A diferença entre consentimento, interesse legítimo e necessidade contratual

A diferença entre consentimento, interesse legítimo e necessidade contratual

O GDPR não se resume a pedir que usuários aceitem cookies. Antes de coletar ou usar dados pessoais, uma empresa precisa de uma base legal para o tratamento. Três bases são frequentemente confundidas: consentimento, interesse legítimo e necessidade contratual.

Todas podem ser válidas no contexto certo, mas não são intercambiáveis. A base escolhida afeta o que você informa às pessoas, quais direitos elas têm e como o banner de cookies ou a Plataforma de Gestão de Consentimento deve funcionar.

---

O que é uma base legal?

O GDPR exige uma base legal antes do tratamento de dados pessoais. A visão geral do European Data Protection Board lista seis: consentimento, contrato, obrigação legal, interesses vitais, interesse público e interesses legítimos. A escolha deve partir da finalidade, não ser feita depois da coleta.

---

Consentimento

Consentimento é uma manifestação livre, específica, informada e inequívoca para o tratamento de dados. A orientação do ICO sobre consentimento válido explica que ele exige uma ação afirmativa clara.

É comum quando existe escolha e controle reais: opt-ins de e-mail marketing, cookies analíticos opcionais, cookies de publicidade, pixels de retargeting, rastreamento comportamental, newsletters e compartilhamento opcional com ferramentas de marketing de terceiros.

Ele não deve ser forçado, escondido em termos não relacionados, agrupado ou presumido pelo silêncio. Caixas pré-marcadas, linguagem vaga e “ao continuar navegando” não são modelos fortes. Retirar o consentimento também deve ser fácil. O CookiePal pode apoiar banners, análise e bloqueio automático quando cookies não essenciais precisam aguardar o consentimento.

---

Interesse legítimo

O interesse legítimo pode se aplicar quando a organização tem interesse genuíno e lícito, o tratamento é necessário para essa finalidade e os direitos e liberdades da pessoa não prevalecem. O ICO descreve uma avaliação de interesses legítimos em três partes: teste de finalidade, necessidade e balanceamento.

Conforme o contexto, ele pode servir para atividades de baixo risco como prevenção a fraude, segurança do site, administração interna, certas comunicações B2B, análises limitadas ou prevenção de abuso. Não é um atalho para evitar consentimento. Cookies de rastreamento, pixels de anúncios, retargeting e tecnologias semelhantes ainda podem exigir consentimento para cookies, mesmo que exista um interesse legítimo sob o GDPR. O usuário também tem direito de se opor.

---

Necessidade contratual

Ela se aplica quando o tratamento é necessário para executar um contrato com a pessoa ou tomar medidas pré-contratuais específicas solicitadas por ela. A orientação do ICO sobre contrato como base legal explica que o tratamento deve ser realmente necessário para entregar o contrato ou a etapa solicitada.

Exemplos incluem endereço para enviar um pedido, pagamento para concluir uma compra, conta solicitada pelo usuário, mensagens de serviço, detalhes de reserva ou contato para responder a uma cotação solicitada. Não amplie essa base para objetivos comerciais gerais: um e-mail de confirmação não torna newsletters promocionais necessárias, e cookies analíticos não são necessários para alguém ler um site.

---

Comparação das três bases

| Base legal | Mais indicada para | Controle do usuário | | --- | --- | --- | | Consentimento | Tratamento opcional com escolha real | Pode retirar o consentimento | | Interesse legítimo | Interesses comerciais necessários, justos e equilibrados | Pode se opor | | Necessidade contratual | Tratamento necessário para contrato ou etapa solicitada | Vinculado à prestação do serviço |

Se o tratamento é opcional, consentimento pode ser a base adequada. Se é necessário para um interesse equilibrado, interesse legítimo pode se aplicar. Se é realmente necessário para o serviço solicitado, pode haver necessidade contratual.

---

Efeito nos banners de cookies

Banners de cookies tratam de cookies e tecnologias semelhantes, não de todo tratamento de dados. Ainda assim, a base por trás do rastreamento importa. Cookies estritamente necessários podem não exigir consentimento, mas devem ser explicados. Analytics, publicidade, retargeting e formação de audiência normalmente precisam de consentimento antes de serem executados. Chat ao vivo e vídeo incorporado também podem precisar, conforme funcionam.

A orientação do ICO sobre cookies explica que o consentimento pode ser exigido para armazenar ou acessar informações no dispositivo, salvo isenção.

---

Erros comuns

Usar interesse legítimo porque as taxas de consentimento são baixas

Taxas baixas não mudam a base legal. Ela depende da finalidade e do contexto, não do resultado desejado.

Chamar marketing de contratual

Uma pessoa pode precisar de conta ou recibo, mas não costuma precisar de e-mails promocionais ou retargeting para receber o serviço.

Pedir consentimento quando não há escolha real

Se o tratamento for genuinamente necessário para fornecer o serviço, consentimento talvez não seja a base adequada.

Misturar finalidades

Segurança, prestação do serviço, analytics, marketing e personalização são finalidades distintas. Não as agrupe em uma frase vaga.

---

Checklist prático

Antes de escolher a base, pergunte quais dados são tratados, qual a finalidade exata, se é opcional ou necessário, se há cookies envolvidos, se existe escolha real e expectativa razoável, se é possível usar menos dados, quais direitos se aplicam e se a política de privacidade e o banner refletem a configuração real.

---

Conclusão

Consentimento, interesse legítimo e necessidade contratual resolvem problemas diferentes. Consentimento é para uma escolha genuína; interesse legítimo exige necessidade e equilíbrio justo; necessidade contratual é para o tratamento realmente necessário ao contrato ou pedido. Para cookies, publicidade, analytics e marketing, separe as finalidades e faça a explicação, as escolhas e o comportamento do site corresponderem.