O tratamento de dados pessoais pelo “legítimo interesse" do controlador : análise da perspectiva europeia e brasileira

Abstract

Vistos como o “novo petróleo”, os dados pessoais são, hoje, insumos essenciais para grande parte das atividades econômicas, o que justifica a crescente preocupação dos ordenamentos jurídicos com a proteção destes ativos. Neste contexto de necessidade de uma sistematização da proteção de dados, tanto a União Europeia, por meio do General Data Protection Regulation, quanto o Brasil, por meio da Lei Geral de Proteção de Dados (Lei 13.709/2018), criaram ferramentas jurídicas com a finalidade exclusiva de fortalecer e harmonizar o nível de proteção de dados dos cidadãos. Dentre as muitas semelhanças existentes entre tais legislações, a principal é a previsão de um rol taxativo de fundamentos legais em que o tratamento de dados é considerado lícito. E um destes fundamentos, o “legítimo interesse do controlador”, há muito vem sendo reconhecido como um dos mais complexos e incertos de todas as hipóteses legais para o tratamento lícito de dados pessoais, tanto na Lei brasileira, quanto no Regulamento europeu. Tal complexidade resulta da necessidade de ponderar uma diversidade de fatores para aplicação dessa norma e da ausência de subsídios concretos que orientem sua aplicação. Assim, tendo em vista o caráter aberto da hipótese legal do legítimo interesse do controlador, o presente trabalho tem por objetivo contribuir para a delimitação da amplitude do legítimo interesse como fundamento lícito de tratamento de dados pessoais, através da análise do desenvolvimento desta hipótese legal na União Europeia e no Brasil.

Over the last couple of years, data has become a valuable asset and is even called the “new oil”, which justifies the growing concern of the legal systems on this subject. In this context, both the European Union and Brazil have created data protection regulations to further harmonize the rules for data protection and to raise the level of privacy for the affected individuals. Among the similarities between such legislations, the main one is the provision of an exhaustive list of legal grounds in which data processing is considered lawful. One of these legal grounds is the “legitimate interest of the controller”, which has been considered one of the most complex and uncertain of all grounds of lawful processing of personal data, both in Brazil and in the European Union. Such complexity results from the need to consider a diversity of factors and from the absence of concrete considerations that might guide the task of those interpreting or applying this provision. Thus, considering the open nature of the legitimate interest ground in Brazilian law and the development of the matter within the European Union, the present work aims to contribute, to some extent, in the process of delimitation of the legitimate interest as a basis for the lawful processing of personal data.