Artigo 6.º do GDPR: seis fundamentos de licitude, não apenas o consentimento

O artigo 6.º do GDPR enumera seis fundamentos de licitude para o tratamento de dados pessoais: consentimento, contrato, obrigação jurídica, interesses vitais, missão de interesse público e interesses legítimos. Muitas pessoas pensam erradamente que o consentimento é a única opção, mas é apenas uma de seis. Por exemplo, um empregador que trate dados para processar salários não necessita de consentimento — baseia-se numa obrigação jurídica ou num contrato. A distinção essencial é que o consentimento exige um ato claro e afirmativo do titular dos dados, ao passo que os outros fundamentos decorrem frequentemente de deveres legais ou de necessidades organizacionais.

Para eliminar respostas erradas numa pergunta, verifique primeiro se o tratamento é exigido por lei ou por um contrato — se for, o consentimento não é necessário. Em segundo lugar, lembre-se de que os «interesses vitais» se aplicam apenas a situações de vida ou de morte, como cuidados médicos de emergência. Em terceiro lugar, os «interesses legítimos» constituem o fundamento mais amplo, mas não podem prevalecer sobre os direitos do titular dos dados; abrangem frequentemente a prevenção da fraude ou o marketing direto. Um truque rápido de eliminação: se o cenário envolver uma autoridade pública, o fundamento será provavelmente uma «missão de interesse público», e não o consentimento.

Para se testar, pergunte: «Este tratamento ocorre devido a uma obrigação legal, a um contrato ou à necessidade de salvar uma vida?» Se a resposta for afirmativa, elimine o consentimento. Como auxiliar de memória, pense nos seis fundamentos como «C-C-O-I-M-I» (Consentimento, Contrato, Obrigação jurídica, Interesses vitais, Missão de interesse público, Interesses legítimos). Pratique a associação de cada fundamento a um exemplo real, como o processamento de salários (contrato/obrigação jurídica), por oposição à subscrição de um boletim informativo (consentimento).