Uso secundário de dados pessoais e seu fundamento no legítimo interesse no Brasil pós-LGPD

Abstract

Este estudo analisa o uso secundário de dados pessoais e seu fundamento no legítimo interesse, especificamente no Direito Civil. A pesquisa está dividida em três partes. Primeiramente, são analisadas as características do tratamento de dados pessoais e o uso secundário de dados e sua relação direta com o princípio da finalidade. Em seguida, trata-se do diálogo principiológico no uso secundário de dados, com a análise do princípio da finalidade, da boa-fé, da base legal do consentimento e do teste da base legal do legítimo interesse. Dessa forma, são investigadas a avaliação do legítimo interesse e o teste de quatro fases, adotado pela Lei Geral de Proteção de Dados (LGPD), além da análise das questões controvertidas em relação à aplicação do legítimo interesse. Posteriormente, é apresentada uma proposta de alteração legislativa da lege lata a lege ferenda no que se refere ao art. 38 da LGPD, que trata do relatório de impacto à proteção de dados. Nesse momento, é feita uma comparação entre a LGPD e o General Data Protection Regulation (GDPR), o qual possui situações nas quais o RIPD é obrigatório. Para verificar a importância desse documento, é analisado o relatório de impacto à proteção de dados do TCU. Por fim, propõe-se a alteração legislativa do art. 38 da LGPD, em razão da necessidade de mitigar os riscos do uso posterior de dados pessoais baseado no legítimo interesse.

This study aims to analyze the secondary use of personal data and its legal basis in the legitimate interest, specifically in Civil Law. At first, the characteristics of personal data treatment and the secondary use of data are analyzed as well as its straight relation to the purpose limitation principle. Just after, the principiological dialogue and the analyzis of the purpose limitation principle is treated as well as the good faith, the legal basis of the consent and the test of legitimate interest assessment. Thus, the legitimate interest assessment and the test of four steps are investigated, which are adopted by Brazilian Data Protection Law (LGPD), besides the analysis of the controversial issues in relation to the legitimate interest uses. Then, a proposal of legal change connected to the article 38 in LGPD from lege lata to the lege feranda, which involves the data protection impact assessment is presented. At this moment, a comparison between LGPD and the General Data Protection Regulation, connected to the data protection impact assessment is made because GDPR has some important obligatory situations in the DPIA. To verify the importance of this document, the DPIA Union Accountant Court (TCU) is analyzed. At the end, a legal change of the article 38 at LGPD is proposed, because of the need of risk mitigation in relation to the secondary use of data based on the legitimate interest.