Uso de dados em contratos à luz da LGPD: limites, finalidades e critérios de necessidade

Por Alan Campos Elias Thomaz e João Marcelo* — Gravar atendimentos, medir a performance de colaboradores por suas interações, transcrever comunicações para auditoria: empresas tratam esses dados todos os dias presumindo que a execução do contrato (art. 7º, V, da LGPD) os autoriza. Em alguns dos casos, pode não autorizar.

Enquadrar como contratual um tratamento que é apenas conveniente pode expor a organização a operar sem base legal válida, a questionamento da ANPD e à fragilidade em disputas trabalhistas.

A execução de contrato, se entendida pela ANPD em linha com a interpretação europeia, cobre apenas o que é indispensável para cumprir a obrigação assumida; tudo o que excede esse núcleo, a princípio, pode exigir outra base legal e nova análise.

A LGPD autoriza o tratamento necessário para a execução de contrato ou para procedimentos preliminares relacionados. A redação parece simples, mas concentra toda a controvérsia em uma palavra: necessidade. Cabem nessa hipótese as atividades realmente indispensáveis ao adimplemento da obrigação principal. Não cabem as práticas internas conexas à relação jurídica, mas dispensáveis ao cumprimento do contrato, ainda que descritas em cláusula.

Não há hierarquia entre as dez bases legais do art. 7º. O legítimo interesse (art. 7º, IX) é invariavelmente um dos mais invocados, não por superioridade jurídica, mas pela flexibilidade que oferece para o que escapa ao núcleo contratual. Isso não o transforma em alternativa automática. A LGPD lhe atribui ônus superior: exige finalidade legítima demonstrada, teste de necessidade, balanceamento de impactos e consideração da expectativa razoável do titular. Nenhuma base legal pode virar atalho para acomodar o que não foi devidamente analisado.

O parâmetro europeu foi claro nesse ponto. As Guidelines 2/2019 do Comitê Europeu de Proteção de Dados (EDPB) sobre o art. 6(1)(b) do GDPR adotam a interpretação mais estrita possível: a execução contratual só se aplica quando o tratamento é objetivamente indispensável para entregar o serviço contratado. Melhoria de processos, expansão de funcionalidades, análises internas e ferramentas de monitoramento ficam de fora. Como a LGPD reproduz a lógica estrutural do GDPR, essa leitura é um referencial plausível enquanto a ANPD não enfrentar o tema. Não há, porém, garantia de que esse entendimento prevaleça e nada impede que a autoridade brasileira adote posição própria, eventualmente mais flexível que a europeia.

Esse rigor é decisivo diante da tentação de ampliar contratos de trabalho para abrigar práticas internas. Descrever em detalhe atividades de monitoramento, avaliações contínuas ou rotinas operacionais não converte essas práticas em requisitos essenciais do vínculo. Verificar se o colaborador cumpriu uma instrução pode integrar o núcleo do contrato; transformar todas as suas interações e performance em insumo para sistemas de data analytics desloca o tratamento para uma esfera que exige nova base legal e exame proporcional mais rigoroso.

A escolha da base não é ato meramente declaratório. Ela define o nível de transparência devido, os direitos que o titular pode exercer, as salvaguardas aplicáveis e o grau de responsabilidade do controlador.

Por isso importa separar finalidade essencial de finalidade secundária: cumprir o contrato compõe o núcleo obrigatório, enquanto melhorar processos, fortalecer auditorias, desenvolver modelos analíticos ou padronizar avaliações de performance são finalidades conexas, porém secundárias, que reclamam base própria.

A resposta não está em eleger uma base preferida, mas em examinar cada atividade: qual a finalidade predominante, se o dado é indispensável ao cumprimento do contrato ou apenas útil à organização, e qual a expectativa legítima do titular.

Não se amplia o contrato artificialmente, nem se desloca tudo o que sobra para o legítimo interesse sem balanceamento. É esse exame fático, atividade por atividade, que delimita a fronteira entre as bases e sustenta a decisão diante de uma futura fiscalização da ANPD.

*Alan Campos Elias Thomaz é sócio do Campos Thomaz Advogados
*João Marcelo é advogado do Campos Thomaz Advogados