Interesse legítimo no RGPD: os 3 passos de verificação

O interesse legítimo é o fundamento jurídico em que muitas empresas assentam o marketing e as vendas. Parece cómodo, porque não são precisos banner nem assinatura. Mas é também o fundamento que dá mais trabalho próprio: tem de verificar, ponderar e poder comprovar o resultado. Este artigo explica a regra, os três passos de verificação e os obstáculos típicos.

O que diz a regra

O art. 6.º, n.º 1, alínea f) do RGPD permite o tratamento de dados pessoais quando é «necessário para efeito dos interesses legítimos» do responsável pelo tratamento ou de terceiros. Isto só vale se não prevalecerem os interesses ou os direitos fundamentais do titular que exijam a proteção dos seus dados. As autoridades públicas não podem invocá-lo no exercício das suas funções. O texto encontra-o no RGPD no EUR-Lex.

O fundamento é um de seis com o mesmo estatuto. Não tem prioridade sobre o consentimento e não é uma rede de segurança quando o consentimento falta. Onde a lei exige consentimento para uma operação, a alínea f) não o pode substituir. Isto vale sobretudo para o acesso ao dispositivo terminal, mais sobre isso em Consentimento ou interesse legítimo: como decidir.

Os três passos de verificação

O Tribunal de Justiça da União Europeia examina a regra em três fases, que têm de estar todas preenchidas. Formulou-o assim, entre outros, no acórdão de 4 de outubro de 2024 (TJUE, C-621/22, Koninklijke Nederlandse Lawn Tennisbond).

Fase 1: o interesse. Tem de ser lícito, claramente identificado e realmente existente. No acórdão referido, o TJUE esclareceu que também um interesse económico pode ser um interesse legítimo, desde que não viole o direito. O considerando 47 refere expressamente o marketing direto como possível interesse legítimo.

Fase 2: a necessidade. Aqui pergunta se existe um meio menos intrusivo. Se alcançar um objetivo com menos dados, tem de usar menos dados. Se lhe basta a empresa, não precisa de uma pessoa. É o princípio da minimização de dados do art. 5.º, n.º 1, al. c) do RGPD.

Fase 3: a ponderação. Compara o seu interesse com os interesses dos titulares. O critério é, segundo o considerando 47, as expectativas razoáveis dos titulares, decorrentes da sua relação consigo. Quem é cliente conta com uma newsletter sobre produtos semelhantes. Quem visitou uma página uma só vez não conta com um dossiê. Quanto mais sensíveis os dados e mais profunda a intrusão, mais provável é que a ponderação lhe seja desfavorável.

Exemplos de marketing e vendas

Os casos seguintes mostram o leque. Se se sustentam num caso concreto depende das circunstâncias. O enquadramento não é uma garantia.

• Publicidade postal a clientes existentes. Considerada muitas vezes defensável, porque os clientes contam com ela. O direito da concorrência tem de ser adicionalmente respeitado.
• Prevenção de fraude e segurança informática. O considerando 47 refere a prevenção da fraude como interesse legítimo. As empresas fundamentam muitas vezes nisso os registos para defesa contra ataques.
• Atribuição de empresas no website. Quem apenas consulta o titular da rede de um endereço IP trata pouco e tem um objetivo claro. Se um endereço IP é pessoal num caso concreto, explica-o Endereço IP e RGPD: é um dado pessoal?.
• Perfis de pessoas individuais a partir de dados comprados. Aqui a ponderação torna-se difícil, porque os titulares não contam com isso.

Para a abordagem após a visita a um website, ao RGPD junta-se o direito da concorrência. O que se aplica em cada país, está em Prospeção a frio no B2B: o que é permitido em DE, AT e CH.

Documentação: o ónus da prova é seu

Nos termos do art. 5.º, n.º 2 do RGPD, tem de poder comprovar o cumprimento dos princípios. Para a alínea f), isso significa na prática:

1. Identifique o interesse numa frase.
2. Registe porque não é possível com menos dados.
3. Escreva a ponderação com os argumentos principais, com data e responsável.
4. Inclua o tratamento no seu registo nos termos do art. 30.º do RGPD, na medida em que seja obrigatório.
5. Indique o interesse legítimo na política de privacidade. O art. 13.º, n.º 1, al. d) do RGPD exige, neste fundamento, a indicação dos interesses.
6. Reveja a ponderação quando mudarem a finalidade, os dados ou a técnica.

Oposição nos termos do art. 21.º

Quem se baseia na alínea f) tem de conceder um direito de oposição. Existem dois casos (art. 21.º do RGPD):

• Oposição geral (n.º 1). A pessoa pode opor-se por motivos relacionados com a sua situação particular. Tem então de cessar o tratamento, a não ser que demonstre razões imperiosas e legítimas que prevaleçam.
• Oposição ao marketing direto (n.os 2 e 3). Aqui não é preciso fundamentar. Após uma oposição, os dados já não podem ser tratados para publicidade.

Nos termos do n.º 4, tem de chamar expressamente a atenção para este direito, o mais tardar na primeira comunicação, de forma compreensível e separada de outras informações.

Perguntas frequentes

Com interesse legítimo, não preciso de informar os titulares? Precisa. As obrigações de informação dos arts. 13.º e 14.º do RGPD aplicam-se também nesse caso. Neste fundamento acresce que tem de indicar os interesses legítimos.

O interesse legítimo basta para cookies e scripts de rastreamento? Para o acesso ao dispositivo terminal, em regra não. Aplica-se aí, na Alemanha, o § 25 TDDDG e, na Áustria, o § 165 Abs. 3 TKG 2021, que exigem em princípio consentimento. O fundamento do RGPD diz respeito apenas ao tratamento subsequente. Mais sobre isto em § 25 TDDDG: cookies e rastreamento na Alemanha.

Tenho de registar a ponderação por escrito? O RGPD não prescreve uma forma fixa. Por causa da obrigação de prova do art. 5.º, n.º 2, uma documentação escrita é, porém, o caminho seguro.