Quando eu estudo LGPD para concurso, eu separo a matéria em três camadas: conceitos, regras de tratamento e responsabilidades. Essa divisão evita decorar termos jurídicos sem entender a relação entre eles. Também faço uma distinção importante: LGPD não é sinônimo de Segurança da Informação. A lei regula o tratamento de dados pessoais; segurança é uma das dimensões desse tratamento.
Este guia foi revisado com base na Lei nº 13.709/2018 e em materiais oficiais de órgãos públicos. Sempre que houver conflito entre um resumo e o texto legal, eu considero a lei como referência principal.
1. O que a LGPD protege
A LGPD dispõe sobre o tratamento de dados pessoais, inclusive em meios digitais, por pessoas naturais e jurídicas de direito público ou privado, com o objetivo de proteger direitos fundamentais de liberdade, privacidade e livre desenvolvimento da personalidade.
O ponto que eu memorizo é: a LGPD não protege apenas arquivos digitais. O conceito de tratamento é amplo e pode envolver coleta, acesso, armazenamento, compartilhamento, eliminação e outras operações.
2. Dado pessoal, dado sensível e dado anonimizado
| Conceito | Como eu identifico |
|---|---|
| Dado pessoal | Informação relacionada a pessoa natural identificada ou identificável |
| Dado pessoal sensível | Categoria especial ligada, por exemplo, a origem racial ou étnica, convicção religiosa, opinião política, saúde, vida sexual, dado genético ou biométrico vinculado a pessoa natural |
| Dado anonimizado | Dado relativo a titular que não possa ser identificado, considerando meios técnicos razoáveis e disponíveis na ocasião do tratamento |
Pegadinha: CPF é dado pessoal, mas não é automaticamente um dado pessoal sensível. ‘Sensível’ é uma categoria definida pela lei; não significa apenas ‘informação importante’ no sentido cotidiano.
3. Titular, controlador, operador e encarregado
Eu uso uma pergunta para cada papel:
- Titular: de quem são os dados?
- Controlador: quem toma as decisões referentes ao tratamento?
- Operador: quem realiza o tratamento em nome do controlador?
- Encarregado: quem atua como canal de comunicação nos termos previstos pela LGPD e regulamentação aplicável?
A confusão entre controlador e operador é clássica. Eu memorizo: controlador decide; operador executa em nome do controlador.
4. Tratamento é um conceito amplo
Uma questão pode tentar reduzir tratamento apenas à coleta. Isso é incorreto. A LGPD usa um conceito amplo que abrange operações como coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, controle, modificação, comunicação, transferência, difusão ou extração.
5. Os princípios do art. 6º
Além da boa-fé, a LGPD traz princípios que orientam o tratamento. Eu não estudo apenas os nomes: tento associar cada um a uma situação.
| Princípio | Ideia prática |
|---|---|
| Finalidade | Propósito legítimo, específico, explícito e informado |
| Adequação | Compatibilidade entre tratamento e finalidade informada |
| Necessidade | Limitar o tratamento ao mínimo necessário |
| Livre acesso | Consulta facilitada e gratuita sobre forma e duração do tratamento e integralidade dos dados |
| Qualidade dos dados | Exatidão, clareza, relevância e atualização |
| Transparência | Informações claras, precisas e acessíveis |
| Segurança | Medidas técnicas e administrativas contra acessos não autorizados e situações acidentais ou ilícitas |
| Prevenção | Medidas para prevenir danos |
| Não discriminação | Vedação a tratamento para fins discriminatórios ilícitos ou abusivos |
| Responsabilização e prestação de contas | Demonstração de medidas eficazes de conformidade |
Como eu diferencio necessidade de finalidade
Finalidade pergunta ‘para quê?’. Necessidade pergunta ‘quanto eu realmente preciso coletar/tratar para alcançar esse objetivo?’. Uma coleta pode ter finalidade legítima e ainda ser excessiva.
6. Consentimento não é a única base legal
Uma das pegadinhas mais perigosas é afirmar que todo tratamento depende de consentimento. A LGPD prevê diferentes hipóteses legais para tratamento de dados pessoais. Portanto, eu nunca marco como correta uma alternativa que trate consentimento como condição universal.
Para prova, o mais importante é reconhecer que base legal é a justificativa jurídica para o tratamento e que o consentimento é apenas uma das hipóteses possíveis. O edital pode exigir o estudo detalhado de todas as bases do art. 7º e das hipóteses específicas para dados sensíveis do art. 11.
7. Direitos do titular
Entre os direitos previstos na lei estão confirmação da existência de tratamento, acesso, correção de dados incompletos/inexatos/desatualizados, anonimização/bloqueio/eliminação em hipóteses legais, portabilidade nos termos da regulamentação, informações sobre compartilhamento e revogação do consentimento, entre outros.
Pegadinha: o direito do titular não significa que qualquer dado deve ser eliminado imediatamente mediante simples pedido. A própria LGPD prevê condições, hipóteses e exceções.
8. Segurança e incidente
A lei exige medidas de segurança aptas a proteger dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas. Aqui eu conecto LGPD com conceitos de Segurança da Informação, mas sem confundir as disciplinas.
Exemplos de controles que podem contribuir para proteção incluem gestão de acesso, autenticação, criptografia, atualização, registro de eventos e backups. Nenhum deles, isoladamente, garante conformidade integral com a LGPD.
9. ANPD
A Autoridade Nacional de Proteção de Dados exerce competências previstas em lei relacionadas à proteção de dados pessoais e à aplicação da LGPD. Em prova, eu evito definições simplistas do tipo ‘a ANPD é apenas um órgão que aplica multas’. Suas competências são mais amplas.
10. Questões autorais comentadas
Questão 1
Uma organização coleta dez campos de informação, embora apenas três sejam necessários para prestar o serviço informado ao titular. Qual princípio é mais diretamente envolvido?
A) Necessidade
B) Prevenção
C) Não discriminação
D) Livre acesso
Gabarito: A. Eu escolheria necessidade porque o problema é o excesso de dados em relação à finalidade.
Questão 2
Assinale a afirmação correta:
A) Todo tratamento de dados pessoais depende de consentimento.
B) O operador toma todas as decisões sobre finalidade do tratamento.
C) O controlador toma decisões referentes ao tratamento; o operador realiza tratamento em nome do controlador.
D) Todo dado pessoal é dado sensível.
Gabarito: C. As demais alternativas generalizam ou trocam conceitos legais.
Questão 3
Origem racial ou étnica, convicção religiosa e dados relativos à saúde são exemplos de:
A) dados públicos sem proteção
B) dados pessoais sensíveis
C) dados anonimizados por definição
D) metadados sem titular
Gabarito: B.
11. Mapa de revisão
Eu considero o núcleo básico dominado quando consigo explicar: dado pessoal x sensível x anonimizado; titular x controlador x operador; tratamento; os dez princípios; consentimento como uma entre várias bases; direitos do titular; segurança; e papel da ANPD.
12. Fontes primárias e oficiais
Nota editorial: eu retirei da versão anterior a expressão genérica ‘conceitos que mais aparecem’ porque ela não estava acompanhada de uma amostra estatística publicada. Aqui, eu apresento o núcleo legal e técnico que o candidato deve dominar quando a LGPD aparece no edital.
Sobre o autor: conteúdo elaborado e revisado por Aderson de Carvalho, analista de sistemas, mestre em Computação Aplicada e professor de TI.
