Entre outras disposições legais, a Lei Geral de Proteção de Dados - LGPD, a Lei nº 13.709/2018, é a legislação brasileira que regula as atividades de tratamento de dados pessoais e que também altera os arts. 7º e 16 do Marco Civil da Internet. Assim, assinale a alternativa correta:
- A)O chamado incidente de segurança deve ser comunicado à autoridade nacional de dados naqueles casos em que possa acarretar risco ou dano relevante aos titulares, em prazo razoável, com a recomendação atual de dois dias úteis, contado da data do conhecimento do incidente, enquanto não sobrevier outra regulação.
Correta: está alinhada ao art. 48 da LGPD, que prevê comunicação do incidente com risco ou dano relevante em prazo razoável, conforme a regulação da ANPD.
- B)A LGPD fixou como prazo legal de comunicação à autoridade nacional de dados naqueles casos em que possa acarretar risco ou dano relevante aos titulares o prazo de dois dias úteis a partir do conhecimento do vazamento dos dados.
Errada: a LGPD não fixou prazo legal de dois dias úteis para comunicar o incidente.
- C)A LGPD fixou como prazo legal de comunicação à autoridade nacional de dados naqueles casos em que possa acarretar risco ou dano relevante aos titulares o prazo de dois dias úteis a partir da ocorrência do vazamento dos dados, tornando obrigação do gestor dos dados a realização de auditorias permanentes para detectar falhas na segurança.
Errada: além de o prazo de dois dias úteis não estar na lei, a LGPD também não impõe auditorias permanentes como obrigação geral nesses termos.
- D)A LGPD fixou como obrigação do gestor do banco de dados o de comunicação à autoridade nacional de dados somente naqueles casos em que possa acarretar dano relevante aos titulares, tendo fixado um prazo legal de cinco dias úteis.
Errada: a lei não limita a comunicação apenas a “dano relevante” nem estabelece prazo legal de cinco dias úteis.
- E)A LGPD fixou como obrigação do gestor do banco de dados o de comunicação à autoridade nacional de dados somente naqueles casos em que possa acarretar dano relevante aos titulares, tendo fixado um prazo legal de sete dias úteis.
Errada: a LGPD não prevê prazo legal de sete dias úteis para esse tipo de comunicação.
Gabarito: A
A LGPD trata o vazamento ou outro incidente de segurança como um evento sério, mas não cria um prazo fechado na lei para comunicar a Autoridade Nacional de Proteção de Dados (ANPD). O texto legal, no art. 48, fala que o controlador deve comunicar a ANPD e o titular em “prazo razoável”, conforme a natureza e a gravidade do incidente, e isso é detalhado pela regulamentação da própria ANPD. Na prática de prova, a banca gosta de misturar a lei com regras administrativas posteriores. E aí mora a pegadinha: a LGPD não disse “dois dias úteis” como prazo legal fixo. Esse tipo de prazo pode aparecer em regramento infralegal ou orientação administrativa, mas não como comando direto da lei. Então, se a alternativa fala em “prazo razoável” e destaca a comunicação do incidente à autoridade, ela está alinhada com o núcleo do art. 48. Por isso, o item A é o correto: ele traz a lógica jurídica certa, ao afirmar que a comunicação deve ocorrer quando o incidente puder acarretar risco ou dano relevante aos titulares, em prazo razoável, com referência à recomendação administrativa vigente. Já as demais opções tentam transformar isso em prazo legal rígido, o que a LGPD não fez. Resumo para você guardar: a lei exige comunicação do incidente relevante, mas não crava prazo legal de 2, 5 ou 7 dias úteis. Em LGPD, prazo inventado em alternativa costuma ser sinal de cilada.