O declínio do consentimento na proteção de dados em tempos de IA

O consentimento deixou de ser a opção automática para legitimar tratamentos de dados e vem sendo progressivamente substituído por outras bases legais previstas na Lei Geral de Proteção de Dados (Lei 13.709/2018), com reflexos concretos sobre a autonomia informacional dos titulares e a governança de tecnologias como inteligência artificial.

Contexto

A discussão sobre consentimento remonta ao Marco Civil da Internet (Lei 12.965/2014), que já reconheceu o protagonismo dessa forma de manifestação de vontade no ambiente digital, exigindo expressão destacada em contratos de provedores (art. 7º, inciso IX). Com a LGPD, porém, o ordenamento expandiu o leque de hipóteses autorizadoras do tratamento — não apenas o consentimento (art. 7º, I), mas também bases como obrigação legal, execução de contrato, legítimo interesse, entre outras — e trouxe balizas específicas para dados sensíveis (art. 11), crianças e adolescentes (art. 14) e transferência internacional (art. 33).

Essa pluralidade normativa, combinada com custos operacionais e inerentes riscos de instabilidade associados ao caráter facultativo e revogável do consentimento — notadamente a possibilidade de revogação a qualquer tempo e efeitos deletérios sobre operações baseadas nessa autorização — tem levado agentes de tratamento a evitá-lo. Em paralelo, órgãos técnicos e decisões judiciais têm sido interpretadas de modo a relativizar a primazia do consentimento, o que alimenta uma tensão entre proteção da autodeterminação informativa e eficiência operacional.

A controvérsia ganha contornos práticos com casos envolvendo grandes plataformas que utilizam massas de dados para treinar modelos de IA. Procedimentos da Autoridade Nacional de Proteção de Dados (ANPD) e decisões jurisdicionais recentes questionaram a adequação do fundamento de “legítimo interesse” quando não há transparência suficiente, ausência de mecanismo efetivo de escolha (opt-out) e riscos relevantes para direitos dos titulares, em especial de grupos vulneráveis.

O que foi decidido

A trajetória normativa e decisória recente não consagrou uma hierarquia normativa entre as bases legais da LGPD; ao contrário, posicionamentos técnicos e enunciados reiteram que a escolha da base dependerá da análise fática e da ponderação de interesses. A ANPD, em enunciado e em procedimentos administrativos, tem afirmado que tratamentos envolvendo crianças e adolescentes exigem observância do melhor interesse da criança, podendo, conforme o caso, admitir tanto o art. 7º quanto o art. 11 da LGPD.

Em investigações sobre o uso de dados para treinar sistemas de IA, a agência adotou postura crítica quando a empresa não demonstrou obtenção de consentimento nem mecanismos claros de transparência e escolha; em alguns casos, impôs medidas temporárias e condicionou a retomada das atividades à implementação de controles adicionais, exclusão de categorias vulneráveis (como crianças e adolescentes) e oferta de alternativas para os titulares.

Em termos gerais, o quadro decisório reafirma duas teses centrais: (i) não há subordinação automática do consentimento a outras bases; e (ii) a legitimidade do tratamento deve ser aferida com base em princípios da LGPD (finalidade, necessidade, transparência, adequação e segurança) e na proporcionalidade entre interesse do agente e direitos do titular.

Base normativa e precedentes

• Art. 7º, LGPD (Lei 13.709/2018) — enumera as hipóteses de tratamento, incluindo o consentimento como uma base legal, não a única.
• Art. 11, LGPD — disciplina o tratamento de dados sensíveis, prevendo requisitos adicionais, inclusive para obtenção de consentimento específico e destacado.
• Art. 14, §1º, LGPD — prevê regras específicas para o tratamento de dados de crianças e adolescentes, com prioridade do melhor interesse da criança.
• Art. 18, LGPD — garante direitos dos titulares, como revogação do consentimento e eliminação de dados, que impactam riscos operacionais dos tratamentos baseados em consentimento.
• Art. 7º, IX, Marco Civil (Lei 12.965/2014) — disciplina o consentimento expresso em relação a provedores de aplicações e de conexão.
• Súmula 550, STJ — afasta necessidade de prévio consentimento na prática de escore de crédito em relações de consumo, ilustrando exceções operacionais ao predomínio do consentimento.
• Enunciado CD/ANPD 1/2023 — autoriza tratamento de dados de crianças e adolescentes com base nas hipóteses do art. 7º ou 11 da LGPD, desde que prevaleça o melhor interesse da criança.

Impacto prático

• Para titulares: redução do controle autônomo sobre determinadas operações de processamento quando agentes optam por bases alternativas; necessidade de atenção redobrada à transparência e aos mecanismos de exercício de direitos (opt-out, informações claras e acesso).
• Para empresas e plataformas de tecnologia: incentivo a avaliar cuidadosamente a fundamentação jurídica do tratamento (com foco em accountability) e a implementar avaliações de impacto e salvaguardas técnicas antes de adotar bases como legítimo interesse para treinar IA em grande escala.
• Para advogados e conselheiros de compliance: maior demanda por documentação robusta (balanços de interesses, AIA — avaliação de impacto à proteção de dados — quando aplicável), registros de operações e políticas de governança que articulem conjunto de bases legais e mitigação de riscos.
• Para reguladores e legisladores: pressão por orientações mais detalhadas sobre fronteiras entre legítimo interesse e consentimento, e por critérios para modulação de efeitos em hipóteses de tratamentos massivos.

O que observar

• A ausência de hierarquia normativa não elimina a exigência de fundamentação fática rigorosa: agentes devem justificar por que uma base alternativa é mais apropriada que o consentimento em cada operação concreta.
• Em operações de grande escala e com alto potencial de impacto (treinamento de modelos de IA, perfis automatizados), expectativa de maior escrutínio regulatório e judicial; recomenda-se conduzir avaliações de impacto conforme padrões internacionais e as orientações da ANPD.
• Risco de litígios e medidas administrativas se não houver transparência adequada ou mecanismos efetivos de exercício de direitos; políticas de opt-out meramente formais poderão ser vistas como insuficientes.
• Possibilidade de endurecimento de requisitos para tratamento de dados sensíveis e de menores, especialmente em face de decisões que priorizem o melhor interesse e a proteção integral.
• Recursos administrativos e judiciais permanecem como instrumentos para definir contornos aplicáveis em casos concretos; advogados devem preparar teses tanto de defesa de legitimidade das bases alternativas quanto de tutela aos titulares quando houver violação de princípios da LGPD.

A cena regulatória demonstra que o consentimento continua relevante, mas não absoluto: seu papel passa a ser contextualizado por riscos, finalidade e eficácia das salvaguardas. Para operadores e conselhos jurídicos, o desafio prático é articular bases legais, governança e transparência de forma a conciliar inovação — sobretudo em IA — com a proteção efetiva dos direitos fundamentais à privacidade e à autodeterminação informacional.