Determinada empresa multinacional especializada em coleta e tratamento de dados por meio digital, angariou informações de brasileiros para prestação de serviços de seguros para viagens. Supondo que a operação de tratamento de dados seja realizada exclusivamente na Argentina, sede da empresa, por pessoa jurídica de direito privado, temos que, neste caso hipotético:
- A)A Lei Geral de Proteção de Dados (LGPD) nº 13.709, de 14 de agosto de 2018, não se aplica ao caso em tela pelo motivo de a atividade de tratamento não ter por objetivo a oferta ou o fornecimento de bens ou serviços.
Errada, porque a LGPD pode se aplicar mesmo sem o tratamento ocorrer no Brasil, e a lei não exige que a atividade tenha por objetivo apenas bens ou serviços em sentido restrito como a alternativa sugere.
- B)A Lei Geral de Proteção de Dados (LGPD) nº 13.709, de 14 de agosto de 2018, se aplica ao caso em tela, pois independentemente de a operação de tratamento ser realizada fora do território nacional, os dados pessoais objeto do tratamento foram coletados no território nacional.
Certa, porque o art. 3º, II, da LGPD prevê a aplicação da lei quando os dados pessoais forem coletados no território nacional, ainda que o tratamento ocorra no exterior.
- C)A Lei Geral de Proteção de Dados (LGPD) nº 13.709, de 14 de agosto de 2018, não se aplica ao caso em tela, pois embora os dados tenham sido coletados dentro do território nacional com a intenção de ofertar serviços, o tratamento destes dados foi operado fora do território nacional.
Errada, porque o fato de o tratamento ter sido realizado fora do território nacional não afasta a LGPD quando a coleta ocorreu no Brasil.
- D)A Lei Geral de Proteção de Dados (LGPD) nº 13.709, de 14 de agosto de 2018, se aplica ao caso em tela, pois independentemente das condições de operações de tratamentos de dados e de seus motivos, basta que haja informação de brasileiros no banco de dados para que a lei seja invocada em defesa dos direitos de liberdade de expressão, de informação, de comunicação e de opinião.
Errada, porque a mera existência de dados de brasileiros em banco de dados não basta para atrair a LGPD, já que a aplicação depende dos critérios legais do art. 3º.
Gabarito: B
A LGPD não olha apenas para onde a empresa está sediada. Ela também pode alcançar operações feitas fora do Brasil, desde que os dados pessoais tenham sido coletados no território nacional ou que a atividade tenha por objetivo ofertar ou fornecer bens ou serviços a pessoas localizadas no Brasil. Isso está no art. 3º, II, da Lei 13.709/2018, e é justamente a chave da questão. No caso, a empresa estrangeira coletou informações de brasileiros para prestar serviços de seguro viagem. Ou seja, houve coleta de dados no Brasil, ainda que o tratamento tenha ocorrido exclusivamente na Argentina. Nessa situação, a LGPD continua valendo, porque a lei quer proteger o titular brasileiro e evitar que a simples mudança de país vire uma espécie de "escudo" contra a proteção de dados. Então, o raciocínio certo é: não importa só onde o servidor está, importa também onde os dados foram coletados e a quem o serviço se destina. A banca cobra bastante esse detalhe territorial, porque muita gente marca a resposta errada achando que, se o tratamento foi no exterior, a LGPD automaticamente morre na praia. Não morre. Em resumo: como houve coleta no território nacional e a operação envolve brasileiros, a incidência da LGPD se mantém, mesmo com o tratamento realizado na Argentina. É a aplicação extraterritorial prevista na própria lei.