O legítimo interesse do controlador para o tratamento de dados pessoais previsto na Lei nº 13.709/2018 e a prestação de serviços de pagamento

Abstract

Tendo em vista que a Lei nº 13.709/2018 (“LGPD”), que regula o tratamento de dados pessoais no Brasil, entrou em vigor no mês de setembro de 2020 e que, a partir de agosto de 2021 a Autoridade Nacional de Proteção de Dados (“ANPD”) poderá aplicar sanções administrativas substanciais em caso de descumprimento das disposições da norma, o presente trabalho possui o objetivo de analisar os requisitos para utilização da base legal do legítimo interesse do controlador ou de terceiros para o tratamento de dados pessoais pelas instituições prestadoras de serviços de pagamento, de forma a maximizar a segurança jurídica. No decorrer deste artigo, foram abordados os principais conceitos da LGPD e as bases legais relevantes para o tratamento de dados pessoais, considerando as atividades desenvolvidas por instituições de pagamento. Durante seu desenvolvimento, são apresentadas considerações sobre a forma como o tema é tratado no direito comunitário europeu e o tratamento do tema no ordenamento jurídico brasileiro, bem como o teste de proporcionalidade do legítimo interesse. Foi ressaltada a semelhança entre a LGPD e o Regulamento Geral de Proteção de Dados da União Europeia (“GDPR”), bem como a possibilidade de utilização das orientações das autoridades de proteção de dados europeias como referência para interpretação de questões controversas a respeito desta base legal, até que haja orientações da ANPD sobre o tema. Por fim, trata-se especificamente do uso do legítimo interesse do controlador ou de terceiros para o tratamento de dados pessoais no âmbito da prestação de serviços de pagamento, ressaltando-se que, por atuarem em uma indústria classificada como uma plataforma multilateral, as instituições de pagamentos muitas vezes mantêm relacionamento contratual diretamente com um grupo de clientes, mas não com o outro – o qual, não obstante, usufrui dos benefícios da plataforma, ainda que indiretamente. Salienta-se que, neste cenário, muitas vezes, em situações concretas, o tratamento de dados pessoais será imprescindível e não será viável que a instituição responsável pelo tratamento colete o consentimento dos titulares de tais dados ou se utilize de outras bases legais para justificá-lo. Conclui-se que, nestas situações, as instituições de pagamento deverão realizar o teste de ponderação do legítimo interesse e documentá-lo.