Limites de uso da base legal do legítimo interesse como medida de apoio ao compliance contratual.

Abstract

O pouco tempo de vigência da Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais – LGPD), sob a perspectiva de um Brasil pouco desenvolvido na cultura da proteção de dados e de um complexo uso da base legal do legítimo interesse para o tratamento de dados pessoais, somado a um compliance empresarial contratual extremamente preocupado em imprimir conformidade aos seus parceiros de negócios é o elo central do presente estudo. A exemplo, tem-se uma empresa que exige contratualmente a transmissão de dados pessoais de colaboradores de seus fornecedores, a exemplo de cópias de comprovante do recolhimento do FGTS e de ficha de registro de empregados, como condição para a contratação e para o pagamento. Nesse sentido, o objetivo desta pesquisa foi estudar os limites de uso da base legal do legítimo interesse como medida de apoio ao compliance contratual, inferindo se a previsão de cláusula contratual obrigacional que implique no tratamento de dados pessoais de terceiros não integrantes e não beneficiários da relação contratual está ou não abarcada pela hipótese legal do legítimo interesse. Para tanto, decidiu-se investigar o uso do legítimo interesse no Brasil, a partir da experiência europeia, tendo em vista que o modelo europeu de proteção de dados em muito se assemelha à LGPD, de manifestações técnicas de autoridades para a proteção de dados e da doutrina e legislação atuais. Finalizou-se com a análise prática de um caso concreto de cláusula contratual padrão de empresa industrial brasileira, sendo esta uma opção desta pesquisadora em razão de atuação profissional na análise de contratos. O estudo desenvolvido nesta dissertação foi exploratório-descritivo, descrevendo um fenômeno corporativo, utilizando como estratégia de atuação o estudo de caso. A partir das descobertas do estudo, conclui-se que o uso da base legal do legítimo interesse como medida de apoio ao compliance corporativo contratual, por meio de cláusula contratual obrigacional que implica no tratamento de dados pessoais de terceiros não integrantes da relação contratual, falha no teste do legítimo interesse, não atendendo os critérios previstos no art. 10 da LGPD, ferindo os limites estabelecidos pela Lei para o uso desta hipótese legal para o tratamento de dados pessoais.

The short period of validity of Law Nº 13.709/2018 (General Personal Data Protection Law – LGPD), from the perspective of a Brazil with little development in the culture of data protection and a complex use of the legal basis of legitimate interest for the processing of personal data, added to contractual corporate compliance extremely concerned with ensuring compliance with its business partners, is the central link of this study. For example, there is a company that contractually requires the transmission of personal data of employees from its suppliers, such as copies of proof of payment of FGTS and employee registration form, as a condition for hiring and payment. In this sense, the objective of this research was to study the limits of use of the legal basis of legitimate interest as a measure to support contractual compliance, inferring whether or not the provision of an obligatory contractual clause that implies the processing of personal data of third parties who are not members and non-beneficiaries of the contractual relationship is covered by the legal hypothesis of legitimate interest. To this end, it was decided to investigate the use of legitimate interest in Brazil, based on the European experience, considering that the European data protection model is very similar to the LGPD, technical statements by data protection authorities and current doctrine and legislation. It concluded with the practical analysis of a specific case of a contractual clause of a brazilian industrial company, this being an option of this researcher due to her professional experience in analyzing contracts. The study developed in this dissertation was exploratory-descriptive, describing a corporate phenomenon, using the case study as a strategy. Based on the findings of the study, it is concluded that the use of the legal basis of legitimate interest as a measure to support contractual corporate compliance, through an obligatory contractual clause that implies the processing of personal data of third parties not part of the contractual relationship, fails in the test of legitimate interest, not meeting the criteria set out in art. 10 of the LGPD, violating the limits established by Law for the use of this legal hypothesis for the processing of personal data.