A licitude do tratamento depende de escolher um fundamento do artigo 6.º do RGPD que corresponda à finalidade e à relação concreta com a pessoa. As seis bases são consentimento, execução de contrato, obrigação legal, interesses vitais, funções de interesse público ou autoridade pública e interesses legítimos. Não existe uma hierarquia geral que torne o consentimento superior, nem uma regra que permita usá-lo para corrigir qualquer tratamento problemático.
A decisão deve ser tomada antes de começar e refletir-se na informação prestada, nos sistemas e na resposta aos direitos. Este guia propõe um percurso prático de escolha, com exemplos hipotéticos e condições relevantes em Portugal. O objetivo é produzir uma decisão justificável por finalidade. Assinalar uma opção numa lista, sem explicar a necessidade dos dados e a situação do titular, deixa por resolver a parte essencial da análise.
Começar pela finalidade e pela pessoa, não pelo formulário
Descreva o resultado que pretende obter de forma suficientemente precisa para testar a necessidade do tratamento. «Gestão da atividade» pode abranger vendas, recrutamento, publicidade e controlo de acessos, que exigem análises diferentes. Identifique depois a pessoa a quem os dados dizem respeito. Um contrato com uma sociedade não é automaticamente um contrato com o trabalhador cujo endereço profissional consta da ficha de cliente.
Faça também a distinção entre operações que partilham os mesmos dados. Um endereço eletrónico pode ser necessário para responder a um pedido, receber uma fatura ou enviar uma campanha. O facto de já o possuir não fornece uma autorização geral para todas essas utilizações. A nova finalidade precisa de análise própria, incluindo compatibilidade quando relevante, transparência e regras especiais aplicáveis ao canal escolhido.
A minimização continua a valer depois de encontrar uma base. Se consegue executar o serviço sem uma data de nascimento completa, deve questionar por que razão a recolhe. A base de licitude também não elimina as obrigações de segurança, conservação e prestação de informação. O RGPD combina estes requisitos: a existência de uma obrigação legal para certos dados não torna ilimitados o acesso interno ou o período de utilização.
1. Consentimento: uma escolha real para uma finalidade definida
O consentimento exige uma manifestação livre, específica, informada e inequívoca. O responsável deve poder demonstrá-la e permitir que seja retirada tão facilmente como foi prestada. Não confunda conhecimento da política de privacidade com autorização. Uma pessoa pode precisar de ler a política para compreender o serviço sem ter de consentir em todas as operações descritas, algumas das quais podem apoiar-se noutra base.
A CNPD explica as condições do consentimento e a necessidade de avaliar se existe uma verdadeira liberdade de escolha. Uma relação de dependência pode tornar essa liberdade problemática. No contexto laboral, por exemplo, uma assinatura não demonstra, só por si, que recusar não terá consequências. Antes de escolher esta base, verifique se a pessoa pode dizer não ou retirar a escolha sem prejuízos que comprometam a liberdade do consentimento.
Separe finalidades independentes e não apresente opções pré-assinaladas como prova de uma escolha ativa. Para uma subscrição voluntária, registe a informação mostrada, a ação da pessoa, a data e o âmbito da autorização, evitando recolher provas excessivas. Os exemplos de consentimento RGPD ajudam a ligar o texto do pedido ao mecanismo técnico de retirada. Uma autorização vaga para «parceiros» e «outros fins» não permite perceber o alcance da decisão.
Se o consentimento for retirado, a licitude do tratamento anterior não é afetada, mas a utilização que dele dependia deve cessar. Não mude retroativamente para interesse legítimo apenas para continuar a mesma atividade contra a vontade expressa. Pode existir outra finalidade autónoma, como conservar prova limitada de uma escolha ou cumprir uma obrigação legal, mas deve ter fundamento, necessidade, informação e duração próprios. Isso não autoriza manter todo o tratamento original.
2. Contrato: necessidade objetiva e relação com o titular
O artigo 6.º, n.º 1, alínea b), aplica-se ao tratamento necessário à execução de um contrato no qual o titular é parte, ou a diligências pré-contratuais a seu pedido. A palavra decisiva é «necessário». Inserir uma utilização nos termos gerais não a torna indispensável à prestação principal. Analise se o serviço pode ser executado de maneira efetiva sem essa operação e quais as expectativas razoáveis decorrentes do seu objeto.
Numa compra feita por uma pessoa singular, o endereço de entrega pode ser necessário para enviar o produto. O uso do histórico para publicidade comportamental não se torna contratualmente necessário por ser conveniente ao vendedor. Num pedido de orçamento apresentado pela própria pessoa, certas informações podem ser necessárias para responder. Já a prospeção que a organização inicia por sua conta não é uma diligência pré-contratual solicitada pelo titular.
Nos contratos entre empresas, avalie separadamente os dados dos representantes e trabalhadores. Pode existir um interesse legítimo em gerir a relação comercial, com os testes adequados, ou uma obrigação legal para elementos específicos. Não escreva que todos os dados de uma conta empresarial assentam em execução contratual sem verificar quem é parte. Esta distinção evita que a política prometa uma base que não corresponde às pessoas efetivamente abrangidas.
Também importa separar a execução atual do contrato da conservação posterior. Depois de terminar uma prestação, algumas informações podem continuar necessárias por imposição legal ou para uma finalidade defensiva devidamente fundamentada. Documente a mudança de contexto e limite o tratamento. A expressão «contrato» não justifica, por si só, manter indefinidamente documentos de antigos clientes disponíveis para todas as equipas comerciais.
3. Obrigação legal: identificar a norma e o seu alcance
A alínea c) exige que o tratamento seja necessário ao cumprimento de uma obrigação jurídica a que o responsável esteja sujeito. O artigo 6.º, n.º 3, enquadra o fundamento no direito da União ou do Estado-Membro aplicável. Uma política interna, uma recomendação comercial ou uma cláusula imposta por um cliente não se convertem automaticamente nessa obrigação. Registe a norma pertinente e explique quais os dados e operações que ela efetivamente exige.
A emissão e conservação de determinados documentos contabilísticos pode ilustrar esta base, mas o prazo e a informação obrigatória dependem do regime e documento concretos. Não transforme um prazo encontrado para uma categoria numa regra para toda a base de clientes. A organização deve conseguir ligar a obrigação a um conjunto de dados delimitado e indicar quem precisa de acesso para a executar.
Quando uma pessoa pede apagamento, a existência dessa obrigação pode justificar a manutenção dos elementos abrangidos enquanto necessário. Não significa recusar qualquer eliminação no mesmo sistema. Separe documentos sujeitos a conservação de preferências comerciais, contactos desatualizados ou duplicados sem necessidade própria. Uma base bem delimitada facilita respostas parciais justificadas e evita que a equipa invoque «a lei» sem conseguir dizer qual é a norma ou o que exige.
4. Interesses vitais: proteger a vida em situações delimitadas
A alínea d) permite tratamento necessário para proteger interesses vitais do titular ou de outra pessoa singular. Não é uma base genérica para melhorar a conveniência, reduzir custos ou prevenir qualquer risco empresarial. Num contexto de emergência, poderá ser necessário comunicar informações essenciais para proteger uma vida. Documente o perigo, os dados estritamente necessários e a razão pela qual a atuação não podia seguir o processo habitual.
Se estiverem em causa dados de saúde ou outras categorias especiais, o artigo 6.º não basta. O artigo 9.º exige uma condição adicional; a exceção de interesses vitais do artigo 9.º, n.º 2, alínea c), pressupõe que o titular esteja física ou legalmente incapaz de dar consentimento. Não transponha essa condição para todas as aplicações do artigo 6.º, nem use a base como autorização permanente para manter um ficheiro de saúde preventivo.
Uma operação inicialmente necessária numa emergência pode deixar de o ser quando a situação muda. Reavalie acessos, conservação e comunicações posteriores. O facto de a recolha inicial ter sido lícita não resolve automaticamente a utilização para formação, estatística identificável ou avaliação de desempenho. Essas finalidades devem ser analisadas autonomamente e, quando possível, executadas sem dados pessoais identificáveis.
5. Interesse público ou autoridade pública: uma missão com fundamento
A alínea e) exige necessidade para o exercício de funções de interesse público ou da autoridade pública investida no responsável. Não basta que a organização considere o seu projeto socialmente benéfico. O fundamento deve decorrer do direito da União ou de um Estado-Membro nos termos do artigo 6.º, n.º 3. Identifique a missão, os poderes ou atribuições pertinentes e a relação entre eles e a operação proposta.
Uma entidade pública também não deve atribuir automaticamente esta base a qualquer atividade que realize. A gestão de pessoal, a prestação de serviços e a divulgação de informação podem ter fundamentos específicos. A análise do RGPD nos municípios e no setor público ajuda a separar atribuições legais e escolhas organizativas. A entidade precisa de demonstrar necessidade e proporcionalidade mesmo quando prossegue uma finalidade legítima de interesse público.
Esta base não está reservada, de forma absoluta, a organizações com determinada forma jurídica. Pode existir uma missão legalmente confiada a outra entidade, desde que as condições estejam preenchidas. O ponto de partida é o enquadramento jurídico da função, e não a forma como a organização se apresenta. As autoridades públicas não podem recorrer à alínea f) para tratamentos realizados no exercício das suas atribuições.
6. Interesse legítimo: três testes, sem presumir o resultado
A alínea f) exige identificar um interesse legítimo do responsável ou de terceiro, demonstrar a necessidade do tratamento e ponderar se prevalecem os interesses ou direitos e liberdades fundamentais do titular. O interesse deve ser concreto, lícito e efetivo; «melhorar o negócio» é demasiado amplo para permitir uma análise útil. Registe quem beneficia e qual o objetivo específico, como proteger determinados acessos contra utilização abusiva.
No teste de necessidade, compare alternativas razoavelmente eficazes e menos intrusivas. Se a prevenção de acessos indevidos puder ser feita com menos dados ou menor conservação, explique a opção escolhida. Na ponderação, considere natureza dos dados, contexto, expectativas razoáveis, relação com a pessoa e possíveis consequências. A proteção das crianças merece atenção especial, mas o teste não se reduz a verificar a idade.
Medidas de proteção podem reduzir o impacto, mas não corrigem uma finalidade ilícita nem uma recolha desnecessária. Permitir oposição ou limitar os acessos pode contribuir para a avaliação; nenhuma dessas medidas garante um resultado favorável em todos os casos. A página sobre interesse legítimo no RGPD desenvolve a documentação desta ponderação. A informação ao titular deve identificar o interesse prosseguido, além do nome da base.
Marketing em Portugal: o artigo 6.º não substitui a regra do canal
O marketing direto exige verificar também a Lei n.º 41/2004, artigo 13.º-A. Para comunicações eletrónicas não solicitadas dirigidas a pessoas singulares, o regime prevê consentimento prévio e expresso, com uma exceção delimitada para contactos obtidos de clientes no contexto de uma venda. Essa exceção respeita a produtos ou serviços próprios análogos e exige recusa gratuita e fácil na recolha e em cada mensagem, nas condições legais.
Por isso, uma ponderação de interesse legítimo não elimina uma exigência de consentimento estabelecida para o envio eletrónico. Avalie conjuntamente a licitude do tratamento e a autorização para o canal. Uma lista de contactos comprada não se transforma numa lista de clientes próprios, e uma relação comercial anterior não autoriza campanhas sobre qualquer produto de qualquer parceiro. Os factos que sustentam uma exceção devem ser demonstráveis.
Além disso, a oposição a marketing direto tem um efeito específico: após a oposição, os dados deixam de poder ser tratados para essa finalidade, incluindo a definição de perfis relacionada. Não cabe continuar a campanha mediante uma nova ponderação de interesses. O guia do direito de oposição ao marketing ajuda a organizar a supressão nos sistemas e a comunicação da escolha a quem envia mensagens por conta do responsável.
Percurso de decisão e prova a conservar
Comece por escrever a finalidade, as pessoas abrangidas e os dados necessários. Procure depois uma obrigação ou missão legal que realmente corresponda à operação; verifique se existe necessidade contratual com o próprio titular ou uma situação de interesses vitais. Quando considerar consentimento ou interesse legítimo, aplique os respetivos requisitos, sem tratar um deles como uma reserva automática. Se nenhuma base for adequada, a solução pode ser alterar ou abandonar o tratamento.
Para cada decisão, conserve o fundamento, os factos relevantes, as alternativas consideradas, o responsável pela análise e a versão da informação apresentada. Pode ligar esse documento ao registo de atividades de tratamento. A base de licitude não é um campo expressamente enumerado como obrigatório pelo artigo 30.º, mas documentá-la facilita a responsabilidade demonstrável e a coerência com os artigos 13.º e 14.º. Não confunda esta recomendação prática com a lista legal de campos do registo.
A política de privacidade do site deve reproduzir o resultado de forma compreensível. Se o registo interno disser contrato e o formulário pedir consentimento para a mesma operação, investigue a divergência. Um software de apoio à conformidade RGPD pode organizar versões e responsáveis, mas não decide sozinho a necessidade jurídica nem valida uma base escolhida incorretamente.
Direitos e alterações posteriores
Os direitos não são uma tabela automática em que uma base permite tudo e outra impede tudo. A portabilidade, por exemplo, depende de consentimento ou contrato e de tratamento automatizado, e abrange dados fornecidos pelo titular nas condições do artigo 20.º. Dados de terceiros presentes num conjunto exigem salvaguardas para não afetar adversamente os seus direitos; dados inferidos não se equiparam simplesmente aos fornecidos. O apagamento também depende dos requisitos e exceções do artigo 17.º.
Se a finalidade ou o enquadramento mudar, faça uma nova análise antes da alteração. Não reescreva o histórico para aparentar que sempre existiu uma base diferente. Uma alteração genuína pode exigir nova informação e medidas operacionais, sem legitimar retroativamente utilizações anteriores. A transparência prevista no artigo 12.º ajuda a organizar comunicações claras e respostas consistentes. O cumprimento deve poder ser demonstrado, incluindo perante a avaliação descrita no guia de coimas da CNPD, sem presumir uma sanção ou um resultado concreto.
Perguntas frequentes
Uma base do artigo 6.º basta para tratar dados de saúde?
Não. É necessário verificar também uma condição do artigo 9.º e quaisquer regras nacionais ou setoriais aplicáveis. O guia sobre dados sensíveis no artigo 9.º explica essa camada adicional. A necessidade de prestar um serviço não elimina a proteção especial, e chamar «contrato» à relação não torna lícito recolher qualquer informação de saúde.
Posso indicar várias bases na mesma política?
Pode haver bases diferentes para finalidades diferentes, desde que a correspondência seja clara. O problema é apresentar alternativas indeterminadas para a mesma operação, sem assumir qual a justificação aplicável. Descreva separadamente, por exemplo, execução da encomenda, conservação legal de documentos e subscrição voluntária. Isso permite à pessoa compreender as consequências de cada decisão e exercer os direitos pertinentes.
O interesse legítimo dispensa informar as pessoas?
Não. A informação aplicável deve incluir o interesse prosseguido e os direitos relevantes, salvo uma exceção legal devidamente verificada. A ponderação é uma análise do responsável, não um substituto da transparência. Também precisa de revisão quando mudam a finalidade, as categorias de dados ou o impacto. Uma avaliação antiga não cobre automaticamente todas as utilizações futuras da mesma base de contactos.