Quando da aprovação do Marco Civil da Internet, em 2014, o consentimento, enquanto elemento nevrálgico à autodeterminação informativa, conquistou verdadeiro protagonismo no que se refere às formas de tratamento de dados realizadas no ambiente virtual.
Dentre os direitos essenciais dos usuários da internet brasileira, tem-se o consentimento expresso para o tratamento de dados, que deve ser apresentado de forma destacada nos contratos de prestação de serviços, gratuitos ou não, por provedores de aplicações e de conexão de internet (art. 7º, IX, do MCI).
No entanto, com a aprovação da Lei Geral de Proteção de Dados (LGPD), em 2018, o panorama relativo ao tratamento de dados, seja em ambiente virtual ou analógico, foi profundamente alterado. Por meio da previsão de outras hipóteses legais, sabe-se que, na contemporaneidade, o consentimento, enquanto uma manifestação de vontade livre, informada e inequívoca, para o tratamento de dados pessoais em sentido amplo (art. 7º, I, LGPD), e ainda fornecido de forma destacada e específica para o tratamento de dados sensíveis (art. 11, I, LGPD), ou quando aplicável ao tratamento de dados de crianças e adolescentes (art. 14, § 1º, LGPD) ou na transferência internacional de dados (art. 33, VIII, LGPD), apresenta-se como apenas uma dentre as diversas bases legais aplicáveis à miríade de formas de processamento de dados.
Desde então, é notável uma progressiva tendência por parte de agentes de tratamento de evitar a utilização do consentimento. Seja em razão de suas muitas adjetivações supramencionadas, passíveis de serem vistas como onerosas de serem implementadas, seja porque também pode ser visto como temerário à estabilidade das operações de tratamento, em virtude dos direitos do titular intrínsecos à sua efetivação, como o direito à revogação (art. 18, IX, LGPD) que pode ser exercido a qualquer momento pelo titular, ou ainda o da eliminação por inteiro dos dados tratados (art. 18, VI, LGPD), tendo em vista que se trata de manifestação de vontade decorrente da faculdade genuína de dizer sim ou não.
A tendência em torno de um ostracismo do consentimento ganhou contornos ainda mais robustos. No âmbito da IX Jornada de Direito Civil, foi aprovado o Enunciado 689, que diz: “Não há hierarquia entre as bases legais estabelecidas nos arts. 7º e 11 da Lei Geral de Proteção de Dados (Lei n. 13.709/2018)”.
Anteriormente, em sentido similar, a própria Agência Nacional de Proteção de Dados (ANPD) havia aprovado o Enunciado CD/ANPD 1/2023, que preconiza: “O tratamento de dados pessoais de crianças e adolescentes poderá ser realizado com base nas hipóteses legais previstas no art. 7º ou no art. 11 da Lei Geral de Proteção de Dados Pessoais (LGPD), desde que observado e prevalecente o seu melhor interesse, a ser avaliado no caso concreto, nos termos do art. 14 da Lei”.
Evidentemente, não se questiona a legitimidade de outras situações jurídicas que, uma vez concretamente consideradas, são capazes de afastar o consentimento do titular quanto à utilização de seus dados, a exemplo da experiência em torno da prática conhecida como escore de crédito, que resultou na Súmula 550 do Superior Tribunal de Justiça (STJ), que afasta a necessidade de prévio consentimento, neste caso, no âmbito das relações de consumo para fins de pontuação de crédito.[1]
No entanto, questiona-se em que medida eventual generalização de situações jurídicas tenha o condão de arrefecer o consentimento, a ponto de relativizar a sua relevância e escopo de incidência normativa, especialmente no que tange ao exercício do controle informacional.
Em 2024, um procedimento administrativo da ANPD chamou a atenção ao envolver a atuação da Meta, proprietária do Facebook, e a utilização de dados pessoais para o treinamento de sua inteligência artificial generativa. À época, a Meta havia fundamentado tal operação na base legal do legítimo interesse, o que suscitou sérios questionamentos quanto à legitimidade dessa utilização, particularmente por não oferecer subsídios adequados às legítimas expectativas dos titulares, tampouco a possibilidade efetiva em torno de um opt-out.
Conforme trecho do voto da diretora Miriam Wimmer, ao analisar as informações constantes da Central de Privacidade da companhia, observou-se “inclusive, que não há notícia de obtenção de consentimento dos titulares para a utilização de seus dados pessoais com a finalidade de treinamento e aperfeiçoamento de sistemas de IA generativa”.[2]
No caso em comento, após a suspensão preventiva do uso de dados pessoais para o referido treinamento da IA generativa da Meta, a empresa apresentou um plano de conformidade à ANPD. Após a aprovação da agência, estabeleceu-se que a atividade poderia prosseguir desde que não fossem tratados dados de crianças e adolescentes e que fossem implementadas medidas que ampliassem a transparência e permitissem aos titulares a opção de negar a coleta de seus dados para essa finalidade.[3]
Não foi a primeira vez que a empresa se viu envolvida em imbróglios no âmbito do tratamento de dados de seus usuários, realizado em escala massiva. Em 2025, o Tribunal de Justiça de Minas Gerais condenou a Meta ao pagamento de R$ 40 milhões pelo vazamento de dados, após o ajuizamento de ação coletiva pelo Instituto Defesa Coletiva. No caso, um vazamento de dados que teria afetado até 170 milhões de brasileiros, ocorrido entre 2018 e 2019, deu ensejo à condenação por danos morais coletivos.[4]
Ainda mais recentemente, a OAB-RS ingressou com uma ação civil pública contra a prática conhecida como “golpe do falso advogado”, que vem sendo instrumentalizada por meio do WhatsApp, serviço de mensageria também pertencente à Meta. A prática, cada vez mais disseminada por estelionatários, tem causado prejuízos a usuários que, em razão de técnicas de engenharia social, como o phishing, acreditam estar contratando serviços reais de advocacia, o que também acarreta danos à imagem e à atuação dos profissionais da advocacia.[5]
Em meio a sucessivas situações deletérias, é perceptível que cada vez mais os titulares de dados se afastam daquilo que deveria ser o núcleo duro da proteção de dados, isto é, do direito à autodeterminação informativa. Afinal, a pretensão de um direito ao controle básico quanto ao fluxo das próprias informações é o alicerce da existência em torno de uma proteção de dados.
Nesse sentido, não foi por acaso que o consentimento foi escolhido como hipótese legal para o tratamento de dados no ambiente virtual, em 2014, tampouco que figura como a primeira dentre as hipóteses estabelecidas nos arts. 7º e 11 da LGPD. Sua aplicação é aquela mais próxima do ideal de respeito aos direitos fundamentais da pessoa humana. E essa concepção, embora não se confunda com escolhas prioritárias, não deve ser passível de ser ignorada.
Por mais que as atividades envolvendo o uso de dados tenham adquirido novos contornos e alcances na contemporaneidade, corroborados pela existência de outras autorizações legais para o tratamento, é necessário que o espaço de normatividade do consentimento não seja esvaziado, sob pena de, em última análise, ceifar a própria relevância da existência da proteção de dados.
A higidez do consentimento, em suas mais variadas adjetivações, não deve ser vista como obstáculo à sua utilização. Pelo contrário, tais qualificações sistematizam a complexidade própria inerente à condição humana.
Respeitar a sua aplicação não é apenas indispensável às relações virtuais, como ainda permanece sendo exigido pelo Marco Civil da Internet, mas também se impõe nas mais variadas circunstâncias em que a escolha, enquanto valor caro à autonomia privada, deve ser observada pelos agentes de tratamento, que não podem se esquivar desse axioma, em atenção à dignidade da pessoa humana, corolário da República. A ideia de um consentimento ficto, imposto pela contratação em massa e pelas condições gerais dos contratos, não deve afastar a garantia já acolhida pelo Marco Civil da Internet.
Como bem observa Rodotà, consentir equivale a ser.[6]
[1] In verbis: “A utilização de escore de crédito, método estatístico de avaliação de risco que não constitui banco de dados, dispensa o consentimento do consumidor, que terá o direito de solicitar esclarecimentos sobre as informações pessoais valoradas e as fontes dos dados considerados no respectivo cálculo.”
[2] ANPD. VOTO Nº 11/2024/DIR-MW/CD. Disponível em: <https://www.gov.br/anpd/pt-br/assuntos/noticias/anpd-determina-suspensao-cautelar-do-tratamento-de-dados-pessoais-para-treinamento-da-ia-da-meta/SEI_0130047_Voto_11.pdf>. Acesso em: 02.07.2026
[3] ANPD. Meta cumpre exigências da ANPD e poderá retomar, com restrições, o uso de dados pessoais para treinamento de inteligência artificial. Disponível em: <https://www.gov.br/anpd/pt-br/assuntos/noticias/meta-cumpre-exigencias-da-anpd-e-podera-retomar-com-restricoes-o-uso-de-dados-pessoais-para-treinamento-de-inteligencia-artificial>. Acesso em: 02.07.2026
[4] SALGADO, Rodrigo. Justiça de MG mantém condenação da Meta por vazamentos de dados de usuários do Facebook e fixa multa de R$ 40 milhões. Disponível em: <https://g1.globo.com/mg/minas-gerais/noticia/2025/06/17/justica-de-mg-mantem-condenacao-da-meta-por-vazamentos-de-dados-de-usuarios-do-facebook-e-fixa-multa-de-r-40-milhoes.ghtml>. Acesso em: 02.07.2026
[5] OAB/RS. Combate ao golpe do falso advogado: OAB/RS ingressa com ação civil pública contra a administradora do WhatsApp. Disponível em: <https://oabrs.org.br/noticia/combate-ao-golpe-do-falso-advogado-oab-rs-ingressa-com-acao-civil-publica-contra-a-administradora-do-whatsapp/65858>. Acesso em: 12.03.2026
[6] RODOTÀ, Stefano. Autodeterminação e laicidade. Revista Brasileira de Direito Civil, v. 17, p. 139, 2018, p. 142. Disponível em: https://rbdcivil.ibdcivil.org.br/rbdc/article/view/275. Acesso em: 02.07.2026.