Existe um equívoco generalizado sobre a lei de proteção de dados do Brasil que precisa ser abordado diretamente: a LGPD não exige consentimento para cada uso de dados pessoais.
Isso surpreende muitas pessoas, e frequentemente é explorado por empresas que apresentam avisos de privacidade como se marcar uma caixinha fosse tudo que importa. Na realidade, a LGPD estabelece um framework matizado em que o consentimento é apenas uma das dez bases legais válidas para o tratamento de dados, e em alguns contextos importantes, especialmente nos serviços financeiros, nem mesmo é a principal.
Entender quando as empresas podem tratar seus dados sem seu consentimento não é uma brecha legal para se preocupar. É um conhecimento essencial que ajuda a entender seus direitos reais, reconhecer quando o tratamento é legítimo e identificar quando não é.
Antes de abordar os casos específicos, o princípio fundamental deve estar claro: a LGPD não permite o tratamento arbitrário de dados. Cada instância de coleta, armazenamento, uso, compartilhamento ou exclusão de dados deve ser justificada por uma das bases legais explicitamente listadas no Artigo 7 (para dados pessoais regulares) ou no Artigo 11 (para dados pessoais sensíveis) da lei.
O consentimento é uma base legal. Mas a lei reconhece que em muitas situações legítimas, exigir consentimento seria impraticável, contrário ao interesse público ou daria a uma parte poder desproporcional para obstruir processos legítimos.
A questão-chave nunca é apenas "a pessoa consentiu?" — é "existe uma base legal válida para este tratamento?"
O que significa: Uma empresa pode tratar dados pessoais, sem consentimento e independentemente das preferências do indivíduo, quando o tratamento é necessário para cumprir uma obrigação legal ou regulatória.
Por que importa para os consumidores: As instituições financeiras no Brasil estão sujeitas a extensos requisitos regulatórios do Banco Central do Brasil (BACEN), da Receita Federal, do COAF e outros órgãos. Esses requisitos exigem que as instituições:
Quando um banco digital solicita seu CPF e uma selfie durante o cadastro, ou quando uma plataforma de pagamentos conserva seu histórico de transações por anos após o encerramento da sua conta, não está agindo contra a LGPD: está cumprindo obrigações regulatórias sob essa base legal.
O que isso significa para você: Você não pode impedir esse tratamento recusando o consentimento, porque o consentimento não é a base legal sendo usada. No entanto, você pode verificar se o tratamento é genuinamente necessário para o compliance regulatório e pode reclamar junto aos reguladores se os dados forem retidos além do período legalmente exigido.
O que significa: Os dados podem ser tratados quando necessário para cumprir um contrato que você tem com a empresa, ou para realizar os passos preliminares que você solicitou antes de celebrar um.
Por que importa para os consumidores: Quando você abre uma conta de pagamentos, autoriza uma transferência ou compra um produto online, um contrato é formado. Tratar seu número de conta, detalhes da transação e informações de pagamento para executar essa operação não é apenas permitido: é necessário para entregar o que você pediu.
O que significa: Em emergências genuinas em que a vida ou a integridade física de alguém está em risco, os dados pessoais podem ser tratados sem consentimento, inclusive dados sensíveis.
O que isso significa para você: Essa base é estrita e excepcional. Ela cobre situações como uma instituição financeira compartilhando informações de conta com serviços de emergência em uma crise documentada, não o tratamento rotineiro.
Apesar da existência de múltiplas bases legais sem consentimento válidas, muitas empresas utilizam a coleta de consentimento como sua principal estratégia de compliance, e isso cria problemas para os consumidores.
O problema da caixinha de consentimento: Quando uma empresa usa o consentimento como base geral para um tratamento que deveria ser justificado sob obrigação legal ou execução de contrato, ela cria uma falsa impressão de que o consumidor controla o tratamento.
Consentimento agrupado: Algumas empresas apresentam uma única solicitação de consentimento que abrange múltiplas finalidades não relacionadas. A LGPD exige que o consentimento seja específico: você deve poder consentir com algumas finalidades e não com outras.
Consentimento como condição prévia: A LGPD estabelece explicitamente que o consentimento não pode ser exigido como condição para receber um serviço se o tratamento não for estritamente necessário para esse serviço.
Dificuldades para revogar o consentimento: As empresas são obrigadas a tornar a revogação do consentimento tão fácil quanto o próprio consentimento. Esconder o mecanismo de opt-out, exigir solicitações por escrito para o que foi feito com um único clique ou não honrar solicitações de revogação são todas infrações da LGPD.
Quando os dados tratados pertencem às categorias especiais da LGPD, como origem racial ou étnica, crenças religiosas, dados de saúde ou dados biométricos, as regras são mais rígidas.
Para dados sensíveis, o tratamento sem consentimento só é permitido em circunstâncias mais limitadas:
A abordagem da LGPD ao consentimento é mais sofisticada do que a maioria das pessoas percebe: não é um requisito universal, mas uma base legal importante entre várias. Entender o panorama completo, quando o consentimento é necessário, quando não é e quais proteções se aplicam independentemente, oferece uma compreensão mais precisa e mais útil dos seus direitos reais.
Nos serviços financeiros, onde o tratamento sob obrigação legal é comum e legítimo, esse entendimento evita que você espere um controle que não possui, ao mesmo tempo que garante que você exerça os direitos muito reais que de fato possui.
A OneKey Payments trata dados pessoais apenas com bases legais LGPD válidas, com documentação completa das atividades de tratamento, políticas de privacidade transparentes e um DPO designado disponível para atender a todas as solicitações dos titulares de dados.
Leia a Política de Privacidade da OneKey → Compliance e Regulação
.jpg)
.jpg)
.jpg)
