A Lei Geral de Proteção de Dados Pessoais – LGPD, buscou, no Regulamento Geral de Proteção de Dados – General Data Protection Regulation (GDPR), sigla em inglês da União Europeia, orientações para a elaboração de normas para a proteção dos dados pessoais de indivíduos, como previsto no Art. 1º, parágrafo único, em que “as normas gerais contidas nesta Lei são de interesse nacional e devem ser observadas pela União; Estados; Distrito Federal; e, Municípios”. Considerando tal normativa, é INCORRETO afirmar que:
- A)O controlador é obrigado a reparar o dano patrimonial, moral, individual ou coletivo, causado pelo operador em razão da violação à legislação de proteção de dados pessoais.
Errada: a LGPD não impõe, de forma automática e absoluta, que o controlador repare todo dano causado pelo operador, pois a responsabilidade depende das hipóteses legais dos arts. 42 e 43.
- B)O operador deverá realizar o tratamento, segundo as instruções fornecidas pelo controlador, que verificará a observância das próprias instruções e das normas sobre a matéria.
Certa: o art. 39 da LGPD determina que o operador trate os dados segundo as instruções fornecidas pelo controlador.
- C)O agente de tratamento ou qualquer outra pessoa que intervenha em uma das fases do tratamento obriga-se a garantir a segurança da informação prevista nesta normativa em relação aos dados pessoais, mesmo após o seu término.
Certa: o art. 47 exige que os agentes de tratamento garantam a segurança da informação em relação aos dados pessoais, mesmo após o término do tratamento.
- D)O tratamento de dados pessoais será irregular quando deixar de observar a legislação ou quando não fornecer a segurança que o titular dele pode esperar, consideradas as circunstâncias relevantes, entre as quais o modo pelo qual é realizado.
Certa: o art. 44 considera irregular o tratamento que desrespeita a legislação ou não oferece a segurança que o titular pode esperar.
Gabarito: A
A LGPD trata o tratamento de dados pessoais como uma atividade que exige cuidado em todas as etapas, do começo ao fim. Em regra, quem controla ou opera os dados deve agir conforme a lei, seguir instruções lícitas e adotar medidas de segurança. Se houver dano, a lógica da LGPD é de responsabilidade civil ligada à atividade de tratamento, com regras próprias nos arts. 42 a 45. O ponto central da questão está na responsabilidade. O art. 42 prevê que controlador ou operador que, em razão do tratamento de dados, causar dano patrimonial, moral, individual ou coletivo, em violação à legislação, deve repará-lo. Além disso, o art. 43 traz hipóteses de exclusão de responsabilidade, e o operador pode responder solidariamente em situações específicas, como quando descumpre a LGPD ou as instruções lícitas do controlador. Por isso, a alternativa A está incorreta: ela afirma, de forma absoluta, que o controlador é obrigado a reparar o dano causado pelo operador. A LGPD não funciona assim em qualquer caso, porque a responsabilidade depende do papel de cada agente e das circunstâncias do tratamento. É justamente aí que a banca costuma fazer a armadilha: troca uma regra geral por uma afirmação total e sem ressalvas. As demais alternativas estão alinhadas ao texto legal. O art. 39 fala do operador seguindo instruções do controlador; o art. 47 impõe dever de segurança mesmo após o término do tratamento; e o art. 44 define quando o tratamento é irregular, inclusive pela falta de segurança esperada pelo titular.