Entenda os sete fundamentos do artigo 2º da LGPD, diferencie-os de princípios e bases legais e use-os para revisar decisões empresariais com mais clareza.

”. O tratamento respeita as pessoas envolvidas, atende a uma finalidade identificável e pode ser explicado de maneira compreensível? Essa análise é especialmente importante quando um formulário antigo acumula campos, quando diferentes áreas acessam a mesma base ou quando uma ferramenta passa a classificar clientes sem que o processo tenha sido revisado. A expressão “a LGPD está alicerçada em sete fundamentos” resume uma parte importante dessa arquitetura: o artigo 2º apresenta valores que orientam a disciplina da proteção de dados pessoais. Eles não funcionam como um checklist isolado nem autorizam qualquer operação. Servem como uma lente para interpretar escolhas empresariais ao lado dos princípios, das bases legais, dos direitos dos titulares e das medidas de segurança.

Principais pontos

• Os sete fundamentos da LGPD orientam a interpretação da lei, mas não substituem princípios, bases legais, transparência ou segurança.
• Uma base legal escolhida corretamente não torna adequado um tratamento excessivo, obscuro ou incompatível com os direitos do titular.
• A autodeterminação informativa exige comunicação compreensível e consideração real das escolhas do titular, não apenas um checkbox.
• Cada fundamento pode alterar uma decisão concreta de manter, reduzir, modificar ou interromper um tratamento.
• A revisão inicial deve priorizar operações com maior volume, sensibilidade, compartilhamento, exposição ou potencial de impacto sobre pessoas.
• O direito de eliminação não é absoluto e pode conviver com hipóteses legais de conservação e tratamento.
• Prazos como 45 minutos, 90 dias e duas horas mensais são exemplos de organização, não parâmetros suficientes para conformidade.
• Tratamentos de maior risco, especialmente os que envolvem decisões automatizadas, discriminação potencial ou dados sensíveis, podem exigir avaliação especializada.

Antes de aplicar: o que significa dizer que a LGPD está alicerçada em sete fundamentos?

O artigo 2º da Lei nº 13.709/2018, a Lei Geral de Proteção de Dados Pessoais, estabelece os fundamentos da disciplina da proteção de dados pessoais. A redação oficial pode ser consultada no texto da lei no Portal Planalto: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm. O dispositivo reúne valores ligados à pessoa, à cidadania, à atividade econômica, à inovação e à defesa do consumidor. Portanto, os fundamentos ajudam a responder por que a proteção de dados deve ser considerada no desenho de produtos e processos, e não somente depois de um incidente.

É útil separar três planos. Fundamentos são valores estruturantes que orientam a interpretação da lei. Princípios são diretrizes aplicáveis ao tratamento, como finalidade, adequação, necessidade, transparência, segurança e prevenção, previstos no artigo 6º. Bases legais são hipóteses jurídicas que podem autorizar uma operação específica, como consentimento, cumprimento de obrigação legal, execução de contrato ou legítimo interesse, conforme o contexto e os requisitos da LGPD. A terminologia também pode ser conferida no Glossário da ANPD, em sua página oficial de publicações e documentos: https://www.gov.br/anpd/pt-br/documentos-e-publicacoes.

Essa distinção evita dois atalhos. O primeiro é afirmar que um fundamento, por si só, autoriza a coleta. O segundo é tratar o consentimento como uma autorização geral para usos presentes e futuros. Uma autorização relacionada ao atendimento de um contrato não explica automaticamente a criação de um perfil comercial, o compartilhamento com um parceiro ou a retenção indefinida dos dados. A empresa precisa examinar a finalidade, a necessidade, a compatibilidade do uso, a informação fornecida ao titular e os efeitos da operação.

Nesta etapa introdutória, a pergunta principal é de enquadramento: que valores devem orientar a decisão e quais conceitos jurídicos precisam ser analisados em conjunto? Ainda não é o momento de estabelecer prazos, redesenhar permissões ou escolher uma tecnologia. Essas providências dependem do tratamento concreto. Por exemplo, um cadastro de clientes pode envolver cobrança, suporte, marketing, prevenção a fraude e análise de comportamento, e cada finalidade pode exigir justificativas, informações e controles diferentes.

Também é importante não prometer um resultado que os fundamentos não podem entregar. Eles não garantem que uma empresa esteja em conformidade, não substituem um registro das operações e não eliminam a necessidade de avaliação jurídica ou técnica. Seu valor está em tornar as decisões mais justificáveis: a empresa consegue explicar quais interesses estavam envolvidos, por que determinado dado era necessário, quais riscos foram considerados e que medidas foram adotadas.

Quais são os sete fundamentos da LGPD e o que eles mudam nas decisões da empresa?

A utilidade dos sete fundamentos aparece quando eles alteram uma escolha real. Considere uma empresa de serviços por assinatura que deseja pedir nome, CPF, data de nascimento, profissão, renda e contatos de familiares no mesmo formulário. O sistema permitir coletar tudo não significa que tudo deva ser coletado. A análise a seguir mostra como cada fundamento pode levar a uma decisão de manter, excluir ou modificar um tratamento.

O respeito à privacidade pode levar a empresa a excluir a profissão e os contatos de familiares quando esses dados não forem necessários para contratar, cobrar ou prestar o serviço. A autodeterminação informativa pode exigir a separação entre o cadastro indispensável e uma inscrição opcional em comunicações comerciais, com explicação clara sobre cada uso. Nesse caso, a decisão não é apenas mudar o texto do aviso: é modificar o fluxo para que a pessoa consiga compreender e, quando juridicamente cabível, escolher.

A liberdade de expressão, informação, comunicação e opinião recomenda manter um canal para reclamações e avaliações sem transformar automaticamente uma opinião negativa em um marcador oculto de “cliente problemático”. Se uma ferramenta de atendimento usar esse tipo de classificação para reduzir respostas ou impedir contato, a empresa deve alterar a regra, limitar seu uso ou abandoná-la. O fundamento não impede a organização do atendimento, mas chama atenção para restrições indevidas à manifestação e ao acesso à informação.

A inviolabilidade da intimidade, honra e imagem pode exigir a retirada de dados identificáveis de materiais de treinamento, grupos internos ou apresentações comerciais. Um exemplo concreto é substituir um print com nome, fotografia e histórico do cliente por uma demonstração fictícia ou anonimizada. Se o compartilhamento de uma imagem não for necessário para a finalidade, a decisão mais segura é não compartilhá-la, mesmo que tecnicamente seja fácil copiá-la.

O desenvolvimento econômico e tecnológico e a inovação não obrigam a empresa a rejeitar automações. Eles favorecem uma inovação compatível com a proteção de dados. Assim, a empresa pode testar um assistente de atendimento, mas deve modificar o projeto para limitar os dados enviados, controlar acessos, documentar a finalidade e prever revisão humana quando a saída puder afetar uma pessoa. Se o fornecedor não oferecer controles mínimos, manter o projeto como está não é a única alternativa: a contratação pode ser adiada ou a solução substituída.

A livre iniciativa, a livre concorrência e a defesa do consumidor exigem equilíbrio entre operação econômica e proteção contra práticas opacas ou abusivas. Uma empresa pode personalizar ofertas em determinadas circunstâncias, mas deve evitar que a personalização oculte condições relevantes, explore uma vulnerabilidade ou impeça a comparação pelo consumidor. Se a campanha depender de um perfil que o titular não consegue compreender e que produz tratamento desfavorável, a empresa deve revisar os critérios e a comunicação antes do lançamento.

Os direitos humanos, o livre desenvolvimento da personalidade, a dignidade e o exercício da cidadania impõem atenção especial a classificações que possam discriminar ou excluir. Um modelo que atribui pontuação a clientes, candidatos ou usuários não deve ser considerado seguro apenas porque utiliza variáveis aparentemente neutras. Se houver efeitos relevantes sobre contratação, preço, acesso ou atendimento, a empresa pode precisar testar resultados, investigar vieses, oferecer explicações compatíveis com o caso e manter possibilidade de contestação. Tratamentos de alto impacto não devem ser aprovados apenas com uma revisão superficial.

O mesmo tratamento pode tocar vários fundamentos ao mesmo tempo. Uma base de relacionamento pode apoiar a inovação e a atividade econômica, mas ampliar a exposição da intimidade, restringir escolhas ou produzir diferenciações injustas. Por isso, a decisão final pode ser manter a operação, retirar determinados campos, reduzir a retenção, limitar o compartilhamento, alterar o algoritmo ou interromper o tratamento. O importante é registrar a razão concreta da escolha, e não apenas declarar que a empresa “considerou os sete fundamentos”.

Como organizar uma revisão inicial sem transformar heurísticas em promessa de conformidade?

A revisão prática deve partir das operações, não de uma lista genérica de documentos. Escolha um fluxo específico, como cadastro de clientes, contratação de empregados, atendimento ou envio de campanhas, e descreva o caminho do dado: entrada, uso, acesso, compartilhamento, armazenamento, alteração e descarte. Depois, identifique quais pessoas são afetadas e quais sistemas ou fornecedores participam do processo.

Uma reunião de 45 minutos pode ser um ponto de partida para localizar lacunas, desde que seja tratada como uma heurística editorial adaptável. Ela pode reunir alguém do atendimento, uma pessoa responsável pelo sistema e representantes de marketing, vendas ou recursos humanos, conforme o processo analisado. O tempo não é um parâmetro legal e não basta para avaliar uma operação complexa. Se o fluxo envolver dados sensíveis, grande escala, monitoramento ou decisões sobre pessoas, será necessário ampliar a investigação.

Durante a reunião, o grupo deve registrar respostas objetivas sobre origem dos dados, finalidade, categorias de titulares, acessos, compartilhamentos, retenção, direitos e incidentes. Se ninguém souber responder, isso não prova isoladamente uma infração, mas indica uma lacuna que precisa ser investigada antes da expansão do tratamento. O resultado esperado é um mapa inicial de incertezas e prioridades, não um certificado de conformidade.

Um plano de 90 dias também pode ser útil como exemplo de organização, mas precisa ser adaptado à capacidade e ao risco da empresa. Na primeira fase, podem ser contidos acessos excessivos, campos sem finalidade clara e compartilhamentos não documentados. Na segunda, a empresa pode revisar avisos, contratos, fluxos de atendimento, configurações de fornecedores e regras de retenção. Na terceira, pode acompanhar solicitações dos titulares, incidentes, mudanças de processo e pendências. Em cada etapa, a interrupção de um campo ou a redução de uma permissão deve passar por validação operacional.

Essa validação é essencial. Um dado aparentemente dispensável pode ser necessário para cumprir obrigação legal, executar um contrato, prevenir fraude, proteger a segurança da conta ou atender a uma exigência regulatória. A eliminação também não é irrestrita: o titular pode solicitar a eliminação em determinadas situações, mas a própria LGPD prevê hipóteses em que os dados podem ou devem ser conservados. Portanto, antes de apagar, a empresa deve verificar a finalidade, a base aplicável, os prazos de conservação, as obrigações legais e a necessidade de preservar evidências de segurança.

Duas horas por mês podem ser uma cadência inicial para acompanhar decisões, mas também são apenas uma referência ajustável. Uma organização pequena, com poucos tratamentos e baixa alteração, pode precisar de outra frequência; uma empresa que lança produtos, integra fornecedores ou usa modelos automatizados pode precisar de reuniões mais frequentes e de especialistas. A suficiência do acompanhamento depende da quantidade de operações, da velocidade de mudança, dos riscos e dos recursos disponíveis.

Quando a revisão precisa de avaliação de impacto e apoio especializado?

Nem todo tratamento exige um Relatório de Impacto à Proteção de Dados Pessoais, mas uma operação que possa gerar riscos relevantes deve ser analisada com mais profundidade. A ANPD apresenta orientações e materiais oficiais sobre RIPD em seu portal: https://www.gov.br/anpd/pt-br. O relatório é um instrumento de documentação e avaliação; sua utilidade depende da descrição fiel do tratamento, dos riscos identificados e das medidas propostas. Ele não deve ser produzido apenas para preencher um modelo nem tratado como substituto de controles efetivos.

A necessidade concreta de um RIPD depende do contexto. Volume elevado, dados sensíveis, monitoramento sistemático, uso de tecnologia invasiva, compartilhamentos amplos, vulnerabilidade dos titulares, decisões automatizadas e possibilidade de prejuízo relevante são fatores que justificam uma análise mais cuidadosa. A existência de um desses fatores não permite concluir sozinha que determinado relatório é obrigatório em qualquer situação. A empresa deve examinar a operação, as orientações aplicáveis e, quando necessário, buscar orientação especializada.

As avaliações de impacto da autoridade britânica Information Commissioner’s Office, conhecidas como DPIA, podem servir como referência estrangeira de estrutura e metodologia. O material da ICO está disponível em https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/accountability-and-governance/data-protection-impact-assessments-dpias/. Ele não é uma fonte normativa brasileira nem substitui a LGPD, atos da ANPD ou orientação profissional. Seu uso deve ser contextualizado, especialmente porque o regime jurídico do Reino Unido e suas autoridades podem ter requisitos próprios.

Decisões automatizadas merecem cautela adicional. A empresa deve saber qual é a finalidade do modelo, quais dados alimentam o processo, quem é afetado, que tipo de consequência pode ocorrer e como erros podem ser detectados e contestados. Não basta afirmar que existe revisão humana se a pessoa responsável apenas confirma automaticamente o resultado. Quando o sistema influenciar crédito, contratação, preço, acesso, atendimento ou outro interesse significativo, a análise deve considerar os direitos previstos na LGPD e os riscos de discriminação.

A classificação de dados também precisa respeitar o contexto jurídico. Dados pessoais, dados pessoais sensíveis, informações financeiras, registros de acesso e dados anonimizados não são intercambiáveis. Uma classificação interna pode ajudar a definir controles, mas não cria uma categoria jurídica nova nem autoriza tratamento. Do mesmo modo, chamar um processo de “baixo risco” não elimina a necessidade de segurança, transparência e atendimento aos direitos.

A revisão inicial é valiosa para organizar prioridades, mas não substitui avaliação especializada em tratamentos de maior risco. Se a empresa não consegue explicar a finalidade, não identifica os afetados, não controla o fornecedor ou não consegue prever os efeitos de uma decisão automatizada, deve considerar a suspensão da expansão do tratamento até esclarecer esses pontos. O objetivo não é bloquear inovação ou atividade econômica, e sim tomar decisões proporcionais, documentadas e defensáveis.

Perguntas frequentes

Quais são exatamente os sete fundamentos da LGPD?

O artigo 2º da LGPD apresenta: respeito à privacidade; autodeterminação informativa; liberdade de expressão, de informação, de comunicação e de opinião; inviolabilidade da intimidade, da honra e da imagem; desenvolvimento econômico e tecnológico e inovação; livre iniciativa, livre concorrência e defesa do consumidor; e direitos humanos, livre desenvolvimento da personalidade, dignidade e exercício da cidadania.

Qual é a diferença entre fundamentos, princípios e bases legais?

Fundamentos expressam valores estruturantes da disciplina de proteção de dados. Princípios orientam como o tratamento deve ser realizado. Bases legais são hipóteses jurídicas que podem sustentar uma operação específica. A existência de uma base legal não elimina a obrigação de observar princípios, direitos, transparência e segurança.

Os sete fundamentos precisam aparecer na política de privacidade?

A política deve explicar os tratamentos reais, suas finalidades, os dados envolvidos, os compartilhamentos relevantes, a retenção aplicável e os direitos dos titulares. Não é necessário transformá-la em uma lista abstrata dos fundamentos, mas o conteúdo e a operação devem refletir os valores e as exigências da LGPD.

A empresa pode usar consentimento para resolver qualquer tratamento?

Não. O consentimento precisa ser válido, informado e relacionado a uma finalidade compreensível. Ele não corrige coleta excessiva, aviso obscuro, uso incompatível, falta de segurança ou ausência de controles. Em algumas situações, outra base legal pode ser mais adequada.

O direito de eliminação permite apagar qualquer dado quando o titular pedir?

Não. A eliminação depende da situação concreta e pode estar sujeita às hipóteses legais de conservação e tratamento. A empresa deve verificar obrigações legais, execução contratual, segurança, prevenção a fraude, necessidade de defesa de direitos e outras hipóteses aplicáveis antes de apagar ou manter o dado.

Como aplicar os fundamentos sem uma equipe jurídica interna?

Comece por uma operação prioritária, envolva as áreas que usam os dados, registre finalidades, acessos, compartilhamentos, retenção e riscos e atribua responsáveis. Um diagnóstico inicial ajuda a organizar lacunas, mas tratamentos complexos ou de maior risco podem exigir apoio jurídico, técnico ou especializado em privacidade.

Os fundamentos impedem o uso de inteligência artificial?

Não. Eles exigem que a inovação seja planejada com finalidade, necessidade, transparência, segurança e avaliação proporcional dos impactos. Sistemas que classificam pessoas ou influenciam decisões sobre elas exigem atenção especial a erros, discriminação, revisão e possibilidade de contestação.

Como saber quais operações revisar primeiro?

Priorize operações com dados sensíveis, grande volume, muitos compartilhamentos, integrações externas, monitoramento, decisões automatizadas ou potencial de exposição, discriminação e prejuízo relevante. A prioridade também deve considerar a probabilidade do risco, a gravidade do impacto e a velocidade com que o processo muda.

Uma reunião de 45 minutos ou um plano de 90 dias é suficiente para conformidade?

Não. Esses períodos são apenas exemplos de organização editorial e devem ser adaptados ao porte, à complexidade e ao risco da empresa. Eles podem iniciar um diagnóstico, mas não substituem inventário, análise jurídica, controles técnicos, documentação, treinamento e acompanhamento contínuo.

Quando uma avaliação de impacto pode ser necessária?

Quando a operação puder gerar riscos relevantes, especialmente em razão de grande escala, dados sensíveis, monitoramento, tecnologia invasiva, decisões automatizadas, vulnerabilidade dos titulares ou efeitos significativos. A necessidade deve ser avaliada no contexto concreto, com consulta às orientações aplicáveis e apoio especializado quando necessário.

Conclusão

Os sete fundamentos devem orientar decisões concretas, não apenas aparecer em uma política ou apresentação. No cadastro de clientes, isso pode significar retirar campos sem finalidade demonstrável, separar comunicações opcionais, limitar acessos, revisar fornecedores, proteger reclamações, definir retenção e documentar por que cada tratamento foi mantido ou alterado. A empresa também precisa validar o impacto operacional de cada mudança e preservar dados quando houver obrigação legal, contratual ou necessidade de segurança. Reuniões curtas, planos de 90 dias e revisões mensais podem ajudar a organizar o trabalho, mas são referências adaptáveis, não garantias de conformidade. Quanto maior o potencial de exposição, discriminação ou efeito significativo sobre pessoas, maior deve ser a profundidade da análise e a necessidade de apoio especializado.

Fontes

1. Glossário ANPD. Agência Nacional de Proteção de Dados (ANPD). Glossário com definições e termos utilizados na LGPD, útil para esclarecer conceitos e terminologias relacionadas à proteção de dados.
2. Direito dos Titulares. Agência Nacional de Proteção de Dados (ANPD). Página da ANPD que explica os direitos dos titulares de dados pessoais assegurados pela LGPD, incluindo acesso, correção e eliminação.
3. Perguntas Frequentes — Autoridade Nacional de Proteção de Dados. Agência Nacional de Proteção de Dados (ANPD). Repositório de perguntas e respostas da ANPD sobre a aplicação da LGPD e direitos dos titulares, oferecendo explicações claras e didáticas.
4. Relatório de Impacto à Proteção de Dados Pessoais (RIPD). Agência Nacional de Proteção de Dados (ANPD). Orientações sobre a elaboração do Relatório de Impacto à Proteção de Dados Pessoais, essencial para a conformidade com a LGPD.
5. Avaliações de Impacto à Proteção de Dados — ICO. Information Commissioner’s Office (ICO). Diretrizes do ICO sobre a realização de avaliações de impacto à proteção de dados, essenciais para a conformidade com o GDPR.