Um hospital universitário público, de forma a dar continuidade às pesquisas científicas e acadêmicas realizadas na universidade da qual faz parte, desenvolveu um banco com informações pessoais relacionadas aos pacientes, incluindo, além do nome, número de identidade, CPF e endereço, dados de saúde e de biometria. Para realizar o tratamento das informações, foi contratada uma empresa de tecnologia. Durante o tratamento, o referido banco foi atacado por hackers, que conseguiram obter as informações de parte substancial dos pacientes. Após a instauração do devido procedimento, verificou-se que as medidas de segurança, até então adotadas pela empresa de tecnologia, não eram suficientes para proteger os acessos não autorizadas. Diante do caso descrito, se algum dos pacientes vier a pleitear indenização pelos danos sofridos, a:
- A)universidade, enquanto controladora, não responderá por se tratar de culpa exclusiva de terceiro
Incorreta: ataque externo não afasta responsabilidade quando havia segurança insuficiente.
- B)universidade, enquanto controladora, responderá solidariamente por estar envolvida no tratamento
Correta: a controladora envolvida no tratamento responde solidariamente.
- C)empresa de tecnologia, enquanto controladora, responderá civilmente por ser a causadora do dano
Incorreta: a empresa contratada é operadora, não controladora.
- D)empresa de tecnologia, enquanto operadora, não responderá, uma vez que não lhe competem as decisões referentes ao tratamento
Incorreta: o operador pode responder quando descumpre deveres legais de segurança.
Gabarito: B
Na LGPD, a universidade é controladora porque decide sobre o tratamento de dados, e a empresa de tecnologia atua como operadora. Havendo falha de segurança no tratamento, o controlador envolvido pode responder solidariamente pelos danos.