Finalidade no contexto de proteção de dados
Afinal, o'que é finalidade? É o princípio que define qual o objetivo legítimo e específico para o qual você coleta e trata dados pessoais. Sem isso, nada do que você faz com informação sensível de alguém tem base legal. Não é uma sugestão. É obrigação. No Brasil, a LGPD (Lei 13.709/2018) traz isso no artigo 6º, inciso I. Finalidade específica, explícita e informada. Você não pode simplesmente coletar um CPF porque "pode servir um dia". Tem que saber exatamente pra quê vai usar antes de pedir esse dado.
Como definir finalidade na prática
Aqui é onde a maioria erra. Eu vi empresas que preenchiam formulários com finalidades genéricas como "melhorar a experiência do usuário" ou "análise de dados". Isso não passa em uma fiscalização. É vago demais. O termo tem que ser concreto. Um exemplo certo: "coleta de e-mail para envio de newsletter semanal sobre promoções". Isso é finalidade. Claro, delimitado, e o titular sabe exatamente o que está autorizando.
O passo a passo real que eu uso nos atendimentos: 1. Liste todos os dados que você coleta. Não pule essa etapa.
2. Para cada dado, escreva uma frase completa respondendo: por que eu preciso disso? Se não der pra responder, talvez você não precise daquele dado. 3. Vincule essa frase a uma das bases legais do artigo 7º ou 11º da LGPD. Finalidade sem base legal é só uma intenção bonita no papel.
👉 Clique no botão abaixo para saber mais sobre o assunto!
4. Atualize a política de privacidade com essas descrições. Não copie e cole de outro site. Multas já tiveram como fundamento justamente isso.
O erro mais comum que eu vejo
Empresas criam uma finalidade única e genérica para tudo. Tipo "prestar serviços". Aí coletam dados biométricos, históricos financeiros e localização dentro da mesma finalidade. A autoridade entende que não há especificidade. O tratamento fica indefinido e a conformidade desmorona. A solução é segmentar. Diferentes dados, diferentes finalidades, diferentes bases legais. Isso não é burocracia. É a diferença entre um tratamento que passa em auditoria e um que gera notificação no sistema da ANPD.
Um caso real que eu enfrentei
Recentemente, uma clínica médica tentou justificar a retenção de dados de pacientes que abandonaram o tratamento após cinco anos sob a mesma finalidade original: "atendimento de saúde". O problema é que a finalidade inicial era o tratamento ativo. Após o término, o tratamento desses registros precisava de nova fundamentação. A gente mudou para "Cumprimento de obrigação legal" (art. 7º, II), baseada no Código Civil e nas normas do CFM sobre guarda de prontuários. A_ANPD exige consistência entre o que você diz na política e o que realmente faz. Coletar mais tempo do que o necessário sem nova justificativa é excessividade pura.
Limitações que ninguém destaca
O princípio da finalidade não significa que você possa mudar de ideia nunca. A LGPD permite compatibilidade progressiva — tratar dados para uma finalidade diferente desde que razoável e informado ao titular. Mas isso é um critério subjetivo. Um advogado pode defender que uma mudança é compatível. Outro pode discordar. Não existe manual oficial da ANPD sobre até onde a compatibilidade vai. Na dúvida, peça consentimento novo. Outro ponto: finalidades de pesquisa científica têm regras próprias. O artigo 7º, VIII, abre uma exceção, mas exige anonimização quando possível e avaliação ética. Muitas organizações tratam isso como atalho, mas a ANPD tem multado por uso indevido dessa base.
Se o seu volume de dados é baixo e seu escopo é simples, definir finalidades leva cerca de uma tarde. Se você opera em múltiplos Estados ou tem mais de dez tipos de tratamento diferentes, espere de uma a duas semanas, dependendo da maturidade da sua equipe jurídica. O Download de modelos prontos de política de privacidade existe na internet. Eu não recomendo copiar. A consistência entre os registros de tratamento e o documento publicado é o primeiro item que fiscalizadores verificam.
