Lei Geral de Proteção de Dados (LGPD Lei 13.709/2018)

A Lei Geral de Proteção de Dados (LGPD - Lei 13.709/2018) deixou de ser apenas "legislação extravagante" e se tornou central em Direito Constitucional, Administrativo e Digital. Para concursos de alto nível (Magistratura, MP, Defensorias, Procuradorias e Fiscal/Controle), as bancas não cobram apenas a "letra da lei". Elas cobram a tensão entre o uso de dados e a privacidade, a responsabilidade civil e os limites do Estado.

Foco: Concursos de Alto Nível | Base: Lei 13.709/2018 + EC 115/2022

1. 📚 Fundamento Constitucional (O Novo Paradigma)

Antes de entrar na lei, você precisa saber onde ela se ancora. A EC 115/2022 elevou a proteção de dados pessoais a Direito Fundamental (Art. 5º, LXXIX, CF/88).

⚖️ LXXIX - é assegurado, nos termos da lei, o direito à proteção dos dados pessoais, inclusive nos meios digitais.

Competência: A EC 115/2022 definiu que legislar sobre proteção e tratamento de dados pessoais é competência Privativa da União (Art. 22, XXX, CF/88).

🔑 Conceito-Chave: Autodeterminação Informativa. É o poder do indivíduo de controlar seus próprios dados.

2. 📝 Conceitos Iniciais (A Terminologia da Banca)

A FGV e o CEBRASPE amam confundir esses conceitos.

A. Dado Pessoal vs. Dado Pessoal Sensível

Dado Pessoal: Informação relacionada a pessoa natural identificada (ex: Nome, CPF) ou identificável (ex: dados de geolocalização, cookies, IP, hábitos de navegação que, cruzados, levam à pessoa).

Dado Pessoal Sensível: O rol é taxativo no Art. 5º, II. Envolve potencial discriminatório.Origem racial/étnica;

Convicção religiosa;
Opinião política;
Filiação a sindicato/organização religiosa/filosófica/política;
Saúde ou vida sexual;
Dado genético ou biométrico.

✍️ Dica de Prova: Dado financeiro/bancário NÃO é dado sensível para a LGPD (embora tenha sigilo bancário por outra lei).

B. Dado Anonimizado vs. Pseudoanonimizado

Anonimizado: Dado que perdeu a possibilidade de associação ao indivíduo. O processo é irreversível (com meios técnicos razoáveis). Não é considerado dado pessoal (a LGPD não se aplica a ele).
Pseudoanonimizado: O dado é separado da identificação, mas pode ser revertido (ex: banco de dados com chave de criptografia). A LGPD aplica-se a este dado.

C. Os Atores (Quem é quem)

Titular: A pessoa natural (viva) a quem os dados se referem. (A lei não protege dados de Pessoas Jurídicas).
Controlador: Quem decide sobre o tratamento (o "chefe"). Responde pelos danos.
Operador: Quem realiza o tratamento em nome do controlador (o "executor").
Encarregado (DPO - Data Protection Officer): O canal de comunicação entre Controlador, Titular e a ANPD.

⚠️ Ponto de Atenção: Pode ser pessoa física ou jurídica. A autoridade nacional (ANPD) pode dispensar a necessidade de DPO para pequenos agentes de tratamento.

3. 📜 Princípios (O Coração da Lei)

Se você esquecer a regra específica, os princípios salvam a questão.

Finalidade: O tratamento deve ter propósito legítimo, específico e informado ao titular. (Proibido tratamento genérico).
Necessidade (Minimização): Limitar o tratamento ao mínimo necessário. (Não colete o que não precisa).
Adequação: Compatibilidade do tratamento com a finalidade informada.
Transparência: Garantia de informações claras e precisas aos titulares.
Segurança e Prevenção: Medidas técnicas para evitar danos.
Não Discriminação: Impossibilidade de realizar tratamento para fins discriminatórios ilícitos ou abusivos.

4. ⚖️ Bases Legais (Quando pode tratar?)

Para provas de alto nível, saiba que o Consentimento NÃO é a única base legal. Existem 10 hipóteses no Art. 7º.

Principais Hipóteses (Art. 7º):

Consentimento: Deve ser livre, informado e inequívoco. (Pode ser revogado a qualquer tempo).
Cumprimento de Obrigação Legal/Regulatória: O banco que manda dados para o Banco Central. O consentimento aqui é irrelevante.
Execução de Políticas Públicas: Pela Administração Pública.
Execução de Contrato: Ex: site de e-commerce precisa do seu endereço para entregar.
Legítimo Interesse (Do Controlador ou Terceiro): A mais polêmica. Exige "Teste de Balanceamento" (LIA - Legitimate Interest Assessment). Só para dados não sensíveis.
Proteção da Vida/Incolumidade Física: Em emergências.
Tutela da Saúde: Exclusivamente em procedimento realizado por profissionais de saúde/autoridades sanitárias.
Proteção do Crédito: Autoriza o Serasa/SPC (Súmula vinculada ao CDC e jurisprudência STJ).

5. 🏛️ Tratamento pelo Poder Público (Foco na Prova de Carreiras Jurídicas)

O tratamento deve objetivar a execução de políticas públicas. Em regra, o Estado dispensa o consentimento para tratar dados necessários à execução de políticas públicas previstas em lei.

Compartilhamento de Dados:

Entre órgãos públicos: Permitido para execução de políticas públicas, deve ser informado à ANPD.
Com entes privados: Vedado, exceto:
- Execução de contratos/convênios;
- Prevenção a fraudes e segurança;
- Dados acessíveis publicamente.

⚖️ Jurisprudência (STF): O STF (ADI 6387) consolidou o entendimento de que, mesmo em situações de emergência, a proteção dos dados pessoais dos cidadãos deve ser garantida e que a coleta de informações não pode ser desregulamentada.

6. 👉 Responsabilidade e Danos

Como as bancas cobram a responsabilidade civil na LGPD:

Regra: Responsabilidade Solidária entre Controlador e Operador, se este descumprir as instruções daquele ou a lei.
Natureza da Responsabilidade: Doutrina majoritária e STJ apontam para responsabilidade Objetiva (Teoria do Risco da Atividade) para as relações de consumo e para o Estado. Nas relações civis puras, discute-se a subjetiva, mas em prova objetiva, foque na reparação integral do dano.
Inversão do Ônus da Prova: O juiz pode inverter o ônus a favor do titular se houver verossimilhança ou hipossuficiência.

7. 📌 Sanções Administrativas (Art. 52)

Quem aplica é a ANPD (Autoridade Nacional de Proteção de Dados).

Não existe sanção penal na LGPD. (Crimes digitais estão no Código Penal).

Sanções:

Advertência.
Multa simples (até 2% do faturamento, limitada a R$ 50 milhões por infração).
Multa diária.
Publicização da infração (dano reputacional).
Bloqueio ou Eliminação dos dados.
Suspensão ou Proibição do exercício da atividade de tratamento.

8. 🎯 Dicas "Matadoras" de Prova e Pontos de Atenção

Dados de Crianças e Adolescentes:

Exige consentimento específico e em destaque de pelo menos um dos pais ou responsável.
Base: Melhor Interesse da criança.

Término do Tratamento: Os dados devem ser eliminados após o fim da finalidade.

Exceção: Podem ser guardados para cumprimento de obrigação legal (ex: guardar nota fiscal por 5 anos) ou uso exclusivo do controlador (desde que anonimizados).

Transferência Internacional: Permitida para países com grau adequado de proteção ou mediante cláusulas contratuais padrão.
ANPD: É uma autarquia de natureza especial (transformada pela Lei 14.460/2022), vinculada ao Ministério da Justiça, com autonomia técnica e decisória.

Exercícios de Fixação

Questão 1 de 20

Contadoria Geral