LGPD (Lei 13.709/18): treino comentado com 15 itens

A LGPD (Lei 13.709/18) cai em provas de Direito Administrativo, de Informática e de legislação específica porque seus conceitos são curtos e fáceis de trocar. Este treino traz 15 itens originais no estilo certo/errado, com gabarito comentado, artigo conferido no texto oficial e a pegadinha de cada item. Os itens exploram as três trocas favoritas das bancas: controlador por operador, princípio por princípio e base legal por consentimento.

Mapa rápido da lei

• Conceitos (art. 5º): dado pessoal, dado sensível, dado anonimizado, titular, controlador, operador, encarregado, tratamento.
• Princípios (art. 6º): dez, além da boa-fé: finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação, responsabilização e prestação de contas.
• Bases legais (art. 7º; sensíveis no art. 11): o consentimento é uma entre várias.
• Direitos do titular (art. 18) e governança: encarregado (art. 41), segurança e incidentes (arts. 46 e 48).

Para a visão completa da lei, veja LGPD: visão geral da lei para concursos.

Itens

1. Dado pessoal é a informação relacionada a pessoa natural identificada ou identificável.
2. O número do CPF de uma pessoa é classificado pela LGPD como dado pessoal sensível.
3. Dados anonimizados não são considerados dados pessoais, salvo quando o processo de anonimização for revertido ou puder ser revertido com esforços razoáveis.
4. O operador é a pessoa a quem competem as decisões referentes ao tratamento de dados pessoais.
5. A LGPD se aplica integralmente ao tratamento de dados realizado para fins exclusivos de segurança pública.
6. Pelo princípio da necessidade, o tratamento deve se limitar ao mínimo necessário para a realização de suas finalidades.
7. O princípio da transparência é o que garante aos titulares consulta facilitada e gratuita sobre a forma e a duração do tratamento e sobre a integralidade de seus dados.
8. O consentimento do titular é a única hipótese legal que autoriza o tratamento de dados pessoais.
9. A administração pública pode tratar e compartilhar dados necessários à execução de políticas públicas previstas em leis e regulamentos, ou respaldadas em contratos, convênios ou instrumentos congêneres, observadas as disposições do capítulo sobre o poder público.
10. As autorizações genéricas para o tratamento de dados pessoais, fundadas em consentimento, são nulas.
11. Quando o tratamento de dado sensível se fundamenta no consentimento, ele deve ser dado de forma específica e destacada, para finalidades específicas.
12. O tratamento de dados pessoais de crianças deve ser realizado com o consentimento específico e em destaque dado por pelo menos um dos pais ou pelo responsável legal.
13. O titular tem direito de obter do controlador a eliminação dos dados pessoais tratados com o seu consentimento, ressalvadas as hipóteses legais de conservação.
14. O controlador deve indicar um encarregado, cuja identidade e informações de contato devem ser divulgadas publicamente, preferencialmente no sítio eletrônico do controlador.
15. O controlador deve comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.

Gabarito comentado

1. Certo. Art. 5º, I. Duas palavras decidem: “natural” (só pessoa física) e “identificável” (não precisa estar identificada de imediato). Pegadinha: incluir pessoa jurídica.

2. Errado. O art. 5º, II, lista os dados sensíveis: origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural. CPF é dado pessoal comum.

3. Certo. Combina o art. 5º, III e o art. 12. O critério é “meios técnicos razoáveis e disponíveis”. O art. 12, § 1º, diz que a determinação do que é razoável considera fatores objetivos, como custo e tempo necessários para reverter o processo.

4. Errado. Quem decide é o controlador (art. 5º, VI). O operador (art. 5º, VII) realiza o tratamento em nome do controlador. A banca troca os dois termos.

5. Errado. O art. 4º, III, afasta a aplicação da LGPD ao tratamento realizado para fins exclusivos de segurança pública, defesa nacional, segurança do Estado e atividades de investigação e repressão de infrações penais. A palavra-chave é “exclusivos”. Também ficam fora o tratamento por pessoa natural para fins exclusivamente particulares e não econômicos (inciso I).

6. Certo. Art. 6º, III: limitação ao mínimo necessário, com abrangência dos dados pertinentes, proporcionais e não excessivos. Não confunda com finalidade (propósitos legítimos, específicos, explícitos e informados) e adequação (compatibilidade com a finalidade informada).

7. Errado. A descrição é do princípio do livre acesso (art. 6º, IV). A transparência (art. 6º, VI) garante informações claras, precisas e facilmente acessíveis sobre o tratamento e os agentes de tratamento, observados os segredos comercial e industrial. Pegadinha de definições trocadas.

8. Errado. O art. 7º lista dez hipóteses, entre elas o cumprimento de obrigação legal ou regulatória, a execução de políticas públicas pela administração, o exercício regular de direitos em processo, a proteção da vida e o legítimo interesse. O consentimento é a primeira, mas não a única. Pegadinha: “única” e “somente”.

9. Certo. Art. 7º, III. O dispositivo remete ao Capítulo IV da lei, que trata do poder público. Para o tema, veja LGPD no poder público: arts. 23 a 32.

10. Certo. Art. 8º, § 4º: o consentimento deve se referir a finalidades determinadas, e as autorizações genéricas são nulas. O § 2º do mesmo artigo põe sobre o controlador o ônus da prova de que o consentimento foi obtido conforme a lei.

11. Certo. Art. 11, I: consentimento “de forma específica e destacada, para finalidades específicas”. Para dados sensíveis, há ainda hipóteses sem consentimento no inciso II. A pegadinha usual é afirmar que o dado sensível só pode ser tratado com consentimento.

12. Certo. Art. 14, § 1º. Observe: “pelo menos um dos pais ou responsável legal”, e o consentimento deve ser específico e em destaque.

13. Certo. Art. 18, VI. O direito de eliminação dos dados tratados com consentimento tem exceções no art. 16, como cumprimento de obrigação legal pelo controlador. O art. 18 traz o rol completo de direitos, que a banca costuma cobrar em lista.

14. Certo. Art. 41, caput e § 1º. As atividades do encarregado incluem aceitar reclamações e comunicações dos titulares, receber comunicações da autoridade nacional e orientar funcionários e contratados (§ 2º). A autoridade nacional pode estabelecer hipóteses de dispensa (§ 3º). Para órgãos públicos, o art. 23, III, também exige a indicação.

15. Certo. Art. 48, caput. A comunicação deve ser feita em prazo razoável, definido pela autoridade nacional, e conter, no mínimo, a natureza dos dados afetados, as informações sobre os titulares, as medidas de segurança, os riscos e as medidas para mitigar o prejuízo (§ 1º). A obrigação de segurança está no art. 46.

Como transformar erros em revisão

Monte um quadro de “pares confundíveis”: controlador × operador, livre acesso × transparência, finalidade × adequação × necessidade, dado pessoal × sensível × anonimizado. Para cada par, escreva uma frase que o diferencie, usando as palavras da lei. Depois, releia seus erros e veja se eles se encaixam em algum par. Essa técnica rende mais que decorar o artigo inteiro. Para revisão em intervalos, revisão espaçada funciona bem com esses pares.

Fontes e atualização

• Lei 13.709/18, texto compilado (Planalto)

A lei foi alterada por leis posteriores, inclusive quanto ao nome e à natureza da autoridade nacional, e há regulamentos que detalham prazos e procedimentos. Por isso os itens usam a expressão “autoridade nacional”, como o texto da lei. Confira a redação vigente. Conferido nas fontes acima na data de publicação deste guia.

Próximos passos

• Estude a visão geral da LGPD.
• Aprofunde LGPD no poder público: arts. 23 a 32.
• Veja como a lei afeta quem se candidata em concurso e LGPD: seus dados como candidato.