Sumário

A LGPD é tema certo em concursos federais, principalmente os técnicos e administrativos. Aqui você domina a estrutura da Lei 13.709/2018, conceitos centrais, princípios, bases legais, direitos do titular, papéis dos agentes, ANPD e o regime sancionatório. Aula técnica e jurídica ao mesmo tempo.

1. Histórico, contexto e EC 115/2022

   GDPR como inspiração; PL 5.276/2016; CF Art. 5 LXXIX
   p. 04
2. Estrutura, aplicabilidade e exceções

   Art. 1-4: vigência, escopo material e territorial
   p. 08
3. Conceitos centrais (Art. 5)

   Dado pessoal, sensível, anonimizado, titular, agentes
   p. 12
4. Fundamentos (Art. 2) e princípios (Art. 6)

   10 fundamentos + 10 princípios da LGPD
   p. 16
5. Bases legais (Art. 7) e dados sensíveis (Art. 11)

   10 hipóteses para tratamento + regras especiais para dados sensíveis
   p. 20
6. Direitos do titular (Art. 18)

   9 direitos: confirmação, acesso, correção, anonimização, portabilidade, eliminação, informação, revogação, revisão
   p. 24
7. Agentes, DPO, ANPD, transferência internacional

   Controlador × operador × encarregado. ANPD. Art. 33 transferência
   p. 28
8. Sanções e Decreto 11.674/2023

   Sanções, dosimetria, multa, comunicação de incidente
   p. 32
9. Mapa mental, revisão e questões comentadas

   10 questões fechando a aula
   p. 36

Meta desta aula

Dominar a estrutura da LGPD. Distinguir dado pessoal, sensível e anonimizado. Memorizar os 10 princípios e 10 bases legais. Operar os 9 direitos do titular. Conhecer ANPD, DPO, sanções e Decreto 11.674/2023.

O que você vai aprender

Dica do Fuffu

Em prova, três pontos rendem 60%: 1) conceitos de dado pessoal × sensível × anonimizado; 2) os 10 princípios (Art. 6); 3) os 9 direitos do titular (Art. 18). Decora esses 3 grupos.

Prof. Affonsinho explica, Módulo 01

1 Caminho até a LGPD

Antecedentes constitucionais

A proteção de dados no Brasil vem se consolidando há décadas. Bases:

• CF/88, Art. 5, X: invioláveis a intimidade, vida privada, honra e imagem.
• CF/88, Art. 5, XII: inviolável o sigilo da correspondência e das comunicações telegráficas, telefônicas e de dados, salvo em última hipótese e por ordem judicial.
• CF/88, Art. 5, LXXII: habeas data como remédio constitucional.
• Lei 9.507/1997: regulamenta o habeas data.
• Lei 8.078/1990 (CDC): previa proteção em bancos de cadastro.
• Lei 12.414/2011 (Cadastro Positivo): alterada pela LC 166/2019.
• Lei 12.527/2011 (LAI): acesso à informação pública (com limitações para dados pessoais).
• Lei 12.965/2014 (Marco Civil da Internet): princípios de privacidade na internet.

A inspiração europeia: GDPR

O GDPR (General Data Protection Regulation, Regulamento UE 2016/679) entrou em vigor em 25 de maio de 2018. Foi a maior reforma de proteção de dados do mundo, com alcance extraterritorial e multas pesadíssimas (até 4% do faturamento global). Tornou-se referência global e modelo para várias legislações, incluindo a LGPD brasileira.

Desde 1981 já existia a Convenção 108 do Conselho da Europa, primeira norma internacional sobre proteção de dados, modernizada em 2018 (Convenção 108+). O Brasil aderiu por meio do Decreto Legislativo 117/2024.

Tramitação no Brasil

• 2010-2015: discussões em consultas públicas.
• 2012: PL 4.060/2012 (Câmara).
• 2013: PL 330/2013 (Senado).
• 2016: PL 5.276/2016 (Executivo, principal embrião).
• 14 de agosto de 2018: sanção da Lei 13.709/2018 (LGPD).
• Vacatio legis originalmente de 18 meses (até fev/2020), depois prorrogada.

Alterações relevantes

• Lei 13.853/2019 (MP 869/2018 convertida): criou a ANPD; alterou estrutura sancionatória; ajustou definições e prazos.
• Lei 14.010/2020 (RJET pandemia): postergou sanções administrativas para 1º de agosto de 2021.
• Lei 14.058/2020: tratou de tratamentos pelo TSE.
• Decreto 10.474/2020: aprovou estrutura regimental da ANPD.
• Lei 14.460/2022: transformou a ANPD em autarquia federal de natureza especial (era inicialmente órgão da administração direta).
• EC 115/2022: incluiu o inciso LXXIX no Art. 5 da CF, reconhecendo a proteção de dados pessoais como direito fundamental.
• Decreto 11.674/2023: regulamentou a dosimetria das sanções.
• Decreto 11.690/2023: alterou estrutura da ANPD.

Vigência

EC 115/2022 - direito fundamental

A EC 115, de 10 de fevereiro de 2022, alterou a CF/88 acrescentando o inciso LXXIX ao Art. 5:

"é assegurado, nos termos da lei, o direito à proteção dos dados pessoais, inclusive nos meios digitais"

Também acrescentou competência privativa da União para legislar (Art. 22, XXX) e competência da União para organizar e fiscalizar a proteção e o tratamento de dados pessoais (Art. 21, XXVI). Eleva a proteção de dados a direito fundamental, com toda a carga normativa que isso traz: cláusula pétrea (Art. 60 §4 IV), aplicação imediata (Art. 5 §1), interpretação constitucional ampliada.

Bate-papo com o Seu Teoffilo

Em prova federal, decora as datas: LGPD sancionada em 14/08/2018, vigência integral em 18/09/2020, sanções em 1º/08/2021. EC 115/2022 trouxe a proteção de dados como direito fundamental no Art. 5 LXXIX. ANPD virou autarquia pela Lei 14.460/2022. Esses 4 marcos resolvem 30% das questões.

Prof. Affonsinho explica, Módulo 02

2 Estrutura e escopo

Estrutura da Lei (10 capítulos)

1. Disposições preliminares (Art. 1-6): objeto, aplicação, definições, fundamentos, princípios.
2. Tratamento de dados pessoais (Art. 7-16): bases legais, dados sensíveis, crianças, término.
3. Direitos do titular (Art. 17-22).
4. Tratamento de dados pelo poder público (Art. 23-32).
5. Transferência internacional de dados (Art. 33-36).
6. Agentes de tratamento (Art. 37-45): controlador, operador, encarregado, responsabilidade.
7. Segurança e boas práticas (Art. 46-51): medidas técnicas e organizacionais, comunicação de incidente.
8. Fiscalização (Art. 52-54): sanções administrativas.
9. ANPD e Conselho Nacional de Proteção de Dados Pessoais (Art. 55-58-B).
10. Disposições finais e transitórias (Art. 59-65).

Aplicabilidade (Art. 3)

A LGPD se aplica a qualquer tratamento de dados realizado por pessoa natural ou jurídica, de direito público ou privado, em qualquer dos seguintes casos:

• I - a operação de tratamento seja realizada no território nacional.
• II - a atividade tenha por objetivo a oferta ou fornecimento de bens ou serviços ou o tratamento de dados de indivíduos localizados no território nacional.
• III - os dados pessoais objeto do tratamento tenham sido coletados no território nacional.

Aplicabilidade extraterritorial: empresa estrangeira que oferece serviço a pessoas no Brasil deve cumprir LGPD. Mesmo princípio do GDPR.

Exceções (Art. 4)

A LGPD NÃO se aplica ao tratamento de dados pessoais quando:

• I - realizado por pessoa natural para fins exclusivamente particulares e não econômicos.
• II - realizado para fins exclusivamente:
  • a) jornalísticos e artísticos.
  • b) acadêmicos (com regras específicas, Art. 7 IV e V).
• III - realizado para fins exclusivos de:
  • a) segurança pública.
  • b) defesa nacional.
  • c) segurança do Estado.
  • d) atividades de investigação e repressão de infrações penais.
• IV - provenientes de fora do território nacional e que não sejam objeto de comunicação, uso compartilhado de dados com agentes de tratamento brasileiros ou objeto de transferência internacional para país que proporcione grau de proteção adequado.

O tratamento referido no inciso III será objeto de legislação específica (Art. 4 §1). Há projeto de lei em tramitação para regular dados em segurança pública (LGPD penal).

Pessoa natural × jurídica

A LGPD protege pessoa natural (pessoa física). Não se aplica a dados de pessoa jurídica (CNPJ, faturamento de empresa, etc.). Dados como CPF, nome, e-mail pessoal, geolocalização, hábitos online de pessoa física estão protegidos. Dados puramente comerciais de empresas não.

Atenção: dados de pessoa física que aparecem no contexto profissional (nome de funcionário, e-mail corporativo de pessoa identificável) são dados pessoais e estão protegidos, mesmo que vinculados ao trabalho.

Princípio extraterritorial

Como o GDPR, a LGPD tem alcance extraterritorial. Empresa estrangeira que ofereça serviço a residentes no Brasil deve cumprir a lei. Por isso, gigantes como Google, Meta, Amazon, Microsoft mantêm infraestrutura e DPOs no Brasil para conformidade.

Pegadinha da Dotôra Soffya

Cuidado em prova: a LGPD não se aplica ao tratamento exclusivamente jornalístico, artístico, acadêmico, ou de segurança pública/defesa/investigação penal (este último terá lei específica). E protege apenas pessoa natural. Se a banca disser "LGPD protege empresas", está errado: ela protege os dados de pessoas físicas, mesmo os tratados por empresas.

Prof. Affonsinho explica, Módulo 03

3 Conceitos do Art. 5

Dado pessoal

Art. 5, I: "informação relacionada a pessoa natural identificada ou identificável".

Categorias:

• Identificadores diretos: nome completo, CPF, RG, e-mail individual, telefone, endereço residencial, foto.
• Identificadores indiretos: pseudônimo, IP, cookie, ID de dispositivo, geolocalização. Sozinhos podem não identificar; somados sim.
• Comportamentais: histórico de navegação, padrões de compra, hábitos.
• Profissionais: cargo, salário, e-mail corporativo (se identifica pessoa).

Dado pessoal sensível (Art. 5, II)

Categoria especial com proteção mais rigorosa. As 8 categorias:

1. Origem racial ou étnica.
2. Convicção religiosa.
3. Opinião política.
4. Filiação a sindicato ou organização de caráter religioso, filosófico ou político.
5. Dado referente à saúde ou vida sexual.
6. Dado genético.
7. Dado biométrico, quando vinculado a pessoa natural.
8. Orientação sexual (interpretação consolidada; embora não esteja literalmente no rol, é incluída como sensível pela leitura sistemática).

Tratamento de dados sensíveis exige bases legais específicas (Art. 11, mais restritivas que Art. 7).

Dado anonimizado (Art. 5, III e XI)

"Dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento."

Quando o dado é genuinamente anonimizado e não pode ser revertido com técnicas razoáveis, sai do escopo da LGPD (Art. 12). Exemplos: estatísticas agregadas, dados anonimizados para pesquisa.

Cuidado: pseudonimização (Art. 13 §4) não é anonimização. Pseudonimizar é trocar identificador direto por código (mantendo possibilidade de re-identificação). Pseudoanonimizado continua sendo dado pessoal.

Banco de dados (Art. 5, IV)

"Conjunto estruturado de dados pessoais, estabelecido em um ou em vários locais, em suporte eletrônico ou físico." Cobre planilhas, sistemas, arquivos físicos, papéis. Não exige formato eletrônico.

Titular (Art. 5, V)

"Pessoa natural a quem se referem os dados pessoais que são objeto de tratamento."

Agentes de tratamento

A LGPD define três papéis principais:

• Controlador (Art. 5, VI): pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento. É quem define finalidade e meios. Tem responsabilidade primária.
• Operador (Art. 5, VII): pessoa natural ou jurídica que realiza o tratamento em nome do controlador. Executa, sem decidir.
• Encarregado / DPO (Art. 5, VIII): pessoa indicada pelo controlador (e operador, se aplicável) para atuar como canal de comunicação entre controlador, titular e ANPD. Função obrigatória pela Lei (Art. 41), com flexibilizações para pequenas empresas.

Também há os agentes de tratamento (Art. 5, IX): controlador e operador, em conjunto.

Outros conceitos importantes do Art. 5

• Tratamento (Art. 5, X): toda operação realizada com dados pessoais. 21 verbos: coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, controle, modificação, comunicação, transferência, difusão, extração.
• Anonimização (Art. 5, XI): utilização de meios técnicos razoáveis para que dado perca a possibilidade de associação a indivíduo.
• Consentimento (Art. 5, XII): manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada. Deve ser específico para cada finalidade (Art. 8).
• Bloqueio (Art. 5, XIII): suspensão temporária de qualquer operação de tratamento.
• Eliminação (Art. 5, XIV): exclusão de dado.
• Transferência internacional (Art. 5, XV): transferência de dados pessoais para país estrangeiro ou organismo internacional do qual o país seja membro.
• Uso compartilhado (Art. 5, XVI): comunicação, difusão, transferência internacional, interconexão de dados pessoais.
• Relatório de Impacto à Proteção de Dados Pessoais (RIPD ou DPIA, Art. 5, XVII): documentação que descreve processos de tratamento que possam gerar riscos a direitos e liberdades dos titulares e medidas para mitigá-los.
• Órgão de pesquisa (Art. 5, XVIII).
• ANPD (Art. 5, XIX): Autoridade Nacional de Proteção de Dados.

Dados de crianças e adolescentes (Art. 14)

Tratamento de dados de crianças e adolescentes deve ser realizado em seu melhor interesse. Para crianças (até 12 anos incompletos), exige-se consentimento específico e em destaque dado por pelo menos um dos pais ou pelo responsável legal. Adolescentes (12 a 18) seguem regras gerais com especial atenção.

É vedado condicionar a participação em jogos, aplicações da internet ou outras atividades ao fornecimento de dados pessoais além dos estritamente necessários.

Alerta do Examinador

Em prova, decore as 8 categorias de dado sensível (origem racial/étnica, convicção religiosa, opinião política, filiação sindical/política/filosófica, saúde/vida sexual, dado genético, dado biométrico, orientação sexual). Cuidado: pseudonimização ≠ anonimização: pseudoanonimizado continua sendo dado pessoal protegido pela LGPD.

Prof. Affonsinho explica, Módulo 04

4 Fundamentos e princípios

Os 10 fundamentos (Art. 2)

A disciplina da proteção de dados pessoais tem como fundamentos:

1. Respeito à privacidade.
2. Autodeterminação informativa.
3. Liberdade de expressão, de informação, de comunicação e de opinião.
4. Inviolabilidade da intimidade, da honra e da imagem.
5. Desenvolvimento econômico e tecnológico e a inovação.
6. Livre iniciativa, a livre concorrência e a defesa do consumidor.
7. Direitos humanos, o livre desenvolvimento da personalidade, a dignidade e o exercício da cidadania pelas pessoas naturais.

Note que são 7 fundamentos no texto original (alguns autores listam como 10 quando contabilizam internamente os subitens 3 e 4 separadamente). Em prova, atenção ao número exato cobrado.

Os 10 princípios (Art. 6)

O Art. 6 traz os princípios que regem o tratamento de dados pessoais:

1. I - Finalidade: tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior incompatível.
2. II - Adequação: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto.
3. III - Necessidade: limitação do tratamento ao mínimo necessário para a realização das finalidades. Princípio da minimização de dados.
4. IV - Livre acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento.
5. V - Qualidade dos dados: garantia de exatidão, clareza, relevância e atualização dos dados, conforme a finalidade.
6. VI - Transparência: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento.
7. VII - Segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas (destruição, perda, alteração, comunicação, difusão).
8. VIII - Prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais.
9. IX - Não discriminação: impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos.
10. X - Responsabilização e prestação de contas (accountability): demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas.

Decorando os 10 princípios

Mnemônicos úteis (escolha o que melhor te marcar):

• FANL-QTSPNR: Finalidade, Adequação, Necessidade, Livre acesso, Qualidade, Transparência, Segurança, Prevenção, Não discriminação, Responsabilização.
• "Foi Adequado, Necessário, Liberou Qualidade, Transparência, Segurança, Prevenção, Não discriminação, Responsabilização."

Princípios análogos no GDPR

O Art. 5 do GDPR traz princípios similares, com alguma terminologia diferente:

• Lawfulness, fairness, transparency (legalidade, lealdade, transparência).
• Purpose limitation (finalidade).
• Data minimisation (minimização = necessidade na LGPD).
• Accuracy (exatidão = qualidade na LGPD).
• Storage limitation (limitação de armazenamento).
• Integrity and confidentiality (segurança).
• Accountability (responsabilização).

Conceitos correspondem-se em grande parte; LGPD adicionou prevenção e não discriminação como princípios autônomos.

Importância dos princípios na interpretação

Os princípios servem como norte interpretativo e fundamentam decisões em casos concretos. Frequentemente, sanções aplicadas pela ANPD invocam violações específicas (princípio da finalidade, da transparência, da segurança).

Em prova, banca pode cobrar a redação literal de um princípio ou pedir reconhecimento por característica:

• Coletar só o necessário = Necessidade / Minimização.
• Informar finalidades claramente = Transparência / Finalidade.
• Manter dados atualizados = Qualidade.
• Demonstrar conformidade = Responsabilização e prestação de contas.
• Implementar medidas técnicas = Segurança / Prevenção.

Bate-papo com o Seu Teoffilo

Em prova federal, decora a sequência: Finalidade, Adequação, Necessidade, Livre acesso, Qualidade, Transparência, Segurança, Prevenção, Não discriminação, Responsabilização e prestação de contas. São 10 princípios no Art. 6. Banca explora cada um pela definição característica. Memoriza com mnemônico e repete em casa.

Prof. Affonsinho explica, Módulo 05

5 Bases legais e dados sensíveis

As 10 bases legais (Art. 7)

O tratamento de dados pessoais somente pode ocorrer nas seguintes hipóteses (rol taxativo):

1. I - Consentimento do titular, fornecido de maneira específica, livre, informada e inequívoca para finalidade determinada (Art. 7 I, regulado pelos Arts. 8 e 9).
2. II - Cumprimento de obrigação legal ou regulatória pelo controlador.
3. III - Pelo poder público: tratamento e uso compartilhado para execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres.
4. IV - Realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização.
5. V - Execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido deste.
6. VI - Exercício regular de direitos em processo judicial, administrativo ou arbitral.
7. VII - Proteção da vida ou da incolumidade física do titular ou de terceiro.
8. VIII - Tutela da saúde, exclusivamente em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária.
9. IX - Legítimo interesse do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular (Art. 10).
10. X - Proteção do crédito (na concessão de crédito).

Sobre o consentimento (Art. 8 e 9)

• Deve ser específico para cada finalidade (Art. 8 §4).
• Deve ser destacado de outras cláusulas em contrato.
• Deve ser inequívoco: ação afirmativa do titular, não silêncio nem caixa pré-marcada.
• Pode ser revogado a qualquer momento (Art. 8 §5), com facilidade equivalente à concessão.
• Deve estar documentado: ônus do controlador provar que foi obtido conforme.
• Para crianças, exige consentimento dos pais.

Legítimo interesse (Art. 10)

Hipótese delicada, exige teste de balanceamento:

• Finalidades legítimas concretas (não pode ser genérico).
• Necessidade do tratamento.
• Avaliação se os interesses do controlador prevalecem sobre os direitos do titular.
• Garantia ao titular de transparência e direito de oposição.
• NÃO se aplica a dados sensíveis.

Exemplos típicos: prevenção de fraude, segurança da informação, marketing direto a clientes existentes (com opt-out).

Bases para dados sensíveis (Art. 11)

Tratamento de dados sensíveis somente pode ocorrer:

• I - Consentimento específico e destacado do titular, com finalidades específicas.
• II - Sem consentimento, quando indispensável para:
  • a) cumprimento de obrigação legal ou regulatória.
  • b) tratamento compartilhado pela administração pública para execução de políticas públicas.
  • c) realização de estudos por órgão de pesquisa, com anonimização sempre que possível.
  • d) exercício regular de direitos, inclusive em contrato, em processo judicial, administrativo, arbitral.
  • e) proteção da vida ou incolumidade física do titular ou de terceiro.
  • f) tutela da saúde por profissionais de saúde, serviços de saúde ou autoridade sanitária.
  • g) garantia da prevenção à fraude e à segurança do titular, em processos de identificação e autenticação de cadastro em sistemas eletrônicos.

Note que legítimo interesse e proteção do crédito não estão na lista para dados sensíveis.

Tabela comparativa

Pegadinha da Dotôra Soffya

Cuidado em prova: para dados sensíveis NÃO se aplica legítimo interesse nem proteção do crédito. As hipóteses são mais restritas (Art. 11). Outra pegadinha: o consentimento é apenas UMA das 10 bases legais; muitas operações usam outras bases (obrigação legal, contrato, legítimo interesse). Banca tenta dizer que consentimento é sempre necessário (errado).

Prof. Affonsinho explica, Módulo 06

6 Os 9 direitos do titular

Art. 18 - direitos garantidos

O titular dos dados pessoais tem direito a obter do controlador, em relação aos dados do titular por ele tratados, a qualquer momento e mediante requisição:

1. I - Confirmação da existência de tratamento.
2. II - Acesso aos dados.
3. III - Correção de dados incompletos, inexatos ou desatualizados.
4. IV - Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade.
5. V - Portabilidade dos dados a outro fornecedor de serviço ou produto, observados os segredos comercial e industrial, conforme regulamentação da ANPD.
6. VI - Eliminação dos dados pessoais tratados com o consentimento do titular, exceto nas hipóteses previstas no Art. 16.
7. VII - Informação das entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados.
8. VIII - Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa.
9. IX - Revogação do consentimento, nos termos do Art. 8 §5.

Em prática, contam-se 9 direitos (alguns autores agrupam IV em três; aí ficaria 11). Em prova, banca costuma cobrar a redação do inciso.

Exercício dos direitos

Modos de exercício (Art. 18 §3-§5):

• Direta perante o controlador.
• Por procurador habilitado.
• Por meio de organismo autônomo de defesa do consumidor.

Resposta deve ser sem custo (gratuita) e em formato simplificado e de fácil leitura, em prazo razoável (regulamentação ANPD pode definir).

Direito de revisão de decisões automatizadas (Art. 20)

O titular tem direito a solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluídas decisões destinadas a definir seu perfil pessoal, profissional, de consumo, crédito, ou aspectos da personalidade.

O controlador deve fornecer informações claras e adequadas sobre os critérios e procedimentos. Exemplos práticos: análise de crédito automatizada, demissão por algoritmo, score, recomendação algorítmica em redes sociais.

Detalhe importante: a redação original do Art. 20 §3 previa direito à revisão por pessoa natural, mas foi alterada em 2019. Hoje, a revisão pode ser feita por sistemas automatizados, desde que respeitada a transparência e o direito do titular a obter explicação. Em prova, atenção à versão atualizada.

Direito à explicabilidade (IA)

Em decisões algorítmicas, especialmente com IA, o controlador deve fornecer informações que permitam ao titular compreender minimamente o critério adotado. Tema em crescimento com regulação de IA (PL 2.338/2023 - Marco Legal da IA, em tramitação em 2026).

Eliminação dos dados (Art. 16)

Os dados pessoais podem ser conservados após o término do tratamento somente para:

• I - cumprimento de obrigação legal ou regulatória.
• II - estudo por órgão de pesquisa.
• III - transferência a terceiro, observados os requisitos legais.
• IV - uso exclusivo do controlador, vedado seu acesso por terceiro, e desde que anonimizados.

Fora dessas hipóteses, eliminação é exigida quando a finalidade se exaure.

Portabilidade (Art. 18, V)

Direito de receber os próprios dados em formato estruturado, comumente usado e legível por máquina, ou transmiti-los a outro controlador. Equivalente ao Art. 20 do GDPR. Aplicação concreta:

• Open Banking / Open Finance no Brasil (regulado pelo BACEN, MR 13/2020).
• Levar histórico médico para outro hospital.
• Migrar contatos, fotos entre serviços.

A ANPD ainda regulamentará detalhes da portabilidade fora dos setores específicos.

Outros direitos correlatos

• Art. 19: confirmação e acesso devem ser fornecidos em formato simplificado em até 15 dias da requisição (em formato detalhado, conforme prazo razoável).
• Art. 22: defesa dos interesses dos titulares pode ser exercida em juízo, individual ou coletivamente. Possibilidade de ações coletivas pelo MP, Defensoria, associações.

Dica do Raffinha

Em prova, decora os 9 direitos do titular do Art. 18: confirmação, acesso, correção, anonimização/bloqueio/eliminação, portabilidade, eliminação dos dados consentidos, informação sobre compartilhamento, informação sobre não consentimento, revogação. Mais: Art. 20, revisão de decisões automatizadas. Mnemônico: CACAPEIIR (Confirmação, Acesso, Correção, Anonimização, Portabilidade, Eliminação, Informação compartilhamento, Informação não consentimento, Revogação).

Prof. Affonsinho explica, Módulo 07

7 Agentes, DPO, ANPD

Controlador × Operador × Encarregado

Encarregado / DPO em detalhe (Art. 41)

O Encarregado pelo Tratamento de Dados (em inglês, DPO - Data Protection Officer):

• É obrigatório para o controlador (Art. 41 caput); o operador também pode designar.
• A identidade e as informações de contato do encarregado devem ser divulgadas publicamente, de forma clara e objetiva, preferencialmente no site do controlador.
• Pode ser pessoa natural ou jurídica.
• Atribuições (Art. 41 §2):
  • Aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências.
  • Receber comunicações da ANPD e adotar providências.
  • Orientar funcionários e contratados sobre práticas a serem tomadas em relação à proteção de dados.
  • Executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares.
• A Resolução CD/ANPD nº 2/2022 (microempresas, empresas de pequeno porte, agentes de tratamento de pequeno porte) flexibiliza obrigações para esses casos.

Tratamento pelo poder público (Art. 23-32)

O tratamento por pessoa jurídica de direito público deve ser:

• Realizado para atendimento de sua finalidade pública.
• Com indicação da finalidade específica.
• Conforme previsão em lei ou regulamento.
• Com obrigação de informar as hipóteses em que faz tratamento, no portal da transparência.

O órgão público também tem responsabilidade de garantir segurança, atender direitos dos titulares e ter encarregado.

Compartilhamento entre órgãos: previsto no Art. 26, exige base legal e respeito aos princípios.

Transferência internacional (Art. 33-36)

A transferência internacional de dados é permitida nas seguintes hipóteses (Art. 33):

1. Para países ou organismos internacionais que proporcionem grau de proteção adequado, conforme reconhecimento da ANPD.
2. Quando o controlador oferecer e comprovar garantias específicas (cláusulas contratuais específicas, normas corporativas globais, selos, certificados).
3. Quando for necessária para cooperação jurídica internacional.
4. Para proteção da vida ou da incolumidade física do titular ou de terceiro.
5. Quando autorizada pela ANPD.
6. Quando resultante de compromisso assumido em acordo de cooperação internacional.
7. Para execução de política pública ou atribuição legal do serviço público.
8. Quando o titular tiver fornecido seu consentimento específico e em destaque para a transferência, com informação prévia.
9. Quando necessário para cumprimento de obrigação legal/regulatória, execução de contrato, exercício regular de direitos.

A Resolução CD/ANPD nº 18/2024 aprovou o regulamento de transferência internacional de dados (cláusulas-padrão contratuais, BCRs, seleção de adequação).

ANPD - Autoridade Nacional de Proteção de Dados

Estabelecida na LGPD (Art. 55-A a 58-B). Histórico:

• Inicialmente órgão da administração direta da Presidência da República (Lei 13.853/2019).
• Em 2022, a Lei 14.460 transformou a ANPD em autarquia federal de natureza especial, com autonomia técnica e decisória, dotação orçamentária, mandato fixo dos diretores.
• Composição: Conselho Diretor de 5 membros (mandato de 4 anos, escalonados), nomeados pelo Presidente após aprovação do Senado.
• Possui também Conselho Nacional de Proteção de Dados Pessoais e da Privacidade (CNPD): 23 membros de diversos setores, função consultiva.

Competências (Art. 55-J):

• Zelar pela proteção dos dados pessoais, nos termos da legislação.
• Zelar pela observância dos segredos comercial e industrial.
• Elaborar diretrizes para a Política Nacional de Proteção de Dados Pessoais e da Privacidade.
• Fiscalizar e aplicar sanções.
• Apreciar petições de titular contra controlador.
• Promover na população o conhecimento das normas e políticas públicas.
• Editar regulamentos e procedimentos.
• Realizar auditorias.
• Cooperar com autoridades estrangeiras de proteção de dados.
• Articular-se com outros órgãos reguladores.

Resoluções importantes da ANPD

• Resolução CD/ANPD nº 1/2021: Regimento Interno.
• Resolução CD/ANPD nº 2/2022: agentes de pequeno porte (flexibilizações).
• Resolução CD/ANPD nº 4/2023: dosimetria das sanções (complementa Decreto 11.674/2023).
• Resolução CD/ANPD nº 15/2024: Relatório de Impacto à Proteção de Dados (RIPD).
• Resolução CD/ANPD nº 18/2024: Transferência internacional de dados.
• Comunicação de Incidente: regulamentada por Resolução CD/ANPD que estabelece prazo (em torno de 3 dias úteis para casos relevantes).

Bate-papo com o Seu Teoffilo

Em prova federal, decora: controlador decide, operador executa, DPO/encarregado é canal. ANPD virou autarquia em 2022 (Lei 14.460). Transferência internacional segue Art. 33 (8 hipóteses, regulamentadas pela Resolução 18/2024). DPO obrigatório, com identidade pública.

Prof. Affonsinho explica, Módulo 08

8 Sanções e dosimetria

Sanções administrativas (Art. 52)

Os agentes de tratamento ficam sujeitos a:

1. I - Advertência, com indicação de prazo para adoção de medidas corretivas.
2. II - Multa simples, de até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada, no total, a R$ 50.000.000,00 (cinquenta milhões de reais) por infração.
3. III - Multa diária, observado o limite total a que se refere o inciso II.
4. IV - Publicização da infração após devidamente apurada e confirmada a sua ocorrência.
5. V - Bloqueio dos dados pessoais a que se refere a infração até a sua regularização.
6. VI - Eliminação dos dados pessoais a que se refere a infração.
7. VII - Suspensão parcial do funcionamento do banco de dados a que se refere a infração pelo período máximo de 6 meses, prorrogável por igual período, até a regularização.
8. VIII - Suspensão do exercício da atividade de tratamento dos dados pessoais a que se refere a infração pelo período máximo de 6 meses, prorrogável por igual período.
9. IX - Proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.

Os incisos VII, VIII e IX só podem ser aplicados após pelo menos uma das outras sanções (Art. 52 §1, IV).

Critérios de dosimetria (Art. 52 §1)

1. Gravidade e natureza das infrações e dos direitos pessoais afetados.
2. Boa-fé do infrator.
3. Vantagem auferida ou pretendida pelo infrator.
4. Condição econômica do infrator.
5. Reincidência.
6. Grau do dano.
7. Cooperação do infrator.
8. Adoção reiterada e demonstrada de mecanismos e procedimentos internos capazes de minimizar danos.
9. Adoção de política de boas práticas e governança.
10. Pronta adoção de medidas corretivas.
11. Proporcionalidade entre a gravidade da falta e a intensidade da sanção.

Decreto 11.674/2023

Publicado em 04/2023, regulamenta a aplicação de sanções pela ANPD. Estabelece:

• Procedimento sancionador.
• Cálculo da multa em três fases (base, agravantes, atenuantes), espelhando o modelo do CADE.
• Detalhamento dos critérios da Art. 52 §1.
• Possibilidade de termo de ajustamento de conduta (TAC).
• Recursos.

A Resolução CD/ANPD nº 4/2023 complementa, estabelecendo metodologia de cálculo e classificação de gravidade.

Comunicação de incidente (Art. 48)

O controlador deve comunicar à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. A comunicação deve ser feita em prazo razoável, conforme regulamentação da ANPD.

A comunicação deve mencionar:

• Descrição da natureza dos dados pessoais afetados.
• Informações sobre os titulares envolvidos.
• Indicação das medidas técnicas e de segurança utilizadas.
• Riscos relacionados ao incidente.
• Motivos da demora, no caso de comunicação não imediata.
• Medidas adotadas para reverter ou mitigar os efeitos.

A Resolução da ANPD sobre incidentes detalha prazos: tipicamente, 3 dias úteis após ciência do incidente para casos relevantes.

Responsabilidade civil (Art. 42-45)

O controlador ou operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados, é obrigado a repará-lo (Art. 42).

Características:

• Responsabilidade solidária entre controladores e operadores quando descumprem instruções (Art. 42 §1, II).
• Inversão do ônus da prova em favor do titular (Art. 42 §2).
• Excludentes (Art. 43): controlador ou operador prova que não realizou o tratamento; ou que não houve violação; ou que dano decorre de culpa exclusiva do titular ou de terceiro.

Sanções penais

A LGPD não criou novos tipos penais. Crimes cibernéticos seguem o Código Penal (Art. 154-A invasão de dispositivo, Art. 171 §2-A fraude eletrônica, Art. 313-A inserção de dados falsos), Lei Carolina Dieckmann e Lei 14.155/2021 (vimos na aula 11).

Casos concretos

• 2023: ANPD aplicou primeira multa: a Telekall Infoservice (R$ 14.400) pelo descumprimento da regularidade de comunicação de incidentes.
• 2023-2024: várias multas a empresas de telecomunicações, varejo, tecnologia.
• STF, ADIs: julgamento da ADI 6387 (2020) reconheceu a proteção de dados como direito fundamental implícito antes da EC 115/2022.

Alerta do Examinador

Em prova federal, decora: multa até 2% do faturamento, limitada a R$ 50 milhões por infração. 9 sanções (advertência, multa simples, multa diária, publicização, bloqueio, eliminação, suspensão parcial, suspensão total, proibição). Suspensão e proibição só após outras sanções. Decreto 11.674/2023 regulamenta dosimetria. Comunicação de incidente: prazo razoável (3 dias úteis tipicamente).

! Encontro com o vilão

O Ministro Supremo é o vilão desta aula. Última palavra, fixa tese e muda entendimento na sua cara. Em LGPD, ele cobra distinções jurídicas finas: a diferença entre dado pessoal e sensível, entre controlador e operador, qual base legal cabe em qual caso, quais são as 9 sanções, qual a competência da ANPD após 2022. Ele é o vilão mais difícil porque exige conhecimento profundo, atualizado e sistêmico.

O vilão da aula: Ministro Supremo

Ele troca: dado pessoal × sensível × anonimizado × pseudonimizado; controlador × operador × DPO; Art. 7 × Art. 11 (bases para sensíveis); princípios × fundamentos × bases legais; 9 direitos do titular; 9 sanções; vigência da LGPD (2018, 2020, 2021); EC 115/2022; ANPD autarquia desde 2022. Atenção redobrada nas questões.

Como derrotar o Ministro:

1. Memorize: dado pessoal × sensível (8 categorias) × anonimizado (irreversível) × pseudonimizado (continua sendo dado pessoal).
2. Memorize os 10 princípios (Art. 6).
3. Memorize as 10 bases legais (Art. 7) + dados sensíveis (Art. 11) onde NÃO cabe legítimo interesse nem proteção do crédito.
4. Memorize os 9 direitos do titular (Art. 18) + revisão de decisão automatizada (Art. 20).
5. Memorize: controlador decide, operador executa, encarregado/DPO é canal.
6. Memorize: multa até 2% do faturamento, limitada a R$ 50 mi por infração. 9 sanções. Decreto 11.674/2023 regulamenta dosimetria.
7. Memorize: EC 115/2022 trouxe direito fundamental no Art. 5 LXXIX. ANPD autarquia desde Lei 14.460/2022.

◆ Mapa mental

↻ Revisão relâmpago

5 minutos antes da prova, leia só isto.

1. Lei 13.709/2018 (LGPD). Sanção 14/08/2018. Vigência integral 18/09/2020. Sanções desde 1º/08/2021.
2. Inspirada no GDPR (Regulamento UE 2016/679, vigência 25/05/2018).
3. EC 115/2022: Art. 5 LXXIX da CF - direito fundamental à proteção de dados.
4. Lei 13.853/2019: criou ANPD. Lei 14.460/2022: ANPD virou autarquia federal de natureza especial.
5. Decreto 11.674/2023: dosimetria de sanções.
6. Aplicabilidade (Art. 3): tratamento no BR, bens/serviços oferecidos a pessoas no BR, dados coletados no BR. Aplicação extraterritorial.
7. NÃO se aplica (Art. 4): pessoal não econômico, jornalismo/arte/acadêmico, segurança pública/defesa/investigação, dados estrangeiros sem comunicação.
8. Dado pessoal: identifica pessoa natural. Pessoa jurídica não está protegida.
9. Dado sensível (Art. 5 II): 8 categorias - origem racial/étnica, convicção religiosa, opinião política, filiação, saúde/vida sexual, genético, biométrico, orientação sexual.
10. Anonimizado: sai da LGPD. Pseudonimizado: continua dado pessoal.
11. 10 princípios (Art. 6): Finalidade, Adequação, Necessidade, Livre acesso, Qualidade, Transparência, Segurança, Prevenção, Não discriminação, Responsabilização e prestação de contas.
12. 10 bases legais (Art. 7): Consentimento, Obrigação legal, Políticas públicas, Pesquisa, Contrato, Direitos em processo, Proteção da vida, Tutela da saúde, Legítimo interesse, Proteção do crédito.
13. Dados sensíveis (Art. 11): NÃO cabe legítimo interesse nem proteção do crédito. Cabe prevenção à fraude/autenticação como base autônoma.
14. Consentimento: livre, informado, inequívoco, específico, destacado, revogável.
15. 9 direitos do titular (Art. 18): Confirmação, Acesso, Correção, Anonimização/Bloqueio/Eliminação, Portabilidade, Eliminação dos consentidos, Info compartilhamento, Info não consentimento, Revogação.
16. Art. 20: revisão de decisões automatizadas.
17. Crianças (Art. 14): melhor interesse + consentimento específico de pelo menos um dos pais (até 12 anos).
18. Controlador: decide. Operador: executa. Encarregado/DPO (Art. 41): canal de comunicação. Obrigatório.
19. Tratamento pelo Poder Público (Art. 23-32): para finalidade pública específica, com base legal/regulamentar.
20. Transferência internacional (Art. 33): 8 hipóteses (adequação, garantias específicas, cooperação, vida, ANPD, acordo, política pública, consentimento). Resolução CD/ANPD nº 18/2024 regulamenta.
21. ANPD: autarquia federal especial, conselho diretor 5 membros mandato 4 anos. Competências de fiscalização, regulação, sanção.
22. 9 sanções (Art. 52): advertência, multa simples (até 2%, R$ 50 mi/infração), multa diária, publicização, bloqueio, eliminação, suspensão parcial banco, suspensão atividade, proibição.
23. Suspensão e proibição: só após outras sanções.
24. Comunicação de incidente (Art. 48): ANPD + titular. Prazo razoável (em torno de 3 dias úteis para relevantes).
25. Responsabilidade civil (Art. 42): solidária entre controlador e operador descumpridor. Inversão do ônus da prova ao titular.

Você está pronto

25 pontos densos sobre LGPD. Bora para as questões.

? 10 questões comentadas

Foco em conceitos, princípios, bases legais, direitos do titular, agentes, ANPD, sanções, EC 115/2022.

Dica do Fuffu

Decora os 4 grupos de 10: 10 princípios (Art. 6), 10 bases legais (Art. 7), 9 direitos do titular (Art. 18), 9 sanções (Art. 52). Mais o conceito de dado sensível (8 categorias) e a EC 115/2022. Esses 6 grupos resolvem 70%.