Consentimento na LGPD: quando precisa e quando não

Quando consentimento é realmente obrigatório (e quando não é)

Aqui está a árvore de decisão que você precisa:

Consentimento é obrigatório em 4 situações:

1. Dados sensíveis. Saúde, biometria, religião, orientação sexual, dados financeiros detalhados. Exemplo: você coleta informação de saúde (alergias, medicamentos). Lei exige consentimento porque é dado sensível.

2. Marketing direto / publicidade. Email marketing, SMS marketing, publicidade direcionada. Exemplo: você coleta email em forma — "Quero receber ofertas" — e envia newsletter. Precisa de consentimento porque é marketing.

3. Compartilhamento com terceiro. Você coleta email para seu uso (CRM), depois passa para agência de marketing para campanhas. Terceiro não estava no escopo original — precisa novo consentimento.

4. Cookies de rastreamento/analytics. Google Analytics, Facebook Pixel, e outros rastreadores precisam de consentimento (exceto se uso é operacional/segurança — aí pode sem consentimento).

Quando consentimento NÃO é necessário:

1. Execução de contrato. Você vende para cliente; precisa de endereço/telefone para entregar. Isso é execução de contrato — não precisa consentimento (contrato já cobre).

2. Obrigação legal. Fisco, governo, autoridade judicial pedem dados — você cumpre por obrigação legal, não precisa consentimento.

3. Proteção de direito. Você precisa cobrar cliente, entrar com ação judicial — uso de dados é proteção de direito, não precisa consentimento.

4. Interesse legítimo. Você precisa detectar fraude, melhorar segurança, eficiência de serviço — são interesses legítimos. Não precisa consentimento, mas precisa documentar por que é legítimo.

Exemplo prático: cliente compra em seu e-commerce. Você coleta email, telefone, endereço. Isso é execução de contrato — não precisa consentimento específico. Mas se quer enviar email marketing depois, precisa de consentimento novo.

Características de consentimento válido na prática

Consentimento só é válido se tiver 3 características:

Livre. Sem coação. Você não pode dizer "se não consentir, não recebe o serviço". Exemplo inválido: checkbox pré-marcado de "Concordo com LGPD" como requisito obrigatório para cadastro. Exemplo válido: checkbox desmarcado oferecido, cliente marca se quiser marketing.

Informado. Você explica claramente o que vai fazer com os dados. Linguagem simples (não jurídica). Exemplo: "Suas fotos serão usadas em nosso catálogo online e publicidade. Você concorda?" — claro. Exemplo inválido: "Seus dados serão tratados conforme LGPD" — muito vago.

Inequívoco. Consentimento é ativo, não silêncio. Checkbox pré-marcado = INVÁLIDO. Silêncio (cliente não marca nada) = INVÁLIDO. Você precisa de ação afirmativa: cliente marca checkbox, escreve "SIM", clica botão.

Sobre consentimento pré-marcado: Na LGPD brasileira, consentimento pré-marcado é INVÁLIDO. Lei é clara: art. 8º, parágrafo 4º. Diferente de GDPR europeu que permite com condições. No Brasil, não — checkbox deve estar DESMARCADO, cliente marca se quiser.

Como coletar consentimento de forma válida (passo a passo)

Passo 1: Escrever política clara. Redija Aviso de Privacidade em linguagem simples (não jurídica): "Coletamos seu email para enviar newsletter. Você pode desinscrever a qualquer hora. Seus dados não são compartilhados com terceiros."

Passo 2: Oferecer checkbox ativo (desmarcado). No website, formulário, email — coloque checkbox sem marcar: "[ ] Concordo em receber ofertas por email". Cliente marca se quiser. Salve timestamp de quando marcou.

Passo 3: Documentar consentimento. Guarde prova: screenshotest do formulário com checkbox marcado, email de confirmação, log com data/hora/IP. Se autoridade fiscalizar, você prova que pediu consentimento.

Passo 4: Facilitar revogação. Mesmo lugar onde pediu consentimento (website, email, formulário), oferça forma de revogar. Exemplo: "Quero desinscrever de marketing" — clique, desmarca consentimento. Você para envio em até 48h.

Passo 5: Guardar registro por quanto tempo? Lei não fixa prazo. Regra prática: pelo tempo que usar o dado. Se usar email para marketing por 2 anos, guarde prova por 2+ anos.

Consentimento verbal? Válido se você registra de alguma forma (email de confirmação dizendo "Você concordou em...", notas de chamada telefônica com data/hora). Melhor é por escrito (email, formulário online).

Revogação de consentimento: você precisa responder rápido

Cliente pode revogar consentimento a qualquer momento. Pode mandar email "remova meu email de sua lista" ou clicar "desinscrever" no rodapé de newsletter.

O que você precisa fazer:

1. Parar o envio em prazo razoável — 24-48h é aceitável. Não precisa ser instantâneo, mas não pode esperar 1 mês.

2. Responder cliente: "Seu consentimento foi revogado, você não receberá mais nossas mensagens."

3. Guardar registro de que cliente revogou (para prova se autoridade questionar depois).

Erro comum: ignorar pedido de revogação. Cliente avisa que quer sair, você continua mandando email. Isso é LGPD violation.

Erros comuns em consentimento que deixam você descoberto

Erro 1: "Consentimento pré-marcado vale". Falso. INPI pode vir e multar. Checkbox deve estar desmarcado — cliente marca se quiser.

Erro 2: "Silêncio do cliente é consentimento". Falso. Cliente não responde = não consentiu. Precisa ser ativo (marca, clica, escreve SIM).

Erro 3: "Se colheu consentimento uma vez, vale para sempre". Falso (depende contexto). Se contexto muda (começa a usar dados para nova finalidade), precisa novo consentimento. Se muito tempo passa (5+ anos), renovar é prudente.

Erro 4: "Não preciso guardar prova de consentimento". Falso. LGPD inverte ônus de prova: é você que prova que consentimento existiu. Se não guardar, você perde em caso de contencioso.

Erro 5: "Consentimento para uma coisa vale para tudo". Falso. Consentimento é específico por finalidade. Cliente consentiu em marketing por email, mas não em compartilhar dados com parceiro — você não pode compartilhar.

Erro 6: Colocar consentimento como obrigatório para usar serviço. Falso. "Se não marcar, não cria conta" = coação = inválido. Consentimento para marketing é opcional; para dados essenciais (contrato), não precisa consentimento, usa-se "execução de contrato".

Comparação com GDPR europeu: por que consentimento é diferente no Brasil

Se você opera com clientes europeus, cuidado: GDPR europeu permite consentimento pré-marcado — LGPD brasileira não permite. Diferenças principais:

GDPR (Europa): Consentimento pré-marcado é permitido com condições (deve haver opção de optar por fora, não pode ser punido por não consentir). Legítimo interesse é mais fácil de usar.

LGPD (Brasil): Consentimento pré-marcado é inválido (art. 8º). Legítimo interesse existe mas é mais restrito. Lei é mais rigorosa no Brasil.

Se sua PME vende para Brasil, siga LGPD (mais rigorosa). Se vende para Europa também, siga GDPR. Quando em dúvida, use o padrão mais rigoroso (GDPR).