Havendo um caso de violação no tratamento de dados pessoais num ente público, devidamente comprovado, conforme a Lei Federal no 13.709/2018,
- A)cumpre divulgar a sentença que respeite a anonimização de dados referentes aos agentes públicos envolvidos e traga um sumário do processo de violação.
Errada, porque a LGPD não condiciona a violação a publicação de sentença anonimizada nem a sumário do processo como providência típica.
- B)o órgão responsável expedirá, no prazo de 30 dias, as instruções para efetivar o ressarcimento de danos pelo poder público.
Errada, porque a lei não prevê esse prazo de 30 dias para instruções de ressarcimento pelo poder público.
- C)há a responsabilização plena da instituição e consequente ressarcimento de danos, segundo dispositivos estabelecidos em normas complementares.
Errada, porque a responsabilização na LGPD não depende de normas complementares para existir e não fala em "responsabilização plena" nesses termos.
- D)há responsabilização solidária pelos danos causados pelo operador da informação, mesma hipótese podendo ser aplicada ao controlador.
Certa, porque a LGPD prevê responsabilidade solidária entre controlador e operador nas hipóteses legais de dano decorrente do tratamento.
- E)obriga-se o órgão público a fazer auditoria de processos e mecanismos de controle, com o objetivo de evitar situações iguais ou assemelhadas com o caso.
Errada, porque auditoria e revisão de controles podem ser medidas de governança, mas não são a consequência jurídica automática descrita na lei para o caso.
Gabarito: D
A LGPD trata a violação no tratamento de dados pessoais como assunto sério, porque dado pessoal não é enfeite de processo: ele exige cuidado, finalidade e segurança. Quando há dano, a lógica da lei é de responsabilização civil, com reparação dos prejuízos patrimoniais e morais, individuais ou coletivos, nos termos do art. 42 da Lei 13.709/2018. No caso da questão, a banca foi para o ponto clássico da responsabilidade solidária. A lei diz que o operador responde solidariamente quando descumpre a LGPD ou quando não segue instruções lícitas do controlador, e o controlador também pode responder solidariamente pelos danos causados pelo operador nessas hipóteses. É exatamente essa engrenagem que a alternativa D descreve. Em outras palavras: não basta dizer "foi o operador" e lavar as mãos. Se houve participação, falha de dever legal ou desrespeito às instruções válidas, a responsabilização pode alcançar ambos, conforme a disciplina dos arts. 42 e 43 da LGPD. No setor público, isso ganha ainda mais atenção porque o tratamento deve observar também os princípios da administração e as regras específicas do poder público. Então, o gabarito D está correto porque traduz a solidariedade prevista na própria lei para os danos causados no tratamento de dados, sem inventar cerimônia extra, prazo mágico ou penalidade de gosto duvidoso.