Direito de Oposição ao Tratamento de Dados

O direito de oposição ao tratamento de dados pessoais é uma das garantias mais poderosas da LGPD, permitindo que o titular exija a interrupção do uso de suas informações em situações concretas.

O que é o direito de oposição ao tratamento de dados pessoais

O direito de oposição está previsto no artigo 18, parágrafo 2º, da Lei Geral de Proteção de Dados (Lei nº 13.709/2018) e representa a possibilidade de o titular se opor ao tratamento de seus dados pessoais quando este for realizado em desconformidade com a legislação. Diferente do simples pedido de exclusão, o direito de oposição envolve uma análise mais ampla sobre a legitimidade e a necessidade do tratamento que está sendo contestado.

Quando analisamos esse direito no contexto de operações de due diligence, sua importância se torna ainda mais evidente. Processos de due diligence envolvem a coleta e o cruzamento massivo de informações pessoais, financeiras e patrimoniais. Empresas, escritórios de advocacia e consultorias realizam essas verificações para avaliar riscos em transações comerciais, fusões, aquisições e contratações. Nesse cenário, os titulares dos dados frequentemente desconhecem que suas informações estão sendo processadas, o que torna o direito de oposição um instrumento essencial de proteção.

Verificamos que a legislação brasileira seguiu uma tendência internacional consolidada. O Regulamento Geral de Proteção de Dados europeu (GDPR), em seu artigo 21, já previa o direito de oposição como garantia fundamental. A LGPD incorporou esse conceito adaptando-o à realidade jurídica nacional, criando um mecanismo que permite ao titular questionar não apenas a existência do tratamento, mas também sua proporcionalidade e adequação à finalidade declarada pelo controlador.

Bases legais e os limites do direito de oposição em processos de due diligence

Nem todo tratamento de dados pode ser objeto de oposição eficaz. A LGPD estabelece hipóteses em que o tratamento é considerado legítimo independentemente do consentimento do titular, como o cumprimento de obrigação legal ou regulatória (artigo 7º, inciso II), a execução de contrato (artigo 7º, inciso V) e o exercício regular de direitos em processo judicial, administrativo ou arbitral (artigo 7º, inciso VI). Em processos de due diligence, o controlador frequentemente invoca o legítimo interesse (artigo 7º, inciso IX) como base legal para o tratamento.

Quando o tratamento se fundamenta no legítimo interesse, o titular possui um campo mais amplo para exercer o direito de oposição. Isso ocorre porque o legítimo interesse exige do controlador a elaboração de um relatório de impacto à proteção de dados pessoais, demonstrando que os benefícios do tratamento superam os riscos aos direitos e liberdades fundamentais do titular. Se o controlador não conseguir demonstrar essa proporcionalidade, a oposição do titular deve prevalecer.

Observamos que, na prática, muitas empresas que realizam due diligence tratam dados pessoais sem sequer identificar corretamente a base legal aplicável. Utilizam bancos de dados públicos e privados, cruzam informações cadastrais, verificam históricos financeiros e consultam registros judiciais sem informar adequadamente os titulares. Essa ausência de transparência configura, por si só, uma irregularidade que fortalece o direito de oposição do titular.

É importante destacar que o direito de oposição não é absoluto. O controlador pode demonstrar que existem motivos legítimos e prevalecentes para continuar o tratamento, como a prevenção de fraudes ou o cumprimento de obrigações regulatórias impostas por órgãos como o Banco Central, a CVM ou o COAF. Nesses casos, o tratamento poderá continuar mesmo diante da oposição do titular, desde que limitado estritamente à finalidade que o justifica.

Como exercer o direito de oposição na prática

O exercício do direito de oposição segue um procedimento que combina comunicação formal com fundamentação jurídica. O primeiro passo é identificar quem é o controlador dos dados, ou seja, a pessoa física ou jurídica responsável pelas decisões sobre o tratamento. Em operações de due diligence, pode haver múltiplos controladores (a empresa contratante, a consultoria que executa a verificação e eventuais fornecedores de dados), o que exige atenção na identificação correta.

Após identificar o controlador, o titular deve encaminhar uma solicitação formal ao encarregado de proteção de dados (DPO) da organização. Essa solicitação deve conter a identificação do titular, a descrição dos dados cujo tratamento se questiona e os fundamentos da oposição. Recomendamos que essa comunicação seja feita por escrito, preferencialmente por meio eletrônico com confirmação de recebimento, para garantir a rastreabilidade.

O controlador tem o dever de responder à solicitação em prazo razoável, conforme dispõe o artigo 18, parágrafo 5º, da LGPD. Caso a resposta seja insatisfatória ou o controlador se recuse a interromper o tratamento sem apresentar justificativa adequada, o titular pode recorrer à Autoridade Nacional de Proteção de Dados (ANPD) por meio de petição administrativa. A ANPD possui competência para determinar a cessação do tratamento e aplicar sanções administrativas ao controlador infrator.

Analisamos que, no contexto de due diligence, a eficácia da oposição depende significativamente do momento em que ela é exercida. Quando o titular toma conhecimento do tratamento ainda durante a fase de coleta e análise, as chances de interrupção são maiores. Após a conclusão do processo de due diligence e a tomada de decisão baseada nos dados coletados, a oposição pode ter efeito limitado sobre as consequências já materializadas, embora ainda garanta a eliminação dos dados para usos futuros.

O direito de oposição ao tratamento de dados não é apenas uma formalidade legal, mas um instrumento concreto de proteção que permite ao titular questionar a proporcionalidade e a necessidade do uso de suas informações pessoais.

Riscos para empresas que ignoram o direito de oposição

As consequências para organizações que desconsideram o direito de oposição dos titulares são significativas e abrangem múltiplas esferas. No âmbito administrativo, a ANPD pode aplicar sanções que incluem advertências, multas de até 2% do faturamento da empresa (limitadas a R$ 50 milhões por infração), publicização da infração, bloqueio e eliminação dos dados pessoais tratados irregularmente. Essas penalidades estão previstas no artigo 52 da LGPD e já estão sendo aplicadas desde a regulamentação do processo sancionador.

Na esfera judicial, o titular cujo direito de oposição foi ignorado pode pleitear indenização por danos morais e materiais. A responsabilidade do controlador pelo tratamento irregular de dados pessoais é objetiva quando decorrente de atividade de risco (artigo 42 da LGPD), o que facilita a obtenção de reparação pelo titular prejudicado. Em processos de due diligence, os danos podem ser particularmente graves quando o tratamento inadequado de dados resulta em decisões negativas sobre crédito, contratação ou reputação do titular.

Além das consequências legais diretas, verificamos que a desconsideração do direito de oposição gera riscos reputacionais consideráveis. Empresas que atuam em setores regulados (financeiro, saúde, telecomunicações) enfrentam escrutínio adicional de órgãos setoriais e da mídia. A publicização de uma infração pela ANPD pode comprometer relações comerciais e a confiança de clientes e parceiros de negócio.

No contexto específico da due diligence, a negligência quanto ao direito de oposição pode contaminar toda a operação subjacente. Se uma fusão ou aquisição é conduzida com base em dados obtidos e tratados irregularmente, a empresa adquirente assume não apenas o passivo da infração original, mas também a responsabilidade por decisões tomadas com fundamento em informações cuja coleta e processamento eram questionáveis desde o início.

Boas práticas de conformidade para operações de due diligence

A implementação de um programa robusto de proteção de dados em processos de due diligence começa pela definição clara das bases legais aplicáveis a cada categoria de dados tratados. Recomendamos que as organizações elaborem um mapeamento detalhado dos fluxos de dados, identificando quais informações pessoais são coletadas, de quais fontes, para quais finalidades e por quanto tempo serão armazenadas. Esse mapeamento é fundamental para responder adequadamente a eventuais pedidos de oposição.

A transparência com os titulares dos dados é outro pilar essencial. Sempre que possível, os titulares devem ser informados sobre o tratamento de seus dados no contexto da due diligence, com indicação clara da finalidade, da base legal utilizada e dos canais disponíveis para o exercício de seus direitos. Reconhecemos que, em algumas situações, a notificação prévia pode comprometer o objetivo da verificação (como em investigações de fraude), mas mesmo nesses casos, a comunicação deve ocorrer tão logo cesse a restrição que a impedia.

A minimização de dados constitui uma prática indispensável. Processos de due diligence não devem coletar mais informações do que o estritamente necessário para a finalidade pretendida. Dados sensíveis (origem racial, convicção religiosa, dados de saúde, entre outros listados no artigo 5º, inciso II, da LGPD) exigem cuidados adicionais e, em regra, não devem ser tratados em due diligence comercial sem justificativa robusta.

Finalmente, destacamos a importância de estabelecer procedimentos internos claros para o recebimento e a resposta a pedidos de oposição. O encarregado de proteção de dados deve estar capacitado para avaliar cada solicitação, verificar a pertinência da oposição à luz da base legal utilizada e comunicar a decisão ao titular de forma fundamentada. A documentação de todo o processo é essencial tanto para demonstrar conformidade perante a ANPD quanto para subsidiar eventual defesa em processos judiciais.

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada.

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada.