Quando o legítimo interesse vira passivo judicial

Contexto

Uma empresa de médio porte atuante no segmento de serviços ao consumidor final, com operação nacional e base de contatos estimada em dezenas de milhares de titulares, utilizava dados pessoais em campanhas de marketing direto: e-mail, SMS e comunicações segmentadas por perfil de consumo. O tratamento era contínuo, automatizado e central para a estratégia de retenção e aquisição de clientes.

A empresa não operava num setor regulado com exigências específicas de privacidade além da LGPD, o que, na prática, reduziu internamente a percepção de risco. O departamento jurídico havia orientado o uso do legítimo interesse como base legal para as campanhas, entendimento comum no mercado, mas que, neste caso, não foi acompanhado por nenhum instrumento formal de suporte. Não havia política escrita de marketing, não havia registro de avaliação de impacto da atividade, não havia canal de opt-out acessível.

Um titular acionou a empresa na esfera cível. O processo tramitou, a empresa apresentou defesa sustentando o legítimo interesse como fundamento, e o juízo julgou a ação procedente: reconheceu o dano moral sofrido pelo titular e determinou a cessação imediata do tratamento dos dados para fins de marketing.

O que estava em jogo não era apenas uma sentença. Era a demonstração, em sede judicial, de que invocar uma base legal sem documentá-la vale o mesmo que não tê-la.

A falha

O caso expõe uma arquitetura de conformidade incompleta: a empresa conhecia a LGPD, adotou uma base legal plausível e, ainda assim, foi condenada. O problema não foi ignorância, foi a ausência de governança sobre o que já havia sido decidido. Cada falha possui ancoragem direta nos artigos da lei.

Ausência de LIA: art. 10, §§ 1º e 2º, da LGPD

O art. 10 da LGPD autoriza o tratamento com base no legítimo interesse do controlador ou de terceiros para finalidades legítimas, desde que considerados os direitos e expectativas dos titulares, que não haja prevalência sobre interesses ou direitos fundamentais do titular e que o tratamento se restrinja ao mínimo necessário. Os §§ 1º e 2º do mesmo artigo estabelecem que o legítimo interesse deve ser exercido de forma transparente e com avaliação concreta do contexto.

A Legítimate Interest Assessment (LIA), embora não seja termo textual da LGPD, é o instrumento reconhecido internacionalmente para documentar essa avaliação: o teste de finalidade (a atividade serve a um interesse legítimo?), o teste de necessidade (o tratamento é proporcional?) e o teste de equilíbrio (os direitos do titular não são violados?). Nada disso existia aqui. O legítimo interesse havia sido escolhido como conveniência, não como conclusão de uma análise. No juízo, sem documento, sem registro, sem raciocínio formalizado, a defesa não tinha onde se apoiar.

Canal de opt-out inexistente: art. 18, II, e art. 20 da LGPD

O art. 18 da LGPD garante ao titular, a qualquer momento e mediante requisição, o direito de se opor ao tratamento realizado com fundamento em uma das hipóteses de dispensa de consentimento, quando em desacordo com a lei. O inciso II do mesmo artigo assegura especificamente o direito de anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade. O art. 20 reforça o direito de revisão de decisões automatizadas.

Não havia mecanismo funcional para o exercício desses direitos. As comunicações de marketing não continham link de descadastramento válido, ou o link existia mas não produzia efeito real sobre o banco de dados operacional. O titular que acionou a empresa havia tentado interromper as comunicações antes de recorrer ao judiciário, o que, no contexto do processo, agravou a caracterização do dano: a violação não foi pontual, foi persistente após manifestação do titular.

Ausência de registro de operações: art. 37 da LGPD

O art. 37 da LGPD impõe ao controlador e ao operador a obrigação de manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseadas no legítimo interesse. O registro de operações, frequentemente chamado de ROPA (Records of Processing Activities), é precisamente o instrumento que teria permitido à empresa demonstrar, com evidências, a finalidade do tratamento, os dados envolvidos, os destinatários, os prazos de retenção e, sobretudo, a base legal com o raciocínio que a sustenta.

Nenhum documento dessa natureza foi produzido ou apresentado no processo. A consequência prática é que a empresa não pôde se defender com registros, apenas com alegações.

Violação de medidas de segurança e princípios de adequação: arts. 6º e 46 da LGPD

O art. 6º da LGPD estabelece os princípios que regem o tratamento de dados, entre eles adequação (compatibilidade com as finalidades informadas ao titular), necessidade (limitação ao mínimo necessário para a finalidade) e não discriminação. O art. 46 exige que o controlador adote medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.

No contexto deste caso, a ausência de controles sobre quem recebia quais comunicações, sem segmentação documentada, sem registro de consentimento ou de oposição dos titulares e sem trilha de auditoria, configurou tratamento sem adequação e sem as salvaguardas técnicas e administrativas mínimas exigidas.

A consequência

Quadro de impacto financeiro

A sentença reconheceu o dano moral do titular e determinou a cessação do tratamento para fins de marketing. Os valores fixados na condenação por dano moral em ações individuais dessa natureza, no padrão jurisprudencial brasileiro de tribunais estaduais, situam-se tipicamente entre R$ 3.000 e R$ 15.000 por titular, variando conforme a extensão do dano, a reiteração da conduta e o porte do réu.

> Nota metodológica: os fatos travados deste caso não incluem o valor exato fixado na sentença nem o número preciso de titulares envolvidos. O quadro abaixo distingue, de forma explícita, os parâmetros legais fixos dos cenários de projeção, que existem para que o leitor calibre a própria exposição.

O número que ancora o caso é a sentença procedente: condenação em dano moral mais obrigação de cessação. Qualquer valor que a empresa pague a título de dano moral é apenas a ponta do iceberg visível. O iceberg submerso está nos itens abaixo.

Impacto operacional e reputacional

A obrigação de cessar o tratamento, determinada judicialmente, criou um passivo operacional imediato. A empresa foi obrigada a interromper campanhas em curso, revisar sua base de dados, identificar todos os titulares tratados sob o mesmo fundamento de legítimo interesse sem LIA e avaliar a necessidade de notificação em massa. Esse processo, quando feito sob pressão judicial, consome tempo de equipes de TI, jurídico e marketing simultaneamente.

Do ponto de vista reputacional, uma sentença procedente em ação de titular é um documento público. Fornecedores em processo de due diligence B2B, parceiros de dados, plataformas de marketing e eventuais adquirentes em processos de M&A têm acesso a esse histórico. A sentença não permanece apenas nos autos: ela se torna uma linha no relatório de risco de qualquer avaliação subsequente.

Adicionalmente, a sentença pode funcionar como jurisprudência de referência para outros titulares da mesma empresa que tenham recebido as mesmas comunicações. Uma ação individual procedente aumenta a probabilidade de ações análogas, inclusive coletivas ou com litisconsórcio ativo.

O custo da inação

O valor pago na condenação, seja R$ 5.000 ou R$ 12.000, é o menor dos custos. O custo real da inação se distribui em camadas que raramente aparecem no balanço com esse rótulo.

Custo de defesa judicial recorrente: se a sentença abre precedente interno e outros titulares da mesma base acionam a empresa, o custo de defesa se multiplica. Para uma base de 50.000 titulares tratados sob o mesmo fundamento sem LIA, mesmo que 0,1% acione judicialmente, são 50 ações. A R$ 30.000 de honorários por ação, somados à condenação média de R$ 8.000, o custo agregado supera R$ 1.900.000.

Perda de canal de marketing: a obrigação de cessar o tratamento para fins de marketing elimina um canal de receita. Campanhas de retenção baseadas em dados historicamente coletados sem base legal válida precisam ser descontinuadas ou reconvertidas com nova base legal, o que exige novo opt-in ativo e implica perda de cobertura de contatos. A conversão de bases de legítimo interesse para consentimento explícito, em mercados típicos, resulta em perda de 40% a 70% dos contatos da base (estimativa de referência de mercado, não dado do caso).

Impacto em processos de M&A e captação: empresas em fase de fusão, aquisição ou captação de investimento passam por due diligence de privacidade. Uma sentença judicial de titular procedente, combinada com ausência de ROPA e de LIA, eleva o risco percebido e pode impactar o valuation ou exigir retenção de parte do preço de aquisição em garantia de passivos contingentes.

Custo de capital e seguro cyber: seguradoras que cobrem responsabilidade por dados e ações de titulares incorporam histórico de sinistros e de conduta regulatória na precificação. Uma empresa condenada judicialmente por uso indevido de dados paga prêmio mais alto ou tem cobertura negada em renovação.

Número-síntese de cenário (projeção, premissa hipotética, NÃO dado do caso): tomando as linhas acima para uma empresa com 50.000 contatos na base de marketing e faturamento anual de R$ 50 milhões, o custo total de inação, considerando defesa judicial de ações análogas, perda de canal, ajuste de valuation de 1% em eventual M&A e aumento de prêmio de seguro, pode superar R$ 4.000.000 em um horizonte de três anos. O programa de governança contínua que teria evitado esse cenário custaria, no mesmo período, menos de R$ 200.000.

Espelhe na sua operação

Antes de fechar este documento, aplique as perguntas abaixo à sua própria operação. Elas não são retóricas.

1. Você tem LIA documentada para cada atividade de marketing baseada em legítimo interesse? Se a resposta não for "sim, temos documento com os três testes (finalidade, necessidade e equilíbrio) e aprovação registrada", sua operação está no mesmo ponto que a empresa deste caso antes da sentença.

2. Seu opt-out funciona de ponta a ponta? O link ou canal existe? Ele desencadeia exclusão real no banco operacional? Há log da exclusão? Há prazo de execução documentado? Cada "não" aqui é uma linha de defesa que não existe.

3. Seu ROPA cobre as operações de marketing com base legal e raciocínio registrado? O art. 37 da LGPD exige o registro. Se o ROPA existir mas não contiver a base legal justificada por operação, ele não servirá de prova em processo judicial ou administrativo.

4. Quantos titulares estão sendo tratados hoje sob legítimo interesse sem LIA? Estime o número. Multiplique pela faixa de dano moral judicial (R$ 3.000 a R$ 15.000). Esse é seu passivo potencial em ações individuais, sem considerar a esfera administrativa da ANPD.

Mini cálculo para o leitor:

Exposição administrativa estimada por infração:
  Faturamento bruto anual (R$) × 2% ÷ número de infrações distintas identificadas
  = valor por infração (limitado a R$ 50.000.000,00)

Exposição judicial estimada (cenário):
  Número de titulares tratados sem base legal válida × R$ 8.000 (dano moral médio referência)
  = passivo judicial potencial agregado

5. Você saberia provar, hoje, em 48 horas, que uma campanha enviada há seis meses tinha base legal válida e que o titular que a recebeu não havia manifestado oposição prévia? Se a resposta for "provavelmente não", o risco já é presente, não futuro.

O aprendizado

Este caso demonstra que o risco jurídico de privacidade em marketing não vem da má-fé, mas da incompletude. A empresa escolheu uma base legal que a LGPD reconhece, mas não construiu as estruturas que tornam essa escolha defensável: a avaliação documentada, o registro formal, o canal de exercício de direitos e a trilha de auditoria.

Governança de privacidade não é o conjunto de documentos que você produz uma vez. É o processo contínuo que garante que, quando um titular aciona, quando a ANPD fiscaliza ou quando um comprador faz due diligence, você consiga provar o que fez, não apenas alegar.

Os três instrumentos que teriam mudado o desfecho deste caso são precisamente os serviços que compõem o núcleo de um programa gerenciado de privacidade: a LIA com metodologia estruturada e revisão periódica, o ROPA atualizado por operação e base legal, e a gestão de direitos de titulares com logs de execução. A LGPD2U estrutura esses instrumentos como serviço contínuo, com o objetivo de que a prova de conformidade exista antes de ser exigida, não depois.

O momento de construir a defesa não é quando o processo é distribuído. É antes de a próxima campanha ser disparada.

Fontes

• LGPD, art. 6º (princípios do tratamento): Lei nº 13.709/2018. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm
• LGPD, art. 10, §§ 1º e 2º (legítimo interesse): mesma fonte.
• LGPD, art. 18, II (direito de oposição e eliminação): mesma fonte.
• LGPD, art. 37 (registro de operações de tratamento): mesma fonte.
• LGPD, art. 46 (segurança do tratamento): mesma fonte.
• LGPD, art. 52, II (multa de 2% do faturamento, teto de R$ 50.000.000,00 por infração): mesma fonte.
• ANPD, Regulamento de Dosimetria e Aplicação de Sanções Administrativas (2023): parâmetros para cálculo de sanções administrativas. Disponível em: https://www.gov.br/anpd/pt-br/documentos-e-publicacoes/regulamento-de-dosimetria-e-aplicacao-de-sancoes-administrativas
• ANPD, Nota Técnica sobre Legítimo Interesse: orientações interpretativas sobre o art. 10 da LGPD. Disponível em: https://www.gov.br/anpd/pt-br
• ICO (Information Commissioner's Office), Legitimate Interests Assessment guidance: referência metodológica internacional para o teste tripartite (finalidade, necessidade, equilíbrio), utilizada como base para práticas de LIA no contexto da LGPD. Disponível em: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/legitimate-interests/