Seu navegador não oferece leitura em voz alta. Você pode ler o guia normalmente.
A Lei 13.709/18 (LGPD) costuma ser estudada artigo por artigo, mas ela se aplica em situações banais do trabalho: um telefonema, uma planilha, um e-mail. Provas modernas, inclusive as de informática, cobram a aplicação da lei a casos concretos. Este guia mostra seis cenários e liga cada um ao dispositivo que decide a questão. O texto da lei foi consultado no portal do Planalto; a visão geral dos conceitos está em LGPD: visão geral para concursos.
Quatro definições para ter em mente
Do art. 5º: dado pessoal é a informação relacionada a pessoa natural identificada ou identificável; dado pessoal sensível inclui origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural; controlador é quem toma as decisões sobre o tratamento; operador é quem trata os dados em nome do controlador. No serviço público, o controlador costuma ser o órgão (pessoa jurídica de direito público), e o servidor atua como parte dele, não como controlador pessoal.
Cenário 1: o cidadão pede informação sobre o próprio processo
O titular tem direito a obter do controlador, a qualquer momento e mediante requisição, a confirmação da existência de tratamento e o acesso aos dados (art. 18, I e II). O princípio do livre acesso (art. 6º, IV) garante consulta facilitada e gratuita sobre a forma e a duração do tratamento. A prática correta é confirmar que quem pede é o próprio titular (ou representante) antes de entregar qualquer informação: o direito é do titular, e a entrega a outra pessoa seria, ela mesma, um tratamento indevido.
Cenário 2: alguém liga pedindo dados de outra pessoa
O telefonema de “um parente” ou “outro órgão” pedindo endereço, situação de processo ou documento de terceiro é o caso típico de risco. O tratamento só pode ser feito nas hipóteses do art. 7º, e todo tratamento deve respeitar a finalidade (propósitos legítimos, específicos, explícitos e informados) e a adequação (art. 6º, I e II). Informar dados de terceiro sem verificar identidade, autorização e fundamento legal viola esses princípios. Quando a solicitação vem de outro órgão público, o compartilhamento precisa ter fundamento, como a execução de política pública prevista em lei, regulamento, contrato ou convênio (art. 7º, III), e deve seguir o canal formal do órgão. Em dúvida, registre o pedido e encaminhe ao setor competente ou ao encarregado.
Cenário 3: enviar uma planilha com CPFs por e-mail pessoal ou aplicativo de mensagens
Dois dispositivos se aplicam. O art. 6º, III (necessidade) manda limitar o tratamento ao mínimo necessário, com dados pertinentes, proporcionais e não excessivos: se o colega precisa apenas dos números de processo, não envie as colunas de CPF e telefone. O art. 46 obriga os agentes de tratamento a adotar medidas de segurança, técnicas e administrativas, aptas a proteger os dados de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou tratamento inadequado. Usar conta pessoal ou aplicativo não homologado escapa do controle do órgão. Use o canal institucional, restrinja o acesso, proteja o arquivo com senha ou cifragem (veja criptografia) e remova colunas desnecessárias.
Cenário 4: “preciso do consentimento do cidadão?”
No serviço público, geralmente não é o consentimento a base do tratamento. O art. 7º traz dez hipóteses, entre elas: consentimento (I); cumprimento de obrigação legal ou regulatória pelo controlador (II); tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres (III); exercício regular de direitos em processo judicial, administrativo ou arbitral (VI); proteção da vida ou da incolumidade física (VII); legítimo interesse (IX); e proteção do crédito (X). Quando o órgão cadastra um candidato ou emite um documento por obrigação legal, a base é a do inciso II ou III, e pedir consentimento seria inadequado.
Se o consentimento for mesmo a base, valem as regras do art. 8º: por escrito ou por outro meio que demonstre a manifestação de vontade; cláusula destacada quando escrito; ônus da prova do controlador; finalidades determinadas, com autorizações genéricas nulas (§ 4º); revogação a qualquer momento, por procedimento gratuito e facilitado (§ 5º). A dispensa do consentimento não desobriga o controlador dos princípios nem dos direitos do titular (art. 7º, § 6º).
Cenário 5: e-mail enviado ao destinatário errado, pen drive perdido
Isso é um incidente de segurança. O art. 48 manda o controlador comunicar à autoridade nacional e ao titular a ocorrência de incidente que possa acarretar risco ou dano relevante aos titulares. A comunicação deve, no mínimo, descrever a natureza dos dados afetados, informar os titulares envolvidos, indicar as medidas de segurança utilizadas, os riscos relacionados, os motivos da demora (se não houve comunicação imediata) e as medidas adotadas ou a adotar para reverter ou mitigar os efeitos. O prazo é “razoável”, conforme definido pela autoridade nacional: confira a norma vigente. Na avaliação de gravidade, conta se foram adotadas medidas técnicas que tornem os dados ininteligíveis a terceiros não autorizados (§ 3º), o que mostra o valor de cifrar arquivos e dispositivos.
O que o servidor faz? Quem decide e comunica é o controlador, por meio de fluxos internos; o servidor deve avisar imediatamente a chefia e o encarregado. Esconder o incidente é o pior caminho. O art. 47 reforça que quem intervém em qualquer fase do tratamento deve garantir a segurança da informação, mesmo após o término do tratamento.
Cenário 6: “o cidadão quer corrigir ou apagar seus dados”
O art. 18 inclui a correção de dados incompletos, inexatos ou desatualizados (III) e a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei (IV). A eliminação de dados tratados com consentimento (VI) tem exceções. O pedido é feito mediante requerimento expresso do titular ou de representante, atendido sem custo, nos prazos e termos do regulamento (§§ 3º e 5º). Se não for possível atender de imediato, o controlador responde que não é o agente de tratamento (indicando-o, se possível) ou indica as razões de fato ou de direito que impedem a providência (§ 4º). Atenção: dados de processos e documentos públicos seguem também as regras de guarda do acervo; veja gestão documental e a Lei 8.159.
Quem cuida disso no órgão: o encarregado
O art. 41 manda o controlador indicar um encarregado, cuja identidade e contato devem ser divulgados publicamente, de preferência no site. Entre as atividades: aceitar reclamações e comunicações dos titulares e prestar esclarecimentos; receber comunicações da autoridade nacional; orientar funcionários e contratados sobre as práticas de proteção de dados.
Quadro-resumo para a prova
| Situação | Dispositivo-chave |
|---|---|
| Titular pede acesso aos próprios dados | art. 18, II; art. 6º, IV |
| Pedido de dados de terceiro | art. 6º, I e II; art. 7º |
| Enviar só o necessário | art. 6º, III |
| Proteger a planilha e o canal | art. 6º, VII; art. 46 |
| Qual a base legal? | art. 7º, I a X |
| Consentimento válido | art. 8º |
| Vazamento ou perda | art. 48 |
| Canal com o cidadão e a ANPD | art. 41 |
Erros comuns
- Achar que todo tratamento exige consentimento.
- Achar que dado público pode ser usado para qualquer fim: a finalidade original continua importando.
- Tratar o servidor como controlador pessoal dos dados do órgão.
- Esperar certeza do dano para comunicar o incidente: a comunicação se refere a incidente que possa acarretar risco ou dano relevante.
- Confundir anonimizado (não identifica) com apenas “sem nome”: se outros campos permitem reidentificar, o dado segue identificável.
Fontes e atualização
Texto da lei consultado no portal do Planalto: Lei 13.709/18. As redações citadas foram as vigentes marcadas no texto compilado; regulamentos da ANPD, como prazos de comunicação de incidente, mudam e devem ser conferidos nas normas vigentes e no edital.
Próximos passos
- Aprofunde em LGPD no poder público: arts. 23 a 32.
- Treine com LGPD: treino comentado.
- Veja o lado técnico em controle de acesso e medidas de segurança.