LGPD (Lei 13.709/2018): conceitos, princípios, bases legais, ANPD

A ideia que organiza o assunto

Este tópico tem um vizinho, e convém saber o que fica com cada um. O tópico Privacy by design; Cavoukian; LGPD art. 46, em Segurança da Informação, já cobre com profundidade as definições do art. 5.º, o alcance dos arts. 3.º e 4.º, os dez princípios do art. 6.º, as bases legais dos arts. 7.º e 11, os direitos do art. 18 e a natureza da ANPD. Não se repete aqui o que está lá: para as definições e para os princípios, leia aquela nota.

O que este tópico acrescenta é a metade estatal da lei — e ela é consistente. Dos 40 itens deste corpus, 28 pousam em dispositivos que a nota vizinha já ensina e 12 caem em capítulos que ela não toca: a responsabilidade dos agentes de tratamento (art. 42), o tratamento pelo poder público (arts. 23, 26 e 27), o encarregado e a segurança (arts. 41 e 47), o relatório de impacto (art. 5.º, XVII), a dosimetria da sanção (art. 52, § 1.º) e as normas de adequação do CNJ. Esses 12 são exatamente os itens que uma prova de Direito Administrativo cobra e uma prova de Segurança não cobra. Estude-os como capítulo próprio.

A ideia que organiza os 40, porém, é uma só, e vale para as duas metades: a LGPD é uma lei de listas fechadas com exceções enumeradas dentro delas. Dez bases legais no art. 7.º, sete hipóteses sem consentimento no art. 11, II, quatro hipóteses de conservação no art. 16, cinco exceções à vedação do art. 26, § 1.º, três blocos de exclusão no art. 4.º. Daí decorre a regra prática que decide quase tudo:

Quando o item fechar uma lista que a lei abriu, ele é Errado; quando repetir o absoluto que a própria lei escreveu, ele é Certo. Esta é a pergunta de quem é o absoluto, medida aqui e confirmada sem exceção: dos 19 itens que contêm um marcador absoluto, 12 são Errados e 7 são Certos, e os 7 Certos usam palavras do dispositivo — toda operação é o art. 5.º, X; qualquer pessoa que intervenha é o art. 47; sempre que possível é o art. 7.º, IV; fins exclusivos é o art. 4.º, III; todos os esforços razoáveis é o art. 14, § 5.º; em regra acomoda as exceções do art. 27.

E uma segunda régua, que resolve sozinha seis itens: no bloco do art. 4.º, leia apenas o verbo. Segurança pública, defesa nacional, segurança do Estado e investigação e repressão de infrações penais formam a lista de exclusão. O advérbio exclusivos aparece em quatro itens deste corpus e está sempre correto, porque é do dispositivo. O que a banca troca é o verbo que o governa: não se aplica é Certo, aplica-se, submete-se ou contempla é Errado.

Como funciona

Quem responde: art. 42. É o dispositivo mais cobrado da metade estatal e o mais simples. O controlador ou o operador que causar dano em razão do tratamento é obrigado a repará-lo. O § 1.º acrescenta duas regras de solidariedade: o operador responde solidariamente quando descumprir as obrigações da legislação de proteção de dados ou quando não seguir as instruções lícitas do controlador (inciso I); e os controladores que estiverem diretamente envolvidos no tratamento respondem solidariamente (inciso II). A LGPD não conhece responsabilidade subsidiária entre agentes de tratamento. Não há benefício de ordem, não há responsabilização principal do controlador com o operador em segundo plano. O art. 43 traz as excludentes — não realizou o tratamento, realizou e não houve violação, ou o dano decorre de culpa exclusiva do titular ou de terceiro — e o § 2.º do art. 42 inverte o ônus da prova em favor do titular quando verossímil a alegação.

O poder público: arts. 23 a 30. O art. 23 sujeita as pessoas jurídicas de direito público ao tratamento para atendimento de sua finalidade pública, na persecução do interesse público, com o objetivo de executar competências legais ou cumprir atribuições legais do serviço público. Três parágrafos estendem o mesmo regime a quem não é pessoa de direito público: o § 4.º equipara os serviços notariais e de registro exercidos em caráter privado, por delegação do poder público, dando-lhes o mesmo tratamento dispensado às pessoas jurídicas de direito público; e o art. 24 submete ao mesmo regime as empresas públicas e sociedades de economia mista quando estiverem operacionalizando políticas públicas, reservando o regime de pessoa de direito privado àquelas que atuam em regime de concorrência. Delegação e execução de política pública puxam o agente para o regime público, não para o privado.

O art. 26 condiciona o uso compartilhado de dados pelo poder público ao atendimento de finalidades específicas de execução de políticas públicas e atribuição legal, respeitados os princípios do art. 6.º. Seu § 1.º veda a transferência a entidades privadas, com exceções enumeradas: execução descentralizada de atividade pública que exija a transferência, exclusivamente para esse fim específico e determinado; dados acessíveis publicamente; previsão legal ou transferência respaldada em contratos, convênios ou instrumentos congêneres; e transferência que objetive exclusivamente a prevenção de fraudes e irregularidades ou a proteção da segurança e da integridade do titular. O § 2.º manda comunicar esses contratos e convênios à autoridade nacional. O art. 27 fecha o capítulo: a comunicação ou o uso compartilhado de dados de pessoa jurídica de direito público a pessoa de direito privado será informado à ANPD e dependerá de consentimento do titular, salvo nas hipóteses de dispensa, nos casos de uso compartilhado e nas exceções do art. 26, § 1.º.

O encarregado: art. 41. A definição atual é do art. 5.º, VIII, com a redação da Lei n.º 13.853/2019: pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a ANPD. Guarde a fórmula, porque ela soa estranha e é literal. E guarde o § 1.º do art. 41: a identidade e as informações de contato do encarregado deverão ser divulgadas publicamente, de forma clara e objetiva, preferencialmente no sítio eletrônico do controlador. Sigilo do encarregado contradiz a função que a lei lhe deu. As atividades estão no § 2.º: aceitar reclamações e comunicações dos titulares, receber comunicações da ANPD, orientar os funcionários sobre as práticas a adotar.

Segurança: art. 47. Uma frase e um absoluto verdadeiro. Os agentes de tratamento ou qualquer outra pessoa que intervenha em uma das fases do tratamento obrigam-se a garantir a segurança da informação prevista na lei em relação aos dados pessoais, mesmo após o seu término. O dever não se esgota com o fim do tratamento nem se limita a controlador e operador.

Relatório de impacto: art. 5.º, XVII. Documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco. Quem pode determinar sua elaboração é a autoridade nacional, pelo art. 38.

A sanção e sua dosimetria: art. 52. As sanções vão de advertência a proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados, passando por multa simples de até 2% do faturamento no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração, multa diária com o mesmo teto, publicização da infração, bloqueio, eliminação e suspensão do banco de dados ou da atividade de tratamento. O que este tópico cobra, e o outro não, é o § 1.º: as sanções serão aplicadas após procedimento administrativo que possibilite a ampla defesa, de forma gradativa, isolada ou cumulativa, considerados a gravidade e a natureza da infração, a boa-fé do infrator, a vantagem auferida, a condição econômica do infrator, a reincidência, o grau do dano, a cooperação, a adoção reiterada de mecanismos internos de minimização do dano, a adoção de política de boas práticas e a pronta adoção de medidas corretivas. E o art. 55-K reserva exclusivamente à ANPD a aplicação dessas sanções.

Crianças: art. 14, e o parágrafo que a nota vizinha não cobre. O caput manda tratar no melhor interesse da criança e do adolescente. O § 1.º exige, quanto à criança, consentimento específico e em destaque dado por pelo menos um dos pais ou pelo responsável legal. O § 5.º obriga o controlador a realizar todos os esforços razoáveis, consideradas as tecnologias disponíveis, para verificar que o consentimento foi dado pelo responsável. E o § 3.º, que é o que cai aqui: os dados de crianças podem ser coletados sem consentimento quando a coleta for necessária para contatar os pais ou para a proteção da criança — e em nenhum caso poderão ser repassados a terceiro sem o consentimento do § 1.º. A dispensa alcança a coleta, nunca o repasse.

Adequação institucional: as normas do CNJ. A Resolução CNJ n.º 363/2021 estabelece medidas para a adequação do Poder Judiciário à LGPD, e seu plano repete o roteiro que toda norma de adequação repete: inventário dos tratamentos, designação de encarregado, plano de resposta a incidentes e revisão dos modelos de minutas de contratos e instrumentos congêneres preexistentes firmados com terceiros que tenham autorizado o compartilhamento de dados pessoais. A base legal dessa última medida é o art. 39 da LGPD, que obriga o operador a tratar conforme as instruções do controlador.

Onde a LGPD toca a Lei de Acesso à Informação. As duas leis dividem a mesma fronteira, e quatro itens deste corpus a atravessam. A regra de leitura: a LAI cuida do acesso a informação pública, a LGPD cuida do tratamento de dado pessoal, e o art. 31 da LAI já submetia o dado pessoal a restrição de acesso independentemente de classificação. Um pedido de informação de cunho pessoal não se resolve só pela LAI nem só pela LGPD.

O que decide os itens

Os pares que a banca inverte nesta metade da lei:

par	de um lado	do outro
Solidária × subsidiária	operador responde solidariamente (art. 42, § 1.º, I)	subsidiariedade não existe na LGPD
Coleta × repasse (criança)	dispensa de consentimento para coletar (art. 14, § 3.º)	repasse a terceiro nunca dispensado
Divulgar × sigilar (encarregado)	contato divulgado publicamente (art. 41, § 1.º)	sigilo do encarregado é invenção
Mesmo regime × regime diverso (cartórios)	art. 23, § 4.º: mesmo tratamento do poder público	regime privado próprio
Vedação × vedação absoluta (art. 26)	veda a transferência a privados, com cinco exceções	em qualquer circunstância
Conservar × eliminar (arts. 15 e 16)	eliminação após o término, ressalvado o art. 16	vedadas a conservação e a guarda
Aplica-se × não se aplica (art. 4.º)	fins exclusivos de segurança pública: fora da lei	contemplando, inclusive; submete-se
Um dos pais × ambos os pais	art. 14, § 1.º: pelo menos um	ambos os pais

Quem responde pelo quê:

papel	dever próprio	o que não é
Controlador	decide o tratamento; indica o encarregado; elabora o relatório de impacto	não responde sozinho nem em primeiro lugar
Operador	trata em nome do controlador; segue instruções lícitas	não tem benefício de ordem: responde solidariamente
Encarregado	canal entre controlador, titulares e ANPD; identidade pública	não fiscaliza, não sanciona, não é sigiloso
Qualquer pessoa que intervenha numa fase	garantir a segurança da informação, mesmo após o término	o dever não é só dos agentes de tratamento
ANPD	fiscaliza, regulamenta e aplica as sanções do art. 52, com exclusividade	não decide pelo controlador

Poder público — o que pode sair da base de dados:

situação	pode transferir a ente privado?
execução descentralizada de atividade pública, para fim específico e determinado	sim (art. 26, § 1.º, I)
dados acessíveis publicamente	sim (III)
previsão legal, contrato, convênio ou instrumento congênere	sim (IV), comunicando à ANPD (§ 2.º)
prevenção de fraudes e irregularidades, proteção da segurança do titular	sim (V)
fora dessas hipóteses	não — mas nunca em qualquer circunstância

Os três advérbios que separam Certo de Errado nos itens de pesquisa:

redação	gabarito
anonimização garantida sempre que possível (art. 7.º, IV; art. 16, II)	Certo
anonimização obrigatória	Errado
anonimização em qualquer hipótese	Errado

Números que caem

bases legais para dado comum (art. 7.º)	10 — consentimento é o inciso I
hipóteses de dado sensível sem consentimento (art. 11, II)	7 alíneas
hipóteses de conservação após o término (art. 16)	4
exceções à vedação de transferência a privados (art. 26, § 1.º)	5 incisos (I, III, IV e V em uso; II revogado)
consentimento parental (art. 14, § 1.º)	pelo menos 1 dos pais ou o responsável legal
multa simples (art. 52, II)	até 2% do faturamento no Brasil, excluídos tributos
teto da multa simples e da multa diária	R$ 50 milhões por infração
suspensão do banco de dados (art. 52)	até 6 meses, prorrogável por igual período
critérios de dosimetria (art. 52, § 1.º)	12 incisos — a condição econômica é o VII
responsabilidade do operador (art. 42, § 1.º, I)	solidária
encarregado (art. 5.º, VIII, red. Lei n.º 13.853/2019)	indicado pelo controlador e operador
ANPD	autarquia de natureza especial (Lei n.º 14.460/2022); sanção exclusiva (art. 55-K)

Como a CEBRASPE derruba você aqui

Medido sobre os 40 itens deste tópico: 21 Certos e 19 Errados. Entre os 19 errados, dois formatos empatam no topo e juntos respondem por três quartos do conjunto.

Generalização — 7 de 19, 37%, e sempre uma lista legal fechada à força. A LGPD enumera e ressalva; o item apaga a ressalva. Os fragmentos reais: “têm proteção absoluta na LGPD e seu tratamento somente poderá ocorrer mediante consentimento expresso”; “somente pode ocorrer quando o titular ou seu responsável legal consentir”; “somente poderá ser realizado mediante o fornecimento de consentimento por seu titular, mesmo que este os tenha tornado manifestamente públicos”; “somente poderá ser realizado nas seguintes hipóteses”, seguido de duas das dez do art. 7.º; “em qualquer circunstância”, sobre a vedação do art. 26, § 1.º; e duas vezes o mesmo advérbio de pesquisa, “sendo obrigatória a anonimização desses dados” e “em qualquer hipótese”, onde a lei escreveu sempre que possível. A defesa é aritmética: conte os incisos. Se o item apresenta uma lista legal e ela tem menos itens do que a lei, ou se ele fecha com somente uma hipótese que a lei qualifica, está resolvido sem discutir o mérito.

Inversão — 7 de 19, 37%, e a metade delas é o art. 4.º lido ao contrário. A banca mantém a frase inteira correta e nega o dispositivo. Três itens fazem o mesmo movimento com a lista de exclusão: “contemplando, inclusive, as situações de uso para fins exclusivos de segurança pública, segurança do Estado e defesa nacional”; “se aplica, entre outros casos, ao tratamento de dados realizado para fins exclusivos de segurança pública ou defesa nacional”; e “se submete às disposições da LGPD”, este último emendado a uma premissa verdadeira, a de que as normas gerais da lei são de interesse nacional — um dispositivo real usado como falsa causa. Os outros quatro negam um dispositivo isolado: “vedadas a conservação e a guarda dessas informações” contra o art. 16; “deverão ser mantidas em sigilo” contra o art. 41, § 1.º; “sujeita-se a regime legal diverso” contra o art. 23, § 4.º; e “hipótese em que tais dados poderão, ainda, ser repassados a terceiros” contra o art. 14, § 3.º. A defesa: formule mentalmente a negação da frase e veja qual das duas está na lei. Em quase quatro de dez itens errados, é a outra. Vale notar que esse peso confirma o que o tópico vizinho já havia medido — lá a inversão foi 46% dos erros, aqui 37%, e nos dois casos é o formato mais caro do assunto.

Troca de termo — 4 de 19, 21%, e é sempre um regime jurídico ou uma quantidade. Duas vezes o mesmo par: “responde subsidiariamente” e “terá responsabilidade subsidiária ao controlador”, onde o art. 42, § 1.º, I, diz solidariamente. Duas vezes a mesma quantidade: “ambos os pais deem o consentimento específico e em destaque” e “por ambos os pais ou pelo responsável legal”, onde o art. 14, § 1.º, pede pelo menos um. Quatro itens, dois dispositivos. É a melhor relação entre esforço e retorno do tópico.

Escopo ampliado — 1 de 19. A lista fechada de dados sensíveis esticada para abrigar “o endereço residencial, não podendo eles compor algoritmos de IA”. Identificar não é o mesmo que expor à discriminação, e a LGPD não proíbe que dado sensível componha algoritmo: ela condiciona o tratamento ao art. 11 e assegura a revisão de decisão automatizada no art. 20.

O que o corpus não faz. Zero itens de número errado, apesar de o art. 52 trazer percentuais e tetos — quando os números aparecem, estão corretos. Zero de relação causal como categoria própria, ainda que um item use uma premissa verdadeira para sustentar conclusão falsa. Zero de atribuição errada de órgão: a ANPD não é confundida com outro ente em nenhum item.

A régua do absoluto, medida aqui. Dezenove dos 40 itens contêm um marcador absoluto — somente, qualquer, toda, sempre, obrigatória, exclusivos, vedado, em qualquer circunstância, proteção absoluta. Doze são Errados e sete são Certos, e nos sete a palavra é da lei: toda operação (art. 5.º, X), Qualquer pessoa que intervenha (art. 47), sempre que possível (arts. 7.º, IV, e 16, II), fins exclusivos (art. 4.º, III, d), todos os esforços razoáveis (art. 14, § 5.º), Em regra (art. 27). Dois dos doze errados também usam um absoluto legal — fins exclusivos, do art. 4.º —, e a lição fina está aí: nesses casos o advérbio está certo e o verbo é que foi trocado. Sublinhe o verbo, não o advérbio.

Um padrão de redação que ajuda. Vinte dos 21 itens Certos são transcrição quase literal de um dispositivo, com a sintaxe levemente reorganizada — arts. 5.º, X, XI e XVII, 6.º, II, 7.º, IV, 11, II, f, 14, § 1.º e § 5.º, 16, II, 23, 26, 27, 41, 47, 52, § 1.º, VII, 55-K. O único que não é lei transcrita repete uma tese do STF que, por sua vez, é o princípio da necessidade do art. 6.º, III. Se um item soa copiado da lei, provavelmente foi. Os itens Errados quase sempre acrescentam algo que a lei não tem: um advérbio de fechamento, uma condição nova, um regime de responsabilidade diferente ou a negação do dispositivo.

Erros clássicos

Achar que o operador responde em segundo plano. A responsabilidade do art. 42, § 1.º, I, é solidária. Não há benefício de ordem na LGPD, e o tópico repete esse par duas vezes.

Tratar a exclusão do art. 4.º como se dependesse de quem aplica a lei. Que as normas gerais da LGPD sejam de interesse nacional e obriguem União, estados, Distrito Federal e municípios é verdade e é o art. 1.º, parágrafo único. Isso diz a quem a lei se dirige, não a que tratamentos ela alcança.

Transformar a vedação do art. 26, § 1.º, em proibição absoluta. Ela tem cinco exceções, e o mesmo corpus traz o item espelhado — transferência respaldada em contrato ou convênio, comunicada à ANPD — como Certo.

Supor que cartório tem regime próprio. O art. 23, § 4.º, dá aos serviços notariais e de registro exercidos por delegação o mesmo tratamento das pessoas jurídicas de direito público. Delegação puxa para o regime público.

Esconder o encarregado. O art. 41, § 1.º, manda divulgar publicamente identidade e contato. Um canal de comunicação sigiloso não seria canal.

Exigir consentimento de ambos os pais, ou proibir o tratamento de dados de criança. O art. 14 manda tratar no melhor interesse e pede o consentimento de pelo menos um dos pais, e só quanto à criança — não ao adolescente.

Confundir a dispensa de coleta com liberação de repasse. O art. 14, § 3.º, permite coletar sem consentimento para proteger a criança e, na mesma frase, proíbe em qualquer caso o repasse a terceiro sem o consentimento do § 1.º.

Tornar obrigatória a anonimização em pesquisa. A lei escreve sempre que possível, nos arts. 7.º, IV, e 16, II. Três itens deste tópico giram em torno desse advérbio e só ele decide.

Achar que dado sensível é dado intocável. O art. 11, II, tem sete alíneas que dispensam o consentimento, entre elas a tutela da saúde por profissional, serviço de saúde ou autoridade sanitária.

Confundir as duas metades da LGPD. Definições, princípios e bases legais estão explicadas no tópico Privacy by design; Cavoukian; LGPD art. 46. O que é próprio daqui são responsabilidade, poder público, encarregado, segurança, relatório de impacto e sanção.