{"subject_id":"3a3cc48d009981bea188e75a754f2962","topico":"Privacy by design/by default; Cavoukian; LGPD art. 46","stems":["Julgue os itens subsequentes, relativos a CIS controls, assinatura e certificação digital, segurança em nuvens e ao que dispõe a Lei Geral de Proteção de Dados Pessoais (LGPD).","Com base na Lei n.º 13.709/2018 (Lei Geral de Proteção de Dados Pessoais – LGPD), julgue o próximo item.","A respeito do desenvolvimento de software seguro, julgue os itens a seguir.","Com base na Lei nº 13.709/2018 (LGPD), julgue os próximos itens.","Julgue os itens a seguir, relacionados a disposições da Lei Geral de Proteção de Dados (LGPD), a serviços públicos digitais e a inteligência artificial.","Com base na Lei n.º 13.709/2018 (Lei Geral de Proteção de Dados Pessoais – LGPD), julgue os itens que se seguem.","LEGISLAÇÃO FEDERAL E ESTADUAL DO CEARÁ (LEIS, DECRETOS E DEMAIS NORMATIVAS Com base na Lei n.º 13.709/2018 (Lei Geral de Proteção de Dados Pessoais – LGPD), julgue os itens a seguir.","Considerando a legislação e as normatizações aplicadas à segurança e à privacidade da informação na administração pública federal, julgue os itens a seguir.","Considerando a Lei Geral de Proteção de Dados Pessoais (LGPD) e o Marco Civil da Internet (Lei n.º 12.965/2014), julgue o seguinte item.","Com base na Lei Geral de Proteção de Dados Pessoais (LGPD) e no Marco Civil da Internet, julgue os itens a seguir.","À luz da Lei Geral de Proteção de Dados (LGPD), que define dado pessoal e dado pessoal sensível, julgue os itens que se seguem.","Com base na Lei n.º 13.709/2018 (Lei Geral de Proteção de Dados Pessoais), julgue os itens que se seguem.","No que diz respeito à Lei n.º 13.709/2018 (Lei Geral de Proteção de Dados – LGPD) e à Lei n.º 12.527/2011 (Lei de Acesso à Informação – LAI), julgue os itens seguintes.","Acerca da Lei n.º 13.709/2018 (Lei Geral de Proteção de Dados Pessoais — LGPD), julgue os itens subsequentes.","Acerca de gestão de riscos e continuidade de negócio, julgue os itens que se seguem, com base na NBR ISO 27005:2019 e na Lei Geral de Proteção de Dados (LGPD).","No que concerne à Lei Geral de Proteção de Dados (LGPD) e às diretrizes da Secretaria de Coordenação e Governança das Empresas Estatais (SEST), julgue os itens que se seguem.","Julgue os itens seguintes, a respeito das Leis n.º 12.527/2011 (Lei de Acesso à Informação – LAI), n.º 12.737/2012 (Lei de Delitos Informáticos), n.º 12.965/2014 (Marco Civil da Internet), n.º 13.709/2018 (Lei Geral de Proteção de Dados Pessoais – LGPD) e do Decreto n.º 7.845/2012.","Com base na Lei Geral de Proteção de Dados Pessoais (LGPD), julgue os seguintes itens.","Julgue os próximos itens, a respeito da gestão de segurança da informação.","Com base na Lei Geral de Proteção de Dados Pessoais (LGPD), julgue os itens subsequentes.","Com base no Decreto n.º 10.332/2020, julgue os itens a seguir.","Julgue os itens a seguir, à luz do que dispõe a Lei Geral de Proteção de Dados Pessoais (LGPD).","Acerca da Lei n.º 13.709/2018 (Lei Geral de Proteção de Dados), julgue os itens subsecutivos.","Tendo como referência o disposto na Lei n.º 13.709/2018 (Lei Geral de Proteção de Dados Pessoais — LGPD), julgue os seguintes itens.","Julgue os itens subsequentes, com base na Lei Geral de Proteção de Dados (Lei n.º 13.709/2018)."],"questions":[{"id":"09d2978a087e","number":82,"stem":0,"statement":"De acordo com a LGPD, o tratamento de dados pessoais sensíveis pode ser realizado sem o consentimento do titular, quando o tratamento for necessário para o cumprimento de obrigação legal ou regulatória pelo controlador.","answer":"C","source":{"slug":"SUSEP_25","ano":2025},"explanation":{"verdict_reason":"Reproduz o art. 11, II, a, da LGPD: o tratamento de dado pessoal sensível é permitido sem consentimento quando indispensável ao cumprimento de obrigação legal ou regulatória pelo controlador. A ausência de consentimento não torna o tratamento ilícito quando há outra hipótese legal que o autorize.","distortion_type":"correto","distorted_span":null,"corrected_statement":null,"concept":"Art. 11, II, a: dado sensível sem consentimento","citation":"Lei n.º 13.709/2018, art. 11, II, a","trap_note":"A mesma hipótese do art. 11, II, a, reaparece em provas diferentes com redação quase idêntica. Reconheça o par obrigação legal ou regulatória mais pelo controlador e o item se resolve de imediato."}},{"id":"37a235f1bbbb","number":83,"stem":0,"statement":"De acordo com os CIS controls, a varredura automatizada de vulnerabilidades deve ser realizada trimestralmente e de forma mandatória em ativos corporativos expostos externamente, enquanto a varredura automatizada em ativos internos é opcional e eventual, conforme a criticidade do negócio da organização.","answer":"E","source":{"slug":"SUSEP_25","ano":2025},"explanation":{"verdict_reason":"No CIS Controls v8, a varredura automatizada de vulnerabilidades em ativos internos não é opcional: é a salvaguarda 7.5, exigida a partir do IG2, com periodicidade trimestral ou mais frequente. A varredura de ativos expostos externamente é a salvaguarda 7.6, igualmente obrigatória a partir do IG2, porém com periodicidade mensal ou mais frequente. O item troca as cadências e ainda rebaixa a varredura interna a algo discricionário.","distortion_type":"inversao","distorted_span":"enquanto a varredura automatizada em ativos internos é opcional e eventual","corrected_statement":"De acordo com os CIS controls, a varredura automatizada de vulnerabilidades deve ser realizada mensalmente em ativos corporativos expostos externamente, enquanto a varredura automatizada em ativos internos deve ser realizada trimestralmente.","concept":"CIS Control 7: interna trimestral, externa mensal","citation":"CIS Critical Security Controls v8, Control 7, salvaguardas 7.5 e 7.6","trap_note":"Salvaguarda de CIS nunca é opcional dentro do grupo de implementação em que está prevista — o que varia é o IG que a exige, não a discricionariedade da organização. Item que chama uma salvaguarda de opcional, eventual ou recomendada já está errado antes da cadência."}},{"id":"d662443a62e3","number":103,"stem":1,"statement":"A LGPD estabelece princípios fundamentais para o tratamento de dados pessoais, de forma a garantir direitos como privacidade, autodeterminação informativa e segurança de dados pessoais, e aplica-se a qualquer operação de tratamento realizada por pessoa física ou jurídica, independentemente do meio utilizado.","answer":"E","source":{"slug":"STM_25","ano":2025},"explanation":{"verdict_reason":"A primeira metade do item está correta, mas o alcance não é universal. O art. 4.º exclui expressamente da LGPD o tratamento feito por pessoa natural para fins exclusivamente particulares e não econômicos, o realizado para fins exclusivamente jornalísticos, artísticos ou acadêmicos e o destinado a segurança pública, defesa nacional, segurança do Estado e investigação e repressão de infrações penais. Dizer qualquer operação apaga a lista de exclusões.","distortion_type":"generalizacao","distorted_span":"aplica-se a qualquer operação de tratamento realizada por pessoa física ou jurídica","corrected_statement":"A LGPD estabelece princípios fundamentais para o tratamento de dados pessoais, de forma a garantir direitos como privacidade, autodeterminação informativa e segurança de dados pessoais, e aplica-se às operações de tratamento realizadas por pessoa física ou jurídica, ressalvadas as hipóteses de não aplicação previstas em lei, independentemente do meio utilizado.","concept":"Art. 4.º: hipóteses em que a LGPD não se aplica","citation":"Lei n.º 13.709/2018, art. 1.º, art. 3.º e art. 4.º","trap_note":"Todo item de alcance da LGPD se decide em dois artigos: o art. 3.º diz quando ela alcança, o art. 4.º diz quando ela não se aplica. Palavra de fechamento — qualquer, toda, independentemente de — sem ressalva ao art. 4.º é sinal forte de item Errado."}},{"id":"cbe2e3bd9b28","number":119,"stem":2,"statement":"O privacy by design é mais eficiente quando implementado como uma camada de segurança adicional sobre sistemas já existentes.","answer":"E","source":{"slug":"TJ_PA_25_SERVIDOR","ano":2025},"explanation":{"verdict_reason":"Privacy by design é exatamente o oposto de uma camada acrescentada: a privacidade é incorporada à arquitetura desde a concepção, antes de o sistema existir. Dois dos princípios de Cavoukian dizem isso de frente — proativo e não reativo, e privacidade incorporada ao projeto. Retrofit sobre sistema pronto é justamente a abordagem reativa que o conceito nasceu para substituir.","distortion_type":"inversao","distorted_span":"como uma camada de segurança adicional sobre sistemas já existentes","corrected_statement":"O privacy by design é mais eficiente quando incorporado à arquitetura do sistema desde a concepção, e não como uma camada de segurança adicional sobre sistemas já existentes.","concept":"Privacidade incorporada ao projeto, não acoplada depois","citation":"Lei n.º 13.709/2018, art. 46, § 2.º, e art. 49","trap_note":"Todo item que põe o privacy by design depois do sistema pronto — camada adicional, sobreposição, correção posterior, plugin — está errado pela mesma linha. O eixo do conceito é temporal: desde a concepção, antes da coleta."}},{"id":"8090d0ea7191","number":120,"stem":2,"statement":"O privacy by design fundamenta-se em princípios indivisíveis que devem ser implementados de forma integral e holística, não permitindo seleção parcial ou adaptação baseada em preferências setoriais específicas.","answer":"E","source":{"slug":"TJ_PA_25_SERVIDOR","ano":2025},"explanation":{"verdict_reason":"Os sete princípios fundamentais de Cavoukian são um referencial de projeto, não uma norma de aplicação rígida e uniforme. O próprio arcabouço foi concebido para ser traduzido ao contexto — há aplicações setoriais específicas do privacy by design em saúde, biometria e redes elétricas inteligentes, e a ISO 31700 o operacionaliza segundo o produto e o risco. Negar qualquer adaptação setorial é o que torna o item falso.","distortion_type":"generalizacao","distorted_span":"não permitindo seleção parcial ou adaptação baseada em preferências setoriais específicas","corrected_statement":"O privacy by design fundamenta-se em princípios que devem orientar todo o projeto de forma integral e holística, admitindo, porém, adaptação ao contexto e ao setor de aplicação.","concept":"Os sete princípios são referencial adaptável ao contexto","citation":null,"trap_note":"A banca distorce privacy by design em dois sentidos opostos: ora o rebaixa a remendo posterior, ora o eleva a dogma que não admite adaptação. Os dois extremos são errados; o conceito é referencial de projeto aplicado desde a concepção e ajustado ao contexto."}},{"id":"9723b5f9b9a6","number":55,"stem":3,"statement":"Pessoa natural ou jurídica que realiza o tratamento de dados pessoais em nome do operador é denominada de controlador.","answer":"E","source":{"slug":"ANM_24","ano":2024},"explanation":{"verdict_reason":"A definição está com os dois papéis invertidos. Pelo art. 5.º, VII, da LGPD, operador é quem realiza o tratamento em nome do controlador; controlador, pelo inciso VI, é a quem competem as decisões referentes ao tratamento. Quem age em nome de alguém é sempre o operador.","distortion_type":"inversao","distorted_span":"em nome do operador é denominada de controlador","corrected_statement":"Pessoa natural ou jurídica que realiza o tratamento de dados pessoais em nome do controlador é denominada de operador.","concept":"Controlador decide; operador trata em nome dele","citation":"Lei n.º 13.709/2018, art. 5.º, VI e VII","trap_note":"Controlador e operador são o par invertido mais explorado da LGPD. A régua é uma só: quem decide é controlador, quem executa em nome de outro é operador. A expressão em nome de sempre aponta para o operador."}},{"id":"25d4085b8195","number":56,"stem":3,"statement":"O tratamento de dados pessoais de crianças pode ser realizado, desde que siga o recomendado no Estatuto da Criança e do Adolescente.","answer":"E","source":{"slug":"ANM_24","ano":2024},"explanation":{"verdict_reason":"A condição imposta pela LGPD não é o ECA. O art. 14 exige que o tratamento de dados de crianças e adolescentes se dê em seu melhor interesse e, no caso específico das crianças, mediante consentimento específico e em destaque dado por pelo menos um dos pais ou pelo responsável legal. O item substitui esse regime próprio por uma remissão genérica a outra lei.","distortion_type":"troca_de_termo","distorted_span":"desde que siga o recomendado no Estatuto da Criança e do Adolescente","corrected_statement":"O tratamento de dados pessoais de crianças pode ser realizado, desde que seja feito em seu melhor interesse e com consentimento específico e em destaque dado por pelo menos um dos pais ou pelo responsável legal.","concept":"Art. 14: melhor interesse e consentimento de um dos pais","citation":"Lei n.º 13.709/2018, art. 14, caput e § 1.º","trap_note":"Quando o item condiciona uma regra da LGPD a outro diploma — ECA, Código Civil, Marco Civil —, confira se a própria LGPD não traz o regime. Aqui traz: melhor interesse mais consentimento específico e em destaque de pelo menos um dos pais."}},{"id":"28cb0bd3e62f","number":65,"stem":4,"statement":"O tratamento integral de dados pessoais de banco de dados para fins exclusivos de segurança pública poderá ser realizado por pessoa de direito privado cujo capital seja integralmente constituído pelo poder público.","answer":"C","source":{"slug":"TRF6_24","ano":2024},"explanation":{"verdict_reason":"O art. 4.º, § 4.º, veda que a totalidade dos dados de banco de dados destinado a segurança pública seja tratada por pessoa de direito privado, salvo por aquela cujo capital seja integralmente constituído pelo poder público. O item descreve exatamente a exceção do dispositivo, e por isso é verdadeiro.","distortion_type":"correto","distorted_span":null,"corrected_statement":null,"concept":"Art. 4.º, § 4.º: tratamento integral só por empresa de capital público","citation":"Lei n.º 13.709/2018, art. 4.º, § 4.º","trap_note":"Segurança pública está fora da LGPD pelo art. 4.º, III, mas o mesmo artigo guarda regras próprias: o § 2.º proíbe o tratamento por pessoa de direito privado fora da tutela de pessoa jurídica de direito público, e o § 4.º abre a exceção do capital integralmente público. A exclusão do art. 4.º não é um vazio normativo."}},{"id":"617f309dbe91","number":71,"stem":5,"statement":"Aos titulares dos dados é garantido o direito de solicitar a exclusão de seus dados pessoais, a qualquer momento, das bases de dados de empresas ou organizações, desde que não haja obrigação legal para a sua manutenção.","answer":"C","source":{"slug":"FUNPRESP_24_EXE","ano":2024},"explanation":{"verdict_reason":"O art. 18, VI, garante ao titular a eliminação dos dados pessoais tratados com o consentimento, a qualquer momento e mediante requisição. A ressalva do item também é da lei: o art. 16 permite a conservação dos dados após o término do tratamento para cumprimento de obrigação legal ou regulatória, entre outras hipóteses.","distortion_type":"correto","distorted_span":null,"corrected_statement":null,"concept":"Art. 18, VI: eliminação, ressalvada a obrigação legal","citation":"Lei n.º 13.709/2018, art. 18, VI, e art. 16","trap_note":"Direito de eliminação com ressalva expressa de obrigação legal é a redação Certa. A versão Errada é a absoluta: eliminação a qualquer momento, em qualquer hipótese, sem exceção."}},{"id":"49f21e96b57d","number":72,"stem":5,"statement":"O consentimento do titular dos dados pessoais pode ser obtido de forma implícita e inferido a partir de ações indiretas do titular, como a navegação em um site ou o uso de um serviço.","answer":"E","source":{"slug":"FUNPRESP_24_EXE","ano":2024},"explanation":{"verdict_reason":"O art. 5.º, XII, exige que o consentimento seja manifestação livre, informada e inequívoca, e o art. 8.º, § 4.º, fulmina de nulidade as autorizações genéricas. Consentimento presumido a partir de navegação ou de uso do serviço é precisamente o que a lei recusa: não há manifestação inequívoca em conduta que o titular não dirigiu àquela finalidade. Silêncio e comportamento indireto não consentem.","distortion_type":"inversao","distorted_span":"pode ser obtido de forma implícita e inferido a partir de ações indiretas do titular","corrected_statement":"O consentimento do titular dos dados pessoais deve ser manifestação livre, informada e inequívoca, não podendo ser inferido a partir de ações indiretas do titular, como a navegação em um site ou o uso de um serviço.","concept":"Consentimento inequívoco: não há consentimento tácito","citation":"Lei n.º 13.709/2018, art. 5.º, XII, e art. 8.º, §§ 1.º e 4.º","trap_note":"Consentimento implícito, tácito, presumido, por conduta ou genérico é sempre inválido na LGPD. O adjetivo inequívoco do art. 5.º, XII, sozinho derruba todos esses itens."}},{"id":"f422bcfdd2b6","number":91,"stem":6,"statement":"É desnecessário o consentimento do titular dos dados caso o tratamento destes seja necessário para atender a interesse legítimo do controlador, salvo no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção de seus dados.","answer":"C","source":{"slug":"SEPLAG_CE_24","ano":2024},"explanation":{"verdict_reason":"O legítimo interesse do controlador é uma das dez bases legais autônomas do art. 7.º, e por isso dispensa o consentimento. A ressalva que o item traz é a que consta do próprio inciso IX: ela cede quando prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados. Base legal e ressalva estão ambas corretas.","distortion_type":"correto","distorted_span":null,"corrected_statement":null,"concept":"Legítimo interesse é base legal autônoma, com ressalva","citation":"Lei n.º 13.709/2018, art. 7.º, IX, e art. 10","trap_note":"Consentimento é apenas o inciso I do art. 7.º, entre dez hipóteses. Item que trata o consentimento como regra geral costuma ser Errado; item que reconhece outra base legal e mantém a ressalva do texto costuma ser Certo."}},{"id":"c49d49534772","number":92,"stem":6,"statement":"Segundo a LGPD, o tratamento de dados pessoais deve observar, entre outros, o princípio da finalidade, segundo o qual deve ser atestada a compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento.","answer":"E","source":{"slug":"SEPLAG_CE_24","ano":2024},"explanation":{"verdict_reason":"A definição transcrita é a do princípio da adequação, não a da finalidade. O art. 6.º, II, define adequação como compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento — a cauda de acordo com o contexto do tratamento é a assinatura do inciso II. Finalidade, no inciso I, é o tratamento para propósitos legítimos, específicos, explícitos e informados, vedado o tratamento posterior incompatível.","distortion_type":"troca_de_termo","distorted_span":"princípio da finalidade","corrected_statement":"Segundo a LGPD, o tratamento de dados pessoais deve observar, entre outros, o princípio da adequação, segundo o qual deve ser atestada a compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento.","concept":"Finalidade × adequação no art. 6.º","citation":"Lei n.º 13.709/2018, art. 6.º, I e II","trap_note":"Leia a definição e nomeie o princípio antes de olhar o nome escrito no item. O rótulo é o que a banca troca. A cauda de acordo com o contexto do tratamento pertence à adequação; propósitos legítimos, específicos, explícitos e informados pertence à finalidade."}},{"id":"0bc5a264d029","number":93,"stem":6,"statement":"É obrigatório que os controladores nomeiem um encarregado pelo tratamento de dados pessoais, que atuará como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD).","answer":"C","source":{"slug":"SEPLAG_CE_24","ano":2024},"explanation":{"verdict_reason":"O art. 41 impõe ao controlador a indicação do encarregado, e o § 2.º, I, lhe atribui exatamente as funções descritas: aceitar reclamações e comunicações dos titulares e receber comunicações da autoridade nacional. O encarregado é, por definição legal, o canal de comunicação entre controlador, titulares e ANPD.","distortion_type":"correto","distorted_span":null,"corrected_statement":null,"concept":"Encarregado: canal entre controlador, titulares e ANPD","citation":"Lei n.º 13.709/2018, art. 5.º, VIII, e art. 41","trap_note":"A indicação do encarregado é obrigação do controlador, não do operador, e a função é de comunicação, não de fiscalização. Item que atribui o encarregado ao operador ou lhe dá poder sancionador está errado."}},{"id":"925b6d4b9376","number":94,"stem":6,"statement":"A disposição sobre padrões de interoperabilidade para fins de portabilidade é de responsabilidade do custodiante, não devendo a autoridade nacional dispor a esse respeito.","answer":"E","source":{"slug":"SEPLAG_CE_24","ano":2024},"explanation":{"verdict_reason":"O art. 40 atribui expressamente à autoridade nacional a competência de dispor sobre padrões de interoperabilidade para fins de portabilidade, livre acesso aos dados e segurança. A LGPD sequer trabalha com a figura do custodiante como agente de tratamento — seus agentes são o controlador e o operador. A competência real foi transferida para um ator errado.","distortion_type":"atribuicao_errada","distorted_span":"é de responsabilidade do custodiante, não devendo a autoridade nacional dispor a esse respeito","corrected_statement":"A disposição sobre padrões de interoperabilidade para fins de portabilidade é de responsabilidade da autoridade nacional.","concept":"Art. 40: padrões de interoperabilidade cabem à ANPD","citation":"Lei n.º 13.709/2018, art. 40","trap_note":"Custodiante, curador, gestor de dados e encarregado-geral não são figuras da LGPD. Apareceu um agente que a lei não nomeia recebendo uma competência, desconfie: os papéis legais são controlador, operador, encarregado e autoridade nacional."}},{"id":"3e5f695b7030","number":95,"stem":7,"statement":"Conforme a definição de dado pessoal sensível estabelecida na Lei Geral de Proteção de Dados Pessoais (LGPD), no conjunto de dados de uma pessoa natural constituído por nome, religião, CPF, nacionalidade, RG, cidade onde mora e estilo musical preferido, são considerados dados sensíveis apenas os relativos à religião e à nacionalidade.","answer":"E","source":{"slug":"MPO_24","ano":2024},"explanation":{"verdict_reason":"A lista do art. 5.º, II, é fechada e nacionalidade não está nela: são sensíveis os dados sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual e dado genético ou biométrico. No conjunto apresentado, apenas a religião é dado sensível; nome, CPF, RG, nacionalidade, cidade e estilo musical são dados pessoais comuns.","distortion_type":"escopo_ampliado","distorted_span":"à religião e à nacionalidade","corrected_statement":"Conforme a definição de dado pessoal sensível estabelecida na LGPD, no conjunto de dados de uma pessoa natural constituído por nome, religião, CPF, nacionalidade, RG, cidade onde mora e estilo musical preferido, é considerado dado sensível apenas o relativo à religião.","concept":"Nacionalidade não é dado sensível","citation":"Lei n.º 13.709/2018, art. 5.º, II","trap_note":"Os intrusos mais frequentes na lista de dados sensíveis são nacionalidade, endereço, CPF, dados financeiros e orientação sexual declarada de outra forma. Só entra quem está literalmente no art. 5.º, II — origem racial ou étnica não é o mesmo que nacionalidade."}},{"id":"961f8d0ddf58","number":95,"stem":6,"statement":"O tratamento de dados sensíveis pode ocorrer sem o consentimento do titular quando for indispensável para o cumprimento de obrigação legal ou regulatória do controlador.","answer":"C","source":{"slug":"SEPLAG_CE_24","ano":2024},"explanation":{"verdict_reason":"O art. 11, II, a, autoriza o tratamento de dados sensíveis sem consentimento quando ele for indispensável para o cumprimento de obrigação legal ou regulatória pelo controlador. Dado sensível tem regime mais estrito, mas não é regime de consentimento obrigatório: ele tem sua própria lista de hipóteses de dispensa, mais curta que a do art. 7.º.","distortion_type":"correto","distorted_span":null,"corrected_statement":null,"concept":"Art. 11, II, a: dado sensível sem consentimento","citation":"Lei n.º 13.709/2018, art. 11, II, a","trap_note":"Cumprimento de obrigação legal ou regulatória pelo controlador aparece nas duas listas — art. 7.º, II, para dado comum e art. 11, II, a, para dado sensível. É a hipótese de dispensa mais cobrada, e o item que a descreve corretamente é Certo."}},{"id":"b482f9439d9e","number":96,"stem":8,"statement":"Os princípios da transparência e da finalidade, expressos tanto na LGPD quanto no Marco Civil da Internet, visam assegurar que o tratamento de dados pessoais de usuários seja feito de forma clara, específica e adequada ao propósito declarado.","answer":"C","source":{"slug":"TRT10_24","ano":2024},"explanation":{"verdict_reason":"A LGPD traz finalidade e transparência como princípios do art. 6.º, I e VI, e o Marco Civil da Internet consagra a proteção da privacidade e dos dados pessoais entre os princípios do art. 3.º, além de assegurar, no art. 7.º, VIII, informações claras e completas sobre o tratamento e o uso dos dados apenas para as finalidades que justifiquem sua coleta. As duas leis convergem no mesmo eixo: propósito declarado e informação clara ao titular.","distortion_type":"correto","distorted_span":null,"corrected_statement":null,"concept":"Finalidade e transparência na LGPD e no Marco Civil","citation":"Lei n.º 13.709/2018, art. 6.º, I e VI; Lei n.º 12.965/2014, art. 3.º, II e III, e art. 7.º, VIII","trap_note":"LGPD e Marco Civil não se excluem: o Marco Civil já trazia proteção à privacidade e aos dados pessoais como princípios do uso da Internet, e a LGPD detalhou o regime. Item que opõe as duas leis ou diz que uma revogou a outra está errado."}},{"id":"e7c785bcfc04","number":96,"stem":6,"statement":"Na realização de estudos em saúde pública, todos os envolvidos poderão ter acesso a bases de dados pessoais, podendo estes ser tratados por entidades públicas, privadas, civis e militares em qualquer esfera.","answer":"E","source":{"slug":"SEPLAG_CE_24","ano":2024},"explanation":{"verdict_reason":"O art. 13 restringe o acesso a bases de dados pessoais em estudos de saúde pública aos órgãos de pesquisa, e o § 4.º define órgão de pesquisa de modo fechado: entidade da administração pública ou pessoa jurídica de direito privado sem fins lucrativos, constituída sob as leis brasileiras, com sede e foro no País e missão institucional de pesquisa. Os dados ainda devem ser tratados exclusivamente dentro do órgão, em ambiente controlado e seguro, e anonimizados sempre que possível. O item abre o acesso a todos.","distortion_type":"generalizacao","distorted_span":"todos os envolvidos poderão ter acesso a bases de dados pessoais","corrected_statement":"Na realização de estudos em saúde pública, os órgãos de pesquisa poderão ter acesso a bases de dados pessoais, que serão tratados exclusivamente dentro do órgão e em ambiente controlado e seguro.","concept":"Art. 13: só órgãos de pesquisa, em ambiente controlado","citation":"Lei n.º 13.709/2018, art. 13, caput e § 4.º","trap_note":"Todo, qualquer, todos os envolvidos e em qualquer esfera são as palavras que derrubam itens de LGPD. A lei trabalha por listas fechadas de hipóteses e de agentes; quando o item abre a lista, ele já se entregou."}},{"id":"a3f33a4e112b","number":97,"stem":9,"statement":"Conforme prescreve o Marco Civil da Internet, configuram-se como princípios que disciplinam o uso da Internet no Brasil a proteção da privacidade e a proteção dos dados pessoais, na forma da lei.","answer":"C","source":{"slug":"CNJ_24","ano":2024},"explanation":{"verdict_reason":"O art. 3.º do Marco Civil da Internet arrola entre os princípios da disciplina do uso da Internet no Brasil a proteção da privacidade, no inciso II, e a proteção dos dados pessoais, na forma da lei, no inciso III. A remissão na forma da lei é do próprio texto e hoje aponta para a LGPD.","distortion_type":"correto","distorted_span":null,"corrected_statement":null,"concept":"Art. 3.º do Marco Civil: privacidade e dados pessoais","citation":"Lei n.º 12.965/2014, art. 3.º, II e III","trap_note":"O art. 3.º do Marco Civil é uma lista curta e vale decorá-la: garantia da liberdade de expressão, comunicação e manifestação de pensamento; proteção da privacidade; proteção dos dados pessoais; preservação e garantia da neutralidade de rede; preservação da estabilidade, segurança e funcionalidade da rede; responsabilização dos agentes; preservação da natureza participativa; liberdade dos modelos de negócios."}},{"id":"c2011ef8ddc6","number":98,"stem":9,"statement":"Conforme a LGPD, no âmbito do tratamento de dados pessoais pelo poder público, consideradas a execução de políticas públicas e a prestação de serviços públicos, os dados deverão ser mantidos em formato interoperável e estruturado para uso compartilhado.","answer":"C","source":{"slug":"CNJ_24","ano":2024},"explanation":{"verdict_reason":"É o art. 25 da LGPD: os dados deverão ser mantidos em formato interoperável e estruturado para o uso compartilhado, com vistas à execução de políticas públicas, à prestação de serviços públicos, à descentralização da atividade pública e à disseminação e ao acesso das informações pelo público em geral.","distortion_type":"correto","distorted_span":null,"corrected_statement":null,"concept":"Art. 25: formato interoperável e estruturado no poder público","citation":"Lei n.º 13.709/2018, art. 25","trap_note":"No capítulo do poder público, dois dispositivos caem sempre: o art. 23, que exige finalidade pública, e o art. 25, que exige formato interoperável e estruturado. Interoperabilidade aqui é obrigação do Estado, não faculdade."}},{"id":"1f70bd8de5f8","number":98,"stem":10,"statement":"Dado pessoal sobre origem racial ou étnica, para a LGPD, é considerado como dado pessoal sensível.","answer":"C","source":{"slug":"PREF_CACHOEIRO_24_ADM","ano":2024},"explanation":{"verdict_reason":"Origem racial ou étnica abre a própria definição legal de dado pessoal sensível no art. 5.º, II. A lista é fechada e essa é a primeira hipótese dela.","distortion_type":"correto","distorted_span":null,"corrected_statement":null,"concept":"Art. 5.º, II: lista fechada de dados sensíveis","citation":"Lei n.º 13.709/2018, art. 5.º, II","trap_note":"A lista do art. 5.º, II, é fechada e vale decorá-la inteira: origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético e dado biométrico. Nada além disso é sensível."}},{"id":"600a2801b637","number":99,"stem":10,"statement":"Conforme a LGPD, o dado pessoal não pode sofrer suspensão temporária de qualquer operação de tratamento.","answer":"E","source":{"slug":"PREF_CACHOEIRO_24_ADM","ano":2024},"explanation":{"verdict_reason":"A suspensão temporária de qualquer operação de tratamento é precisamente o que a LGPD define como bloqueio, no art. 5.º, XIII, com guarda do dado pessoal ou do banco de dados. O bloqueio é ainda um direito do titular no art. 18, IV, e uma sanção administrativa do art. 52, V. O item nega o que a lei prevê em três lugares.","distortion_type":"inversao","distorted_span":"não pode sofrer suspensão temporária de qualquer operação de tratamento","corrected_statement":"Conforme a LGPD, o dado pessoal pode sofrer bloqueio, assim entendida a suspensão temporária de qualquer operação de tratamento, mediante guarda do dado pessoal ou do banco de dados.","concept":"Bloqueio é a suspensão temporária do tratamento","citation":"Lei n.º 13.709/2018, art. 5.º, XIII, e art. 18, IV","trap_note":"Bloqueio, anonimização e eliminação são três destinos distintos no art. 18, IV: suspender guardando, descaracterizar e apagar. O item que descreve um e nomeia outro, ou que nega a existência de um deles, está errado."}},{"id":"d8cef8b4a263","number":109,"stem":11,"statement":"Os sistemas utilizados para o tratamento de dados pessoais devem ser estruturados de forma a atender aos requisitos de segurança, aos padrões de boas práticas e de governança.","answer":"C","source":{"slug":"TCE_AC_24","ano":2024},"explanation":{"verdict_reason":"É a redação do art. 49 da LGPD, que é a porta de entrada do privacy by design no direito brasileiro: a lei não exige uma ferramenta específica, exige que o próprio sistema já nasça estruturado para atender segurança, boas práticas e governança. A obrigação recai sobre a arquitetura do sistema, não sobre um controle acrescentado depois.","distortion_type":"correto","distorted_span":null,"corrected_statement":null,"concept":"Art. 49: o sistema deve nascer estruturado para a segurança","citation":"Lei n.º 13.709/2018, art. 49","trap_note":"Quando o item falar em sistemas estruturados para requisitos de segurança, padrões de boas práticas e de governança, é o art. 49 — o dispositivo que traduz privacy by design na LGPD. A palavra estruturados é do texto legal e costuma vir intacta nos itens Certos."}},{"id":"b8eb658a0c83","number":115,"stem":12,"statement":"A LGPD aplica-se ao tratamento dos dados pessoais de brasileiros natos, mesmo que esses dados tenham sido coletados em países estrangeiros.","answer":"E","source":{"slug":"CODEVASF_24","ano":2024},"explanation":{"verdict_reason":"O critério de incidência da LGPD é territorial e situacional, nunca de nacionalidade. O art. 3.º alcança o tratamento realizado no território nacional, o que tem por objetivo ofertar bens ou serviços ou tratar dados de indivíduos localizados no território nacional e aquele cujos dados tenham sido coletados no território nacional. A nacionalidade brasileira do titular, por si só, não atrai a lei.","distortion_type":"escopo_ampliado","distorted_span":"mesmo que esses dados tenham sido coletados em países estrangeiros","corrected_statement":"A LGPD aplica-se ao tratamento dos dados pessoais coletados no território nacional ou referentes a indivíduos localizados no território nacional, independentemente da nacionalidade do titular.","concept":"Art. 3.º: critério territorial, não de nacionalidade","citation":"Lei n.º 13.709/2018, art. 3.º","trap_note":"Nos itens de alcance territorial, o que decide é onde o dado foi coletado ou onde está o indivíduo — nunca de quem ele é nem onde a empresa está sediada. Apareceu brasileiro, estrangeiro ou nato como critério, o item está errado."}},{"id":"d4cf7c8d4b7f","number":119,"stem":13,"statement":"A LGPD criou a Autoridade Nacional de Proteção de Dados (ANPD), órgão responsável, entre outras atribuições, por fiscalizar e aplicar sanções administrativas em casos de descumprimento das normas de tratamento de dados previstas na LGPD.","answer":"C","source":{"slug":"TCE_AC_24","ano":2024},"explanation":{"verdict_reason":"A ANPD é criada pela própria LGPD e tem entre suas competências zelar pela proteção de dados pessoais, fiscalizar e aplicar sanções em caso de tratamento realizado em descumprimento da lei. A atribuição sancionadora é exclusiva da autoridade nacional, conforme o art. 55-K.","distortion_type":"correto","distorted_span":null,"corrected_statement":null,"concept":"ANPD: fiscaliza e aplica sanções administrativas","citation":"Lei n.º 13.709/2018, art. 55-A, art. 55-J, IV, e art. 55-K","trap_note":"Aplicação de sanção administrativa da LGPD é competência exclusiva da ANPD. Item que a atribui a Procon, Ministério Público, agências setoriais ou ao encarregado está errado por esse ponto."}},{"id":"fb54b3b975e7","number":119,"stem":14,"statement":"A LGPD disciplina a proteção de dados pessoais com fundamento na autodeterminação informativa e na liberdade de expressão, informação, comunicação e opinião.","answer":"C","source":{"slug":"TRF6_24","ano":2024},"explanation":{"verdict_reason":"O art. 2.º lista entre os fundamentos da disciplina da proteção de dados pessoais a autodeterminação informativa, no inciso II, e a liberdade de expressão, de informação, de comunicação e de opinião, no inciso III. Os dois fundamentos citados estão no dispositivo e com a redação da lei.","distortion_type":"correto","distorted_span":null,"corrected_statement":null,"concept":"Art. 2.º, II e III: autodeterminação informativa e liberdades","citation":"Lei n.º 13.709/2018, art. 2.º, II e III","trap_note":"Autodeterminação informativa é fundamento do art. 2.º, II, e não princípio do art. 6.º. Quando o item a chamar de princípio do tratamento, a classificação está trocada, ainda que o conteúdo pareça correto."}},{"id":"ace5b5af4c45","number":120,"stem":13,"statement":"Entre as sanções administrativas aplicáveis pela autoridade nacional a agente de tratamento de dados que cometa infração às normas da LGPD, inclui-se multa diária, limitada a R$ 50 milhões.","answer":"C","source":{"slug":"TCE_AC_24","ano":2024},"explanation":{"verdict_reason":"O art. 52 lista a multa diária no inciso III e manda observar o limite total do inciso II, que é de R$ 50.000.000,00 por infração. O teto de R$ 50 milhões, portanto, vale tanto para a multa simples quanto para o acumulado da multa diária.","distortion_type":"correto","distorted_span":null,"corrected_statement":null,"concept":"Art. 52: multa de até 2%, teto de R$ 50 milhões por infração","citation":"Lei n.º 13.709/2018, art. 52, II e III","trap_note":"Os dois números do art. 52 caem juntos: 2% do faturamento no Brasil no último exercício, excluídos tributos, e o teto de R$ 50 milhões por infração. O teto é por infração, não por ano nem por titular."}},{"id":"cdd54f584f73","number":68,"stem":15,"statement":"De acordo com a LGPD, o titular de dados pessoais pode exigir do controlador a eliminação de dados desnecessários ou excessivos para determinado tratamento.","answer":"C","source":{"slug":"DATAPREV_23","ano":2023},"explanation":{"verdict_reason":"O art. 18, IV, assegura ao titular o direito de requerer ao controlador a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei. É a tradução do princípio da necessidade, do art. 6.º, III, em direito exercível pelo titular.","distortion_type":"correto","distorted_span":null,"corrected_statement":null,"concept":"Art. 18, IV: eliminar dados desnecessários ou excessivos","citation":"Lei n.º 13.709/2018, art. 18, IV, e art. 6.º, III","trap_note":"Ligue cada direito do art. 18 ao princípio que o gera: o inciso IV nasce da necessidade, o inciso III da qualidade dos dados, o inciso II do livre acesso. Essa ligação resolve itens que descrevem o direito sem nomeá-lo."}},{"id":"2c0387e73dab","number":73,"stem":16,"statement":"De acordo com a LAI, são requisitos indispensáveis para o acesso às informações de interesse público a identificação do requerente, a descrição dos motivos determinantes da solicitação e a especificação da informação requerida.","answer":"E","source":{"slug":"CAPES_23","ano":2023},"explanation":{"verdict_reason":"A LAI veda expressamente a exigência de motivos: o art. 10, § 3.º, proíbe quaisquer exigências relativas aos motivos determinantes da solicitação de informações de interesse público. O pedido exige a identificação do requerente e a especificação da informação requerida, e o § 1.º ainda proíbe exigências que inviabilizem a solicitação.","distortion_type":"inversao","distorted_span":"a descrição dos motivos determinantes da solicitação","corrected_statement":"De acordo com a LAI, são requisitos indispensáveis para o acesso às informações de interesse público a identificação do requerente e a especificação da informação requerida, sendo vedada a exigência de motivos determinantes da solicitação.","concept":"LAI: é vedado exigir motivos do pedido","citation":"Lei n.º 12.527/2011, art. 10, §§ 1.º e 3.º","trap_note":"A publicidade é a regra e o sigilo, a exceção: quem pede informação pública não precisa justificar por quê. Item que transforma a motivação em requisito converte uma vedação legal em exigência — inversão clássica da LAI."}},{"id":"8956b1f2c5c7","number":74,"stem":16,"statement":"De acordo com a LGPD, o tratamento de dados pessoais sensíveis, quando for indispensável para o cumprimento de obrigação legal pelo controlador, poderá ocorrer sem o consentimento do titular ou responsável legal pelos dados.","answer":"C","source":{"slug":"CAPES_23","ano":2023},"explanation":{"verdict_reason":"O art. 11, II, a, permite o tratamento de dados sensíveis sem fornecimento de consentimento do titular ou do responsável legal quando indispensável para o cumprimento de obrigação legal ou regulatória pelo controlador. A menção ao responsável legal é do próprio texto do inciso II.","distortion_type":"correto","distorted_span":null,"corrected_statement":null,"concept":"Art. 11, II, a: obrigação legal dispensa consentimento","citation":"Lei n.º 13.709/2018, art. 11, II, a","trap_note":"Compare as duas listas: o art. 7.º tem dez hipóteses para dado comum, o art. 11 tem uma lista mais curta para dado sensível, e nela não há legítimo interesse nem proteção do crédito. Item que invoca legítimo interesse para tratar dado sensível está errado."}},{"id":"69ea31070a12","number":75,"stem":16,"statement":"Conforme o disposto na Lei n.º 12.737/2012, configura crime a conduta de invadir dispositivo informático alheio, desde que sejam adulterados ou destruídos dados ou informações sem a autorização do titular do dispositivo.","answer":"E","source":{"slug":"CAPES_23","ano":2023},"explanation":{"verdict_reason":"O art. 154-A do Código Penal, inserido pela Lei n.º 12.737/2012, tipifica a invasão de dispositivo informático alheio praticada com o fim de obter, adulterar ou destruir dados ou informações sem autorização, ou de instalar vulnerabilidades para obter vantagem ilícita. O crime é de consumação antecipada: basta a invasão com aquela finalidade, não se exigindo que a adulteração ou a destruição efetivamente ocorram. O item converte um elemento subjetivo — a finalidade — em condição de resultado.","distortion_type":"troca_de_termo","distorted_span":"desde que sejam adulterados ou destruídos dados ou informações","corrected_statement":"Conforme o disposto na Lei n.º 12.737/2012, configura crime a conduta de invadir dispositivo informático alheio com o fim de obter, adulterar ou destruir dados ou informações sem a autorização do titular do dispositivo.","concept":"Art. 154-A: crime se consuma pela finalidade, não pelo resultado","citation":"Lei n.º 12.737/2012; Código Penal, art. 154-A","trap_note":"Fique atento à conversão de finalidade em resultado: com o fim de vira desde que ocorra, e um crime formal passa a exigir resultado material. É a mesma manobra em vários tipos penais informáticos."}},{"id":"4267b27e733c","number":76,"stem":17,"statement":"Aplica-se a LGPD na coleta e no tratamento de dados pessoais para fins particulares, jornalísticos, artísticos, de segurança pública e de defesa nacional.","answer":"E","source":{"slug":"DATAPREV_23","ano":2023},"explanation":{"verdict_reason":"A lista do item é exatamente a lista do art. 4.º, que enumera as hipóteses em que a LGPD não se aplica: tratamento por pessoa natural para fins exclusivamente particulares e não econômicos, tratamento para fins exclusivamente jornalísticos, artísticos ou acadêmicos e tratamento para fins exclusivos de segurança pública, defesa nacional, segurança do Estado ou atividades de investigação e repressão de infrações penais. O item afirma o contrário do dispositivo.","distortion_type":"inversao","distorted_span":"Aplica-se a LGPD na coleta e no tratamento de dados pessoais para fins particulares","corrected_statement":"Não se aplica a LGPD à coleta e ao tratamento de dados pessoais realizados para fins exclusivamente particulares e não econômicos, jornalísticos, artísticos, de segurança pública e de defesa nacional.","concept":"Art. 4.º: hipóteses de não aplicação da LGPD","citation":"Lei n.º 13.709/2018, art. 4.º, I e III","trap_note":"Decore a lista do art. 4.º como lista de exclusão. Quando ela aparece num item precedida de aplica-se, submete-se ou está sujeito à LGPD, a inversão já está feita e o gabarito é Errado."}},{"id":"057732b0063d","number":76,"stem":16,"statement":"À luz da Lei n.º 12.965/2014, é assegurado ao usuário o direito ao sigilo de suas comunicações privadas armazenadas; entretanto, tal direito não é garantido em relação ao fluxo de suas comunicações pela Internet.","answer":"E","source":{"slug":"CAPES_23","ano":2023},"explanation":{"verdict_reason":"O Marco Civil da Internet protege as duas situações, em incisos consecutivos do art. 7.º: o inciso II assegura a inviolabilidade e o sigilo do fluxo das comunicações pela Internet e o inciso III, a inviolabilidade e o sigilo das comunicações privadas armazenadas. Em ambos os casos a quebra só se admite por ordem judicial, na forma da lei. O item nega proteção justamente onde ela também existe.","distortion_type":"inversao","distorted_span":"tal direito não é garantido em relação ao fluxo de suas comunicações pela Internet","corrected_statement":"À luz da Lei n.º 12.965/2014, é assegurado ao usuário o direito ao sigilo de suas comunicações privadas armazenadas e também do fluxo de suas comunicações pela Internet, salvo por ordem judicial.","concept":"Art. 7.º, II e III: sigilo do fluxo e do armazenado","citation":"Lei n.º 12.965/2014, art. 7.º, II e III","trap_note":"Fluxo e armazenamento são incisos diferentes com a mesma proteção e a mesma ressalva de ordem judicial. Item que protege um e desprotege o outro criou uma distinção que a lei não faz."}},{"id":"f8c1390445e5","number":77,"stem":17,"statement":"O consentimento do titular para a realização da coleta de dados pessoais dispensa nova manifestação dele para o compartilhamento desses dados pelo controlador, por exemplo.","answer":"E","source":{"slug":"DATAPREV_23","ano":2023},"explanation":{"verdict_reason":"O art. 7.º, § 5.º, determina o oposto: o controlador que obteve o consentimento e precise comunicar ou compartilhar dados com outros controladores deverá obter consentimento específico do titular para esse fim, ressalvadas as hipóteses de dispensa previstas na lei. O consentimento é vinculado à finalidade para a qual foi dado e não se estende automaticamente ao compartilhamento.","distortion_type":"inversao","distorted_span":"dispensa nova manifestação dele para o compartilhamento desses dados pelo controlador","corrected_statement":"O consentimento do titular para a realização da coleta de dados pessoais não dispensa consentimento específico para o compartilhamento desses dados pelo controlador com outros controladores.","concept":"Art. 7.º, § 5.º: compartilhar exige consentimento específico","citation":"Lei n.º 13.709/2018, art. 7.º, § 5.º, e art. 8.º, § 4.º","trap_note":"Consentimento na LGPD é sempre atado a uma finalidade determinada. Nova finalidade, novo consentimento — vale para compartilhamento com outro controlador e para mudança do propósito original."}},{"id":"47b403a8c565","number":78,"stem":17,"statement":"Dado pessoal é qualquer informação relacionada a uma pessoa natural identificada ou identificável.","answer":"C","source":{"slug":"DATAPREV_23","ano":2023},"explanation":{"verdict_reason":"É a definição literal do art. 5.º, I. O conceito é deliberadamente amplo e alcança tanto a pessoa identificada quanto a identificável, isto é, aquela que pode ser reconhecida por cruzamento com outras informações.","distortion_type":"correto","distorted_span":null,"corrected_statement":null,"concept":"Art. 5.º, I: definição de dado pessoal","citation":"Lei n.º 13.709/2018, art. 5.º, I","trap_note":"A mesma definição aparece ora rotulada corretamente como dado pessoal, ora indevidamente como dado pessoal sensível. Confira sempre o rótulo, não a definição: a definição costuma vir intacta."}},{"id":"17d1ed5ec5c9","number":79,"stem":17,"statement":"A LGPD indica princípios de boa-fé que devem ser levados em consideração no tratamento de dados pessoais, como a transparência, que garante ao titular consulta facilitada e gratuita da integralidade dos seus dados pessoais.","answer":"E","source":{"slug":"DATAPREV_23","ano":2023},"explanation":{"verdict_reason":"Consulta facilitada e gratuita sobre a forma, a duração do tratamento e a integralidade dos dados é a definição do princípio do livre acesso, do art. 6.º, IV. Transparência, no inciso VI, é a garantia de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e sobre os agentes de tratamento, observados os segredos comercial e industrial. A definição está certa; o princípio nomeado é o vizinho.","distortion_type":"troca_de_termo","distorted_span":"como a transparência","corrected_statement":"A LGPD indica princípios que devem ser levados em consideração no tratamento de dados pessoais, como o livre acesso, que garante ao titular consulta facilitada e gratuita da integralidade dos seus dados pessoais.","concept":"Livre acesso × transparência no art. 6.º","citation":"Lei n.º 13.709/2018, art. 6.º, IV e VI","trap_note":"Livre acesso é sobre os dados do próprio titular — consulta facilitada e gratuita à integralidade deles. Transparência é sobre o tratamento e os agentes — informações claras, precisas e acessíveis. Quem consulta os dados exerce livre acesso; quem é informado sobre o tratamento recebe transparência."}},{"id":"d9e37307e5e0","number":80,"stem":18,"statement":"As organizações devem, obrigatoriamente, implementar recursos criptográficos para proteger dados pessoais em todos os sistemas.","answer":"E","source":{"slug":"CTI_23","ano":2023},"explanation":{"verdict_reason":"O art. 46 exige medidas de segurança técnicas e administrativas aptas a proteger os dados pessoais, sem impor tecnologia determinada. A escolha dos controles é baseada em risco: a criptografia é citada na lei e nas boas práticas como exemplo de medida, inclusive como salvaguarda no art. 13, § 3.º, e no art. 46, § 2.º, mas nunca como obrigação universal para todos os sistemas.","distortion_type":"generalizacao","distorted_span":"obrigatoriamente, implementar recursos criptográficos para proteger dados pessoais em todos os sistemas","corrected_statement":"As organizações devem implementar medidas de segurança técnicas e administrativas aptas a proteger os dados pessoais, podendo a criptografia ser adotada conforme o risco do tratamento.","concept":"Art. 46: medidas aptas, escolhidas por risco","citation":"Lei n.º 13.709/2018, art. 46","trap_note":"A LGPD é neutra quanto à tecnologia: ela exige resultado — medidas aptas a proteger — e não um controle nominado. Item que torna criptografia, pseudonimização, firewall ou certificação obrigatórios em todos os casos amplia um exemplo até virar regra."}},{"id":"09e467001691","number":85,"stem":19,"statement":"Submete-se à LGPD o tratamento de dados pessoais realizado exclusivamente com a finalidade de promover atividades de investigação e de repressão de infrações penais.","answer":"E","source":{"slug":"CTI_23","ano":2023},"explanation":{"verdict_reason":"O art. 4.º, III, d, exclui expressamente do alcance da LGPD o tratamento de dados realizado para fins exclusivos de atividades de investigação e repressão de infrações penais. Esse tratamento será regido por legislação específica, com medidas proporcionais e estritamente necessárias ao interesse público, conforme o § 1.º do mesmo artigo.","distortion_type":"inversao","distorted_span":"Submete-se à LGPD","corrected_statement":"Não se submete à LGPD o tratamento de dados pessoais realizado exclusivamente com a finalidade de promover atividades de investigação e de repressão de infrações penais.","concept":"Art. 4.º, III, d: investigação penal fora da LGPD","citation":"Lei n.º 13.709/2018, art. 4.º, III, d, e § 1.º","trap_note":"A palavra que faz o art. 4.º funcionar é exclusivamente. Se o tratamento tem aquela finalidade e só ela, está fora da LGPD; se ela se mistura a outras finalidades, volta para dentro."}},{"id":"b854acc69aec","number":86,"stem":19,"statement":"Para o processamento de dados pessoais de crianças e adolescentes, é necessário o consentimento de ambos os pais ou, na falta deles, do responsável legal.","answer":"E","source":{"slug":"CTI_23","ano":2023},"explanation":{"verdict_reason":"O art. 14, § 1.º, exige consentimento específico e em destaque dado por pelo menos um dos pais ou pelo responsável legal, e não por ambos. Além disso, a exigência de consentimento parental é da criança; para o adolescente vale o regime geral do tratamento em seu melhor interesse.","distortion_type":"troca_de_termo","distorted_span":"de ambos os pais ou, na falta deles, do responsável legal","corrected_statement":"Para o processamento de dados pessoais de crianças, é necessário o consentimento específico e em destaque dado por pelo menos um dos pais ou pelo responsável legal.","concept":"Art. 14, § 1.º: pelo menos um dos pais","citation":"Lei n.º 13.709/2018, art. 14, caput e § 1.º","trap_note":"Duas trocas se repetem no art. 14: ambos os pais no lugar de pelo menos um dos pais, e crianças e adolescentes no lugar de apenas crianças. O consentimento específico e em destaque é regra da criança, não do adolescente."}},{"id":"542ab800b6ad","number":87,"stem":19,"statement":"A LGPD se aplica a operações de tratamento de dados pessoais que sejam realizadas por empresa, independentemente do país onde esteja sediada, desde que tais dados objeto do tratamento tenham sido coletados no Brasil.","answer":"C","source":{"slug":"CTI_23","ano":2023},"explanation":{"verdict_reason":"O art. 3.º, III, atrai a LGPD quando os dados objeto do tratamento tenham sido coletados no território nacional, e o caput diz expressamente que isso vale independentemente do meio, do país da sede do agente de tratamento ou do país onde estejam localizados os dados. O critério é a coleta no Brasil, não o domicílio da empresa.","distortion_type":"correto","distorted_span":null,"corrected_statement":null,"concept":"Art. 3.º, III: extraterritorialidade pela coleta no Brasil","citation":"Lei n.º 13.709/2018, art. 3.º, caput e III","trap_note":"O par para fixar: empresa estrangeira que coleta dados no Brasil está sujeita à LGPD; dado de brasileiro coletado no exterior, por si só, não está. O que conecta é o território, nunca a nacionalidade."}},{"id":"23dfccd08a2c","number":88,"stem":19,"statement":"A atividade de tratamento de dados pessoais deve obedecer, entre outros princípios, ao princípio da finalidade, que consiste na compatibilidade entre o tratamento e a finalidade informada ao titular do dado pessoal.","answer":"C","source":{"slug":"CTI_23","ano":2023},"explanation":{"verdict_reason":"O princípio da finalidade, no art. 6.º, I, impõe o tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades. A compatibilidade entre o que se faz com o dado e a finalidade informada é exatamente o comando do inciso, e o item o descreve sem acrescentar elemento estranho.","distortion_type":"correto","distorted_span":null,"corrected_statement":null,"concept":"Art. 6.º, I: finalidade informada vincula o tratamento","citation":"Lei n.º 13.709/2018, art. 6.º, I","trap_note":"Finalidade e adequação se tocam e a banca explora a fronteira. A marca da adequação é a cauda de acordo com o contexto do tratamento; sem ela, a descrição da vinculação à finalidade informada é aceita como finalidade."}},{"id":"2c06282444cf","number":89,"stem":19,"statement":"O titular dos dados pessoais que serão objeto de tratamento deverá manifestar seu consentimento de forma livre, informada e inequívoca, devendo este ser feito por escrito ou por outro meio que demonstre a manifestação de vontade do titular.","answer":"C","source":{"slug":"CTI_23","ano":2023},"explanation":{"verdict_reason":"O item reúne as duas exigências legais na redação da lei: o art. 5.º, XII, define consentimento como manifestação livre, informada e inequívoca, e o art. 8.º, caput, admite que ele seja fornecido por escrito ou por outro meio que demonstre a manifestação de vontade do titular. A forma escrita é uma possibilidade, não uma condição.","distortion_type":"correto","distorted_span":null,"corrected_statement":null,"concept":"Consentimento livre, informado e inequívoco; forma livre","citation":"Lei n.º 13.709/2018, art. 5.º, XII, e art. 8.º, caput e § 1.º","trap_note":"A expressão por escrito ou por outro meio que demonstre a manifestação de vontade é a fórmula do item Certo. Necessariamente por escrito e exclusivamente por escrito são a versão Errada da mesma frase."}},{"id":"4e79fd3c38a4","number":90,"stem":19,"statement":"A LGPD exige que, na realização de operações de tratamento de dados pessoais, o controlador indique um encarregado pelo tratamento desses dados.","answer":"C","source":{"slug":"CTI_23","ano":2023},"explanation":{"verdict_reason":"O art. 41 é expresso: o controlador deverá indicar encarregado pelo tratamento de dados pessoais. A obrigação é do controlador e decorre da realização de operações de tratamento, independentemente do porte ou do setor previsto na lei.","distortion_type":"correto","distorted_span":null,"corrected_statement":null,"concept":"Art. 41: indicação do encarregado pelo controlador","citation":"Lei n.º 13.709/2018, art. 41","trap_note":"Indicar encarregado é dever do controlador, não do operador nem da ANPD. O item Errado costuma deslocar essa obrigação ou condicioná-la ao tratamento de dados sensíveis."}},{"id":"d9c8031eeef4","number":107,"stem":20,"statement":"Na composição do comitê de governança digital, a figura do encarregado pelo tratamento de dados pessoais deverá seguir os termos dispostos na Lei Geral de Proteção de Dados Pessoais (LGPD).","answer":"C","source":{"slug":"CNPQ_23","ano":2023},"explanation":{"verdict_reason":"O decreto integra o encarregado pelo tratamento de dados pessoais à composição do comitê de governança digital, mas não cria uma figura própria: remete ao regime da LGPD, que define o encarregado no art. 5.º, VIII, e lhe atribui as funções do art. 41. Norma infralegal de governo digital não redefine papel criado por lei.","distortion_type":"correto","distorted_span":null,"corrected_statement":null,"concept":"Encarregado no comitê de governança digital segue a LGPD","citation":"Decreto n.º 10.332/2020; Lei n.º 13.709/2018, art. 5.º, VIII, e art. 41","trap_note":"Quando um decreto de governo digital menciona encarregado, a definição e as funções continuam sendo as da LGPD. O item Errado nesse desenho costuma inventar atribuição nova para o encarregado ou trocá-lo pelo gestor de TI."}},{"id":"1397c2cef0db","number":115,"stem":21,"statement":"O princípio da adequação refere-se à conformidade entre o tratamento de dados pessoais e as finalidades informadas ao titular nas circunstâncias do tratamento.","answer":"C","source":{"slug":"DATAPREV_23","ano":2023},"explanation":{"verdict_reason":"É a definição do art. 6.º, II: adequação é a compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento. A referência às circunstâncias do tratamento reproduz a cauda que caracteriza esse inciso e o distingue da finalidade.","distortion_type":"correto","distorted_span":null,"corrected_statement":null,"concept":"Art. 6.º, II: adequação ao contexto do tratamento","citation":"Lei n.º 13.709/2018, art. 6.º, II","trap_note":"Três princípios do art. 6.º formam o trio mais cobrado: finalidade, propósitos legítimos, específicos, explícitos e informados; adequação, compatibilidade com as finalidades segundo o contexto; necessidade, limitação ao mínimo necessário para atingir a finalidade."}},{"id":"89f95af94568","number":116,"stem":21,"statement":"O tratamento de dados pessoais pelas pessoas jurídicas de direito público independe da finalidade pública do tratamento.","answer":"E","source":{"slug":"DATAPREV_23","ano":2023},"explanation":{"verdict_reason":"O art. 23 diz o contrário: o tratamento de dados pessoais pelas pessoas jurídicas de direito público deverá ser realizado para o atendimento de sua finalidade pública, na persecução do interesse público, com o objetivo de executar as competências legais ou cumprir as atribuições legais do serviço público. A finalidade pública é a condição de legitimidade do tratamento estatal, não um detalhe dispensável.","distortion_type":"inversao","distorted_span":"independe da finalidade pública do tratamento","corrected_statement":"O tratamento de dados pessoais pelas pessoas jurídicas de direito público deve ser realizado para o atendimento de sua finalidade pública, na persecução do interesse público.","concept":"Art. 23: tratamento público exige finalidade pública","citation":"Lei n.º 13.709/2018, art. 23","trap_note":"O poder público não escapa da LGPD nem trata dados livremente: o art. 23 amarra o tratamento à competência legal e à finalidade pública, e o art. 26 limita o compartilhamento com entes privados. Item que dá ao Estado discricionariedade ampla no tratamento costuma ser Errado."}},{"id":"b779c074d8b3","number":117,"stem":21,"statement":"O consentimento do titular não autoriza, por si só, o tratamento de dados pessoais.","answer":"E","source":{"slug":"DATAPREV_23","ano":2023},"explanation":{"verdict_reason":"O consentimento é a primeira das bases legais do art. 7.º e autoriza, sim, o tratamento por si só, desde que seja livre, informado, inequívoco e referido a finalidades determinadas. O que ele não faz é dispensar a observância dos princípios do art. 6.º nem convalidar tratamento fora da finalidade consentida — mas isso não o retira da condição de fundamento autônomo de licitude.","distortion_type":"inversao","distorted_span":"não autoriza, por si só, o tratamento de dados pessoais","corrected_statement":"O consentimento do titular autoriza, por si só, o tratamento de dados pessoais, por constituir uma das hipóteses legais previstas no art. 7.º da LGPD.","concept":"Art. 7.º, I: consentimento é base legal autônoma","citation":"Lei n.º 13.709/2018, art. 7.º, I, e art. 8.º","trap_note":"O tópico cobra o consentimento nos dois sentidos: é errado dizer que ele é a única base legal e é igualmente errado dizer que ele não basta. Consentimento é uma base entre dez, e cada uma delas, sozinha, legitima o tratamento."}},{"id":"dd8e22f9734c","number":118,"stem":22,"statement":"Segundo a Lei n.º 13.709/2018, o titular dos dados pessoais tem assegurado o direto de obter informações a respeito do tratamento dos seus dados.","answer":"C","source":{"slug":"CNPQ_23","ano":2023},"explanation":{"verdict_reason":"O art. 9.º garante ao titular o acesso facilitado às informações sobre o tratamento de seus dados, e o art. 18, I e II, assegura os direitos de confirmação da existência do tratamento e de acesso aos dados. É o núcleo do direito de informação do titular.","distortion_type":"correto","distorted_span":null,"corrected_statement":null,"concept":"Direito do titular à informação sobre o tratamento","citation":"Lei n.º 13.709/2018, art. 9.º e art. 18, I e II","trap_note":"Os direitos do titular do art. 18 são cobrados quase sempre em versão suave e Certa — confirmar, acessar, corrigir, eliminar, portar, revogar. O item Errado costuma aparecer quando se acrescenta uma condição que a lei não põe, ou se retira uma que ela põe."}},{"id":"540448221caf","number":96,"stem":23,"statement":"Nos termos da LGPD, banco de dados é todo conjunto não estruturado de dados pessoais estabelecido em um ou em vários locais, em suporte eletrônico ou físico.","answer":"E","source":{"slug":"BANRISUL_22","ano":2022},"explanation":{"verdict_reason":"O art. 5.º, IV, define banco de dados como conjunto estruturado de dados pessoais, estabelecido em um ou em vários locais, em suporte eletrônico ou físico. O item mantém o resto da definição intacto e apenas nega o adjetivo que a caracteriza. É a estruturação que distingue um banco de dados de um amontoado de informações.","distortion_type":"inversao","distorted_span":"todo conjunto não estruturado de dados pessoais","corrected_statement":"Nos termos da LGPD, banco de dados é conjunto estruturado de dados pessoais estabelecido em um ou em vários locais, em suporte eletrônico ou físico.","concept":"Art. 5.º, IV: banco de dados é conjunto estruturado","citation":"Lei n.º 13.709/2018, art. 5.º, IV","trap_note":"Nas definições do art. 5.º a banca costuma deixar a frase inteira correta e inverter uma única palavra: estruturado vira não estruturado, controlador vira operador, identificável vira identificado. Leia a definição palavra a palavra contra o texto legal."}},{"id":"bcf0ca43b0de","number":97,"stem":23,"statement":"Em nenhuma circunstância o tratamento de dados pessoais sensíveis poderá ocorrer sem o consentimento do titular dos dados.","answer":"E","source":{"slug":"BANRISUL_22","ano":2022},"explanation":{"verdict_reason":"O art. 11, II, traz uma lista própria de hipóteses em que o dado sensível é tratado sem consentimento: cumprimento de obrigação legal ou regulatória, tratamento compartilhado de dados necessário à execução de política pública, estudos por órgão de pesquisa, exercício regular de direitos, proteção da vida, tutela da saúde e prevenção à fraude e à segurança do titular. O regime do dado sensível é mais estrito, mas não é exclusivamente consensual.","distortion_type":"generalizacao","distorted_span":"Em nenhuma circunstância","corrected_statement":"O tratamento de dados pessoais sensíveis poderá ocorrer sem o consentimento do titular nas hipóteses previstas no art. 11, II, da LGPD.","concept":"Art. 11, II: dado sensível tem hipóteses de dispensa","citation":"Lei n.º 13.709/2018, art. 11, I e II","trap_note":"Em nenhuma circunstância, em nenhuma hipótese, jamais e sempre são marcadores de item Errado em LGPD, porque a lei é construída sobre listas de exceções. Dado sensível tem menos hipóteses de dispensa que o dado comum — nunca nenhuma."}},{"id":"d518d39928a5","number":98,"stem":23,"statement":"A disciplina da proteção de dados pessoais tem como fundamentos, entre outros, o desenvolvimento econômico e tecnológico e a inovação.","answer":"C","source":{"slug":"BANRISUL_22","ano":2022},"explanation":{"verdict_reason":"O art. 2.º arrola como fundamentos da disciplina da proteção de dados pessoais o respeito à privacidade, a autodeterminação informativa, a liberdade de expressão, de informação, de comunicação e de opinião, a inviolabilidade da intimidade, da honra e da imagem, o desenvolvimento econômico e tecnológico e a inovação, a livre iniciativa, a livre concorrência e a defesa do consumidor e os direitos humanos. Desenvolvimento econômico e tecnológico e inovação estão expressamente no inciso V.","distortion_type":"correto","distorted_span":null,"corrected_statement":null,"concept":"Art. 2.º: fundamentos da proteção de dados","citation":"Lei n.º 13.709/2018, art. 2.º, V","trap_note":"Não confunda fundamentos, do art. 2.º, com princípios, do art. 6.º. Fundamentos são valores que justificam a disciplina — inclusive econômicos; princípios são regras de conduta do tratamento — finalidade, adequação, necessidade e as demais."}},{"id":"f055f79c74a6","number":99,"stem":23,"statement":"O tratamento de dados pessoais somente poderá ser realizado mediante o fornecimento de consentimento, necessariamente por escrito, pelo titular dos dados.","answer":"E","source":{"slug":"BANRISUL_22","ano":2022},"explanation":{"verdict_reason":"Há dois erros encadeados. O consentimento é apenas uma das dez bases legais do art. 7.º, de modo que o tratamento pode ocorrer sem ele em qualquer das outras nove hipóteses. E, quando exigido, o art. 8.º admite que seja fornecido por escrito ou por outro meio que demonstre a manifestação de vontade do titular — a forma escrita não é obrigatória.","distortion_type":"generalizacao","distorted_span":"somente poderá ser realizado mediante o fornecimento de consentimento, necessariamente por escrito","corrected_statement":"O tratamento de dados pessoais poderá ser realizado mediante consentimento do titular ou em qualquer das demais hipóteses do art. 7.º da LGPD, sendo o consentimento fornecido por escrito ou por outro meio que demonstre a manifestação de vontade do titular.","concept":"Consentimento é uma entre dez bases legais, e não exige forma escrita","citation":"Lei n.º 13.709/2018, art. 7.º e art. 8.º, caput e § 1.º","trap_note":"Duas afirmações se repetem e ambas são falsas: que o consentimento é a única base legal e que ele precisa ser escrito. A redação Certa é sempre por escrito ou por outro meio que demonstre a manifestação de vontade."}},{"id":"e2784d69fc84","number":100,"stem":23,"statement":"A Autoridade Nacional de Proteção de Dados (ANPD) é uma autarquia de natureza especial, dotada de autonomia técnica e decisória, com patrimônio próprio e com sede e foro no Distrito Federal.","answer":"C","source":{"slug":"BANRISUL_22","ano":2022},"explanation":{"verdict_reason":"É a redação do art. 55-A após a Lei n.º 14.460/2022, que transformou a ANPD em autarquia de natureza especial, dotada de autonomia técnica e decisória, com patrimônio próprio, sede e foro no Distrito Federal e jurisdição em todo o território nacional.","distortion_type":"correto","distorted_span":null,"corrected_statement":null,"concept":"ANPD é autarquia de natureza especial","citation":"Lei n.º 13.709/2018, art. 55-A (redação da Lei n.º 14.460/2022)","trap_note":"A natureza jurídica da ANPD mudou: nasceu órgão da administração pública federal vinculado à Presidência da República e hoje é autarquia de natureza especial. Item que ainda a descreva como órgão subordinado à Presidência reflete a redação revogada."}},{"id":"f61091c7bc52","number":82,"stem":24,"statement":"Qualquer informação relacionada à pessoa natural identificada ou identificável é considerado como dado pessoal sensível.","answer":"E","source":{"slug":"PETROBRAS_21_NS","ano":2021},"explanation":{"verdict_reason":"A definição transcrita é a de dado pessoal, do art. 5.º, I. Dado pessoal sensível, no inciso II, é um subconjunto qualificado por categoria — origem racial ou étnica, convicção religiosa, opinião política, filiação sindical ou a organização religiosa, filosófica ou política, saúde, vida sexual, dado genético e dado biométrico —, e não toda e qualquer informação sobre pessoa identificável.","distortion_type":"troca_de_termo","distorted_span":"dado pessoal sensível","corrected_statement":"Qualquer informação relacionada à pessoa natural identificada ou identificável é considerado como dado pessoal.","concept":"Dado pessoal × dado pessoal sensível","citation":"Lei n.º 13.709/2018, art. 5.º, I e II","trap_note":"Este é o par de definições mais repetido do tópico e só há uma régua: a definição aberta — qualquer informação sobre pessoa natural identificada ou identificável — é dado pessoal; sensível exige estar na lista fechada do inciso II."}},{"id":"4536df00a66b","number":83,"stem":24,"statement":"Configura-se um dado anonimizado quando, ao se utilizar meios técnicos com sucesso, se perdeu a possibilidade de associação direta de um dado a um indivíduo, de modo que esse indivíduo não possa ser identificado.","answer":"C","source":{"slug":"PETROBRAS_21_NS","ano":2021},"explanation":{"verdict_reason":"O art. 5.º, III, define dado anonimizado como aquele relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião do tratamento. O item descreve exatamente esse resultado: a perda da possibilidade de associação do dado ao indivíduo. Dado anonimizado deixa de ser dado pessoal e sai do alcance da lei, salvo se a anonimização for revertida.","distortion_type":"correto","distorted_span":null,"corrected_statement":null,"concept":"Anonimização: perda da possibilidade de identificação","citation":"Lei n.º 13.709/2018, art. 5.º, III e XI, e art. 12","trap_note":"Anonimização × pseudonimização é o par seguinte: anonimizar rompe o vínculo de modo que o titular não possa ser identificado; pseudonimizar apenas retira a identificação direta, mantendo em separado a informação que permite reverter. Só o dado anonimizado sai do alcance da LGPD."}}]}