Como funciona o teste de legítimo interesse no GDPR pelo artigo 6(1)(f)

O que significa legítimo interesse no GDPR?

O artigo 6(1)(f) é a base do legítimo interesse no GDPR: ele permite que um controlador trate dados pessoais sem pedir consentimento, desde que o tratamento seja necessário para um interesse que o controlador ou um terceiro persegue e que os direitos da própria pessoa não pesem mais que esse interesse. É uma das seis bases legais do artigo 6(1), e é a única que obriga o controlador a pesar o próprio interesse contra o da pessoa. O texto completo, na versão oficial em português do Jornal Oficial publicada no EUR-Lex, diz:

f) O tratamento for necessário para efeito dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros, exceto se prevalecerem os interesses ou direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais, em especial se o titular for uma criança.

Uma segunda frase vem logo abaixo da lista de bases: "O primeiro parágrafo, alínea f), não se aplica ao tratamento de dados efetuado por autoridades públicas na prossecução das suas atribuições por via eletrónica."

Leia a estrutura da alínea f) com atenção. O interesse é o ponto de partida, "necessário" é uma condição, e a exceção, "exceto se prevalecerem os interesses", é onde a ponderação acontece. O artigo nunca lista quais interesses se qualificam. Se você ainda está escolhendo entre as bases, o panorama das seis bases legais do GDPR coloca a alínea f) ao lado do consentimento, do contrato e das demais.

O que o considerando 47 acrescenta ao artigo 6(1)(f)?

O considerando 47 acrescenta a ideia de expectativas razoáveis e dá exemplos de interesses que contam. Considerandos não são vinculantes por si só, mas explicam como os artigos devem ser lidos, e o EDPB cita o considerando 47 quando aplica o artigo 6(1)(f). O considerando 47 começa assim:

Os interesses legítimos dos responsáveis pelo tratamento, incluindo os dos responsáveis a quem os dados pessoais possam ser comunicados, ou de terceiros, podem constituir um fundamento jurídico para o tratamento, desde que não prevaleçam os interesses ou os direitos e liberdades fundamentais do titular, tomando em conta as expectativas razoáveis dos titulares dos dados baseadas na relação com o responsável.

Em seguida, ele cita uma relação de cliente ou de emprego como um cenário em que "Poderá haver um interesse legítimo" e avisa que "Os interesses e os direitos fundamentais do titular dos dados podem, em particular, sobrepor-se ao interesse do responsável pelo tratamento, quando que os dados pessoais sejam tratados em circunstâncias em que os seus titulares já não esperam um tratamento adicional."

Dois exemplos fecham o considerando, e a redação deles é diferente por um motivo. A prevenção de fraude é afirmada com firmeza: "O tratamento de dados pessoais estritamente necessário aos objetivos de prevenção e controlo da fraude constitui igualmente um interesse legítimo do responsável pelo seu tratamento." O marketing direto, não: "Poderá considerar-se de interesse legítimo o tratamento de dados pessoais efetuado para efeitos de comercialização direta." "Poderá considerar-se" é uma permissão para defender o ponto. Não resolve a questão. O considerando 49 acrescenta a segurança da rede e da informação, de novo limitada ao que for feito "na medida estritamente necessária e proporcionada".

O que é o teste em três etapas do legítimo interesse?

O teste em três etapas é o método do EDPB para verificar o artigo 6(1)(f), e as três etapas precisam passar. O Comitê Europeu para a Proteção de Dados (EDPB) o apresentou nas Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR, versão 1.0, adotada em 8 de outubro de 2024 e aberta a comentários públicos de 9 de outubro a 20 de novembro de 2024. A página do EDPB para as diretrizes ainda lista a versão 1.0, o texto da consulta. Nas palavras do comitê:

For processing to be based on Article 6(1)(f) GDPR, three cumulative conditions must be fulfilled: First, the pursuit of a legitimate interest by the controller or by a third party; Second, the need to process personal data for the purposes of the legitimate interest(s) pursued; and Third, the interests or fundamental freedoms and rights of the concerned data subjects do not take precedence over the legitimate interest(s) of the controller or of a third party.

Etapa	Pergunta	O que o EDPB exige
1. Interesse legítimo	O interesse é aceitável, para começo de conversa?	"lawful", "clearly and precisely articulated" e "real and present, and not speculative" (parágrafo 17)
2. Necessidade	Tratar dados pessoais é necessário para ele?	O interesse "cannot reasonably be achieved just as effectively by other means less restrictive" dos direitos da pessoa
3. Ponderação	Os direitos da pessoa prevalecem?	Pesar o impacto, a natureza dos dados, o contexto e as "reasonable expectations", mais eventuais salvaguardas

A etapa de necessidade é um filtro duro. Se um caminho menos invasivo chega ao mesmo objetivo, o resumo executivo das diretrizes do EDPB diz com todas as letras que "the processing may not be based on Article 6(1)(f) GDPR." Contagens agregadas em vez de registros por pessoa, ou um endereço IP truncado em vez do completo, são o tipo de alternativa que essa etapa examina.

O EDPB também rejeita dois hábitos opostos. O parágrafo 9 diz que o artigo 6(1)(f) "cannot be considered as a legal basis 'by default'" e que não deve ser visto como uma "open door" para legitimar tratamentos que não se encaixam em nenhuma outra base. O mesmo parágrafo diz que ele também não é um "last resort". Sobre o momento, o parágrafo 12 diz que a avaliação "should be made at the outset of the processing, with the involvement of the Data Protection Officer (DPO) (if designated), and should be documented by the controller in line with the accountability principle set out in Article 5(2) GDPR." Um teste redigido depois do lançamento não cumpre essa exigência.

Três etapas em sequência

Interesse legítimo identificado

Necessidade confirmada

Teste de ponderação aprovado

O artigo 6(1)(f) se aplica

Que direitos a pessoa mantém sob o legítimo interesse?

A pessoa mantém o direito de oposição, e o tratamento baseado em consentimento não tem nada equivalente. O artigo 21(1) do GDPR diz:

O titular dos dados tem o direito de se opor a qualquer momento, por motivos relacionados com a sua situação particular, ao tratamento dos dados pessoais que lhe digam respeito com base no artigo 6.º, n.º 1, alínea e) ou f), ou no artigo 6.º, n.º 4, incluindo a definição de perfis com base nessas disposições. O responsável pelo tratamento cessa o tratamento dos dados pessoais, a não ser que apresente razões imperiosas e legítimas para esse tratamento que prevaleçam sobre os interesses, direitos e liberdades do titular dos dados, ou para efeitos de declaração, exercício ou defesa de um direito num processo judicial.

A régua depois de uma oposição são "razões imperiosas e legítimas", mais alta que o teste de ponderação comum. Para marketing direto, os artigos 21(2) e 21(3) eliminam a ponderação por completo: quando a pessoa se opõe, "os dados pessoais deixam de ser tratados para esse fim." O artigo 21(4) exige que o direito seja levado ao conhecimento da pessoa "de modo claro e distinto de quaisquer outras informações", e o EDPB acrescenta que o controlador deve informar quais interesses legítimos persegue.

O artigo 5(3) da ePrivacy se aplica separadamente do GDPR?

Sim. O artigo 5(3) da ePrivacy rege o armazenamento ou a leitura de informações no dispositivo do usuário, e se aplica em cima do GDPR, não no lugar dele. O texto consolidado da Diretiva 2002/58/CE no EUR-Lex diz:

Os Estados-Membros asseguram que o armazenamento de informações ou a possibilidade de acesso a informações já armazenadas no equipamento terminal de um assinante ou utilizador só sejam permitidos se este tiver dado o seu consentimento prévio com base em informações claras e completas, nos termos da Directiva 95/46/CE, nomeadamente sobre os objectivos do processamento. Tal não impede o armazenamento técnico ou o acesso que tenha como única finalidade efectuar a transmissão de uma comunicação através de uma rede de comunicações electrónicas, ou que seja estritamente necessário ao fornecedor para fornecer um serviço da sociedade da informação que tenha sido expressamente solicitado pelo assinante ou pelo utilizador.

O artigo 5(3) não contém nenhum fundamento de legítimo interesse. A regra padrão é o consentimento, com duas exceções: a transmissão e o que for "estritamente necessário" para um serviço "expressamente solicitado" pelo usuário. O Tribunal de Justiça decidiu no caso Planet49 (C-673/17, 1 de outubro de 2019) que essa proteção "aplica-se a todas as informações armazenadas nesse equipamento terminal, independentemente de se tratar ou não de dados pessoais", passagem que o EDPB cita nas suas Guidelines 2/2023 sobre o alcance técnico do artigo 5(3). As Guidelines 1/2024 dizem no parágrafo 11 que são "without prejudice to" a Diretiva ePrivacy. Então um controlador que define um cookie não isento precisa de consentimento para o cookie pelo artigo 5(3), qualquer que seja a base do artigo 6 que ele escolha para os dados que vêm depois.

O analytics de sites pode se apoiar no legítimo interesse?

Se o analytics de sites pode se apoiar no legítimo interesse é uma questão em aberto, e a resposta depende de qual das duas camadas você tem em mente. A camada do dispositivo é o artigo 5(3). A camada do tratamento é o artigo 6. Uma ferramenta precisa passar pelas duas.

Na camada do dispositivo, o EDPB lê o artigo 5(3) de forma ampla. As Guidelines 2/2023, versão 2.0 adotada em 7 de outubro de 2024, dizem no parágrafo 51 que, quando um pixel de rastreamento é montado por "client-side applicative logic (usually a JavaScript code)", a coleta dos identificadores "constitutes a 'gaining of access'". Reguladores nacionais foram mais longe na direção oposta. A CNIL, da França, afirma que "subject to a number of conditions, cookies used for audience measurement are exempt from consent", entre elas limitar a finalidade à medição de audiência, truncar "the last byte of the IP address" e limitar a vida útil do rastreador a 13 meses. O Reino Unido escreveu uma exceção de opt-out na lei: o Schedule 12 do Data (Use and Access) Act 2025, em vigor desde 5 de fevereiro de 2026, permite que um serviço armazene ou acesse informações "for statistical purposes about how the service is used with a view to making improvements to the service" se os usuários receberem informações claras e "a simple means of objecting". O Reino Unido está fora da UE, e o próprio artigo 5(3) não contém esse texto.

Na camada do tratamento, o EDPB é cético quando há rastreamento envolvido. Ao tratar de marketing direto, o parágrafo 115 das Guidelines 1/2024 diz que, quando o consentimento do artigo 5(3) é necessário, o consentimento "will likely constitute the appropriate legal basis both for storing and gaining access to information already stored on the user's device and for the subsequent processing of personal data", "thus normally precluding reliance on Article 6(1)(f) in this context." O parágrafo 120 diz que o teste de ponderação "would hardly yield" um resultado positivo para "intrusive profiling and tracking practices for marketing purposes, for example those that involve tracking individuals across multiple websites, locations, devices or services."

Configuração	Camada do dispositivo (artigo 5(3))	Camada do tratamento (artigo 6)
Rastreamento entre sites e perfis para anúncios	Consentimento	EDPB: a ponderação "would hardly yield" aprovação
Cookies de audiência primários, condições da CNIL atendidas	CNIL: isento; texto do artigo 5(3): nenhuma exceção para analytics	Legítimo interesse defendido, teste ainda exigido
Nada armazenado ou acessado no dispositivo, dados pessoais tratados	Não acionado	Legítimo interesse possível com um teste documentado
Nenhum dado pessoal tratado	Depende do acesso ao dispositivo	O GDPR não se aplica

Um ponto vale para todos os lados: quanto menos identificadores uma ferramenta manipula, mais fácil fica cada etapa do teste, e a questão de se o analytics precisa mesmo de consentimento depende primeiro do que o script faz no dispositivo. Um banner de cookies responde à pergunta do artigo 5(3). Não responde à do artigo 6. Se um IP truncado ou um identificador com hash ainda conta como dado pessoal é outra pergunta, tratada no texto sobre o que conta como PII.

Perguntas frequentes

O legítimo interesse é mais fácil que o consentimento?

Não, na leitura do EDPB. As Guidelines 1/2024 dizem que o artigo 6(1)(f) não deve ser escolhido "on the basis of a perception that Article 6(1)(f) GDPR is less constraining than other legal bases." O consentimento exige um opt-in válido. O legítimo interesse exige uma avaliação documentada em três etapas feita antes do tratamento e um direito de oposição respeitado.

A avaliação de legítimo interesse precisa ser registrada por escrito?

O EDPB diz que ela deve ser documentada, citando o princípio da responsabilidade do artigo 5(2) do GDPR. O artigo 5(2) diz que o responsável pelo tratamento "é responsável pelo cumprimento do disposto no n.º 1 e tem de poder comprová-lo", e um teste de ponderação que não foi escrito é difícil de comprovar.

Uma autoridade pública pode usar o legítimo interesse?

Não para as suas atribuições oficiais. O artigo 6(1) afirma que a alínea f) "não se aplica ao tratamento de dados efetuado por autoridades públicas na prossecução das suas atribuições por via eletrónica." Essas autoridades se apoiam no artigo 6(1)(e), o tratamento de interesse público, que precisa de base no direito da União ou de um Estado-Membro.

Marketing direto é sempre um legítimo interesse?

Não. O considerando 47 diz que "Poderá considerar-se de interesse legítimo o tratamento de dados pessoais efetuado para efeitos de comercialização direta", o que mantém o teste em três etapas de pé. Marketing por e-mail e SMS também cai no artigo 13 da Diretiva ePrivacy, que o EDPB lê como exigindo consentimento prévio fora da exceção para clientes existentes.

O legítimo interesse pode substituir o consentimento para cookies?

Não. O artigo 5(3) da ePrivacy estabelece sua própria regra de consentimento para armazenar ou ler informações em um dispositivo, com apenas as exceções de transmissão e de estrita necessidade. Uma base legal do GDPR pelo artigo 6 cobre o tratamento dos dados pessoais depois disso e não faz as vezes do consentimento do artigo 5(3).

As diretrizes do EDPB sobre legítimo interesse são definitivas?

O texto publicado é a versão 1.0, adotada em 8 de outubro de 2024 e submetida a consulta pública até 20 de novembro de 2024. A página do EDPB para as Guidelines 1/2024 ainda lista a versão 1.0. Confira essa página antes de citar as diretrizes em uma avaliação formal, já que uma versão revisada a substituiria.

Que exemplos de legítimo interesse o GDPR dá?

O considerando 47 cita a relação com um cliente ou um funcionário como um contexto em que o legítimo interesse poderia existir, e o considerando 49 acrescenta a segurança de redes e da informação, limitada ao que é estritamente necessário e proporcional. A prevenção de fraude recebe a formulação mais firme: o considerando 47 afirma que ela "constitui igualmente um interesse legítimo", sem ressalvas. O marketing direto recebe uma formulação mais fraca, apenas que "Poderá considerar-se" de interesse legítimo, o que deixa o teste em três etapas decidir caso a caso.

Posso me opor ao tratamento baseado em legítimo interesse?

O artigo 21(1) dá à pessoa o direito de se opor a qualquer momento ao tratamento baseado no artigo 6(1)(f), e o controlador deve parar, a menos que apresente "razões imperiosas e legítimas" que prevaleçam sobre os direitos da pessoa, um patamar mais alto que a ponderação comum. No marketing direto, os artigos 21(2) e 21(3) eliminam essa ponderação por completo: assim que a pessoa se opõe, os dados não podem mais ser tratados para essa finalidade. O artigo 21(4) exige que o controlador sinalize esse direito de forma clara e separada de qualquer outra informação.

O legítimo interesse pode ser usado quando nenhuma outra base legal se encaixa?

O parágrafo 9 das Guidelines 1/2024 do EDPB descarta isso diretamente: o artigo 6(1)(f) "cannot be considered as a legal basis 'by default'" e não é uma "open door" para tratamento que não se encaixa em nenhuma outra base. O mesmo parágrafo também rejeita o hábito oposto, tratá-lo como "last resort". Cada uso ainda precisa do seu próprio teste em três etapas documentado.

Cookies de medição de audiência ficam isentos de consentimento?

O próprio artigo 5(3) não traz nenhuma isenção para cookies analíticos, mas a CNIL francesa permite uma sob condições: a finalidade limitada à medição de audiência, o último byte do endereço IP truncado, e a vida útil do rastreador limitada a 13 meses. O Reino Unido seguiu outro caminho e escreveu uma isenção de opt-out no Schedule 12 do Data (Use and Access) Act 2025, que permite a um serviço armazenar ou acessar informações estatísticas sobre o uso se as pessoas receberem informação clara e um meio simples de se opor. Essa isenção britânica fica fora do direito da UE, já que o Reino Unido não faz mais parte dela.