30 questões de Lei Geral de Proteção de Dados Pessoais (LGPD) com gabarito e base legal

Uma cooperativa de profissionais liberais, pessoa jurídica de direito privado, armazena dados de seus associados em plataforma digital, enquanto uma autarquia municipal, pessoa jurídica de direito público, processa dados de cidadãos em atendimento presencial. A autarquia sustenta que a Lei nº 13.709/2018 não alcança pessoas jurídicas de direito público no tratamento de dados pessoais. Com base no Art. 1º da LGPD, qual a correta consequência jurídica?

• a)A lei aplica-se exclusivamente a pessoas jurídicas de direito privado, não alcançando a autarquia municipal no tratamento de dados pessoais.
• b)A norma incide sobre pessoa natural e pessoa jurídica de direito público ou privado, estando tanto a cooperativa quanto a autarquia sujeitas ao tratamento regulado pela lei.
• c)A aplicação da lei ao tratamento de dados por pessoa jurídica de direito público condiciona-se à finalidade do tratamento ser voltada à proteção dos direitos fundamentais de liberdade e de privacidade.
• d)A proteção de dados pessoais restringe-se ao tratamento realizado por pessoas físicas, excluindo pessoas jurídicas de direito privado e público do âmbito normativo.
• e)As normas gerais da lei devem ser observadas exclusivamente pela União e pelos Estados, dispensando os Municípios de cumprirem as exigências de tratamento de dados pessoais.

Gabarito: b) A norma incide sobre pessoa natural e pessoa jurídica de direito público ou privado, estando tanto a cooperativa quanto a autarquia sujeitas ao tratamento regulado pela lei.

Uma entidade de pesquisa de mercado sediada no exterior realizou estudo por meio de formulários online com profissionais brasileiros que, no momento do preenchimento e transmissão dos dados pessoais, encontravam-se fisicamente no território nacional durante um evento internacional realizado no Rio de Janeiro. Os dados foram armazenados e processados em servidores localizados no exterior, e a entidade não ofereceu bens nem serviços diretamente a esses participantes. Considerando o art. 3º da Lei Geral de Proteção de Dados (LGPD), é correto afirmar que a lei se aplica a essa operação de tratamento:

• a)A LGPD não se aplica à operação, porque tanto a pessoa jurídica responsável pelo tratamento quanto os servidores onde os dados são processados estão sediados no exterior, e o art. 3º somente alcança operações de tratamento realizadas no território nacional ou que envolvam oferta de bens e serviços a indivíduos ali localizados.
• b)A LGPD se aplica com fundamento no inciso II do art. 3º, uma vez que a pesquisa foi realizada com indivíduos localizados no território nacional, configurando, assim, atividade de tratamento voltada à oferta ou ao fornecimento de bens ou serviços a pessoas situadas no Brasil.
• c)A LGPD se aplica com base no inciso III do art. 3º, uma vez que os dados pessoais foram coletados no território nacional, considerando-se, para essa finalidade, a presença física do titular no país no momento da coleta, nos termos do §1º.
• d)A LGPD somente se aplica se a empresa estrangeira nomear representante legal no território nacional, conforme exigência do §1º do art. 3º para que a lei alcance dados coletados fora do território brasileiro.
• e)A LGPD se aplica com fundamento no inciso I do art. 3º, porque os dados foram obtidos de indivíduos que possuem residência no território nacional, independentemente do local físico onde efetivamente ocorreu a coleta.

Gabarito: c) A LGPD se aplica com base no inciso III do art. 3º, uma vez que os dados pessoais foram coletados no território nacional, considerando-se, para essa finalidade, a presença física do titular no país no momento da coleta, nos termos do §1º.

Uma organização de pesquisa coleta de voluntários dados sobre suas convicções religiosas e opiniões políticas, utilizando métodos que permitem a identificação individual dos participantes. De acordo com o art. 5º da LGPD, qual a classificação jurídica mais adequada para esses dados?

• a)São classificados como dado pessoal comum, sujeitos apenas são disposições gerais do tratamento previstas na Lei.
• b)São considerados dado pessoal sensível, exigindo consentimento específico e destacado do titular para o respectivo tratamento.
• c)São classificados como dado anonimizado, porque serão posteriormente agregados para análise estatística.
• d)São classificados como dado biométrico, uma vez que envolvem características pessoais ítimas.
• e)São classificados como dado de uso compartilhado, porque serão difundidos entre diferentes entidades públicas.

Gabarito: b) São considerados dado pessoal sensível, exigindo consentimento específico e destacado do titular para o respectivo tratamento.

Uma empresa de consultoria armazena os dados pessoais de seus clientes em um arquivo Excel não protegido por senha e compartilha o arquivo com todos os membros da equipe, incluindo estagiários, sem qualquer criptografia ou controles de acesso. De acordo com o art. 6º da LGPD, qual princípio é diretamente violado?

• a)Finalidade – o tratamento deve ser realizado para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior incompatível.
• b)Adequação – o tratamento deve ser compatível com as finalidades informadas ao titular, de acordo com o contexto do tratamento.
• c)Necessidade – o tratamento deve limitar-se ao mínimo necessário para a realização de suas finalidades, abrangendo os dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados.
• d)Qualidade dos dados – o tratamento deve garantir aos titulares exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento.
• e)Segurança – o tratamento deve utilizar medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.

Gabarito: e) Segurança – o tratamento deve utilizar medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.

Um pesquisador obteve, a partir de um perfil público em rede social, dados pessoais que haviam sido tornados manifestamente públicos pelo próprio titular. Pretende utilizar esses dados em um estudo epidemiológico que não permite a anonimização completa. Sobre as bases legais aplicáveis ao tratamento desses dados, assinale a alternativa correta:

• a)O tratamento é lícito porque a dispensa de consentimento prevista no §4º se aplica aos dados tornados manifestamente públicos pelo titular, mas o pesquisador permanece obrigado a observar todos os deveres previstos na Lei, incluindo os princípios gerais e a garantia dos direitos do titular, nos termos do §6º.
• b)O tratamento é lícito apenas se o pesquisador obtiver consentimento específico do titular para o compartilhamento com o órgão de pesquisa, nos termos do §5º, pois os dados estão sendo comunicados a outro controlador.
• c)O tratamento é lícito exclusivamente com base na tutela da saúde prevista no inciso VIII, por envolver dados de saúde, independentemente da natureza pública da origem desses dados.
• d)O tratamento é ilícito porque a base legal do inciso IV exige anonimização sempre que possível, e, não sendo possível neste caso, nenhuma outra base legal autoriza o tratamento.
• e)O tratamento é ilícito porque a natureza manifestamente pública dos dados não dispensa a exigência de consentimento do titular prevista no caput do artigo, conforme o princípio da finalidade.

Gabarito: a) O tratamento é lícito porque a dispensa de consentimento prevista no §4º se aplica aos dados tornados manifestamente públicos pelo titular, mas o pesquisador permanece obrigado a observar todos os deveres previstos na Lei, incluindo os princípios gerais e a garantia dos direitos do titular, nos termos do §6º.

Conforme o art. 10 da LGPD, a empresa Y, responsável pelo tratamento de dados pessoais de seus clientes, pretende utilizar o legítimo interesse como base legal para analisar o perfil de consumo a fim de desenvolver novos produtos financeiros. Considerando o disposto no referido artigo, assinale a alternativa correta.

• a)A empresa pode tratar quaisquer dados pessoais que considere relevantes para o desenvolvimento dos novos produtos, desde que forneça aos titulares uma comunicação clara sobre a finalidade do tratamento.
• b)A empresa só poderá tratar os dados pessoais estritamente necessários para a finalidade pretendida e deverá adotar medidas para garantir a transparência do tratamento baseado em seu legítimo interesse.
• c)A empresa está autorizada a tratar dados pessoais sensíveis sem o consentimento do titular, pois o legítimo interesse do controlador basta para justificar qualquer tipo de tratamento.
• d)A Autoridade Nacional de Proteção de Dados (ANPD) não pode solicitar nenhum relatório de impacto à proteção de dados pessoais quando o tratamento tem como base o legítimo interesse do controlador.
• e)A empresa está dispensada de observar as legítimas expectativas dos titulares e os direitos e liberdades fundamentais, pois o legítimo interesse do controlador prevalece sobre tais considerações.

Gabarito: b) A empresa só poderá tratar os dados pessoais estritamente necessários para a finalidade pretendida e deverá adotar medidas para garantir a transparência do tratamento baseado em seu legítimo interesse.

O Instituto de Pesquisa em Saúde Pública (IPSP) realizou um estudo sobre a incidência de dengue em um município, tendo acesso a bases de dados pessoais de usuários do Sistema Único de Saúde (SUS). Ao concluir a pesquisa, o IPSP pretende: (i) publicar os resultados em periódico científico, contendo tabelas com faixa etária e código de endereçamento postal (CEP) dos participantes; (ii) compartilhar o banco de dados original com uma universidade parceira que também desenvolve pesquisas em saúde, mediante assinatura de termo de confidencialidade; (iii) manter os dados em servidores locais do IPSP, após aplicar pseudonimização conforme regulamento da Autoridade Nacional de Proteção de Dados (ANPD) e criptografá-los; (iv) usar os dados para elaborar um modelo preditivo de surtos e licenciar o modelo para uma empresa de tecnologia de saúde. Com base exclusivamente no art. 13 da LGPD, qual das afirmações abaixo está correta quanto à legitimidade das pretensões do IPSP?

• a)A publicação dos resultados com faixa etária e CEP dos participantes é permitida, pois esses dados não são considerados pessoais sob a LGPD.
• b)O compartilhamento do banco de dados original com a universidade parceira é lícito, desde que as partes assinem termo de confidencialidade que garanta a segurança da informação.
• c)A manutenção dos dados em servidores locais do IPSP, após pseudonimização e criptografia, está em conformidade com o caput e o § 4º do art. 13, pois trata‑se de tratamento exclusivo dentro do órgão, em ambiente controlado e seguro, considerando a pseudonimização quando possível.
• d)A elaboração do modelo preditivo e sua posterior licença para empresa de tecnologia são autorizadas, pois constituem extensão legítima da pesquisa em saúde pública.
• e)Todas as pretensões do IPSP são legítimas, pois o estudo foi realizado em saúde pública e o IPSP, enquanto órgão de pesquisa, possui ampla liberdade para usar os dados pessoais acessados.

Gabarito: c) A manutenção dos dados em servidores locais do IPSP, após pseudonimização e criptografia, está em conformidade com o caput e o § 4º do art. 13, pois trata‑se de tratamento exclusivo dentro do órgão, em ambiente controlado e seguro, considerando a pseudonimização quando possível.

Uma empresa do setor de recursos humanos coletou dados pessoais de seus empregados para a gestão de folha de pagamento e benefícios. Após a extinção dos contratos de trabalho de diversos funcionários, a empresa manteve os dados armazenados por mais de cinco anos, alegando que poderia utilizá-los para pesquisas internas de clima organizacional. Um ex-empregado pleiteou a eliminação de seus dados, e a autoridade nacional de proteção de dados instaurou investigação por possível violação da LGPD. Com base no Art. 15 da LGPD, assinale a alternativa que corretamente identifica as hipóteses de término do tratamento de dados pessoais aplicáveis à hipótese narrada.

• a)O tratamento de dados pessoais somente se encerra quando o titular exercer expressamente seu direito de revogação do consentimento, pois as demais hipóteses de término dependem de ação ou omissão do controlador.
• b)O término do tratamento pode verificar-se pela constatação de que os dados deixaram de ser necessários ou pertinentes ao alcance da finalidade específica almejada, independentemente de comunicação expressa do titular, podendo também decorrer da determinação da autoridade nacional em caso de violação à lei.
• c)O fim do período de tratamento somente se consuma mediante prévia notificação ao titular, sem a qual os dados devem permanecer armazenados pelo controlador até que se complete o período originalmente previsto.
• d)A comunicação do titular é a única hipótese válida de término quando houver violação à lei, sendo a determinação da autoridade nacional restrita à aplicação de sanções administrativas, e não ao cessação do tratamento.
• e)O tratamento somente se encerra quando a finalidade específica foi integralmente alcançada, não se aplicando a hipótese de dados deixarem de ser necessários, pois a lei exige a concretização efetiva da finalidade para que se considere o término.

Gabarito: b) O término do tratamento pode verificar-se pela constatação de que os dados deixaram de ser necessários ou pertinentes ao alcance da finalidade específica almejada, independentemente de comunicação expressa do titular, podendo também decorrer da determinação da autoridade nacional em caso de violação à lei.

A empresa DataCorp Ltda. passou a comercializar perfis comportamentais elaborados a partir de dados pessoais coletados de usuários de seu aplicativo, sem qualquer mecanismo que permitisse aos titulares exercer controle sobre essas informações. Ao ser questionada, a empresa sustentou que, por se tratar de pessoa jurídica coletando dados em ambiente digital, a "titularidade" a que se refere a LGPD recairia sobre a base de dados como um todo — e não sobre os dados pessoais individuais de cada usuário —, e que os direitos de liberdade, intimidade e privacidade citados pela Lei seriam meros princípios programáticos sem eficácia direta. Com base no art. 17 da LGPD, qual é a consequência jurídica correta?

• a)A titularidade dos dados pessoais é assegurada a cada pessoa natural titular das informações, de modo que a empresa não pode alegar que a titularidade recai sobre a base de dados como um todo, e os direitos de liberdade, intimidade e privacidade são garantidos como direitos fundamentais nos termos da própria LGPD.
• b)A titularidade dos dados pessoais pode ser transferida à pessoa jurídica responsável pela coleta quando os dados são tratados em ambiente digital, cabendo à empresa a livre disposição sobre a base de dados, desde que observe os princípios de boa-fé e finalidade.
• c)Os direitos de liberdade, intimidade e privacidade mencionados no art. 17 da LGPD possuem natureza meramente programática, de modo que sua violação não gera consequência jurídica imediata, dependendo de regulamentação posterior para produzir efeitos.
• d)A garantia de titularidade prevista no art. 17 da LGPD aplica-se apenas a dados sensíveis, não abrangendo dados pessoais comuns como nome e e-mail, que podem ser livremente comercializados sem necessidade de controle pelo titular.
• e)A titularidade dos dados pessoais é assegurada tanto a pessoas naturais quanto a pessoas jurídicas, de forma que a empresa DataCorp, na condição de coleta e tratamento dos dados, também é titular das informações que compõem a sua base de dados.

Gabarito: a) A titularidade dos dados pessoais é assegurada a cada pessoa natural titular das informações, de modo que a empresa não pode alegar que a titularidade recai sobre a base de dados como um todo, e os direitos de liberdade, intimidade e privacidade são garantidos como direitos fundamentais nos termos da própria LGPD.

Maria, titular de dados pessoais, solicitou ao controle de uma plataforma de saúde a correção de seu endereço, que estava desatualizado. O controlador informou que não pode atender imediatamente pois necessita de confirmação junto ao cartório de registro de imóveis. Diante dessa situação, considerando o disposto no art. 18 da LGPD, qual a medida correta que o controlador deve adotar?

• a)O controlador deve atender à requisição de correção sem custos para Maria, independentemente da impossibilidade de adoção imediata, pois o §5 garante gratuidade e o §3 exige atendimento imediato.
• b)O controlador deve comunicar a Maria que não é agente de tratamento dos dados e indicar o agente responsável, conforme o inciso I do §4.
• c)O controlador deve informar a Maria as razões de fato ou de direito que impedem a adoção imediata da correção, conforme o inciso II do §4, e atender posteriormente quando possível.
• d)O controlador deve encaminhar a correção solicitada aos agentes de tratamento com os quais compartilhou os dados, para que repitam o procedimento, conforme o §6.
• e)O controlador deve informar a Maria que poderá peticionar perante a Autoridade Nacional de Proteção de Dados (ANPD) caso não seja atendido, conforme o §1.

Gabarito: c) O controlador deve informar a Maria as razões de fato ou de direito que impedem a adoção imediata da correção, conforme o inciso II do §4, e atender posteriormente quando possível.

Considerando as disposições da Lei Geral de Proteção de Dados Pessoais (LGPD) e o tratamento de dados pessoais no âmbito das serventias extrajudiciais e das atividades econômicas em geral, analise a seguinte situação hipotética: Jonas, proprietário de um imóvel rural, exerceu regularmente seu direito de impugnar administrativamente o georreferenciamento de um imóvel confrontante perante o Oficial de Registro de Imóveis competente, alegando sobreposição de área. Posteriormente, Jonas constatou que a associação local de produtores rurais, da qual o confrontante faz parte, obteve acesso aos dados da referida impugnação e passou a utilizar essas informações para restringir a participação de Jonas em programas de fomento agrícola e de facilitação de crédito privado promovidos pela entidade. À luz do Art. 21 da LGPD, a conduta da associação de produtores rurais é:

• a)lícita, haja vista que as impugnações de natureza administrativa em serventias imobiliárias gozam de ampla publicidade, o que afasta a incidência de restrições protetivas da LGPD e autoriza o uso dos dados para avaliação de risco associativo.
• b)ilícita, uma vez que os dados pessoais referentes ao exercício regular de direitos pelo titular não podem ser utilizados em seu prejuízo, restando vedada a aplicação de qualquer tratamento restritivo fundamentado no ato de impugnação.
• c)lícita, desde que a associação de classe comprove a existência de interesse legítimo preponderante voltado à mitigação de riscos internos e à manutenção da harmonia econômica entre seus membros integrantes.
• d)ilícita, condicionada, porém, à demonstração de que o titular dos dados sofreu dano moral ou patrimonial de caráter irreversível, cabendo exclusivamente ao Oficial de Registro de Imóveis responder pela reparação civil.
• e)ilícita, apenas se ficasse demonstrado que as informações relativas ao direito exercido por Jonas continham dados pessoais sensíveis, tais como opiniões políticas ou filiação a entidades de representação de classe.

Gabarito: b) ilícita, uma vez que os dados pessoais referentes ao exercício regular de direitos pelo titular não podem ser utilizados em seu prejuízo, restando vedada a aplicação de qualquer tratamento restritivo fundamentado no ato de impugnação.

Uma serventia extrajudicial de registro de imóveis, exercida em caráter privado por delegação do Poder Público, realiza tratamento de dados pessoais de partes em transações imobiliárias para cumprimento de suas atribuições legais. Considerando o art. 23 da LGPD, qual das seguintes afirmações está correta?

• a)Deve informar as hipóteses em que realiza o tratamento de dados, mas está dispensada de indicar encarregado em razão da natureza privada da delegação conferida pelo Poder Público.
• b)Deve indicar encarregado para as operações de tratamento de dados e informar as hipóteses em que realiza o tratamento, fornecendo informações claras e atualizadas sobre previsão legal, finalidade, procedimentos e práticas, em veículos de fácil acesso, preferencialmente em seus sítios eletrônicos.
• c)Está dispensada do cumprimento do art. 23 da LGPD por exercer serviço em caráter privado, aplicando-se-lhe exclusivamente as regras da Lei de Acesso à Informação.
• d)Deve indicar encarregado e fornecer acesso eletrônico aos dados diretamente aos titulares dos dados, observando os prazos da Lei do Habeas Data.
• e)Deve informar as hipóteses de tratamento, mas a indicação de encarregado é dispensada quando as operações forem realizadas exclusivamente para finalidades de cumprimento de competências legais.

Gabarito: b) Deve indicar encarregado para as operações de tratamento de dados e informar as hipóteses em que realiza o tratamento, fornecendo informações claras e atualizadas sobre previsão legal, finalidade, procedimentos e práticas, em veículos de fácil acesso, preferencialmente em seus sítios eletrônicos.

A sociedade de economia mista federal 'Alfa', que atua predominantemente na exploração de atividade econômica em regime de concorrência com o setor privado, foi incumbida pelo Ministério do Desenvolvimento Social de operacionalizar e executar um programa federal de transferência de renda para famílias em situação de extrema vulnerabilidade (política pública). Diante disso, no tocante ao tratamento de dados pessoais realizado por 'Alfa' em suas atividades, assinale a afirmativa correta, de acordo com a Lei Geral de Proteção de Dados Pessoais (LGPD).

• a)Alfa receberá integralmente o mesmo tratamento dispensado aos órgãos e às entidades do Poder Público em todas as suas operações de tratamento de dados pessoais, tendo em vista sua natureza jurídica de entidade da Administração Pública Indireta.
• b)Alfa submeter-se-á, para todas as suas finalidades, ao mesmo tratamento dispensado às pessoas jurídicas de direito privado particulares, uma vez que a concorrência com o mercado de atuação atrai o regime geral privado da LGPD de forma indivisível.
• c)Alfa receberá o mesmo tratamento de direito privado particular no tocante à operacionalização da política pública de transferência de renda e o tratamento de Poder Público no que diz respeito às suas operações comerciais em regime concorrencial.
• d)Alfa terá o mesmo tratamento de direito privado particular em relação às suas atividades em regime concorrencial, mas, na operacionalização do programa de transferência de renda, receberá o tratamento dispensado aos órgãos e às entidades do Poder Público.
• e)Alfa estará dispensada de observar as regras de responsabilização e proteção de dados aplicáveis tanto ao setor público quanto ao privado, possuindo um regime híbrido diferenciado que independe do escopo de atuação ou da natureza de suas atividades.

Gabarito: d) Alfa terá o mesmo tratamento de direito privado particular em relação às suas atividades em regime concorrencial, mas, na operacionalização do programa de transferência de renda, receberá o tratamento dispensado aos órgãos e às entidades do Poder Público.

Uma entidade privada de saúde celebrou convênio com município para prestação de serviços públicos de saúde, recebendo dados pessoais de pacientes em formato não estruturado. A entidade pretende disponibilizar esses dados em portal de acesso livre ao público para fins de transparência e pesquisa acadêmica. O diretor de compliance afirma que, nos termos do Art. 25 da LGPD, essa medida é obrigatória e suficiente para atender às finalidades públicas, independentemente do formato original dos dados. Diante dessa situação, qual a avaliação jurídica correta?

• a)A medida é obrigatória para todo controlador, pois o Art. 25 impõe a manutenção de dados em formato interoperável e estruturado para qualquer finalidade de uso compartilhado, sem exigência de vinculação a finalidades específicas.
• b)A medida é inadequada, pois o Art. 25 restringe o uso compartilhado exclusivamente à execução de políticas públicas pelo poder público federal, vedando sua aplicação a serviços públicos estaduais ou municipais.
• c)A medida está em conformidade com o Art. 25, desde que se destine à execução de políticas públicas, à prestação de serviços públicos, à descentralização da atividade pública ou à disseminação e ao acesso das informações pelo público em geral.
• d)A medida é suficiente, pois o Art. 25 estabelece que a estruturação dos dados em formato interoperável dispensa a verificação das finalidades do tratamento, gerando presunção de conformidade legal.
• e)A medida está incorreta, pois o Art. 25 exige que os dados mantidos em formato interoperável sejam compulsoriamente anonimizados antes de qualquer uso compartilhado.

Gabarito: c) A medida está em conformidade com o Art. 25, desde que se destine à execução de políticas públicas, à prestação de serviços públicos, à descentralização da atividade pública ou à disseminação e ao acesso das informações pelo público em geral.

A Secretaria Municipal de Saúde, ao firmar termo de cooperação com uma empresa privada de biotecnologia, transfere para essa empresa os prontuários eletrônicos de pacientes diagnosticados com doença rara, visando ao desenvolvimento de novo medicamento. Não há lei específica que autorize tal transferência, nem contrato que preveja a transferência, e os dados não são públicos. A transferência tem como objetivo exclusivamente a pesquisa e desenvolvimento de fármaco. Considerando o disposto no art. 26 da LGPD, assinale a alternativa correta quanto à licitude da transferência.

• a)A transferência é lícita porque se enquadra na hipótese de execução descentralizada de atividade pública que exija a transferência, exclusivamente para esse fim específico e determinado, observando a Lei de Acesso à Informação.
• b)A transferência é lícita porque os dados são acessíveis publicamente, observadas as disposições da LGPD.
• c)A transferência é ilícita, pois não se enquadra em nenhuma das exceções previstas no § 1º do art. 26 da LGPD, sendo vedada ao Poder Público transferir dados pessoais a entidades privadas salvo nas hipóteses ali enumeradas.
• d)A transferência é lícita porque há previsão legal ou contrato que respalda a transferência, nos termos do inciso IV do § 1º do art. 26 da LGPD.
• e)A transferência é lícita porque visa exclusivamente a prevenção de fraudes e irregularidades ou proteção da segurança e integridade do titular, conforme o inciso V do § 1º do art. 26 da LGPD.

Gabarito: c) A transferência é ilícita, pois não se enquadra em nenhuma das exceções previstas no § 1º do art. 26 da LGPD, sendo vedada ao Poder Público transferir dados pessoais a entidades privadas salvo nas hipóteses ali enumeradas.

Enquanto realizado pela Agência Nacional de SaúÞ (pessoa jurídica de direito público), a transmissão de dados pessoais de uma empresa privada (pessoa jurídica de direito privado) para uma consultora de mercado também privada será: a) Lícita, por se tratar de interesse público e a Agência ter informado previamente a Autoridade Nacional. b) Lícita, porque se trata de compartilhamento de dados previsto no caput do art. 23 da LGPD, que dispensa publicidade. c) Ilicita, por não ter sido obtido o consentimento do titular dos dados nem informada a Autoridade Nacional, nos termos do art. 27 da LGPD. d) Lícita, já que a empresa privada é titular de dados jurídicos e não de dados pessoais. e) Lícita, uma vez que os dados são destinados à prestação de serviço essencial à saúde pública.

• a)Lícita, por se tratar de interesse público e a Agência ter informado previamente a Autoridade Nacional.
• b)Lícita, porque se trata de compartilhamento de dados previsto no caput do art. 23 da LGPD, que dispensa publicidade.
• c)Ilicita, por não ter sido obtido o consentimento do titular dos dados nem informada a Autoridade Nacional, nos termos do art. 27 da LGPD.
• d)Lícita, já que a empresa privada é titular de dados jurídicos e não de dados pessoais.
• e)Lícita, uma vez que os dados são destinados à prestação de serviço essencial à saúde pública.

Gabarito: c) Ilicita, por não ter sido obtido o consentimento do titular dos dados nem informada a Autoridade Nacional, nos termos do art. 27 da LGPD.

Durante fiscalização da Autoridade Nacional de Proteção de Dados (ANPD) acerca do tratamento de dados pessoais realizado pela Secretaria Municipal de Saúde, a ANPD pretende obter detalhes sobre o escopo e a natureza dos dados coletados, além de solicitar que o órgão execute uma operação específica de eliminação de dados desatualizados. Com base exclusivamente no art. 29 da LGPD, assinale a alternativa que corretamente descreve o poder da ANPD nessa situação.

• a)A ANPD somente pode requerer à Secretaria Municipal de Saúde que informe quais dados pessoais estão sendo tratados, não tendo competência para determinar a realização de qualquer operação de tratamento pelos órgãos públicos.
• b)A ANPD pode requerer à Secretaria Municipal de Saúde a realização de operações de tratamento de dados pessoais, bem como a prestação de informações específicas sobre o âmbito e a natureza dos dados e outros detalhes do tratamento realizado, e ainda emitir parecer técnico complementar para garantir o cumprimento da LGPD.
• c)A ANPD tem atribuição exclusiva de emitir parecer técnico complementar sobre o tratamento de dados pessoais pelos órgãos públicos, não podendo solicitar informações ou determinar a execução de operações de tratamento.
• d)A ANPD somente poderá solicitar à Secretaria Municipal de Saúde informações sobre o tratamento de dados pessoais após obtenção de autorização judicial, nos termos do art. 29 da LGPD.
• e)A ANPD pode exigir de qualquer empresa privada, bem como de órgãos públicos, a prestação de informações detalhadas sobre o tratamento de dados pessoais, mas não tem poder de determinar a realização de operações de tratamento.

Gabarito: b) A ANPD pode requerer à Secretaria Municipal de Saúde a realização de operações de tratamento de dados pessoais, bem como a prestação de informações específicas sobre o âmbito e a natureza dos dados e outros detalhes do tratamento realizado, e ainda emitir parecer técnico complementar para garantir o cumprimento da LGPD.

Uma empresa brasileira de e‑commerce pretende transferir para os Estados Unidos os dados pessoais de seus clientes, incluindo nome, e‑mail e histórico de compras, para realização de campanha de marketing direcionada. Os Estados Unidos não possuem decisão de adequação reconhecida pela ANPD. Para viabilizar a transferência, a empresa adotou as cláusulas‑padrão contratuais (SCCs) aprovadas pela autoridade nacional e demonstrou, por meio de relatório de avaliação de impactos, que tais cláusulas garantem o cumprimento dos princípios, dos direitos dos titulares e do regime de proteção de dados previstos na LGPD. Nenhum consentimento específico dos titulares foi obtido para essa transferência. Com base exclusivamente no art. 33 da LGPD, assinale a alternativa que indica corretamente a situação jurídica da transferência.

• a)A transferência é ilegal, pois a Lei exige que o país de destino proporcione grau de proteção adequado aos dados pessoais, condição indispensável para qualquer operação internacional.
• b)A transferência é lícita, uma vez que o controlador ofereceu e comprovou garantias de cumprimento dos princípios, dos direitos do titular e do regime de proteção de dados mediante a utilização de cláusulas‑padrão contratuais, previstas no inciso II, alínea b, do art. 33.
• c)A transferência só poderia ser realizada se fosse necessária para a proteção da vida ou da incolumidade física do titular ou de terceiro, conforme dispõe o inciso IV do art. 33.
• d)A transferência somente seria permitida se estivesse vinculada à execução de política pública ou atribuição legal do serviço público, com a devida publicidade exigida pelo inciso VII do art. 33.
• e)A transferência dependeria da existência de um acordo de cooperação internacional que lhe atribuísse natureza de compromisso assumido, conforme estabelece o inciso VI do art. 33.

Gabarito: b) A transferência é lícita, uma vez que o controlador ofereceu e comprovou garantias de cumprimento dos princípios, dos direitos do titular e do regime de proteção de dados mediante a utilização de cláusulas‑padrão contratuais, previstas no inciso II, alínea b, do art. 33.

Enquanto Controlador de dados pessoais, a Empresa XYZ atualiza seu programa de conformidade para incluir novas medidas de segurança que, segundo sua avaliação, garantem a observância dos princípios gerais de proteção e dos direitos do titular, conforme previsto no inciso II do art. 33 da LGPD. Após essa atualização, qual das seguintes providênciass deve ser adotada, nos termos do art. 36 da Lei Geral de Proteção de Dados Pessoais (LGPD)?

• a)Comunicar à autoridade nacional a alteração das garantias apresentadas como suficientes de observância dos princípios gerais de proteção e dos direitos do titular.
• b)Publicar a alteração exclusivamente no site do Controlador, sem necessidade de comunicação à autoridade.
• c)Informar apenas os titulares dos dados sobre a alteração, mediante comunicação específica.
• d)Enviar cópia da alteração ao Ministério Público Federal para fins de fiscalização.
• e)Manter a alteração em arquivo interno, sendo desnecessária qualquer comunicação a terceiros.

Gabarito: a) Comunicar à autoridade nacional a alteração das garantias apresentadas como suficientes de observância dos princípios gerais de proteção e dos direitos do titular.

Durante uma fiscalização realizada pelo NIP (Nítelo de Proteção de Dados), verificou-se que um controlador de dados (uma startup de tecnologia) e uma operadora (uma empresa de processamento de pagamentos) não mantinham qualquer documento interno que relacionasse as atividades de tratamento de dados pessoais efetivamente realizadas por eles. De acordo com o art. 37 da Lei Geral de Proteção de Dados Pessoais (LGPD), qual é a consequência jurídica correta? A) Tanto o controlador quanto o operador devem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse. B) Apenas o controlador é obrigado a manter registro das operações de tratamento; a operadora está isenta quando utiliza serviços de terceiros. C) Os registros devem ser mantidos publicamente disponíveis no site da empresa, pelo prazo de cinco anos. D) O registro é exigido apenas para dados pessoais sensíveis, não sendo obrigatório para os demais tipos de tratamento. E) O controlador deve manter os registros por um período mínimo de dez anos, enquanto a operadora não possui qualquer obrigação de documentação.

• a)Tanto o controlador quanto o operador devem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse.
• b)Apenas o controlador é obrigado a manter registro das operações de tratamento; a operadora está isenta quando utiliza serviços de terceiros.
• c)Os registros devem ser mantidos publicamente disponíveis no site da empresa, pelo prazo de cinco anos.
• d)O registro é exigido apenas para dados pessoais sensíveis, não sendo obrigatório para os demais tipos de tratamento.
• e)O controlador deve manter os registros por um período mínimo de dez anos, enquanto a operadora não possui qualquer obrigação de documentação.

Gabarito: a) Tanto o controlador quanto o operador devem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse.

A Autoridade Nacional de Proteção de Dados (ANPD), ao fiscalizar as atividades de um hospital que trata dados de saúde de seus pacientes, determina, conforme o art. 38 da LGPD, que o controlador elabore relatório de impacto à proteção de dados pessoais. Considerando o disposto no art. 38 e seu parágrafo único, qual das afirmativas abaixo está correta quanto ao conteúdo mínimo obrigatório desse relatório?

• a)O relatório deve conter, no mínimo, a descrição dos tipos de dados coletados, a metodologia utilizada para a coleta e para a garantia da segurança das informações e a análise do controlador com relação a medidas, salvaguardas e mecanismos de mitigação de risco adotados.
• b)O relatório deve conter apenas a descrição dos tipos de dados coletados e a metodologia utilizada para a coleta, sendo dispensável a análise de medidas de segurança.
• c)O relatório deve conter exclusivamente a análise do controlador sobre medidas, salvaguardas e mecanismos de mitigação de risco, sem necessidade de descrever os tipos de dados ou a metodologia de coleta.
• d)Além dos itens previstos no caput, o relatório deve obrigatoriamente indicar a nomeação de um encarregado de tratamento de dados (DPO) e a relação completa de todos os operadores contratados.
• e)O relatório deve juntar cópia integral de todos os contratos celebrados com terceiros que realizam tratamento de dados em nome do controlador, além dos elementos já mencionados no parágrafo único.

Gabarito: a) O relatório deve conter, no mínimo, a descrição dos tipos de dados coletados, a metodologia utilizada para a coleta e para a garantia da segurança das informações e a análise do controlador com relação a medidas, salvaguardas e mecanismos de mitigação de risco adotados.

João, operador de tratamento de dados pessoais, recebeu do controlador a instrução de realizar o tratamento de dados de clientes para fins de pesquisa de mercado. Ao executar o tratamento, João incluiu dados de fornecedores sem a devida anonimização, descumprindo as normas de proteção de dados vigentes. Considerando o art. 39 da LGPD, qual a correta descrição das obrigações do operador e do controlador?

• a)O operador deverá executar o tratamento unicamente com base nas instruções do controlador, cabendo ao controlador verificar a observância das normas e das próprias instruções.
• b)O operador deverá verificar independentemente a legitimidade de cada dado antes de iniciar o tratamento, sob pena de responsabilização civil.
• c)O operador deverá recusar-se a cumprir qualquer instrução que implique tratamento de dados sensíveis, exceto mediante autorização judicial.
• d)O operador deverá solicitar ao controlador a alteração das instruções sempre que houver conflito com a lei de proteção de dados.
• e)O operador deverá responsabilizar-se diretamente pela eventual violação dos direitos do titular, independentemente de culpa do controlador.

Gabarito: a) O operador deverá executar o tratamento unicamente com base nas instruções do controlador, cabendo ao controlador verificar a observância das normas e das próprias instruções.

Uma autarquia federal, ao receber solicitação de um particular para exercer seu direito de portabilidade dos dados pessoais armazenados por um serviço privado, informa que só pode fornecer os dados em um formato proprietário, que não pode ser importado por outros sistemas. De acordo com o art. 40 da Lei Geral de Proteção de Dados (LGPD), qual é a consequência jurídica correta?

• a)A autoridade nacional pode estabelecer padrões obrigatórios de interoperabilidade que garantam a portabilidade e o livre acesso aos dados, de modo que o prestador de serviços deve fornecer os dados em formato interoperável, sob pena de infração.
• b)A autoridade nacional está impedida de fixar quaisquer padrões de interoperabilidade, cabendo apenas aos particulares definir livremente os formatos de transmissão de dados.
• c)A autoridade nacional somente pode regular o tempo de conservação dos registros, não sendo competente para editar normas sobre portabilidade ou segurança de dados.
• d)A autoridade nacional pode exigir que os dados sejam mantidos pelo prazo máximo permitido pela Constituição, independentemente da necessidade ou da transparência.
• e)A autoridade nacional pode estabelecer padrões de interoperabilidade exclusivamente para fins de segurança, excluindo a portabilidade e o livre acesso.

Gabarito: a) A autoridade nacional pode estabelecer padrões obrigatórios de interoperabilidade que garantam a portabilidade e o livre acesso aos dados, de modo que o prestador de serviços deve fornecer os dados em formato interoperável, sob pena de infração.

O controlador Rodrigo, ao promover o tratamento de dados biométricos de seus clientes para finalidade de marketing direto sem o devido consentimento, causa danos morais e materiais a Maria, titular dos dados. Em juízo, Maria cobra a reparação dos danos. Considerando o Art. 42 da LGPD e seus parágrafos, qual das seguintes consequências jurídicas é adequada ao caso?

• a)Apenas o controlador Rodrigo responderá solidariamente pelos danos, sendo o operador exonerado de qualquer responsabilidade, independentemente de ter seguido ou não instruções lícitas.
• b)O operador responderá solidariamente pelos danos quando descumprir as obrigações da legislação de proteção de dados ou não tiver seguido as instruções lícitas do controlador, equiparando-se este ao controlador, salvo nos casos de exclusão previstos no art. 43 desta Lei.
• c)O juiz, de ofício, inverterá o ônus da prova a favor de Maria, independentemente de demonstração de hipossuficiência ou excessiva onerosidade da produção de prova.
• d)As ações de reparação por danos coletivos só podem ser exercidas pelo controlador Rodrigo, não podendo o titular dos dados propor ação individual com base no caput do Art. 42.
• e)Quem reparar o dano ao titular tem direito de regresso apenas contra o controlador Rodrigo, não podendo reivindicar contra o operador, conforme § 4º do Art. 42.

Gabarito: b) O operador responderá solidariamente pelos danos quando descumprir as obrigações da legislação de proteção de dados ou não tiver seguido as instruções lícitas do controlador, equiparando-se este ao controlador, salvo nos casos de exclusão previstos no art. 43 desta Lei.

Um tabelionato de notas utiliza sistema de armazenamento de dados pessoais de compradores de imóveis que não emprega criptografia nem senhas complexas, ficando as informações acessíveis a terceiros não autorizados. Em relação a esse tratamento, considerando o disposto no art. 44 da LGPD, é correto afirmar que:

• a)O tratamento é irregular apenas se houver resultado efetivo de dano ao titular.
• b)A irregularidade do tratamento decorre da observância da legislação e da segurança que o titular pode esperar, sendo avaliados o modo de realização, os resultados e riscos esperados e as técnicas disponíveis à época.
• c)A segurança dos dados é irrelevante quando o tratamento for realizado para finalidade de registro público.
• d)O controlador responde por danos apenas quando houver intenção de violar a privacidade do titular.
• e)A irregularidade configura crime contra a privacidade, independentemente de demonstração de lesão.

Gabarito: b) A irregularidade do tratamento decorre da observância da legislação e da segurança que o titular pode esperar, sendo avaliados o modo de realização, os resultados e riscos esperados e as técnicas disponíveis à época.

A empresa SaúdePlus desenvolveu um aplicativo de monitoramento de glicemia que coleta dados de saúde de seus usuários. Durante o desenvolvimento, a empresa adotou criptografia e controle de acesso, porém não realizou qualquer avaliação de segurança nas etapas iniciais de concepção do produto, aplicando as medidas somente após a versão beta ser liberada. Diante dessa situação, qual é a exigência legal prevista no art. 46 da LGPD que a empresa deixou de observar?

• a)Adotar medidas de segurança apenas na fase de execução do tratamento, uma vez que a proteção dos dados pessoais é exigida somente após o início do tratamento.
• b)Observar as medidas de segurança desde a fase de concepção do produto ou do serviço até a sua execução, conforme determina o § 2º do art. 46 da LGPD.
• c)Definir, por iniciativa própria, padrões técnicos mínimos de segurança, independentemente da atuação da Autoridade Nacional de Proteção de Dados (ANPD).
• d)Comunicar imediatamente à ANPD qualquer incidente de segurança que ocorra durante o tratamento dos dados pessoais.
• e)Eliminar os dados pessoais coletados assim que finalizada a prestação do serviço, independentemente de outras medidas de segurança.

Gabarito: b) Observar as medidas de segurança desde a fase de concepção do produto ou do serviço até a sua execução, conforme determina o § 2º do art. 46 da LGPD.

Uma empresa de saúde implementou um novo sistema para armazenar prontuários eletrônicos de pacientes. O sistema utiliza autenticação simples por senha, sem criptografia dos dados em repouso nem em trânsito, e não possui procedimentos de auditoria de acesso. A empresa afirma que o sistema está em conformidade porque segue seu manual interno de governança de informações. Considerando o disposto no art. 49 da LGPD, qual é a correta consequência jurídica dessa situação?

• a)O sistema está em conformidade, pois a observância do manual interno de governança já satisfaz integralmente os requisitos do art. 49 da LGPD.
• b)O sistema deve ser estruturado de forma a atender aos requisitos de segurança, aos padrões de boas práticas e de governança e aos princípios gerais previstos na LGPD e às demais normas regulamentares; a mera observância do manual interno não é suficiente se faltarem medidas de segurança técnicas.
• c)O art. 49 exige apenas a observância dos princípios gerais da LGPD, sendo os requisitos de segurança, boas práticas e governança meramente recomendatórios.
• d)Como o sistema trata apenas dados de saúde, ele está excluído do alcance do art. 49, que se aplica somente a dados pessoais não sensíveis.
• e)A estruturação dos sistemas de tratamento é facultativa, podendo a empresa escolher se aplicará ou não os requisitos do art. 49 conforme sua conveniência econômica.

Gabarito: b) O sistema deve ser estruturado de forma a atender aos requisitos de segurança, aos padrões de boas práticas e de governança e aos princípios gerais previstos na LGPD e às demais normas regulamentares; a mera observância do manual interno não é suficiente se faltarem medidas de segurança técnicas.

Cartório XYZ foi autuado pela autoridade nacional por infração à Lei nº 13.709/2018 (LGPD). Em aplicação do art. 53, a autoridade pretende fixar o valor-base da multa administrativa. Sobre o cálculo desse valor-base, é correto afirmar que:

• a)A autoridade deverá publicar previamente as metodologias de cálculo, as quais devem apresentar objetivamente as formas e dosimetrias para o valor-base, com fundamentação detalhada dos elementos e observância dos critérios previstos nesta Lei.
• b)A autoridade poderá fixar o valor-base da multa sem publicar as metodologias, desde que fundamentada em critérios de proporcionalidade e gravidade da infração.
• c)As metodologias deverão ser definidas exclusivamente pelo Poder Judiciário, não cabendo consulta pública prévia ou regulamento da autoridade nacional.
• d)O valor-base da multa será calculado com base em tabela única fixada em lei complementar, independentemente de metodologias específicas de dosimetria.
• e)A autoridade poderá adotar multa diária ou simples apenas após a publicação do regulamento de sanções que estabeleça as circunstâncias e condições para tal, conforme § 2º do art. 53.

Gabarito: a) A autoridade deverá publicar previamente as metodologias de cálculo, as quais devem apresentar objetivamente as formas e dosimetrias para o valor-base, com fundamentação detalhada dos elementos e observância dos critérios previstos nesta Lei.

According to Art. 54 of the LGPD, when establishing the amount of a daily fine for an infringement, the National Data Protection Authority must base its decision on which of the following criteria? a) The size of the organization and its annual revenue. b) The severity of the offense and the extent of the damage or prejudice caused. c) The number of prior complaints filed against the organization. d) The location where the infringement occurred. e) The company's history of compliance with other data protection laws.

• a)The size of the organization and its annual revenue.
• b)The severity of the offense and the extent of the damage or prejudice caused.
• c)The number of prior complaints filed against the organization.
• d)The location where the infringement occurred.
• e)The company's history of compliance with other data protection laws.

Gabarito: b) The severity of the offense and the extent of the damage or prejudice caused.

Considerando o disposto no art. 55, que contém a nota '(VETADO)' e posteriormente a declaração 'Revogado pela Lei nº 14.460, de 2022', qual é a correta caracterização da situação jurídica desse dispositivo?

• a)O dispositivo permanece em vigor como norma vetada pelo Presidente da República, sem que qualquer ato posterior o tenha eliminado.
• b)O dispositivo foi vetado, nunca entrou em vigor, e posteriormente foi expressamente revogado por lei específica.
• c)O dispositivo subsiste como norma infraconstitucional pendente de regulamentação pelo legislador.
• d)A revogção declarada opera apenas em relação a fatos futuros, sem eficácia retroativa.
• e)O veto presidencial não impede a inclusão do dispositivo no ordenamento, podendo ser incorporado por ato normativo posterior.

Gabarito: b) O dispositivo foi vetado, nunca entrou em vigor, e posteriormente foi expressamente revogado por lei específica.