TL;DR para o EPD
O interesse legítimo é a base jurídica que os responsáveis escolhem quando não têm consentimento e não encontram nada melhor. É também a única que exige escrever um raciocínio antes de a usar. Se esse raciocínio não existe no papel, perante uma autoridade a base jurídica simplesmente não está lá.
O que o Tribunal decidiu
No processo C-621/22, decidido em 4 de Outubro de 2024, a federação neerlandesa de ténis tinha cedido a dois patrocinadores os dados dos seus associados para fins de marketing. A questão colocada ao Tribunal era directa: pode um interesse puramente comercial qualificar-se como interesse legítimo nos termos do artigo 6.º, n.º 1, alínea f)? A resposta foi afirmativa, desde que o interesse não seja contrário ao direito. É a parte do acórdão que deu a volta aos congressos.
A parte que quase ninguém leu
Reconhecer que o interesse é legítimo significa ter ultrapassado a primeira das três condições. Restam as outras duas, e é aí que tudo se decide: o tratamento tem de ser necessário para esse interesse - ou seja, não pode existir um meio menos intrusivo para obter o mesmo resultado - e o interesse do responsável não pode ser sobreposto pelos interesses ou pelos direitos e liberdades fundamentais do titular. O Tribunal remeteu a ponderação para o juiz nacional, mas indicou com clareza o critério que mais pesa: as expectativas razoáveis de quem forneceu os dados.
O critério que faz cair a maioria dos casos
Um associado que se inscreve numa federação desportiva espera que os seus dados sirvam para gerir a filiação. Não espera receber ofertas comerciais de uma empresa com a qual não tem qualquer relação. Quando o tratamento sai do perímetro daquilo que o titular podia razoavelmente esperar no momento da recolha, a ponderação inclina-se, e nenhuma quantidade de interesse económico a endireita.
Porque isto abrange os seus clientes mesmo que não vendam listas
O interesse legítimo sustenta tratamentos que ninguém considera polémicos: a videovigilância na empresa, a prevenção da fraude, a segurança informática, a cobrança de dívidas, as comunicações a clientes já angariados. Em todos eles a base jurídica é provavelmente correcta e em quase todos falta o documento que o demonstra. A diferença entre os dois cenários só se vê quando chega um pedido de acesso ou uma reclamação.
O que deve conter a avaliação
Não é preciso um documento longo: é preciso um documento que responda a três perguntas e que tenha data. As Orientações 1/2024 do CEPD sobre interesse legítimo seguem a mesma estrutura em três fases e são a referência pela qual uma autoridade medirá o seu trabalho.
- Que interesse prossegue o responsável, descrito em concreto e não como fórmula: não 'fins comerciais' mas 'voltar a contactar os clientes que compraram nos últimos vinte e quatro meses para propor a renovação'.
- Porque é que o tratamento é necessário a esse interesse e que alternativa menos intrusiva foi considerada e afastada: é a fase que quase ninguém regista por escrito e é a que demonstra que houve uma escolha.
- O que o titular podia razoavelmente esperar no momento da recolha e que garantias reduzem o impacto sobre ele: informação clara, prazos de conservação curtos, oposição fácil de exercer.
Dois deveres que seguem a escolha e são esquecidos
O primeiro é o artigo 13.º, n.º 1, alínea d): quando a base é o interesse legítimo, a informação tem de indicar QUAL é esse interesse. Escrever 'interesse legítimo do responsável' e parar aí não cumpre a obrigação, e é um incumprimento fácil de constatar lendo apenas o sítio Web. O segundo é o artigo 21.º: o interesse legítimo é a única base jurídica que convive com um direito de oposição, e para o marketing directo essa oposição é absoluta - sem ponderação e sem excepções.
A prova dos nove
Peça ao cliente que lhe mostre, para um tratamento fundado no interesse legítimo, o documento em que avaliou as três condições. Se não existir, não é uma formalidade a resolver quando houver tempo: é a única coisa que, perante uma reclamação, distingue uma escolha ponderada de uma base jurídica escolhida por exclusão.
Procura uma ferramenta para o seu trabalho de EPD?
O DPO Workspace foi construído por um DPO certificado. 30 dias de experiência gratuita.
Começar gratuitamente
