de privacidade explica, em linguagem clara, que identifica empresas (não indivíduos) e porquê.
- Tem um opt-out acessível e respeita-o — empresas removidas dentro de um prazo definido e não reidentificadas.
- Tem um DPA assinado com qualquer subcontratante que processe os dados.
- Reveja a LIA anualmente ou quando o tratamento de dados mudar substancialmente.
Este artigo foi escrito para fins educacionais, não constituindo aconselhamento jurídico. Para uma avaliação vinculativa do seu processamento de dados, consulte um departamento jurídico qualificado na sua jurisdição.
Publicado por
lead.box Team
Mais artigos
Veja o lead.box no seu próprio tráfego
Comece gratuitamente — sem cartão, sem necessidade de chamada de vendas. Ou reserve uma demonstração de 20 minutos se preferir uma visita guiada.