Legítimo interesse não se aplica a dados sensíveis
Relevância 5/5
Norma predominante: LGPD
A hipótese de legítimo interesse não fundamenta tratamento de dados pessoais sensíveis; a natureza dos dados deve ser examinada antes da escolha dessa base legal.
Orientação do guia aplicado e reiterado nas medidas preventivas relativas a treinamento de IA em 2024; os juízos cautelares não encerram o mérito desses tratamentos.
Como esta relevância foi calculada
- Pontuação
- 93/100 · relevância 5/5
- Impacto para os regulados (80%)
- 100/100
- Alcance · intensidade · aplicabilidade
- 4/4 · 4/4 · 4/4
- Recorrência em votos distintos (20%)
- 67/100 · 4 votos
Exclui uso de legítimo interesse para dados sensíveis, estabelecendo limite essencial à escolha dessa base pelos controladores. A orientação foi reiterada e aplicada em medidas preventivas, preservado caráter cautelar dos casos.
Redações literais (4 referências em 4 circuitos)
2.31.Os subtópicos 2.1 e 2.2 são preliminares à utilização da hipótese do legítimo interesse. Isso porque a natureza dos dados tem que ser analisada, previamente. Em sendo o caso de dados sensíveis, afasta-se a hipótese do legítimo interesse. Já se for o caso de dados de crianças e adolescentes, o uso da hipótese reclama um filtro avaliativo específico,considerando a necessidade de prevalência do princípio do melhor interesse da criança ou adolescente, conforme previsto no art. 14 da LGPD.
- CD nº 3/2024, p. 8 · Relatoria: Joacil Basílio RaelGuia sobre hipóteses legais de tratamento: legítimo interesse
Hipótese legal que autoriza o tratamento de dados pessoais de natureza não sensível quando necessário ao atendimento de interesses do controlador ou de terceiro, desde que compatíveis com o ordenamento jurídico, lastreados em situações concretas e vinculados a finalidades legítimas, específicas e explícitas, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais, respeitados os direitos e a legítima expectativa do titular.
- CD nº 5/2024, p. 5 · Relatoria: Arthur Pereira SabbatRevisão do glossário de proteção de dados pessoais e privacidade
3.10.A hipótese legal do legítimo interesse, nesse contexto,conforme disposto no Canal de Privacidade do controlador, parece não estar em consonância com as normas brasileiras de proteção de dados pessoais. Isso ocorre uma vez que o tratamento de dados pessoais em virtude do legítimo interesse do controlador ou de terceiros encontra-se fundamentado no art. 7º, IX, da LGPD. Tratase de dispositivo legal aplicável somente a dados pessoais simples,nos termos definidos pelo art. 5º, inciso I, da LGPD, não se podendo legitimar o tratamento de dados pessoais sensíveis com base nesse fundamento.
- CD nº 12/2024, p. 9 · Relatoria: Miriam WimmerMeta: medida preventiva sobre uso de dados pessoais para treinar IA generativa
4.54.Em primeiro lugar, é importante reforçar que a hipótese legal do legítimo interesse não se aplica ao tratamento de dados pessoais sensíveis, conforme estabelecido pela Lei Geral de Proteção de Dados (LGPD), e como sinalizado pelo Voto Nº 11/2024 (SEI nº 0135913).
- CD nº 18/2024, p. 18 · Relatoria: Joacil Basílio RaelMeta: plano de conformidade sobre o treinamento de IA generativa
Legislação aplicável
LGPD
Lei nº 13.709, de 14 de agosto de 2018
Art. 7º O tratamento de dados pessoais somente poderá ser realizado nas seguintes hipóteses:
(...)
IX - quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais; ou
(...)
Art. 11. O tratamento de dados pessoais sensíveis somente poderá ocorrer nas seguintes hipóteses:
I - quando o titular ou seu responsável legal consentir, de forma específica e destacada, para finalidades específicas;
II - sem fornecimento de consentimento do titular, nas hipóteses em que for indispensável para:
a) cumprimento de obrigação legal ou regulatória pelo controlador;
b) tratamento compartilhado de dados necessários à execução, pela administração pública, de políticas públicas previstas em leis ou regulamentos;
c) realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais sensíveis;
d) exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral, este último nos termos da Lei nº 9.307, de 23 de setembro de 1996 (Lei de Arbitragem);
e) proteção da vida ou da incolumidade física do titular ou de terceiro;
f) tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária; ou (Redação dada pela Lei nº 13.853, de 2019)
g) garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos, resguardados os direitos mencionados no art. 9º desta Lei e exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais.
§ 1º Aplica-se o disposto neste artigo a qualquer tratamento de dados pessoais que revele dados pessoais sensíveis e que possa causar dano ao titular, ressalvado o disposto em legislação específica.
§ 2º Nos casos de aplicação do disposto nas alíneas “a” e “b” do inciso II do caput deste artigo pelos órgãos e pelas entidades públicas, será dada publicidade à referida dispensa de consentimento, nos termos do inciso I do caput do art. 23 desta Lei.
§ 3º A comunicação ou o uso compartilhado de dados pessoais sensíveis entre controladores com objetivo de obter vantagem econômica poderá ser objeto de vedação ou de regulamentação por parte da autoridade nacional, ouvidos os órgãos setoriais do Poder Público, no âmbito de suas competências.
§ 4º É vedada a comunicação ou o uso compartilhado entre controladores de dados pessoais sensíveis referentes à saúde com objetivo de obter vantagem econômica, exceto nas hipóteses relativas a prestação de serviços de saúde, de assistência farmacêutica e de assistência à saúde, desde que observado o § 5º deste artigo, incluídos os serviços auxiliares de diagnose e terapia, em benefício dos interesses dos titulares de dados, e para permitir: (Redação dada pela Lei nº 13.853, de 2019)
I - a portabilidade de dados quando solicitada pelo titular; ou (Incluído pela Lei nº 13.853, de 2019)
II - as transações financeiras e administrativas resultantes do uso e da prestação dos serviços de que trata este parágrafo. (Incluído pela Lei nº 13.853, de 2019)
§ 5º É vedado às operadoras de planos privados de assistência à saúde o tratamento de dados de saúde para a prática de seleção de riscos na contratação de qualquer modalidade, assim como na contratação e exclusão de beneficiários. (Incluído pela Lei nº 13.853, de 2019)