A sociedade empresária Alfa, que vende eletrodomésticos, coletou dados pessoais dos consumidores dos seus produtos, com a alegação de que formaria cadastro. Embora não tivesse autorização desses consumidores, Alfa contratou a sociedade empresária Beta para que, com fins econômicos, procedesse à avaliação e à classificação desses dados, de modo a transmiti-los, em momento futuro, às demais sociedades empresárias que integravam o mesmo grupo econômico de Alfa. Em razão do ocorrido, uma associação de proteção aos consumidores informou que solicitaria à autoridade nacional a punição de Alfa e Beta, que, até então, jamais tinham infringido a Lei Geral de Proteção de Dados Pessoais. À luz dessa narrativa, é correto afirmar que:
- A)apenas a sociedade empresária classificada como agente de tratamento de dados pode ser responsabilizada da forma alvitrada, sendo cabível a sanção de suspensão do exercício da atividade de tratamento de dados pessoais a que se refere a infração pelo período máximo legal, não sendo cabível a aplicação de outras sanções administrativas;
Errada, porque não apenas um agente de tratamento pode responder: controladora e operadora podem ser responsabilizadas, e a LGPD não limita a punição à suspensão da atividade.
- B)tanto a controladora como a operadora podem ser responsabilizadas da forma alvitrada, sendo cabíveis as sanções de eliminação dos dados pessoais e suspensão parcial do funcionamento do banco de dados, a que se referem a infração, pelo período máximo legal, bem como a aplicação das sanções da Lei nº 8.078/1990;
Errada, porque a suspensão parcial do funcionamento do banco de dados não é a consequência automática do caso, embora seja uma sanção prevista na LGPD, e a alternativa exagera ao afirmar cabimento irrestrito.
- C)apenas a sociedade empresária classificada como controladora pode ser responsabilizada da forma alvitrada, sendo cabível a sanção de proibição total ou parcial do exercício de atividades relacionadas a tratamento de dados, não sendo possível a aplicação das sanções da Lei nº 8.078/1990;
Errada, porque a operadora também pode ser responsabilizada em hipóteses de tratamento irregular, e as sanções do CDC não estão excluídas de forma geral quando houver relação de consumo.
- D)tanto a controladora como a operadora podem ser responsabilizadas da forma alvitrada, não sendo cabível a sanção de suspensão parcial do funcionamento do banco de dados, a que se refere a infração, sendo possível a aplicação das sanções da Lei nº 8.078/1990;
Certa, porque controladora e operadora podem responder pelo tratamento irregular e, em contexto de consumo, podem incidir as sanções da Lei nº 8.078/1990, sem que a suspensão parcial do banco de dados seja necessariamente cabível.
- E)tanto a controladora como a operadora podem ser responsabilizadas da forma alvitrada, sendo cabíveis apenas as sanções de advertência e multa, sem prejuízo das demais sanções administrativas, cíveis e penais cabíveis na espécie.
Errada, porque a LGPD prevê outras sanções administrativas além de advertência e multa, como bloqueio, eliminação e suspensão de atividade ou banco de dados.
Gabarito: D
A LGPD trabalha com duas figuras centrais: a controladora, que decide o que fazer com os dados, e a operadora, que trata esses dados em nome da controladora. Aqui, Alfa mandou o jogo e Beta executou a tarefa, então as duas podem responder pelos danos e pelas infrações, nos termos do art. 42 da Lei nº 13.709/2018. A parte mais cobrada pela FGV é esta: a responsabilidade não fica presa a um único personagem. Se houver tratamento irregular, a controladora e a operadora podem ser chamadas a responder, cada uma dentro de sua atuação e do seu grau de participação. A LGPD também admite a incidência de outras normas de proteção, inclusive do CDC, quando a relação é de consumo. No caso, os dados foram coletados de consumidores e usados com finalidade econômica, o que reforça a possibilidade de atuação das regras consumeristas junto com a proteção de dados. Por isso, está correta a ideia de que tanto Alfa quanto Beta podem sofrer responsabilização e que podem incidir sanções da Lei nº 8.078/1990, sem afastar a disciplina própria da LGPD. O gabarito D também acerta ao não tratar como automática a suspensão parcial do funcionamento do banco de dados: a aplicação de sanções administrativas depende da análise do caso concreto e dos critérios do art. 52, §1º, da LGPD. Em prova, a banca gosta justamente de misturar LGPD, consumidor e responsabilidade civil para ver se voce enxerga que o tratamento irregular não protege nem o controlador nem o operador.