Resposta rápida: quais são as 10 bases legais da LGPD?
O Art. 7º estabelece dez hipóteses para tratamento de dados pessoais não sensíveis:
- consentimento;
- cumprimento de obrigação legal ou regulatória pelo controlador;
- execução de políticas públicas pela administração pública;
- realização de estudos por órgão de pesquisa, com anonimização sempre que possível;
- execução de contrato ou procedimentos preliminares relacionados a contrato, a pedido do titular;
- exercício regular de direitos em processo judicial, administrativo ou arbitral;
- proteção da vida ou da incolumidade física;
- tutela da saúde, exclusivamente em procedimento realizado por profissionais, serviços de saúde ou autoridade sanitária;
- legítimo interesse do controlador ou de terceiro, salvo quando prevalecerem direitos e liberdades fundamentais;
- proteção do crédito.
Não escolha a base depois de decidir o tratamento apenas para “encaixar” a atividade. Comece pela finalidade e pelos fatos.
Principais conclusões
- Consentimento não é a base padrão da LGPD.
- Contrato exige necessidade para executar contrato ou procedimento solicitado pelo titular.
- Obrigação legal requer obrigação real, não preferência interna.
- Legítimo interesse exige análise estruturada e não serve para dados sensíveis.
- Dados sensíveis devem ser analisados no Art. 11.
- Crianças e adolescentes exigem melhor interesse como elemento central.
- Base legal deve ser registrada e revisada quando finalidade ou contexto mudar.
As dez bases legais do Art. 7º
1. Consentimento
Consentimento deve ser demonstrável, informado e relacionado a finalidade determinada. O controlador tem o ônus de provar sua obtenção conforme a LGPD. Autorizações genéricas são nulas e a revogação deve ser facilitada e gratuita.
Use consentimento quando a pessoa realmente possui escolha. Não condicione serviço essencial a consentimento para finalidade desnecessária.
2. Cumprimento de obrigação legal ou regulatória
Aplica-se quando uma norma obriga o controlador a tratar determinados dados. Documente a obrigação concreta, autoridade normativa, dados necessários e retenção relacionada.
“É uma política da empresa” não é obrigação legal.
3. Políticas públicas pela administração pública
É uma base própria de atividades de administração pública previstas em lei, regulamento ou instrumentos jurídicos aplicáveis. Não é base geral para empresas privadas.
4. Estudos por órgão de pesquisa
Destina-se à realização de estudos por órgão de pesquisa, com anonimização sempre que possível. Nem toda equipe interna de analytics ou “research” empresarial se enquadra como órgão de pesquisa conforme a definição legal.
5. Execução de contrato ou procedimentos preliminares
Pode sustentar tratamento necessário para contrato do qual o titular seja parte ou procedimento preliminar relacionado a contrato solicitado pelo titular.
A palavra-chave é necessário. Colocar uma cláusula de marketing nos Termos não transforma publicidade em execução contratual.
6. Exercício regular de direitos
Pode ser utilizada para exercício regular de direitos em processo judicial, administrativo ou arbitral. É relevante em disputas, defesa e preservação de evidências, dentro de escopo proporcional.
7. Proteção da vida ou da incolumidade física
É voltada a situações de proteção da vida ou segurança física. Não deve ser expandida para finalidades comuns de segurança comercial sem análise apropriada.
8. Tutela da saúde
A hipótese do Art. 7º está ligada à tutela da saúde em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária, nos termos da lei.
Dados de saúde são sensíveis e normalmente exigem também leitura do Art. 11.
9. Legítimo interesse
Pode sustentar determinadas finalidades legítimas do controlador ou terceiro quando direitos e liberdades fundamentais do titular não prevalecem. O Art. 10 limita o tratamento aos dados estritamente necessários e exige transparência.
A ANPD recomenda teste de balanceamento antes de utilizar essa base.
10. Proteção do crédito
É base específica vinculada à proteção do crédito e deve ser utilizada dentro do marco legal correspondente.
Qual base sua empresa deve usar?
Use uma sequência de decisão:
- Qual é a finalidade específica?
- Os dados são comuns ou sensíveis?
- Existe obrigação legal concreta?
- O tratamento é realmente necessário ao contrato solicitado pelo titular?
- Existe cenário de exercício de direitos, vida, saúde, pesquisa, política pública ou crédito?
- Se considerar legítimo interesse, o teste é favorável e documentado?
- Se usar consentimento, a escolha é livre, específica e revogável?
Consentimento: forte quando real, fraco quando forçado
Consentimento funciona bem quando a pessoa pode escolher sem perder serviço que não depende daquela finalidade. Funciona mal quando o controlador tenta usá-lo para cobrir atividades necessárias, obrigatórias ou que continuarão de qualquer forma.
Um consentimento que não pode ser retirado na prática é sinal de que talvez a base escolhida esteja errada.
Legítimo interesse: a base que exige mais explicação
A orientação da ANPD estrutura o balanceamento em três fases.
1. Finalidade
O interesse deve ser legítimo, compatível com o ordenamento e ligado a finalidade concreta, específica e explícita.
2. Necessidade
Use apenas dados estritamente necessários. Avalie alternativas menos intrusivas.
3. Balanceamento e salvaguardas
Considere expectativas legítimas, relação prévia, origem dos dados, impacto, vulnerabilidade, transparência e mecanismos de oposição ou controle quando apropriados.
Dados sensíveis: pare e vá para o Art. 11
Origem racial/étnica, religião, opinião política, filiação sindical ou a organização de caráter religioso, filosófico ou político, saúde, vida sexual e dados genéticos/biométricos vinculados à pessoa recebem tratamento especial.
Não use Art. 7º, IX, como “legítimo interesse para biometria”.
Crianças e adolescentes
O Art. 14 exige que o tratamento seja realizado em melhor interesse da criança ou adolescente. A ANPD reconhece que bases dos Arts. 7º e 11 podem ser aplicáveis conforme o caso, mas o melhor interesse deve prevalecer.
Não reduza toda análise de menores a “sempre precisa de consentimento” nem use uma base comum sem avaliar risco, transparência e salvaguardas.
Exemplos de negócio
| Atividade | Possível ponto de partida | Observação |
|---|---|---|
| Entrega de pedido | Contrato | Apenas dados necessários à execução. |
| Guarda de nota fiscal | Obrigação legal | Documente a obrigação e prazo. |
| Defesa em disputa | Exercício regular de direitos | Mantenha escopo proporcional. |
| Newsletter voluntária | Consentimento ou outra base conforme contexto | A escolha e o histórico da relação importam. |
| Segurança antifraude não sensível | Pode envolver legítimo interesse | Exige balanceamento; dados sensíveis seguem Art. 11. |
| Publicidade comportamental cross-site | Consentimento tende a ser mais defensável | Alto impacto e terceiros dificultam legítimo interesse. |
E dados publicamente disponíveis?
O fato de um dado estar público não elimina princípios, direitos ou necessidade de base legal. A LGPD traz regras específicas sobre tratamento posterior de dados tornados manifestamente públicos e dados de acesso público, mas não cria uma “zona sem LGPD”.
A base legal pode mudar depois?
A mudança de finalidade ou contexto pode exigir nova análise. Não “troque” silenciosamente uma base apenas porque a original ficou inconveniente. Registre a razão e verifique compatibilidade, transparência e direitos.
O que registrar em uma decisão de base legal?
- atividade e finalidade;
- dados e titulares;
- base escolhida;
- justificativa;
- necessidade;
- obrigações específicas;
- riscos e salvaguardas;
- dependência de consentimento e forma de retirada, quando aplicável;
- data, responsável e gatilho de revisão.
Erros comuns
“Usamos consentimento para tudo.”
Normalmente indica falta de classificação das finalidades.
“Legítimo interesse porque o usuário aceitou os Termos.”
Aceitar Termos não substitui teste de legítimo interesse.
“Qualquer coisa relacionada ao cliente é contrato.”
A base contratual exige necessidade.
“Dado público não precisa de base.”
Incorreto.
“Legítimo interesse vale para saúde ou biometria.”
Não como base do Art. 7º para dados sensíveis.
“Escolhemos uma vez e nunca revisamos.”
Mudanças de finalidade, tecnologia e risco podem exigir nova decisão.
Base legal vs mecanismo de transferência
Uma empresa pode ter base contratual para processar dados de um cliente e, separadamente, precisar de mecanismo do Art. 33 para transferi-los aos EUA. Não confunda as duas decisões.
Perguntas frequentes
Qual é a melhor base legal?
Não existe “melhor” universal. Existe a base que corresponde aos fatos e requisitos da finalidade.
Consentimento é mais seguro?
Não necessariamente. Usar consentimento onde não há escolha real cria fragilidade.
Posso usar duas bases ao mesmo tempo?
Evite empilhar bases sem clareza. A finalidade deve ter racional documentado. Atividades diferentes podem ter bases diferentes.
Fontes oficiais
Transforme orientação em implementação
O Manual de Conformidade com a LGPD no Brasil — Edição 2026 reúne guia prático, auditoria de 100 pontos, 16 planilhas e modelos de implementação e um roteiro estruturado de 30 dias.
Obter o Manual de Conformidade com a LGPD no Brasil