Base legal no RGPD: seis fundamentos e como escolher

Última atualização: 26 de agosto de 2026

Uma base legal no RGPD é o fundamento jurídico que permite tratar dados pessoais para uma finalidade definida. A escolha não é uma etiqueta administrativa feita no fim. Deve refletir a operação real, ser tomada antes do tratamento e determinar o que a organização explica, regista e faz quando uma pessoa exerce os seus direitos ¹.

Resposta rápida Uma base legal no RGPD é a razão jurídica que autoriza cada finalidade de tratamento. Existem seis opções, mas nenhuma serve para tudo. Escolha antes de tratar os dados, documente por que corresponde aos factos, informe as pessoas e verifique se dados sensíveis ou regras de comunicações exigem condições adicionais.

Seis caminhos, não seis rótulos

O RGPD oferece seis bases legais, cada uma ligada a uma situação distinta. A pergunta útil não é «qual parece mais segura?», mas «o que torna esta operação necessária e previsível para a pessoa?» ¹.

Contrato não abrange tudo o que uma empresa escolhe escrever nos seus termos: a operação tem de ser necessária para entregar aquilo que a pessoa pediu, e publicidade adicional não se torna necessária por aparecer numa cláusula. Obrigação legal também exige uma norma identificável, não apenas uma preferência de gestão.

Interesses vitais é uma base estreita, destinada a ameaças graves à vida; missão de interesse público e obrigação legal dependem do direito da União ou de um Estado-Membro e não constituem alternativas genéricas para uma empresa privada. Os interesses legítimos exigem sempre o teste do artigo 6.º, n.º 1, alínea f): identificar uma finalidade legítima, demonstrar a necessidade do tratamento e ponderar os interesses contra os direitos e expectativas da pessoa. As orientações do Comité Europeu para a Proteção de Dados desenvolvem essas três etapas; uma declaração de que a atividade ajuda o negócio não as substitui ³.

A fronteira com o direito atual do Reino Unido deve ficar explícita. No RGPD da União Europeia existem estas seis bases. A lei britânica atual acrescenta uma sétima via de interesse legítimo reconhecido para finalidades especificadas: a necessidade continua a ter de ser demonstrada, mas a ponderação é dispensada nesse ramo. O RGPD da União Europeia não tem uma via equivalente, pelo que aqui a ponderação nunca desaparece.

A finalidade vem antes da resposta

A mesma informação pode ter bases diferentes porque é usada para finalidades diferentes. Uma loja pode usar a morada de um cliente para entregar uma compra ao abrigo do contrato e conservar certos dados da transação por obrigação legal. Se depois quiser usar o endereço para uma campanha, começou outra finalidade e precisa de a analisar separadamente.

Escreva primeiro a operação em termos verificáveis, como «enviar a encomenda comprada», «emitir a folha salarial» ou «detetar tentativas de pagamento fraudulentas», e evite fórmulas como «melhorar serviços», que escondem várias decisões. Depois identifique os dados realmente necessários, quem é afetado, o benefício esperado, o possível prejuízo e se a pessoa esperaria razoavelmente aquele uso.

Teste a finalidade contra uma mudança simples. Se a entrega terminar, a morada ainda é necessária para executar o contrato? Provavelmente não; uma obrigação fiscal específica pode justificar a conservação de parte do registo, enquanto a utilização para publicidade exige uma decisão própria. Separar estes momentos impede que «contrato» acompanhe os dados indefinidamente e torna calculável o momento em que cada utilização termina.

O mesmo exercício revela tratamentos sem justificação. Se ninguém consegue explicar por que o formulário pede a data de nascimento para enviar um orçamento, a solução pode ser retirar o campo. Procurar uma base mais permissiva não transforma dados desnecessários em dados necessários. Esta conclusão deve voltar ao desenho do processo, porque a seleção da base legal é também um controlo sobre a recolha.

Consentimento e interesses legítimos não são sinónimos

Consentimento significa controlo genuíno da pessoa sobre uma atividade opcional e deve ser específico, informado, inequívoco e separável de outros termos. O Comité Europeu para a Proteção de Dados explica que retirar o consentimento deve ser tão fácil como concedê-lo ²; uma caixa pré-assinalada, silêncio ou acesso condicionado a algo desnecessário não cria essa escolha.

Quando a pessoa retira consentimento, o tratamento futuro apoiado nessa base tem de parar. A retirada não torna ilícito o tratamento anterior que era lícito ¹. Também não é correto mudar silenciosamente para interesses legítimos e continuar a mesma atividade: essa prática contradiz a escolha apresentada e pode ser injusta.

Interesses legítimos parte de uma lógica diferente. A organização identifica o seu interesse ou o de terceiro, prova que o tratamento é necessário e pondera o impacto sobre a pessoa. O teste deve considerar natureza dos dados, expectativas, relação, vulnerabilidades, consequências, salvaguardas e formas menos intrusivas. Uma objeção exige nova avaliação; não funciona como retirada automática, mas pode obrigar a organização a parar.

Compare os resultados num seguimento comercial. Uma pessoa que pede orçamento espera resposta sobre esse pedido, mas não autorizou necessariamente uma campanha continuada; se a empresa propõe consentimento, a recusa deve deixar o serviço intacto e a retirada deve parar futuros contactos. Se considera interesses legítimos para uma comunicação diferente, precisa de demonstrar interesse, necessidade, expectativa e equilíbrio, além de operar a objeção. O objetivo é escolher o ramo que corresponde aos factos, não o que oferece menos trabalho.

O canal pode impor uma condição anterior. Escolher uma base no RGPD não substitui a Diretiva ePrivacy nem a legislação de cada Estado-Membro que a transpõe. Essas regras podem exigir consentimento para determinados contactos de marketing eletrónico ou para armazenar e aceder a informação no equipamento terminal, mesmo quando a organização pretendia apoiar o tratamento posterior em interesses legítimos ⁵.

Analise a sequência completa: primeiro determine se o canal ou a tecnologia é permitido pelas regras ePrivacy aplicáveis no Estado-Membro relevante; depois identifique a base legal para o tratamento de dados pessoais resultante. Uma conclusão sobre o artigo 6.º, isoladamente, não torna lícito um canal proibido, e o consentimento para o canal não autoriza finalidades ou dados que nunca foram explicados.

Dados sensíveis precisam de outra condição

Uma base legal do artigo 6.º não basta quando o tratamento envolve categorias especiais de dados, como saúde, origem racial ou étnica, opiniões políticas, crenças, filiação sindical, genética, biometria para identificação ou vida sexual; a organização precisa também de uma condição adequada do artigo 9.º ¹.

Os dados relativos a condenações penais e infrações seguem o artigo 10.º: só podem ser tratados sob controlo de autoridade pública ou quando o tratamento é autorizado pelo direito da União ou de um Estado-Membro, com garantias adequadas. Esta camada não cria uma sétima base legal; acrescenta uma condição ao fundamento do artigo 6.º. A pergunta operacional passa a ser dupla: «qual é a base legal para a finalidade?» e «qual é a condição adicional para este tipo de dado?». Registar apenas «consentimento» ou «interesses legítimos» deixa metade da análise por fazer.

Considere uma empresa que recolhe informação sobre alergias para servir refeições seguras num evento. A finalidade pode apoiar-se numa base do artigo 6, mas os dados de saúde obrigam a identificar separadamente uma condição do artigo 9; limitar o acesso, apagar a informação depois do evento e explicar o uso continuam necessários. A condição adicional autoriza uma categoria de tratamento, não uma recolha ilimitada.

A base muda os direitos à volta do tratamento

A escolha tem consequências práticas para os pedidos das pessoas. O direito à portabilidade depende, entre outros elementos, de tratamento automatizado baseado em consentimento ou contrato. O direito de oposição é especialmente relevante para interesses legítimos e missões de interesse público. A retirada existe quando o fundamento é consentimento.

Por isso, uma organização não pode prometer o mesmo fluxo para todas as bases. O aviso de privacidade, o guião da equipa e o sistema de pedidos devem saber qual fundamento sustenta cada finalidade. Se o registo diz contrato, mas a resposta a uma oposição trata a atividade como interesse legítimo, a incoerência mostra que a decisão não foi operacionalizada.

Faça uma matriz curta entre finalidade, base e consequência. Para uma newsletter consentida, o comando de retirada deve impedir novos envios e propagar o estado aos fornecedores; para prevenção de fraude apoiada em interesses legítimos, a objeção deve chegar a alguém capaz de repetir a ponderação e justificar a decisão. Um fluxo genérico que apenas regista «pedido recebido» não cumpre nenhuma das duas tarefas.

Transforme a escolha num registo utilizável

Um bom registo permite que alguém que não participou na decisão compreenda e execute o resultado. Uma linha com «base: interesses legítimos» não chega.

O registo deve ligar-se ao aviso de privacidade, às instruções da equipa, aos contratos com fornecedores e à configuração dos sistemas. Uma alteração de finalidade, novos dados, novo destinatário ou nova tecnologia pode mudar a análise. A revisão não serve para confirmar automaticamente a resposta antiga; serve para perguntar se os factos ainda sustentam a mesma base ².

Inclua o proprietário de cada consequência. Marketing pode manter a lista, mas atendimento recebe a retirada; segurança opera fraude, mas privacidade avalia uma objeção; compras altera o fornecedor, mas produto decide os campos. O registo precisa de encaminhar o evento para quem consegue parar, restringir ou reavaliar, com confirmação devolvida ao ponto de origem.

Teste a linha no sistema. Crie uma retirada de consentimento, uma objeção a interesses legítimos e uma mudança de finalidade controladas, depois confirme que filas, fornecedores, perfis e avisos recebem a atualização. Uma decisão juridicamente correta que não muda o tratamento real continua a falhar como controlo operacional.

Conserve a versão e os factos aprovados. Quando o interesse, o público, o campo ou o canal muda, abra nova avaliação em vez de editar silenciosamente a conclusão anterior; a cronologia deve mostrar o que sustentava cada uso e quando a equipa deixou de poder confiar nessa decisão.

Faça uma revisão por amostra. Escolha uma finalidade do inventário, siga os dados desde a recolha até eliminação e compare formulário, aviso, base, condição adicional, destinatários e direitos com a tabela. A discrepância identifica onde o registo se tornou descrição histórica, e não instrução para o trabalho atual.

Em Portugal, a Comissão Nacional de Proteção de Dados (CNPD) é o contacto nacional para questões e participações. Esta ligação identifica o canal de contacto; não altera a base legal comum do RGPD nem introduz uma regra material exclusiva de Portugal.

Comece por uma finalidade de elevado volume, como faturação, recrutamento ou marketing. Descreva a operação, elimine o que não é necessário, escolha a base que explica os factos e documente as consequências. Repetir esse processo cria um inventário defensável; escolher uma palavra para toda a empresa cria apenas uma aparência de conformidade.