Interesse Legítimo na LGPD: quando não basta para fintechs

Por que sua fintech provavelmente está usando interesse legítimo do jeito errado

Quando um compliance officer de fintech precisa justificar o tratamento de dados para análise comportamental, segmentação de marketing ou scoring interno, a resposta mais comum é sempre a mesma: interesse legítimo. A base legal existe, está no art. 7º, inciso IX, e no art. 10 da Lei nº 13.709/2018 (LGPD), e soa suficientemente ampla para cobrir quase tudo.

O problema é que ela não é ampla. É condicionada. E a ANPD vem deixando isso cada vez mais claro, com guias, com fiscalizações e, agora, com um mapa de temas prioritários para 2026-2027 que coloca dados financeiros e formação de perfis comportamentais no centro da agenda de enforcement.

O que o art. 10 da LGPD efetivamente diz

O art. 10 da LGPD condiciona o uso do interesse legítimo a situações concretas, não abstratas ou especulativas. O dispositivo menciona duas finalidades exemplificativas: (i) apoio e promoção de atividades do controlador e (ii) proteção do exercício regular de direitos do titular ou prestação de serviços que o beneficiem.

Há ainda uma limitação estrutural frequentemente ignorada: o interesse legítimo não se aplica ao tratamento de dados pessoais sensíveis. Para dados biométricos, de saúde, origem racial, convicção religiosa ou dado genético, a base legal adequada está no art. 11, não no art. 7º, IX.

O §3º do mesmo art. 10 prevê que a ANPD poderá solicitar ao controlador o Relatório de Impacto à Proteção de Dados (RIPD) quando o tratamento for baseado nessa hipótese. Isso significa que o ônus argumentativo é do controlador, não da autoridade.

O teste de balanceamento: a parte que ninguém documenta

Em fevereiro de 2024, a ANPD publicou o Guia Orientativo sobre Legítimo Interesse, que introduziu um modelo estruturado de avaliação em três fases: finalidade, necessidade e balanceamento e salvaguardas.

O trinômio para que o interesse seja considerado legítimo exige: (1) compatibilidade com o ordenamento jurídico; (2) fundamentação em situação concreta; e (3) vínculo com finalidade legítima, específica e explícita. Não basta que o controlador queira fazer algo que faça sentido negocialmente. É preciso demonstrar que o titular não seria surpreendido com aquele uso de dados.

Esse conceito, legítima expectativa do titular, é o ponto onde a maioria das fintechs falha. A ANPD elenca como fatores relevantes: se há relação prévia entre controlador e titular, como os dados foram coletados, e se a finalidade do uso é compatível com o contexto da coleta original.

Três cenários práticos para fintechs

Erros que aparecem com frequência na primeira auditoria

1. Invocar interesse legítimo como “base residual”

É comum encontrar mapeamentos de dados onde o interesse legítimo aparece como justificativa padrão para tudo que não cabe em consentimento ou obrigação legal. Cada operação de tratamento precisa de uma base específica, e o uso indiscriminado do interesse legítimo é, por si só, um indicador de ausência de governança.

2. Não documentar o teste de balanceamento

O Guia da ANPD é explícito: o controlador deve manter registros das operações de tratamento, especialmente o teste de balanceamento. Fintechs que invocam interesse legítimo sem qualquer documentação interna estão expostas a sanções administrativas e dificuldades em due diligences de rodadas de investimento.

3. Confundir interesse legítimo com proteção ao crédito

A LGPD prevê uma base legal específica para proteção ao crédito no art. 7º, inciso X. Para fintechs de crédito, essa base é mais precisa e juridicamente mais robusta do que o interesse legítimo para operações de análise de risco de inadimplência.

4. Tratar dados de menores sem adequação à base correta

Fintechs com produtos voltados a jovens ou que tratam dados de dependentes precisam observar que o interesse legítimo, nesse contexto, exige um balanceamento ainda mais criterioso e documentado.

O cenário regulatório que torna isso urgente em 2026

A ANPD aprovou, em dezembro de 2025, o Mapa de Temas Prioritários para fiscalização no biênio 2026-2027, por meio das Resoluções CD/ANPD 30/2025 e 31/2025. O documento prioriza explicitamente dados biométricos, financeiros e tratamento por formação de perfis comportamentais, exatamente o core operacional de fintechs de crédito, meios de pagamento e plataformas de investimento.

O segundo semestre de 2024 já havia sido um marco no enforcement: mais processos fiscalizatórios foram abertos naquele período do que em todo o histórico anterior da autoridade. Para 2026, a tendência é de intensificação.

Como estruturar uma análise de interesse legítimo defensável

1. Identificação do interesse: É do controlador ou de terceiro? É específico e explícito, ou genérico? Interesses vagos como “melhoria de produto” não passam no teste.
2. Avaliação de necessidade: O tratamento é limitado ao mínimo necessário? Existe algum meio menos invasivo?
3. Verificação da expectativa legítima: O titular razoavelmente esperaria esse uso? Há relação prévia?
4. Balanceamento e salvaguardas: Os direitos e liberdades do titular prevalecem ou o interesse do controlador é mais relevante? Quais salvaguardas mitigam o risco?
5. Registro: O resultado do teste precisa estar documentado no ROPA e disponível para eventual solicitação da ANPD via RIPD.

Síntese: o que isso significa na prática

O interesse legítimo é uma base legal legítima, inclusive para fintechs. Prevenção à fraude, monitoramento de risco em clientes ativos e segmentação contextualmente esperada pelo titular são casos válidos. O problema não é a base em si, é a aplicação mecânica e não documentada que a transforma em risco regulatório.

Com a ANPD priorizando dados financeiros e perfis comportamentais para 2026-2027, o momento de revisar o mapeamento de bases legais é agora, não após a primeira notificação.

O Log.Law atua em proteção de dados pessoais, com foco em fintechs e empresas reguladas pelo BACEN e pela CVM.

FAQ

Nossa fintech usa reconhecimento facial no onboarding. Podemos usar interesse legítimo como base?

Não. Dados biométricos são dados pessoais sensíveis, classificados no art. 5º, II, da LGPD. O interesse legítimo (art. 7º, IX e art. 10) é expressamente vedado para dados sensíveis. Para onboarding com biometria facial, a base adequada é o art. 11, II, g.

Precisamos elaborar um RIPD toda vez que usamos interesse legítimo?

Não necessariamente de forma espontânea e prévia, mas o art. 10, §3º da LGPD determina que o controlador deve apresentar o RIPD quando solicitado pela ANPD. Para operações de alto risco, elaborar o RIPD preventivamente é a postura mais defensável.

A base de proteção ao crédito (art. 7º, X da LGPD) é mais segura do que o interesse legítimo para análises de risco?

Para operações de concessão de crédito e análise de inadimplência, sim, a proteção ao crédito é uma base mais específica e diretamente prevista em lei para esse fim.

Somos uma startup pequena. A Resolução CD/ANPD nº 2/2022 nos isenta de documentar o teste de balanceamento?

Não. A Resolução traz simplificações para agentes de tratamento de pequeno porte, mas não afasta a obrigação de identificar e justificar a base legal correta para cada tratamento. O que a resolução flexibiliza é o formato do registro, não a necessidade de ter uma fundamentação legalmente adequada.