Privacy by design/by default; Cavoukian; LGPD art. 46

A ideia que organiza o assunto

Comece por uma medição, porque ela muda o que se deve estudar. O título do tópico fala em privacy by design, em privacy by default, nos sete princípios de Ann Cavoukian e no art. 46 da LGPD. Nos 55 itens do corpus, privacy by design aparece em 2; Cavoukian, em nenhum; a expressão medidas de segurança do art. 46, em nenhum. Os outros 53 itens são a letra da Lei n.º 13.709/2018 — definições do art. 5.º, alcance dos arts. 3.º e 4.º, princípios do art. 6.º, bases legais dos arts. 7.º e 11, direitos do art. 18, poder público, ANPD e sanções — mais três itens de leis vizinhas (LAI, Marco Civil e a Lei de Delitos Informáticos). Quem estudar o conceito e não a lei acerta dois itens em cinquenta e cinco.

A ideia que organiza a LGPD, e com ela quase todo o tópico, é que a lei é construída em listas fechadas penduradas em poucos artigos. Ela quase nunca diz “em regra” ou “salvo melhor juízo”: ela enumera. Dez princípios no art. 6.º, dez bases legais no art. 7.º, oito categorias de dado sensível no art. 5.º, II, nove direitos do titular no art. 18, três blocos de exclusão no art. 4.º. Essa arquitetura produz duas consequências práticas que decidem os itens:

1. Qualquer palavra que feche a lista é suspeita. Sempre, nunca, em nenhuma circunstância, somente, obrigatoriamente, todos, qualquer operação. A lei tem exceção para quase tudo, porque a exceção está na lista.
2. Qualquer definição que troque de rótulo é a distorção padrão. A banca copia o texto legal com precisão e assina com o nome do inciso vizinho.

Antes de julgar um item, responda a três perguntas, nesta ordem. Elas resolvem sozinhas a maior parte do tópico:

Primeira: a LGPD alcança este caso? O art. 3.º diz quando ela alcança e o critério é territorial — tratamento realizado no Brasil, oferta de bens e serviços a indivíduos localizados no Brasil, ou dados coletados no Brasil —, expressamente independentemente do meio, do país da sede e do país onde estejam localizados os dados. O art. 4.º diz quando ela não se aplica. Nacionalidade do titular nunca é critério.

Segunda: qual é a base legal? Consentimento é o inciso I de dez do art. 7.º, não é a regra geral e não é condição de licitude. Para dado sensível a lista é outra e mais curta, no art. 11.

Terceira: quem é o agente? Controlador decide, operador trata em nome do controlador, encarregado comunica, ANPD fiscaliza e sanciona. Quatro papéis, quatro verbos. Tudo que a lei não nomeia — custodiante, curador, gestor de dados — é intruso.

E uma régua transversal, para os itens de definição: leia a definição, nomeie você mesmo o conceito, e só depois olhe o rótulo escrito no item. A definição quase sempre chega intacta; é o nome em cima dela que a banca troca.

Por que se usa (e o que custa)

Privacy by design nasceu na década de 1990 com Ann Cavoukian, então comissária de privacidade de Ontário, como resposta a um padrão que se repetia: a privacidade só era discutida depois de o sistema estar pronto, quando as decisões de arquitetura — o que coletar, onde guardar, por quanto tempo, quem enxerga — já estavam tomadas e o único recurso restante era acrescentar controles por cima. A proposta inverte a ordem: a privacidade entra como requisito de projeto, antes da primeira linha de código e antes da primeira coleta.

O ganho é que as decisões caras ficam baratas. Minimizar a coleta, definir retenção, separar bases e anonimizar custa quase nada enquanto o modelo de dados está no papel, e custa uma migração depois que há dez milhões de registros em produção. É também o único jeito de cumprir de fato os arts. 6.º, III (necessidade) e 49 da LGPD, porque ambos falam do sistema, não de um controle acoplado a ele.

O custo é real e vale conhecê-lo, porque é dele que saem os itens sobre o tema. Exige decidir cedo, com informação incompleta, sobre requisitos que ainda vão mudar; exige que equipes de produto e jurídico conversem antes do que gostariam; e congela em arquitetura escolhas que depois pesam. Cavoukian responde a isso com o princípio da soma positiva: a promessa é que privacidade e funcionalidade não precisam ser trocadas uma pela outra, e o falso dilema “segurança ou usabilidade” é justamente o que o arcabouço recusa. Daí decorre a segunda leitura importante: privacy by design é referencial de projeto, aplicado ao contexto e ao setor, não um dogma indivisível — e a banca já cobrou os dois extremos errados, o de rebaixá-lo a remendo posterior e o de elevá-lo a regra que não admite adaptação.

A LGPD faz a mesma escolha de neutralidade no art. 46: exige medidas de segurança técnicas e administrativas aptas a proteger os dados, e não uma tecnologia nominada. Criptografia é exemplo, nunca obrigação universal.

Como funciona

As definições do art. 5.º. São o insumo de mais itens que qualquer outro dispositivo. Dado pessoal é informação relacionada a pessoa natural identificada ou identificável — definição deliberadamente ampla, que alcança quem pode ser reconhecido por cruzamento. Dado pessoal sensível é um subconjunto qualificado por categoria, e a lista é fechada: origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético e dado biométrico. Dado anonimizado é aquele cujo titular não possa ser identificado considerando meios técnicos razoáveis e disponíveis na ocasião do tratamento — e, por isso, sai do alcance da lei (art. 12), salvo se o processo for revertido. Pseudonimização é outra coisa: retira a identificação direta mas guarda em separado a informação que permite reverter, e o dado continua pessoal. Banco de dados é conjunto estruturado de dados pessoais, em um ou vários locais, em suporte eletrônico ou físico. Bloqueio é a suspensão temporária de qualquer operação de tratamento, com guarda do dado. Eliminação é a exclusão. Tratamento é qualquer operação — a lista do inciso X vai de coleta a eliminação, passando por acesso, transmissão e arquivamento.

Alcance: o art. 3.º abre, o art. 4.º fecha. O art. 3.º incide quando a operação é realizada no território nacional, quando a atividade tem por objetivo ofertar bens ou serviços ou tratar dados de indivíduos localizados no território nacional, ou quando os dados foram coletados no território nacional. O art. 4.º exclui o tratamento feito por pessoa natural para fins exclusivamente particulares e não econômicos; o feito para fins exclusivamente jornalísticos, artísticos ou acadêmicos; e o destinado a segurança pública, defesa nacional, segurança do Estado e investigação e repressão de infrações penais. A palavra que faz o art. 4.º funcionar é exclusivamente: misturada a outra finalidade, a exclusão cai. E a exclusão não é vazio normativo — o § 2.º proíbe o tratamento desses dados por pessoa de direito privado fora da tutela de pessoa jurídica de direito público, e o § 4.º admite que a totalidade dos dados seja tratada por pessoa de direito privado apenas quando seu capital for integralmente constituído pelo poder público.

Fundamentos (art. 2.º) × princípios (art. 6.º). São listas diferentes e a confusão entre elas é cobrada. Os fundamentos são valores que justificam a disciplina: respeito à privacidade; autodeterminação informativa; liberdade de expressão, informação, comunicação e opinião; inviolabilidade da intimidade, da honra e da imagem; desenvolvimento econômico e tecnológico e inovação; livre iniciativa, livre concorrência e defesa do consumidor; direitos humanos e exercício da cidadania. Repare que há fundamentos econômicos ali — a lei não é um instrumento de privacidade absoluta. Os princípios são regras de conduta do tratamento, além da boa-fé: finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização e prestação de contas.

Três deles vivem colados e é ali que a banca trabalha. Finalidade é tratar para propósitos legítimos, específicos, explícitos e informados, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades. Adequação é a compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento — a cauda de acordo com o contexto é a assinatura da adequação. Necessidade é a limitação ao mínimo necessário para a realização das finalidades. E há um segundo par igualmente explorado: livre acesso é a consulta facilitada e gratuita sobre forma, duração e integralidade dos dados do titular; transparência é a garantia de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e sobre os agentes, observados os segredos comercial e industrial.

Bases legais: art. 7.º para dado comum, art. 11 para dado sensível. O art. 7.º tem dez hipóteses, e o consentimento é apenas a primeira. As demais — cumprimento de obrigação legal ou regulatória; execução de políticas públicas; estudos por órgão de pesquisa; execução de contrato; exercício regular de direitos; proteção da vida; tutela da saúde; legítimo interesse; proteção do crédito — dispensam consentimento. O legítimo interesse (inciso IX) traz sua própria ressalva: cede quando prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados. O art. 11 é a lista paralela e mais curta para dado sensível: consentimento específico e destacado, ou, sem consentimento, cumprimento de obrigação legal ou regulatória, tratamento compartilhado necessário à execução de política pública, estudos por órgão de pesquisa, exercício regular de direitos, proteção da vida, tutela da saúde por profissional ou serviço de saúde, e prevenção à fraude e à segurança do titular. Não há legítimo interesse nem proteção do crédito para dado sensível — é a diferença que mais rende item.

Consentimento (art. 8.º). Manifestação livre, informada e inequívoca, para finalidade determinada. Pode ser dado por escrito ou por outro meio que demonstre a manifestação de vontade — a forma escrita nunca é obrigatória, e, quando escrito, deve constar de cláusula destacada. Autorizações genéricas são nulas. Não existe consentimento tácito, presumido ou inferido de navegação. O ônus da prova do consentimento é do controlador. Pode ser revogado a qualquer momento, por procedimento gratuito e facilitado. E, pelo § 5.º do art. 7.º, compartilhar dados com outro controlador exige consentimento específico, ressalvadas as hipóteses de dispensa.

Crianças e adolescentes (art. 14). O tratamento deve ser realizado em seu melhor interesse. Para crianças, exige-se consentimento específico e em destaque dado por pelo menos um dos pais ou pelo responsável legal — não por ambos. A exigência de consentimento parental destacado é da criança; o adolescente segue o regime geral do melhor interesse.

Direitos do titular (art. 18). Confirmação da existência do tratamento; acesso; correção; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade; portabilidade; eliminação dos dados tratados com consentimento; informação sobre compartilhamento; informação sobre a possibilidade de não consentir e suas consequências; revogação do consentimento. A eliminação tem freio: o art. 16 permite conservar os dados para cumprimento de obrigação legal ou regulatória, estudo por órgão de pesquisa, transferência a terceiro com observância da lei, e uso exclusivo do controlador com anonimização.

Poder público (arts. 23 a 30). O tratamento pelas pessoas jurídicas de direito público deve atender a finalidade pública, na persecução do interesse público, para executar competências ou cumprir atribuições legais. Os dados devem ser mantidos em formato interoperável e estruturado para uso compartilhado (art. 25). A comunicação ou o uso compartilhado com entes privados é restrito e depende, em regra, de hipótese legal específica ou de autorização, com informe à ANPD.

Segurança, boas práticas e o lugar do privacy by design (arts. 46 a 51). O art. 46 exige medidas técnicas e administrativas aptas a proteger os dados. O art. 48 impõe ao controlador comunicar à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. O art. 49 é o dispositivo do tópico: os sistemas utilizados para o tratamento de dados pessoais devem ser estruturados de forma a atender aos requisitos de segurança, aos padrões de boas práticas e de governança. É privacy by design escrito em lei brasileira — e note que a obrigação recai sobre a estrutura do sistema, não sobre um controle acrescentado depois. O art. 50 trata das regras de boas práticas e governança e dos programas de conformidade.

Os sete princípios de Cavoukian, para completude — zero itens os cobram neste corpus, mas eles explicam os dois que cobram o conceito: proativo e não reativo, preventivo e não corretivo; privacidade como configuração padrão; privacidade incorporada ao projeto; funcionalidade total, em soma positiva; segurança fim a fim, por todo o ciclo de vida; visibilidade e transparência; e respeito pela privacidade do usuário, mantendo o desenho centrado nele.

Agentes e ANPD. O encarregado (art. 41) é indicado pelo controlador e pelo operador — a Lei n.º 13.853/2019 acrescentou o operador ao art. 5.º, VIII, e a banca já cobrou exatamente essa palavra — e funciona como canal de comunicação entre controlador, titulares e ANPD; aceita reclamações, presta esclarecimentos e orienta a organização. A ANPD é autarquia de natureza especial, com autonomia técnica e decisória, patrimônio próprio e sede e foro no Distrito Federal, após a Lei n.º 14.460/2022 — antes era órgão da administração federal vinculado à Presidência da República. É ela quem dispõe sobre padrões de interoperabilidade para portabilidade (art. 40), e a aplicação de sanções administrativas é competência exclusiva sua (art. 55-K). As sanções do art. 52 vão de advertência a proibição do exercício da atividade, passando por multa simples de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, multa diária sujeita ao mesmo teto, publicização, bloqueio, eliminação e suspensão do banco de dados.

As leis vizinhas que caem junto. O Marco Civil da Internet arrola entre os princípios do art. 3.º a proteção da privacidade e a proteção dos dados pessoais, na forma da lei, e assegura no art. 7.º, em incisos consecutivos, a inviolabilidade e o sigilo tanto do fluxo das comunicações quanto das comunicações privadas armazenadas, em ambos os casos ressalvada a ordem judicial. A LAI exige do pedido de informação apenas a identificação do requerente e a especificação da informação, e veda expressamente exigir os motivos da solicitação. A Lei n.º 12.737/2012 tipifica a invasão de dispositivo informático pela finalidade — obter, adulterar ou destruir dados, ou instalar vulnerabilidades —, sem exigir que o resultado ocorra.

O que decide os itens

Os pares que a banca inverte. Esta é a tabela que resolve mais itens do que todas as outras somadas:

par	de um lado	do outro
Controlador × operador	a quem competem as decisões sobre o tratamento	quem trata em nome do controlador
Dado pessoal × sensível	qualquer informação sobre pessoa natural identificada ou identificável	apenas o que está na lista fechada do art. 5.º, II
Anonimizado × pseudonimizado	titular não pode ser identificado; sai da LGPD	identificação direta removida, mas reversível; continua pessoal
Bloqueio × eliminação	suspensão temporária, com guarda do dado	exclusão do dado
Finalidade × adequação	propósitos legítimos, específicos, explícitos e informados	compatibilidade de acordo com o contexto do tratamento
Livre acesso × transparência	consulta facilitada e gratuita à integralidade dos dados	informações claras sobre o tratamento e os agentes
Fundamentos (art. 2.º) × princípios (art. 6.º)	valores que justificam a disciplina	regras de conduta do tratamento
Art. 3.º × art. 4.º	quando a LGPD alcança	quando não se aplica
Art. 7.º × art. 11	dez bases para dado comum	lista mais curta para dado sensível
Fluxo × armazenado (MCI)	art. 7.º, II	art. 7.º, III — mesma proteção, mesma ressalva judicial

Alcance — o que conecta e o que não conecta:

conecta a LGPD	não conecta
tratamento realizado no território nacional	nacionalidade do titular
oferta de bens ou serviços a indivíduos localizados no Brasil	país da sede do agente de tratamento
dados coletados no território nacional	país onde os dados estão armazenados
	meio utilizado no tratamento

Quem faz o quê:

papel	verbo	não faz
Controlador	decide sobre o tratamento; indica o encarregado (o operador também indica)	não executa em nome de ninguém
Operador	trata em nome do controlador	não decide finalidades
Encarregado	comunica: canal entre controlador, titulares e ANPD	não fiscaliza nem sanciona
ANPD	fiscaliza, regulamenta e sanciona; dispõe sobre interoperabilidade	não substitui o controlador nas decisões
Custodiante, curador, gestor de dados	não existem na LGPD	—

Consentimento — a fórmula Certa e a Errada:

redação Certa	redação Errada
livre, informada e inequívoca	implícito, tácito, presumido, inferido da navegação
por escrito ou por outro meio que demonstre a vontade	necessariamente por escrito
uma entre dez bases legais do art. 7.º	somente mediante consentimento
autoriza, por si só, o tratamento	não autoriza, por si só
compartilhar exige consentimento específico	o consentimento da coleta dispensa o do compartilhamento
revogável a qualquer momento, gratuitamente	irrevogável, ou revogação onerosa

Dado sensível sem consentimento — o que está e o que não está no art. 11:

está (dispensa o consentimento)	não está
cumprimento de obrigação legal ou regulatória pelo controlador	legítimo interesse
execução de política pública / tratamento compartilhado	proteção do crédito
estudos por órgão de pesquisa
exercício regular de direitos
proteção da vida e da incolumidade física
tutela da saúde, por profissional ou serviço de saúde
prevenção à fraude e à segurança do titular

Privacy by design — os dois erros simétricos:

errado por menos	certo	errado por mais
camada adicional sobre sistema pronto; remendo; correção reativa	requisito de projeto, desde a concepção, adaptado ao contexto e ao setor	princípios indivisíveis que não admitem adaptação setorial

Números que caem

princípios do art. 6.º	10 (mais a boa-fé, no caput)
fundamentos do art. 2.º	7
bases legais para dado comum (art. 7.º)	10 — consentimento é o inciso I
categorias de dado sensível (art. 5.º, II)	8
direitos do titular (art. 18)	9
consentimento parental (art. 14, § 1.º)	pelo menos 1 dos pais ou o responsável legal
criança × adolescente (ECA)	menos de 12 anos × 12 a 18 anos
multa simples (art. 52, II)	até 2% do faturamento no Brasil no último exercício, excluídos tributos
teto da multa simples e da multa diária	R$ 50 milhões por infração
suspensão do banco de dados (art. 52)	até 6 meses, prorrogável por igual período
princípios de Cavoukian	7
LGPD: sanção, vigência e sanções administrativas	2018 · vigência em setembro de 2020 · sanções a partir de agosto de 2021
natureza da ANPD	autarquia de natureza especial (Lei n.º 14.460/2022)
CIS Control 7 — varredura de vulnerabilidades	interna trimestral (7.5) · externa mensal (7.6) — ambas obrigatórias a partir do IG2

Como a CEBRASPE derruba você aqui

Medido sobre os 55 itens do tópico: 27 Certos e 28 Errados, quase exatamente meio a meio. Entre os 28 Errados, a distribuição é atipicamente concentrada.

Inversão — 13 de 28 itens errados, 46%, e o dobro do que esse formato pesa em qualquer outro tópico de Segurança. Esta é a assinatura do assunto. A banca pega um dispositivo e afirma o seu contrário, mantendo o resto da frase perfeita. Três subformatos, todos frequentes. O par de papéis trocado: “Pessoa natural ou jurídica que realiza o tratamento de dados pessoais em nome do operador é denominada de controlador” — a definição do art. 5.º, VII, com os dois nomes permutados. A regra negada: “o dado pessoal não pode sofrer suspensão temporária de qualquer operação de tratamento”, quando isso é a definição de bloqueio; “banco de dados é todo conjunto não estruturado”; “o tratamento pelas pessoas jurídicas de direito público independe da finalidade pública”; “o consentimento do titular não autoriza, por si só, o tratamento”; o consentimento da coleta que “dispensa nova manifestação para o compartilhamento”; e, no Marco Civil, “tal direito não é garantido em relação ao fluxo de suas comunicações”. O art. 4.º lido ao contrário: “Aplica-se a LGPD na coleta e no tratamento de dados pessoais para fins particulares, jornalísticos, artísticos, de segurança pública e de defesa nacional” e “Submete-se à LGPD o tratamento realizado exclusivamente com a finalidade de investigação e repressão de infrações penais” — as duas vezes a lista de exclusão apresentada como lista de incidência. A defesa: quando o item afirmar uma regra, formule mentalmente a negação dela e veja qual das duas está na lei. Em quase metade dos itens errados, é a outra.

Generalização — 6 de 28, 21%, e ela vem escrita. A lei trabalha por listas de exceções, então a palavra que fecha a lista entrega o item: “Em nenhuma circunstância o tratamento de dados pessoais sensíveis poderá ocorrer sem o consentimento”; “todos os envolvidos poderão ter acesso a bases de dados pessoais” em estudos de saúde pública, quando o art. 13 fala em órgãos de pesquisa; “aplica-se a qualquer operação de tratamento realizada por pessoa física ou jurídica”, apagando o art. 4.º; “somente poderá ser realizado mediante consentimento, necessariamente por escrito”; as organizações que devem “obrigatoriamente implementar recursos criptográficos… em todos os sistemas”.

Vale a medição fina, porque ela impede o excesso de zelo. Quinze dos 55 itens contêm um marcador absoluto — qualquer, todo, somente, apenas, nenhum, sempre, obrigatoriamente, necessariamente, exclusivamente, independentemente —, e 11 deles são Errados. Os 4 Certos têm todos a mesma característica, e é ela que separa os dois grupos: o absoluto é da lei, não do item. “Dado pessoal é qualquer informação relacionada a pessoa natural identificada ou identificável” é o art. 5.º, I. “independentemente do país onde esteja sediada” é o art. 3.º, caput. “a qualquer momento” é o art. 18, VI. “O tratamento integral de dados… para fins exclusivos de segurança pública” é o art. 4.º, § 4.º. Portanto: achou um absoluto, não conclua Errado — pergunte se aquela palavra está no texto legal. Se estiver, ela é o gabarito Certo; se foi o item que a acrescentou sobre uma regra que a lei qualifica, é o gabarito Errado.

Troca de termo — 6 de 28, 21%, e quase sempre um rótulo de princípio ou de definição. O corpo da frase é o texto legal exato; o nome em cima dele é o do inciso vizinho. “Princípio da finalidade, segundo o qual deve ser atestada a compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento” — a cauda é a assinatura da adequação, art. 6.º, II. “A transparência, que garante ao titular consulta facilitada e gratuita da integralidade dos seus dados pessoais” — isso é livre acesso, art. 6.º, IV. “Qualquer informação relacionada à pessoa natural identificada ou identificável é considerado como dado pessoal sensível” — é dado pessoal, art. 5.º, I. Também entram aqui a troca do regime da criança pelo do ECA e a troca de pelo menos um dos pais por ambos os pais. O contraste que fecha o ponto: o mesmo tópico traz “princípio da finalidade, que consiste na compatibilidade entre o tratamento e a finalidade informada ao titular” como item Certo — sem a cauda de acordo com o contexto, a descrição cabe no inciso I. A cauda é o gabarito. Leia a definição inteira antes do rótulo.

Escopo ampliado — 2 de 28. Uma regra correta esticada um passo além: a LGPD aplicada a “dados de brasileiros natos, mesmo que coletados em países estrangeiros”, quando o critério é territorial; e a lista de dados sensíveis esticada para abrigar a nacionalidade, ao lado da religião. Atribuição errada — 1 de 28: a competência do art. 40 sobre padrões de interoperabilidade transferida a um “custodiante” que a LGPD não conhece.

O que o corpus não faz, e economiza seu tempo. Zero itens de número errado — a banca não altera prazos, percentuais nem tetos neste tópico, embora os números do art. 52 apareçam e estejam sempre corretos. Zero de relação causal inventada. Zero de exceção omitida como categoria própria, porque quando a exceção some o item vira generalização declarada. E, sobretudo: zero itens sobre Cavoukian, zero sobre o art. 46 pelo nome e apenas 2 sobre privacy by design. O tempo rende no art. 5.º, no art. 4.º e no art. 7.º.

Um padrão de redação que ajuda. Os itens Certos deste tópico são, esmagadoramente, transcrição quase literal do dispositivo, com sintaxe levemente reorganizada — art. 49, art. 11, II, a, art. 2.º, V, art. 25, art. 3.º, III, art. 5.º, III. Se um item soa como se tivesse sido copiado da lei, provavelmente foi. Os itens Errados quase sempre acrescentam algo: um advérbio de fechamento, uma condição que a lei não põe, um ator que ela não nomeia, ou a negação de um dispositivo.

Erros clássicos

Achar que o consentimento é a regra geral da LGPD. Ele é o inciso I de dez do art. 7.º. Nove outras hipóteses autorizam o tratamento sem ele, e o erro simétrico — dizer que o consentimento “não basta por si só” — também é cobrado e também é errado.

Confundir controlador com operador. Quem age em nome de alguém é sempre o operador. Quem decide é o controlador. Nenhum item desse par escapa dessa régua.

Chamar de sensível o que apenas identifica. Nome, CPF, RG, endereço, cidade, nacionalidade e dados financeiros são dados pessoais comuns. Sensível é só o que está na lista fechada do art. 5.º, II. Origem racial ou étnica não é o mesmo que nacionalidade.

Tratar a exclusão do art. 4.º como ausência total de regra. Segurança pública está fora da LGPD, mas o próprio art. 4.º governa o assunto nos §§ 1.º a 4.º, e a totalidade dos dados só pode ser tratada por pessoa de direito privado de capital integralmente público.

Deixar a nacionalidade decidir o alcance da lei. A LGPD é territorial. Empresa estrangeira que coleta no Brasil está dentro; dado de brasileiro coletado no exterior, por si só, não está.

Exigir consentimento de ambos os pais. O art. 14, § 1.º, pede pelo menos um. E a exigência de consentimento específico e em destaque é da criança, não do adolescente.

Supor que a LGPD manda criptografar. O art. 46 exige medidas aptas, e a escolha é baseada em risco. A lei é neutra quanto à tecnologia; criptografia é exemplo, não mandamento universal.

Tomar navegação por consentimento. Inequívoca é adjetivo do art. 5.º, XII. Consentimento tácito, presumido ou genérico é nulo, e autorização genérica é expressamente nula pelo art. 8.º, § 4.º.

Inventar agentes. Custodiante, curador de dados e gestor de dados não existem na LGPD. Os papéis são controlador, operador, encarregado e autoridade nacional.

Tratar privacy by design como camada de segurança. É requisito de projeto, anterior ao sistema. E também não é dogma: aplica-se ao contexto e ao setor. Os dois extremos caem na prova, e os dois são Errados.