Acervo em fase de teste
A leitura exige entrada com conta. Levando você à porta…
Humanística · Curso Togado · capítulo 24
A quem a LGPD se aplica, que princípios a guiam, que bases autorizam o tratamento e por que o dado sensível pede mais
Antes de começar
Uma empresa privada pode operar câmeras de reconhecimento facial «para apoiar a segurança pública» sem se submeter à LGPD? Um órgão de pesquisa pode usar dados de saúde de milhares de pessoas sem pedir o consentimento de cada uma? As duas perguntas já caíram, e ambas se respondem pela letra da Lei 13.709/2018.
Este é o primeiro de dois capítulos sobre a lei. Ele cobre o que a banca mais cobra na formação humanística: a incidência e as exceções do art. 4º, que caem por caso; os princípios do art. 6º, cobrados pela definição; as bases legais do art. 7º, sem hierarquia entre elas; e o dado sensível, que tem rol e bases próprios no art. 11. O fio é a ideia de autodeterminação informativa, que o STF reconheceu como direito fundamental em 2020 e a EC 115/2022 escreveu na Constituição. O Poder Público, os agentes de tratamento e a responsabilidade ficam para o capítulo seguinte.
Ao final do capítulo, é preciso conseguir:
Incidência no banco
| Fase | Questões | Provas |
|---|---|---|
| Objetiva | 12 | TJCE 2025, TJDFT 2023, TJES 2023, TJGO 2026, TJMG 2026 (2), TJSC 2024, TJSC 2025 (2), TRF1 2025, TRF4 18º 2022, TRF6 2025 |
| Discursiva | 0 | — |
| Sentença | 0 | — |
Nas provas objetivas da justiça estadual: 9 questões em 7 de 26 provas do banco (26,9%), 3 bancas (FGV 6, Consulplan 2 e Cebraspe 1), entre 2023 e 2026.
Nas provas objetivas da justiça federal: 3 questões em 3 de 9 provas do banco (33,3%), 2 bancas (FGV 2 e Comissão do tribunal 1), entre 2022 e 2025.
O que a banca cobrou nessas objetivas: 11 questões pela letra da lei e 1 questão mista (lei e jurisprudência).
Tópicos com mais questões: Âmbito de aplicação e princípios da LGPD (5), Tratamento de dados pessoais sensíveis (4) e Requisitos para o tratamento de dados pessoais (3).
Na segunda fase, o banco ainda não registra questão escrita com o núcleo no tema.
Números das 145 provas reunidas pelo curso, recalculados a cada geração da página.
Para aproveitar este capítulo, é preciso ter lido e compreendido:
Por que uma lei só para dados pessoais? Porque quase toda atividade econômica ou estatal hoje coleta, cruza e guarda informações sobre pessoas. A Lei Geral de Proteção de Dados Pessoais (LGPD, Lei 13.709/2018) organiza essa atividade com regras comuns, no lugar das normas setoriais dispersas que havia, e alcança tanto o dado digital quanto o dado em papel1. A ficha de cadastro em papel da clínica de bairro está tão sujeita à lei quanto o aplicativo de entregas.
O verbo central da lei é tratar. Tratamento é toda operação realizada com dados pessoais: coletar, armazenar, consultar, compartilhar, transferir, eliminar (art. 5º, X). Quem só guarda uma planilha de clientes já trata dados, ainda que nunca a use.
A lei protege um bem novo. Privacidade é o direito de ser deixado só, de manter fora do olhar alheio a vida íntima. Proteção de dados é o controle sobre as próprias informações, mesmo as que já circulam: saber quem as tem, para quê, e poder corrigi-las ou pedir que sejam apagadas. A esse controle a doutrina chama autodeterminação informativa, que a lei põe entre os seus fundamentos (art. 2º, II)2.
Baronovsky marca a autonomia do novo direito:
«O direito à proteção de dados pessoais tem sua autonomia própria, trata-se de um “novo” direito da personalidade.»
Lei 13.709/2018 (LGPD), art. 2º texto oficial ↗
Art. 2º A disciplina da proteção de dados pessoais tem como fundamentos:
I - o respeito à privacidade;
II - a autodeterminação informativa;
III - a liberdade de expressão, de informação, de comunicação e de opinião;
IV - a inviolabilidade da intimidade, da honra e da imagem;
V - o desenvolvimento econômico e tecnológico e a inovação;
VI - a livre iniciativa, a livre concorrência e a defesa do consumidor; e
VII - os direitos humanos, o livre desenvolvimento da personalidade, a dignidade e o exercício da cidadania pelas pessoas naturais.
Quando a LGPD foi promulgada, em 2018, a Constituição não falava em dados pessoais. Em maio de 2020, o STF suspendeu a Medida Provisória 954/2020, que mandava as empresas de telefonia entregarem ao IBGE nome, telefone e endereço de todos os usuários, e reconheceu a proteção de dados e a autodeterminação informativa como direito fundamental autônomo, extraído da dignidade (art. 1º, III) e dos incisos X e XII do art. 5º.
STF, ADI 6.387 MC-Ref Seção ou Plenário, sem tese vinculante
A tese oficial fala do pretexto sanitário; o fundamento que a banca cobra está nos votos: o compartilhamento sem finalidade delimitada, sem salvaguardas e sem demonstração de necessidade viola um direito fundamental autônomo.
O cenário de urgência decorrente da crise sanitária deflagrada pela pandemia global da Covid-19 e a necessidade de formulação de políticas públicas que demandam dados específicos para o desenho dos diversos quadros de enfrentamento não podem ser invocados como pretextos para justificar investidas que enfraquecem direitos e atropelam garantias fundamentais consagradas na Constituição Federal.
STF, Plenário, ADI 6.387 MC-Ref/DF e outras, Rel. Min. Rosa Weber, j. 7/5/2020, Informativo 976.
A EC 115/2022 escreveu o direito na Constituição (art. 5º, LXXIX) e deu à União duas competências: organizar e fiscalizar a proteção de dados (art. 21, XXVI) e legislar privativamente sobre o tema (art. 22, XXX). Por isso uma lei estadual que crie regras próprias de tratamento de dados invade competência da União.
CF, art. 5º, caput, X, XII e LXXIX texto oficial ↗
Art. 5º Todos são iguais perante a lei, sem distinção de qualquer natureza, garantindo-se aos brasileiros e aos estrangeiros residentes no País a inviolabilidade do direito à vida, à liberdade, à igualdade, à segurança e à propriedade, nos termos seguintes:
X - são invioláveis a intimidade, a vida privada, a honra e a imagem das pessoas, assegurado o direito a indenização pelo dano material ou moral decorrente de sua violação;
XII - é inviolável o sigilo da correspondência e das comunicações telegráficas, de dados e das comunicações telefônicas, salvo, no último caso, por ordem judicial, nas hipóteses e na forma que a lei estabelecer para fins de investigação criminal ou instrução processual penal;
LXXIX - é assegurado, nos termos da lei, o direito à proteção dos dados pessoais, inclusive nos meios digitais.
CF, art. 21, caput e XXVI texto oficial ↗
Art. 21. Compete à União:
XXVI - organizar e fiscalizar a proteção e o tratamento de dados pessoais, nos termos da lei.
CF, art. 22, caput e XXX texto oficial ↗
Art. 22. Compete privativamente à União legislar sobre:
XXX - proteção e tratamento de dados pessoais.
A trajetória do direito fundamental
| Ano | Marco | O que mudou |
|---|---|---|
| 2018 | LGPD (Lei 13.709/2018) | Lei geral, com princípios, bases legais, direitos do titular e autoridade fiscalizadora |
| 2020 | STF, ADI 6.387 MC-Ref | Proteção de dados reconhecida como direito fundamental autônomo, antes de qualquer texto expresso |
| 2022 | EC 115/2022 | Direito fundamental expresso (art. 5º, LXXIX) e competências privativas da União |
| 2022 | ADI 6.649 e ADPF 695 (capítulo seguinte) | Compartilhamento entre órgãos federais admitido, desde que observados parâmetros e a LGPD |
Antes de haver lei geral, o dado financeiro já tinha proteção própria, tirada dos mesmos incisos X e XII do art. 5º: o sigilo bancário, hoje na LC 105/2001, e o sigilo fiscal. Os dois continuam em vigor ao lado da LGPD. O extrato da conta é dado pessoal comum, fora do rol do dado sensível, mas coberto por dever legal de segredo: o banco o trata para executar o contrato e só o entrega a terceiros nas hipóteses da lei complementar.
LC 105/2001, art. 6º texto oficial ↗
Art. 6º As autoridades e os agentes fiscais tributários da União, dos Estados, do Distrito Federal e dos Municípios somente poderão examinar documentos, livros e registros de instituições financeiras, inclusive os referentes a contas de depósitos e aplicações financeiras, quando houver processo administrativo instaurado ou procedimento fiscal em curso e tais exames sejam considerados indispensáveis pela autoridade administrativa competente.
Parágrafo único. O resultado dos exames, as informações e os documentos a que se refere este artigo serão conservados em sigilo, observada a legislação tributária.
STF, Tema 225 precedente qualificado
O fisco examina dados bancários sem ordem judicial quando há processo ou procedimento fiscal em curso e o exame é indispensável: o sigilo não se quebra, muda de guardião.
O art. 6º da LC 105/2001 não ofende o direito ao sigilo bancário, porque realiza a igualdade em relação aos cidadãos, por meio do princípio da capacidade contributiva, bem como estabelece requisitos objetivos e o translado do dever de sigilo da esfera bancária para a fiscal.
STF, Plenário, RE 601.314/SP, Rel. Min. Edson Fachin, j. 23/2/2016, repercussão geral, Tema 225, Informativo 815.
A ideia de translado do sigilo antecipa a lógica da LGPD. O acesso depende de requisitos objetivos, a finalidade é só a fiscal, e quem recebe o dado herda o dever de guardá-lo. Fora desse desenho, vale a regra: a entrega de dados bancários à polícia e ao Ministério Público pede decisão judicial fundamentada. Exemplo: o auditor que apura omissão de receita requisita os extratos da empresa; o delegado que investiga o sócio representa ao juiz.
STF, ADI 5.729 precedente qualificado
A finalidade prende o dado mesmo dentro do Estado: o que o contribuinte declarou no regime de regularização de ativos no exterior (RERCT) não se compartilha com Estados e Municípios, e divulgá-lo equivale a quebrar o sigilo fiscal.
“É constitucional a vedação ao compartilhamento de informações prestadas pelos aderentes ao RERCT com os Estados, o Distrito Federal e os Municípios, bem como a equiparação da divulgação dessas informações à quebra do sigilo fiscal”.
STF, Plenário, ADI 5.729/DF, Rel. Min. Luís Roberto Barroso, j. 8/3/2021, Informativo 1.008.
Aprofundamento A requisição de dados a bancos e operadoras pelo fisco estadual, pela polícia e pelo Ministério Público (ADI 7.276 e ADI 4.906) está no capítulo 25, tópico 1. ir →
Lei 13.709/2018 (LGPD), art. 1º texto oficial ↗
Art. 1º Esta Lei dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural.
Parágrafo único. As normas gerais contidas nesta Lei são de interesse nacional e devem ser observadas pela União, Estados, Distrito Federal e Municípios.
O art. 1º responde a quem: qualquer pessoa natural ou jurídica, de direito público ou privado, que trate dados3. O parágrafo único faz das suas normas gerais regras de interesse nacional, obrigatórias para União, Estados, Distrito Federal e Municípios. Exemplo: o tribunal estadual, a prefeitura e a padaria que mantém cadastro de clientes estão todos sob a mesma lei.
O art. 3º responde a onde. A lei se aplica qualquer que seja o meio, a sede do agente ou o país onde estão os servidores, bastando um de três vínculos com o Brasil:
Lei 13.709/2018 (LGPD), art. 3º texto oficial ↗
Art. 3º Esta Lei aplica-se a qualquer operação de tratamento realizada por pessoa natural ou por pessoa jurídica de direito público ou privado, independentemente do meio, do país de sua sede ou do país onde estejam localizados os dados, desde que:
I - a operação de tratamento seja realizada no território nacional;
II - a atividade de tratamento tenha por objetivo a oferta ou o fornecimento de bens ou serviços ou o tratamento de dados de indivíduos localizados no território nacional; ou
III - os dados pessoais objeto do tratamento tenham sido coletados no território nacional.
§ 1º Consideram-se coletados no território nacional os dados pessoais cujo titular nele se encontre no momento da coleta.
§ 2º Excetua-se do disposto no inciso I deste artigo o tratamento de dados previsto no inciso IV do caput do art. 4º desta Lei.
E que dados? Só os de pessoa natural identificada ou identificável (art. 5º, I). Os dados de pessoa jurídica (faturamento, CNPJ, segredo industrial) ficam fora; o nome e o e-mail do sócio, não. «Identificável» quer dizer que a pessoa pode ser descoberta com meios razoáveis, ainda que o dado sozinho não a nomeie (a placa do carro, o número do IP).
STJ, REsp 2.092.096 (B3) julgado de Turma: não é regra
Exemplo de incidência: a plataforma da bolsa que armazena e transmite dados de investidores é agente de tratamento, sob a LGPD e o Marco Civil.
A LGPD e o Marco Civil da Internet são aplicáveis aos dados armazenados e transmitidos pela B3, no âmbito de plataforma virtual por ela mantida.
STJ, Terceira Turma, REsp 2.092.096/SP, Rel. Min. Nancy Andrighi, j. 12/12/2023, Informativo 799.
Vale ler a íntegra: o acórdão mostra os fatos que levaram a esta solução.
A lei fala em livre desenvolvimento da personalidade da pessoa natural, mas não exclui de modo expresso os dados do falecido, como faz o regulamento europeu4.
Basta declarar que o tratamento serve à segurança pública para escapar da lei? Não. O art. 4º afasta a LGPD em cinco grupos de casos, e quase todos dependem de uma finalidade exclusiva, isto é, única: se o tratamento serve também a outro fim, a lei volta a incidir.
Lei 13.709/2018 (LGPD), art. 4º texto oficial ↗
Art. 4º Esta Lei não se aplica ao tratamento de dados pessoais:
I - realizado por pessoa natural para fins exclusivamente particulares e não econômicos;
II - realizado para fins exclusivamente:
a) jornalístico e artísticos; ou
b) acadêmicos, aplicando-se a esta hipótese os arts. 7º e 11 desta Lei;
III - realizado para fins exclusivos de:
a) segurança pública;
b) defesa nacional;
c) segurança do Estado; ou
d) atividades de investigação e repressão de infrações penais; ou
IV - provenientes de fora do território nacional e que não sejam objeto de comunicação, uso compartilhado de dados com agentes de tratamento brasileiros ou objeto de transferência internacional de dados com outro país que não o de proveniência, desde que o país de proveniência proporcione grau de proteção de dados pessoais adequado ao previsto nesta Lei.
§ 1º O tratamento de dados pessoais previsto no inciso III será regido por legislação específica, que deverá prever medidas proporcionais e estritamente necessárias ao atendimento do interesse público, observados o devido processo legal, os princípios gerais de proteção e os direitos do titular previstos nesta Lei.
§ 2º É vedado o tratamento dos dados a que se refere o inciso III do caput deste artigo por pessoa de direito privado, exceto em procedimentos sob tutela de pessoa jurídica de direito público, que serão objeto de informe específico à autoridade nacional e que deverão observar a limitação imposta no § 4º deste artigo.
§ 3º A autoridade nacional emitirá opiniões técnicas ou recomendações referentes às exceções previstas no inciso III do caput deste artigo e deverá solicitar aos responsáveis relatórios de impacto à proteção de dados pessoais.
§ 4º Em nenhum caso a totalidade dos dados pessoais de banco de dados de que trata o inciso III do caput deste artigo poderá ser tratada por pessoa de direito privado, salvo por aquela que possua capital integralmente constituído pelo poder público.
Donda resume as exclusões:
«Existem situações em que a lei não se aplica, como na coleta e no tratamento de dados pessoais por pessoa natural e para fins particulares, jornalísticos, artísticos e também para fins exclusivos de segurança pública»
As exclusões do art. 4º e o seu limite
| Exclusão | Exemplo | Onde a lei volta |
|---|---|---|
| Pessoa natural, fins exclusivamente particulares e não econômicos (I) | A agenda de contatos do celular pessoal | A mesma lista usada para vender produtos |
| Fins exclusivamente jornalísticos e artísticos (II, a) | A reportagem que cita o nome do investigado | O banco de assinantes do jornal |
| Fins exclusivamente acadêmicos (II, b) | A tese de doutorado com entrevistas | Exclusão parcial: valem os arts. 7º e 11 |
| Fins exclusivos de segurança pública, defesa, segurança do Estado, investigação e repressão penal (III) | O inquérito policial | Particular sem tutela pública (§ 2º); legislação específica (§ 1º) |
| Dados vindos do exterior, sem comunicação no Brasil, de país com proteção adequada (IV) | Dados de europeus que só transitam por servidor brasileiro | Se forem compartilhados com agente brasileiro |
O inciso III tem três travas. O § 1º manda que o tratamento para segurança e persecução penal seja regido por legislação específica, com medidas proporcionais e respeito ao devido processo, aos princípios e aos direitos do titular; essa lei ainda não foi editada (há anteprojeto de «LGPD penal», de 2020). O § 2º veda o tratamento por pessoa de direito privado, salvo em procedimento sob tutela de pessoa jurídica de direito público. O § 4º impede que o particular trate a totalidade do banco de dados, salvo a pessoa jurídica de capital integralmente público.
Caso prático · As câmeras do consórcio de comerciantes
Uma empresa privada opera, para um consórcio de lojistas, câmeras com reconhecimento facial em ruas movimentadas. O objetivo declarado é apoiar a segurança pública, identificando suspeitos de furto e avisando a polícia. A empresa define sozinha os critérios de coleta e armazenamento; não há convênio com o Estado.
A pergunta: A LGPD incide?
Conclusão: O tratamento está sujeito à LGPD. A finalidade declarada não basta para afastar a lei; o particular sem tutela estatal não se beneficia da exclusão.
No polo oposto, a investigação e a repressão de infrações penais pelo próprio Estado ficam fora da LGPD. O uso de dados pessoais em processo de responsabilização penal não depende, por isso, da observância da LGPD nem de autorização judicial genérica criada pela lei; depende das regras processuais e da futura legislação específica.
A exclusão do inciso III afasta a lei geral, não o direito fundamental. O STF derrubou lei do Tocantins que criava cadastro estadual de usuários de drogas com dados de ocorrências policiais: além de invadir a competência da União, a lei violava o sistema constitucional de proteção de dados.
STF, ADI 6.561 (Tocantins) precedente qualificado
É inconstitucional — por invadir a competência privativa da União para legislar sobre matéria penal e processual penal (CF/1988, art. 22, I), bem como por violar o Estado de direito, os direitos fundamentais e o sistema constitucional especial de proteção de dados — lei estadual que cria cadastro de usuários e dependentes de drogas, com informações concernentes ao registro de ocorrência policial, inclusive sobre reincidência.
STF, Plenário, ADI 6.561/TO, Rel. Min. Edson Fachin, j. 1/9/2023, Informativo 1106.
Se a lei geral não rege a persecução penal, o que a rege? A Constituição e a lei processual, que graduam o controle pela intrusão. O dado cadastral (qualificação, filiação, endereço) pode ser requisitado diretamente, quando a lei o autoriza. O registro de conexão ou de localização pede ordem judicial fundamentada. O conteúdo guardado no celular apreendido, segundo o Tema 977 do STF, depende de consentimento expresso e livre do titular ou de decisão judicial prévia, salvo o encontro fortuito do aparelho, para esclarecer a autoria ou identificar o dono, com justificativa posterior.
STF, ADI 5.642 precedente qualificado
A requisição direta de dados cadastrais da vítima e dos suspeitos, sem ordem judicial, vale para o rol de crimes do art. 13-A do CPP, em que a demora custa a liberdade ou a vida de alguém.
É constitucional norma que permite, mesmo sem autorização judicial, que delegados de polícia e membros do Ministério Público requisitem de quaisquer órgãos do Poder Público ou de empresas da iniciativa privada o repasse de dados e informações cadastrais da vítima ou dos suspeitos em investigações sobre os crimes de cárcere privado, redução a condição análoga à de escravo, tráfico de pessoas, sequestro relâmpago, extorsão mediante sequestro e envio ilegal de criança ao exterior (CPP/1941, art. 13-A).
STF, Plenário, ADI 5.642/DF, Rel. Min. Edson Fachin, j. 18/4/2024, Informativo 1.133.
Fonte oficial ↗ · Dizer o Direito, Info 1133 do STF (1) ↗ · Dizer o Direito, Info 1133 do STF (2) ↗
STJ, RMS 61.302 Seção ou Plenário, sem tese vinculante
A ordem judicial pode alcançar os registros de todos os usuários que estiveram em certa área e horário, sem nomear pessoa: exige-se fundamentação suficiente, não a individualização prévia. Decisão de Seção, sem tese vinculante.
A determinação judicial de quebra de sigilo de dados informáticos estáticos (registros), relacionados à identificação de usuários que operaram em determinada área geográfica, suficientemente fundamentada, não ofende a proteção constitucional à privacidade e à intimidade.
STJ, Terceira Seção, RMS 61.302/RJ, Rel. Min. Rogerio Schietti Cruz, j. 26/8/2020 (Informativos 678 e 681).
Fonte oficial ↗ · Dizer o Direito, Info 678 do STJ (1) ↗ · Dizer o Direito, Info 678 do STJ (2) ↗
O tratamento observa a boa-fé e dez princípios. Eles não são simples tapa-buracos: têm eficácia imediata, dispensam regulamentação e orientam a leitura de todas as regras da lei, ampliando ou limitando o seu alcance5. A banca os cobra pela definição, trocando um pelo vizinho.
Lei 13.709/2018 (LGPD), art. 6º texto oficial ↗
Art. 6º As atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes princípios:
I - finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;
II - adequação: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento;
III - necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados;
IV - livre acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais;
V - qualidade dos dados: garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento;
VI - transparência: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial;
VII - segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;
VIII - prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;
IX - não discriminação: impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos;
X - responsabilização e prestação de contas: demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas.
Os dez princípios pela palavra-chave
| Princípio | Palavra-chave | Exemplo |
|---|---|---|
| Finalidade (I) | Propósito legítimo, específico, explícito e informado | A loja informa que o CPF serve à nota fiscal |
| Adequação (II) | Compatibilidade com a finalidade informada, no contexto | Usar esse CPF para cobrar a compra, e não para vender a lista |
| Necessidade (III) | Mínimo necessário | A academia não precisa do estado civil do aluno |
| Livre acesso (IV) | Consulta facilitada e gratuita | O titular vê quais dados a empresa guarda |
| Qualidade dos dados (V) | Exatidão e atualização | Corrigir o endereço errado do cadastro |
| Transparência (VI) | Informação clara sobre o tratamento e os agentes | Política de privacidade compreensível |
| Segurança (VII) | Proteção contra acessos e perdas | Senha e criptografia no banco de dados |
| Prevenção (VIII) | Evitar o dano antes que ocorra | Testar o sistema antes de lançá-lo |
| Não discriminação (IX) | Vedação de fins discriminatórios ilícitos ou abusivos | Recusar crédito pelo bairro de moradia |
| Responsabilização e prestação de contas (X) | Demonstrar as medidas eficazes | Guardar registros do programa de conformidade |
Os três primeiros são os que a banca mais troca. Finalidade é o propósito anunciado ao titular; adequação é a coerência entre o que se faz e o que se anunciou, segundo o contexto; necessidade é a quantidade mínima de dados para chegar lá6. Se o enunciado fala em «compatibilidade com as finalidades informadas», a resposta é adequação.
«Princípio da adequação = ligar a compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento;»
O último princípio tem duas faces. Responsabilização (em inglês, liability) é reparar o dano; prestação de contas (accountability) é demonstrar, antes de qualquer dano, que se adotaram medidas eficazes7. Exemplo: a empresa que mantém relatório de impacto e treinamento documentado cumpre a prestação de contas mesmo sem incidente algum.
Também pode ser dado pessoal o que serve para formar o perfil comportamental de pessoa natural identificada (art. 12, § 2º). Cliques e horários de acesso, reunidos para traçar o perfil de um cliente identificado, ficam sob a lei. A banca cerca essa regra de iscas vizinhas: o operador no lugar do controlador na indicação do encarregado (art. 41), um prazo fixo de 48 horas para comunicar incidente, quando a lei fala em prazo razoável definido pela autoridade nacional (art. 48, § 1º), e a vedação absoluta de o Poder Público transferir dados a particulares, que o art. 26, § 1º, excepciona.
A exclusão do inciso III olha a finalidade do tratamento, não a natureza do dado. O dado genético é sensível (art. 5º, II), e o laboratório pode tê-lo colhido com consentimento; quando o Ministério Público o usa numa investigação criminal, esse tratamento sai da LGPD e fica com as regras processuais penais e a futura legislação específica (art. 4º, III, d, e § 1º). A LGPD não cria, para esse campo, exigência própria de autorização judicial.
STJ, HC 879.757 julgado de Turma: não é regra
Na execução penal, o condenado fornece o perfil genético (Lei de Execução Penal, art. 9º-A), e a recusa é falta grave: o dado sensível é tratado por força de lei penal, fora da LGPD. Julgado de Turma, sem tese vinculante.
O fornecimento de perfil genético, nos termos do art. 9º-A da Lei de Execução Penal, não constitui violação do princípio da vedação à autoincriminação, configurando falta grave a recusa.
STJ, Sexta Turma, HC 879.757/GO, Rel. Min. Sebastião Reis Júnior, j. 20/8/2024, Informativo 822.
Vale ler a íntegra: o acórdão mostra os fatos que levaram a esta solução.
O perfil genético do condenado é decisão de Turma; a regra segura está na letra: o tratamento para investigação e repressão de infrações penais sai da LGPD (art. 4º, III, d) e segue a legislação específica, que no caso é a própria Lei de Execução Penal.
Os princípios não se limitam a orientar: invalidam o tratamento que tem base legal mas os contraria. A base responde se o agente pode tratar; os princípios respondem como e quanto. Por isso a dispensa do consentimento não livra o agente das demais obrigações (art. 7º, § 6º), e o dado de acesso público só se usa de acordo com a finalidade, a boa-fé e o interesse público que justificaram a sua divulgação (art. 7º, § 3º).
Caso prático · O desconto da farmácia
Uma rede de farmácias pede o CPF em toda compra, «para o desconto». Com ele, monta o histórico de cada cliente e o vende a uma operadora de planos de saúde, que passa a usá-lo na análise de propostas. A política de privacidade fala apenas em «melhorar a experiência de compra».
A pergunta: Que princípios o tratamento viola?
Conclusão: O tratamento viola finalidade, adequação, necessidade e não discriminação. Ainda que a farmácia invocasse uma base legal para coletar o CPF, a formação e a venda do perfil seriam ilícitas.
Como caiu em prova
Treino para a oral
Uma empresa pode tratar dados só porque os tem? Não. Todo tratamento precisa de uma base legal, isto é, de uma das hipóteses em que a lei o autoriza. O rol do art. 7º é fechado («somente poderá ser realizado») e tem dupla função: orienta o agente a ajustar ou abandonar o tratamento e garante ao titular saber em que situações os seus dados podem ser usados8.
Lei 13.709/2018 (LGPD), art. 7º, caput texto oficial ↗
Art. 7º O tratamento de dados pessoais somente poderá ser realizado nas seguintes hipóteses:
I - mediante o fornecimento de consentimento pelo titular;
II - para o cumprimento de obrigação legal ou regulatória pelo controlador;
III - pela administração pública, para o tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres, observadas as disposições do Capítulo IV desta Lei;
IV - para a realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais;
V - quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados;
VI - para o exercício regular de direitos em processo judicial, administrativo ou arbitral, esse último nos termos da Lei nº 9.307, de 23 de setembro de 1996 (Lei de Arbitragem);
VII - para a proteção da vida ou da incolumidade física do titular ou de terceiro;
VIII - para a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária;
IX - quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais; ou
X - para a proteção do crédito, inclusive quanto ao disposto na legislação pertinente.
Qual das dez bases vale mais? Nenhuma. As hipóteses não têm hierarquia nem ordem de preferência: qualquer delas legitima o tratamento, desde que observados os princípios9. O consentimento é apenas uma das dez10.
Donda afasta a ideia de uma base principal:
«Essas hipóteses não são hierárquicas e tampouco possuem ordem de preferência.»
As dez bases do art. 7º
| Base | Quando serve | Exemplo |
|---|---|---|
| Consentimento (I) | O titular concorda, para finalidade determinada | O cliente marca a caixa para receber ofertas por e-mail |
| Obrigação legal ou regulatória (II) | A lei impõe o tratamento | O empregador envia dados ao eSocial |
| Políticas públicas (III) | A administração executa política prevista em lei, regulamento, contrato ou convênio | O município cruza cadastros para o auxílio-aluguel |
| Estudos por órgão de pesquisa (IV) | Pesquisa, com anonimização sempre que possível | O IBGE na pesquisa domiciliar |
| Execução de contrato (V) | Contrato de que o titular é parte, a pedido dele | O endereço para entregar a compra |
| Exercício regular de direitos (VI) | Processo judicial, administrativo ou arbitral | Juntar e-mails do empregado na defesa trabalhista |
| Proteção da vida (VII) | Vida ou incolumidade física do titular ou de terceiro | O hospital consulta o cadastro do acidentado inconsciente |
| Tutela da saúde (VIII) | Procedimento por profissional, serviço de saúde ou autoridade sanitária | O prontuário do paciente |
| Legítimo interesse (IX) | Interesse do controlador ou de terceiro, se não prevalecerem os direitos do titular | Sistema antifraude do banco |
| Proteção do crédito (X) | Avaliação de risco de crédito | O escore do consumidor |
Dois parágrafos do art. 7º completam o quadro. O dado tornado manifestamente público pelo titular dispensa consentimento, mas não os princípios (§ 4º): o currículo que o profissional publica numa rede de empregos pode ser lido pelo recrutador, não vendido a terceiros. E a dispensa do consentimento não dispensa o resto da lei (§ 6º): finalidade, segurança e direitos do titular continuam valendo.
O que torna válido um «sim»? O art. 5º, XII, define o consentimento como manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento para uma finalidade determinada. Cada adjetivo é um requisito de validade11.
«deve-se garantir que todos os requisitos sejam cumpridos, quais sejam: I – Manifestação livre; II – Informada; III – Inequívoca; e IV – Demonstrar a finalidade determinada.»
Lei 13.709/2018 (LGPD), art. 8º texto oficial ↗
Art. 8º O consentimento previsto no inciso I do art. 7º desta Lei deverá ser fornecido por escrito ou por outro meio que demonstre a manifestação de vontade do titular.
§ 1º Caso o consentimento seja fornecido por escrito, esse deverá constar de cláusula destacada das demais cláusulas contratuais.
§ 2º Cabe ao controlador o ônus da prova de que o consentimento foi obtido em conformidade com o disposto nesta Lei.
§ 3º É vedado o tratamento de dados pessoais mediante vício de consentimento.
§ 4º O consentimento deverá referir-se a finalidades determinadas, e as autorizações genéricas para o tratamento de dados pessoais serão nulas.
§ 5º O consentimento pode ser revogado a qualquer momento mediante manifestação expressa do titular, por procedimento gratuito e facilitado, ratificados os tratamentos realizados sob amparo do consentimento anteriormente manifestado enquanto não houver requerimento de eliminação, nos termos do inciso VI do caput do art. 18 desta Lei.
§ 6º Em caso de alteração de informação referida nos incisos I, II, III ou V do art. 9º desta Lei, o controlador deverá informar ao titular, com destaque de forma específica do teor das alterações, podendo o titular, nos casos em que o seu consentimento é exigido, revogá-lo caso discorde da alteração.
O consentimento também depende da informação que o antecede. O titular tem direito a saber, de forma clara e ostensiva, a finalidade específica, a duração, quem é o controlador e com quem os dados serão compartilhados (art. 9º). Se a informação for enganosa, abusiva ou não tiver sido apresentada antes, o consentimento é nulo (§ 1º). E quando o tratamento for condição para o fornecimento do produto ou do serviço, isso é dito com destaque (§ 3º).
STJ, REsp 1.348.532 julgado de Turma: não é regra
Antes da LGPD, o STJ já reprovava a autorização embutida: a cláusula do contrato de cartão que permite ao banco compartilhar dados do cliente sem lhe dar a opção de discordar é abusiva. Julgado de Turma, sem tese vinculante.
É abusiva e ilegal cláusula prevista em contrato de prestação de serviços de cartão de crédito que autoriza o banco contratante a compartilhar dados dos consumidores com outras entidades financeiras ou mantenedoras de cadastros positivos e negativos de consumidores, sem que seja dada opção de discordar daquele compartilhamento.
STJ, Quarta Turma, REsp 1.348.532/SP, Rel. Min. Luis Felipe Salomão, j. 10/10/2017, Informativo 616.
Vale ler a íntegra: o acórdão mostra os fatos que levaram a esta solução.
A decisão é de Turma e se apoiou no CDC; hoje a regra segura está na lei geral: a autorização genérica é nula (art. 8º, § 4º), e o controlador que quer repassar a outro os dados colhidos com consentimento precisa de consentimento específico para esse fim (art. 7º, § 5º).
Lei 13.709/2018 (LGPD), art. 14 texto oficial ↗
Art. 14. O tratamento de dados pessoais de crianças e de adolescentes deverá ser realizado em seu melhor interesse, nos termos deste artigo e da legislação pertinente.
§ 1º O tratamento de dados pessoais de crianças deverá ser realizado com o consentimento específico e em destaque dado por pelo menos um dos pais ou pelo responsável legal.
§ 2º No tratamento de dados de que trata o § 1º deste artigo, os controladores deverão manter pública a informação sobre os tipos de dados coletados, a forma de sua utilização e os procedimentos para o exercício dos direitos a que se refere o art. 18 desta Lei.
§ 3º Poderão ser coletados dados pessoais de crianças sem o consentimento a que se refere o § 1º deste artigo quando a coleta for necessária para contatar os pais ou o responsável legal, utilizados uma única vez e sem armazenamento, ou para sua proteção, e em nenhum caso poderão ser repassados a terceiro sem o consentimento de que trata o § 1º deste artigo.
§ 4º Os controladores não deverão condicionar a participação dos titulares de que trata o § 1º deste artigo em jogos, aplicações de internet ou outras atividades ao fornecimento de informações pessoais além das estritamente necessárias à atividade.
§ 5º O controlador deve realizar todos os esforços razoáveis para verificar que o consentimento a que se refere o § 1º deste artigo foi dado pelo responsável pela criança, consideradas as tecnologias disponíveis.
§ 6º As informações sobre o tratamento de dados referidas neste artigo deverão ser fornecidas de maneira simples, clara e acessível, consideradas as características físico-motoras, perceptivas, sensoriais, intelectuais e mentais do usuário, com uso de recursos audiovisuais quando adequado, de forma a proporcionar a informação necessária aos pais ou ao responsável legal e adequada ao entendimento da criança.
O tratamento de dados de crianças e de adolescentes se faz no seu melhor interesse. Para a criança, a lei pede consentimento específico e em destaque de pelo menos um dos pais ou do responsável legal, e o controlador deve fazer esforços razoáveis para verificar que foi mesmo o responsável quem consentiu (§§ 1º e 5º). A letra do § 1º não menciona o adolescente.
O art. 14, § 1º, fala de criança e pede o consentimento específico e em destaque de pelo menos um dos pais ou do responsável legal; não exige os dois. O § 3º dispensa esse consentimento quando a coleta serve para contatar os pais ou o responsável, usada uma única vez e sem armazenamento, ou para a proteção da criança. Erra, por isso, a alternativa que exige, em qualquer circunstância, o consentimento de ambos os pais para crianças e adolescentes.
Três deveres completam o artigo. O controlador mantém pública a informação sobre os dados coletados e o seu uso (§ 2º). Não condiciona a participação em jogos e aplicações ao fornecimento de dados além dos estritamente necessários à atividade (§ 4º): o jogo de corrida não pede a agenda de contatos. E informa de modo simples e acessível, adequado ao entendimento da criança (§ 6º).
Lei 15.211/2025 (Estatuto Digital da Criança e do Adolescente), arts. 13, 22 e 26 texto oficial ↗
Art. 13. Os dados coletados para a verificação de idade de crianças e de adolescentes poderão ser utilizados unicamente para essa finalidade, vedado seu tratamento para qualquer outro propósito.
Art. 22. Para além das demais disposições desta Lei, é vedada a utilização de técnicas de perfilamento para direcionamento de publicidade comercial a crianças e a adolescentes, bem como o emprego de análise emocional, de realidade aumentada, de realidade estendida e de realidade virtual para esse fim.
Art. 26. É vedada a criação de perfis comportamentais de usuários crianças e adolescentes a partir da coleta e do tratamento de seus dados pessoais, inclusive daqueles obtidos nos processos de verificação de idade, bem como de dados grupais e coletivos, para fins de direcionamento de publicidade comercial.
Desde 17 de março de 2026 vigora o Estatuto Digital da Criança e do Adolescente (Lei 15.211/2025), que soma à LGPD regras para produtos e serviços digitais dirigidos a esse público ou de acesso provável por ele. Três tocam os dados: a configuração mais protetiva de privacidade vem por padrão (art. 7º); o dado colhido para verificar a idade só serve a esse fim; e é vedado formar perfil comportamental de crianças e adolescentes para direcionar publicidade.
O legítimo interesse é a base mais flexível e a mais difícil de usar. Ele exige um interesse lícito do controlador ou de terceiro, ligado a situação concreta (art. 10, caput), e um equilíbrio entre esse interesse e a expectativa razoável do titular no momento e no contexto da coleta12. Exemplo: o banco pode usar o histórico de transações para bloquear uma compra suspeita; não pode usá-lo para vender o perfil do cliente a uma corretora.
Lei 13.709/2018 (LGPD), art. 10 texto oficial ↗
Art. 10. O legítimo interesse do controlador somente poderá fundamentar tratamento de dados pessoais para finalidades legítimas, consideradas a partir de situações concretas, que incluem, mas não se limitam a:
I - apoio e promoção de atividades do controlador; e
II - proteção, em relação ao titular, do exercício regular de seus direitos ou prestação de serviços que o beneficiem, respeitadas as legítimas expectativas dele e os direitos e liberdades fundamentais, nos termos desta Lei.
§ 1º Quando o tratamento for baseado no legítimo interesse do controlador, somente os dados pessoais estritamente necessários para a finalidade pretendida poderão ser tratados.
§ 2º O controlador deverá adotar medidas para garantir a transparência do tratamento de dados baseado em seu legítimo interesse.
§ 3º A autoridade nacional poderá solicitar ao controlador relatório de impacto à proteção de dados pessoais, quando o tratamento tiver como fundamento seu interesse legítimo, observados os segredos comercial e industrial.
Lima e Baronovsky resumem a dificuldade:
«Base legal mais flexível e difícil de conceituar na prática.»
O art. 10 dá as salvaguardas: finalidades legítimas a partir de situações concretas, apenas os dados estritamente necessários, transparência e a possibilidade de a autoridade nacional pedir relatório de impacto. O legítimo interesse não serve ao dado sensível, como se verá no tópico seguinte.
A execução de contrato legitima o tratamento sem consentimento quando o dado é necessário ao que o titular contratou. Fritz relata o argumento usado no caso da conta digital de uma adolescente morta em Berlim: a regra europeia equivalente ao art. 7º, V, permitiria entregar o conteúdo aos herdeiros, que sucedem no contrato com a plataforma13. O exercício regular de direitos cobre a citação, a intimação e a guarda de dados pelo prazo prescricional10.
A proteção do crédito tem lastro anterior à LGPD. Desde 2014 o STJ admite o escore de crédito, isto é, a nota estatística do risco de inadimplência do consumidor, sem consentimento, desde que haja transparência e não se usem dados sensíveis ou excessivos.
STJ, Súmula 550○
A utilização de escore de crédito, método estatístico de avaliação de risco que não constitui banco de dados, dispensa o consentimento do consumidor, que terá o direito de solicitar esclarecimentos sobre as informações pessoais valoradas e as fontes dos dados considerados no respectivo cálculo.
Redação da coletânea de súmulas do curso, a conferir no tribunal.
STJ, Tema 710○ precedente qualificado
I - O sistema "credit scoring" é um método desenvolvido para avaliação do risco de concessão de crédito, a partir de modelos estatísticos, considerando diversas variáveis, com atribuição de uma pontuação ao consumidor avaliado (nota do risco de crédito). II - Essa prática comercial é lícita, estando autorizada pelo art. 5º, IV, e pelo art. 7º, I, da Lei n. 12.414/2011 (lei do cadastro positivo). III - Na avaliação do risco de crédito, devem ser respeitados os limites estabelecidos pelo sistema de proteção do consumidor no sentido da tutela da privacidade e da máxima transparência nas relações negociais, conforme previsão do CDC e da Lei n. 12.414/2011. IV - Apesar de desnecessário o consentimento do consumidor consultado, devem ser a ele fornecidos esclarecimentos, caso solicitados, acerca das fontes dos dados considerados (histórico de crédito), bem como as informações pessoais valoradas. V - O desrespeito aos limites legais na utilização do sistema "credit scoring", configurando abuso no exercício desse direito (art. 187 do CC), pode ensejar a responsabilidade objetiva e solidária do fornecedor do serviço, do responsável pelo banco de dados, da fonte e do consulente (art. 16 da Lei n. 12.414/2011) pela ocorrência de danos morais nas hipóteses de utilização de informações excessivas ou sensíveis (art. 3º, § 3º, I e II, da Lei n. 12.414/2011), bem como nos casos de comprovada recusa indevida de crédito pelo uso de dados incorretos ou desatualizados.
STJ, Segunda Seção, REsp 1.419.697/RS, Rel. Min. Paulo de Tarso Sanseverino, j. 12/11/2014 (repetitivo, Tema 710), Informativo 551.
STJ, AgInt no REsp 2.122.804 julgado de Turma: não é regra
Já sob a LGPD, a Quarta Turma ligou a dispensa do consentimento ao art. 7º, X. É julgado de Turma: confirma a leitura, não fixa regra.
É desnecessário o consentimento prévio e expresso do consumidor para a disponibilização de informações em relatório de consulta com a finalidade de proteção ao crédito.
STJ, Quarta Turma, AgInt no REsp 2.122.804/SP, Rel. Min. Raul Araújo, j. 12/8/2024, Informativo 823.
Vale ler a íntegra: o acórdão mostra os fatos que levaram a esta solução.
O art. 43 do CDC foi, em 1990, a primeira disciplina brasileira de bancos de dados pessoais, e nele já estão os princípios que a LGPD generalizou: acesso do consumidor ao que consta sobre ele, dados objetivos e verdadeiros, comunicação da abertura do cadastro, correção em prazo curto e limite de tempo para a informação negativa. A LGPD não o revogou: a base da proteção do crédito remete à «legislação pertinente» (art. 7º, X).
Lei 8.078/1990 (CDC), art. 43 texto oficial ↗
Art. 43. O consumidor, sem prejuízo do disposto no art. 86, terá acesso às informações existentes em cadastros, fichas, registros e dados pessoais e de consumo arquivados sobre ele, bem como sobre as suas respectivas fontes.
§ 1° Os cadastros e dados de consumidores devem ser objetivos, claros, verdadeiros e em linguagem de fácil compreensão, não podendo conter informações negativas referentes a período superior a cinco anos.
§ 2° A abertura de cadastro, ficha, registro e dados pessoais e de consumo deverá ser comunicada por escrito ao consumidor, quando não solicitada por ele.
§ 3° O consumidor, sempre que encontrar inexatidão nos seus dados e cadastros, poderá exigir sua imediata correção, devendo o arquivista, no prazo de cinco dias úteis, comunicar a alteração aos eventuais destinatários das informações incorretas.
§ 4° Os bancos de dados e cadastros relativos a consumidores, os serviços de proteção ao crédito e congêneres são considerados entidades de caráter público.
§ 5° Consumada a prescrição relativa à cobrança de débitos do consumidor, não serão fornecidas, pelos respectivos Sistemas de Proteção ao Crédito, quaisquer informações que possam impedir ou dificultar novo acesso ao crédito junto aos fornecedores.
§ 6º Todas as informações de que trata o caput deste artigo devem ser disponibilizadas em formatos acessíveis, inclusive para a pessoa com deficiência, mediante solicitação do consumidor.
Do CDC à LGPD: a mesma ideia, dois textos
| CDC, art. 43 | Princípio ou direito da LGPD | Exemplo |
|---|---|---|
| Acesso às informações e às fontes (caput) | Livre acesso (art. 6º, IV) | O consumidor consulta o que o birô registra sobre ele |
| Dados objetivos, claros e verdadeiros (§ 1º) | Qualidade dos dados (art. 6º, V) | A dívida paga não pode constar como aberta |
| Comunicação escrita da abertura do cadastro (§ 2º) | Transparência (art. 6º, VI) | A carta que avisa da inscrição antes de ela ocorrer |
| Correção imediata, comunicada em cinco dias úteis (§ 3º) | Direito de correção (art. 18, III) | O homônimo inscrito por engano |
| Nada de informação negativa por mais de cinco anos (§ 1º) | Necessidade (art. 6º, III) | A inscrição de 2019 sai em 2024 |
STJ, Súmula 323○
A inscrição do nome do devedor pode ser mantida nos serviços de proteção ao crédito até o prazo máximo de cinco anos, independentemente da prescrição da execução.
Redação da coletânea de súmulas do curso, a conferir no tribunal.
STJ, Súmula 548○
Incumbe ao credor a exclusão do registro da dívida em nome do devedor no cadastro de inadimplentes no prazo de cinco dias úteis, a partir do integral e efetivo pagamento do débito.
Redação da coletânea de súmulas do curso, a conferir no tribunal.
As duas súmulas cuidam do tempo do dado. A negativação dura no máximo cinco anos, ainda que a dívida possa ser executada por mais tempo; e, paga a dívida, é o credor quem tem cinco dias úteis para retirar o registro. Manter a anotação depois disso é tratar dado inexato e desnecessário.
A comunicação é dever de quem mantém o cadastro, e a lei a quer «por escrito» (CDC, art. 43, § 2º). As Turmas de direito privado do STJ leram a exigência de modos diferentes.
O cadastro positivo (Lei 12.414/2011) registra o histórico de adimplemento. O gestor pode abri-lo sem pedir consentimento, mas comunica o cadastrado em até trinta dias e informa os canais de cancelamento (art. 4º, § 4º); o cadastrado pode cancelar, acessar gratuitamente os dados e pedir a revisão de decisão exclusivamente automatizada (art. 5º). Anotações excessivas ou sensíveis são proibidas, como se verá no tópico seguinte.
Caso prático · A dívida paga que não saiu do cadastro
Jonas atrasou uma fatura de R$ 900,00 em 2024. A loja informou o débito a um birô de crédito, que o inscreveu depois de avisá-lo apenas por e-mail. Jonas pagou a dívida em março de 2026. Em maio, teve um financiamento recusado porque a anotação continuava ativa.
A pergunta: Que deveres foram descumpridos, e por quem?
Conclusão: A loja descumpriu o dever de excluir o registro em cinco dias úteis e responde pela manutenção indevida; a regularidade da notificação pelo birô depende da prova do envio e da entrega do e-mail e da posição adotada sobre o meio.
Caso prático · A compra na loja virtual
Uma pessoa compra um celular numa loja virtual. A loja usa o endereço para a entrega, o CPF para a nota fiscal, o histórico de navegação para barrar fraude no cartão e o e-mail para enviar ofertas semanais.
A pergunta: Qual a base legal de cada tratamento?
Conclusão: Um mesmo cadastro pode ter várias bases, uma para cada finalidade. A banca reprova a ideia de que o consentimento seja a única base, ou a principal.
Quando acaba o tratamento, e o que fazer com os dados? O art. 15 aponta o término: finalidade alcançada, fim do prazo, pedido do titular (inclusive pela revogação do consentimento) ou ordem da autoridade nacional. O art. 16 manda, então, eliminar os dados, com quatro exceções de conservação.
Lei 13.709/2018 (LGPD), arts. 15 e 16 texto oficial ↗
Art. 15. O término do tratamento de dados pessoais ocorrerá nas seguintes hipóteses:
I - verificação de que a finalidade foi alcançada ou de que os dados deixaram de ser necessários ou pertinentes ao alcance da finalidade específica almejada;
II - fim do período de tratamento;
III - comunicação do titular, inclusive no exercício de seu direito de revogação do consentimento conforme disposto no § 5º do art. 8º desta Lei, resguardado o interesse público; ou
IV - determinação da autoridade nacional, quando houver violação ao disposto nesta Lei.
Art. 16. Os dados pessoais serão eliminados após o término de seu tratamento, no âmbito e nos limites técnicos das atividades, autorizada a conservação para as seguintes finalidades:
I - cumprimento de obrigação legal ou regulatória pelo controlador;
II - estudo por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais;
III - transferência a terceiro, desde que respeitados os requisitos de tratamento de dados dispostos nesta Lei; ou
IV - uso exclusivo do controlador, vedado seu acesso por terceiro, e desde que anonimizados os dados.
A conservação para transferência a terceiro é permitida, desde que respeitados os requisitos de tratamento; a conservação para uso exclusivo do controlador exige dados anonimizados. Quem afirma que todo dado deve ser apagado ao fim do tratamento, sem exceção, erra; quem afirma que o controlador pode guardar dados identificados para uso próprio indefinido, também.
Aprofundamento Os papéis de controlador e operador, a comunicação de incidentes e a responsabilidade civil, que aparecem nas alternativas da questão do TRF4, estão no capítulo 25. ir →
Decisão automatizada também é tratamento. O titular pode pedir a revisão de decisão tomada unicamente com base em tratamento automatizado que afete os seus interesses, inclusive a que define o seu perfil profissional (art. 20). A Terceira Turma do STJ admitiu que a plataforma suspenda de imediato o perfil do motorista que pratica ato grave, numa relação civil paritária, desde que lhe abra a defesa posterior para o recredenciamento (STJ, REsp 2.135.783). É julgado de Turma: ilustra a regra, não a fixa.
Aprofundamento A decisão automatizada e a sua revisão, no Judiciário e fora dele, estão no capítulo 21, tópico 2. ir →
Como caiu em prova
Treino para a oral
Por que a religião de alguém merece mais proteção que o seu endereço? Porque certos dados, expostos, servem para discriminar e excluir3. A lei os enumera no art. 5º, II: origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização religiosa, filosófica ou política, saúde, vida sexual, dado genético ou biométrico.
Lei 13.709/2018 (LGPD), art. 5º, caput, I a III, X a XII e XVIII texto oficial ↗
Art. 5º Para os fins desta Lei, considera-se:
I - dado pessoal: informação relacionada a pessoa natural identificada ou identificável;
II - dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;
III - dado anonimizado: dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento;
X - tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;
XI - anonimização: utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo;
XII - consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada;
XVIII - órgão de pesquisa: órgão ou entidade da administração pública direta ou indireta ou pessoa jurídica de direito privado sem fins lucrativos legalmente constituída sob as leis brasileiras, com sede e foro no País, que inclua em sua missão institucional ou em seu objetivo social ou estatutário a pesquisa básica ou aplicada de caráter histórico, científico, tecnológico ou estatístico; e
O rol se lê pela função, e a qualificação é contextual: um dado comum pode tornar-se sensível quando cruzado com outros14. O art. 11, § 1º, acolhe essa ideia: o regime reforçado vale para qualquer tratamento que revele dado sensível. Exemplo: a lista de compras de farmácia que indica uma gravidez; a geolocalização frequente na porta de um templo.
«destaca-se em doutrina que a qualificação do dado como sensível é contextual, já que mesmo dados pessoais que não sejam em si sensíveis podem tornar-se sensíveis quando combinados com outros dados.»
O rol do art. 5º, II, e o que fica fora dele
| Categoria | Exemplo | O que a banca troca |
|---|---|---|
| Origem racial ou étnica | A autodeclaração no formulário de matrícula | Nacionalidade e naturalidade não estão no rol |
| Convicção religiosa; filiação a organização religiosa, filosófica ou política | O registro de dízimo; a ficha de filiação partidária | A opinião política também é sensível, mesmo sem filiação |
| Filiação a sindicato | O desconto da contribuição em folha | A profissão, sozinha, é dado comum |
| Saúde e vida sexual | Prontuário, atestado, exame; orientação sexual | O dado que só revela a saúde também entra (art. 11, § 1º) |
| Genético ou biométrico | DNA; digital, face, íris, voz | A fotografia comum só é biometria quando tratada para identificar |
| Fora do rol | Renda, extrato bancário, endereço, antecedentes criminais | São dados comuns, ainda que cobertos por sigilo ou de alto risco |
Lei 12.414/2011 (cadastro positivo), art. 3º, § 3º texto oficial ↗
§ 3º Ficam proibidas as anotações de:
I - informações excessivas, assim consideradas aquelas que não estiverem vinculadas à análise de risco de crédito ao consumidor; e
II - informações sensíveis, assim consideradas aquelas pertinentes à origem social e étnica, à saúde, à informação genética, à orientação sexual e às convicções políticas, religiosas e filosóficas.
A lei do cadastro positivo já proibia, em 2011, a anotação de informações excessivas e sensíveis, com rol próprio: origem social e étnica, saúde, informação genética, orientação sexual e convicções políticas, religiosas e filosóficas. É o uso dessas informações que o Tema 710 do STJ aponta como causa de dano moral no escore de crédito. A nota de crédito mede a pontualidade de quem paga, e não quem a pessoa é.
O dado sensível tem rol próprio de bases, mais estreito que o do art. 7º. O consentimento, quando é a base, precisa ser específico e destacado, para finalidades específicas; as demais hipóteses dispensam o consentimento, mas só quando o tratamento for indispensável15.
Lei 13.709/2018 (LGPD), art. 11 texto oficial ↗
Art. 11. O tratamento de dados pessoais sensíveis somente poderá ocorrer nas seguintes hipóteses:
I - quando o titular ou seu responsável legal consentir, de forma específica e destacada, para finalidades específicas;
II - sem fornecimento de consentimento do titular, nas hipóteses em que for indispensável para:
a) cumprimento de obrigação legal ou regulatória pelo controlador;
b) tratamento compartilhado de dados necessários à execução, pela administração pública, de políticas públicas previstas em leis ou regulamentos;
c) realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais sensíveis;
d) exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral, este último nos termos da Lei nº 9.307, de 23 de setembro de 1996 (Lei de Arbitragem);
e) proteção da vida ou da incolumidade física do titular ou de terceiro;
f) tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária; ou
g) garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos, resguardados os direitos mencionados no art. 9º desta Lei e exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais.
§ 1º Aplica-se o disposto neste artigo a qualquer tratamento de dados pessoais que revele dados pessoais sensíveis e que possa causar dano ao titular, ressalvado o disposto em legislação específica.
§ 2º Nos casos de aplicação do disposto nas alíneas “a” e “b” do inciso II do caput deste artigo pelos órgãos e pelas entidades públicas, será dada publicidade à referida dispensa de consentimento, nos termos do inciso I do caput do art. 23 desta Lei.
§ 3º A comunicação ou o uso compartilhado de dados pessoais sensíveis entre controladores com objetivo de obter vantagem econômica poderá ser objeto de vedação ou de regulamentação por parte da autoridade nacional, ouvidos os órgãos setoriais do Poder Público, no âmbito de suas competências.
§ 4º É vedada a comunicação ou o uso compartilhado entre controladores de dados pessoais sensíveis referentes à saúde com objetivo de obter vantagem econômica, exceto nas hipóteses relativas a prestação de serviços de saúde, de assistência farmacêutica e de assistência à saúde, desde que observado o § 5º deste artigo, incluídos os serviços auxiliares de diagnose e terapia, em benefício dos interesses dos titulares de dados, e para permitir:
I - a portabilidade de dados quando solicitada pelo titular; ou
II - as transações financeiras e administrativas resultantes do uso e da prestação dos serviços de que trata este parágrafo.
§ 5º É vedado às operadoras de planos privados de assistência à saúde o tratamento de dados de saúde para a prática de seleção de riscos na contratação de qualquer modalidade, assim como na contratação e exclusão de beneficiários.
A cartilha da ANPPD aponta a diferença:
«A grande diferença está no acréscimo de proteção que o legislador conferiu ao tratamento de dados sensíveis.»
Dado comum × dado sensível na letra da lei
Dado comum
Lei 13.709/2018 (LGPD), art. 7º, caput
Art. 7º O tratamento de dados pessoais somente poderá ser realizado nas seguintes hipóteses:
I - mediante o fornecimento de consentimento pelo titular;
II - para o cumprimento de obrigação legal ou regulatória pelo controlador;
III - pela administração pública, para o tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres, observadas as disposições do Capítulo IV desta Lei;
IV - para a realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais;
V - quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados;
VI - para o exercício regular de direitos em processo judicial, administrativo ou arbitral, esse último nos termos da Lei nº 9.307, de 23 de setembro de 1996 (Lei de Arbitragem);
VII - para a proteção da vida ou da incolumidade física do titular ou de terceiro;
VIII - para a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária;
IX - quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais; ou
X - para a proteção do crédito, inclusive quanto ao disposto na legislação pertinente.
Dado sensível
Lei 13.709/2018 (LGPD), art. 11
Art. 11. O tratamento de dados pessoais sensíveis somente poderá ocorrer nas seguintes hipóteses:
I - quando o titular ou seu responsável legal consentir, de forma específica e destacada, para finalidades específicas;
II - sem fornecimento de consentimento do titular, nas hipóteses em que for indispensável para:
a) cumprimento de obrigação legal ou regulatória pelo controlador;
b) tratamento compartilhado de dados necessários à execução, pela administração pública, de políticas públicas previstas em leis ou regulamentos;
c) realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais sensíveis;
d) exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral, este último nos termos da Lei nº 9.307, de 23 de setembro de 1996 (Lei de Arbitragem);
e) proteção da vida ou da incolumidade física do titular ou de terceiro;
f) tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária; ou
g) garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos, resguardados os direitos mencionados no art. 9º desta Lei e exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais.
No art. 11 somem o legítimo interesse e a proteção do crédito; as políticas públicas perdem o apoio em contratos e convênios; entra a prevenção à fraude na identificação; e toda base sem consentimento passa a exigir indispensabilidade.
O que muda do art. 7º para o art. 11
| Aspecto | Dado comum (art. 7º) | Dado sensível (art. 11) |
|---|---|---|
| Consentimento | Livre, informado e inequívoco | Também específico e destacado, para finalidades específicas |
| Bases sem consentimento | Basta a necessidade | Só quando indispensável |
| Políticas públicas | Em leis, regulamentos, contratos ou convênios | Só em leis ou regulamentos |
| Legítimo interesse | Admitido | Não existe |
| Proteção do crédito | Admitida | Não existe |
| Prevenção à fraude | Pelo legítimo interesse | Base própria, na identificação e autenticação de cadastro |
Os dados de saúde têm duas travas próprias. É vedado compartilhá-los entre controladores para obter vantagem econômica, salvo na prestação de serviços de saúde e para portabilidade ou transações do próprio serviço (art. 11, § 4º). E as operadoras de planos de saúde não podem usá-los para seleção de riscos na contratação ou na exclusão de beneficiários (§ 5º): o plano não pode recusar quem tem diabetes porque viu o exame no laboratório parceiro.
STF, ADI 5.545 precedente qualificado
O dado genético é sensível. A lei do Rio de Janeiro mandava guardar material genético de todas as parturientes e nascituros para eventual exame de DNA: tratamento massivo, sem finalidade delimitada nem consentimento.
É inconstitucional a lei estadual que preveja o arquivamento de materiais genéticos de nascituros e parturientes, em unidades de saúde, com o fim de realizar exames de DNA comparativo em caso de dúvida.
STF, Plenário, ADI 5.545/RJ, Rel. Min. Luiz Fux, j. 13/4/2023, Informativo 1090.
STJ, HC 1.000.918 julgado de Turma: não é regra
O dado de saúde confiado ao profissional não migra para a investigação por iniciativa dele: a comunicação à polícia de fato coberto pelo sigilo médico, como o aborto atendido no hospital, gera prova ilícita e contamina as derivadas. Julgado de Turma, sem tese vinculante.
A comunicação feita por profissional de saúde à autoridade policial de fatos protegidos pelo sigilo médico - notadamente em casos de aborto - constitui prova ilícita, contaminando, por derivação, todos os elementos de prova subsequentes.
STJ, Sexta Turma, HC 1.000.918/SP, Rel. Des. conv. Otávio de Almeida Toledo, j. 15/4/2026, Informativo 887.
Vale ler a íntegra: o acórdão mostra os fatos que levaram a esta solução.
A decisão é de Turma, mas a regra em que se apoia é antiga: o sigilo profissional. Para a LGPD, o caso mostra o limite da base da tutela da saúde, que serve «exclusivamente» ao procedimento de saúde (art. 11, II, f). A exclusão da investigação penal (art. 4º, III) cobre o tratamento feito pelo Estado na persecução, e não autoriza o hospital a mudar a finalidade do prontuário.
Quando é o Poder Público que trata dado sensível sem consentimento, para cumprir obrigação legal ou executar política pública, a dispensa tem de ser publicada (art. 11, § 2º). Exemplo: a secretaria de saúde informa, no seu sítio, que usa os dados de vacinação para a campanha e com que base legal.
O órgão de pesquisa é o órgão ou entidade pública, ou a pessoa jurídica privada sem fins lucrativos, que tenha a pesquisa entre as suas missões (art. 5º, XVIII). Ele pode tratar dados sensíveis sem consentimento sempre que o tratamento for indispensável ao estudo, garantida a anonimização sempre que possível (art. 11, II, c). Nos estudos de saúde pública, os dados ficam dentro do órgão, em ambiente seguro (art. 13).
Caso prático · A pesquisa sobre a base da União
Um órgão da Administração direta da União guarda uma base com dados sensíveis de um grupo de pessoas. Um órgão de pesquisa pede acesso, porque os dados são indispensáveis a um estudo.
A pergunta: O tratamento pode ser feito? Em que condições?
Conclusão: O tratamento pode ser feito sem consentimento, garantida, sempre que possível, a anonimização.
Anonimizar é usar meios técnicos razoáveis para que o dado perca a possibilidade de associação ao titular (art. 5º, XI). O dado anonimizado deixa de ser pessoal e sai da lei, salvo se a anonimização puder ser revertida com esforços razoáveis, medidos pelo custo, pelo tempo e pela tecnologia disponível (art. 12). Exemplo: a estatística «32% dos pacientes eram fumantes».
Pseudonimizar é substituir o identificador por um código, guardando a chave separadamente (art. 13, § 4º). Como o controlador pode reidentificar, o dado continua pessoal. Exemplo: o paciente «P-0193», cujo nome está numa tabela à parte, no mesmo hospital.
Lei 13.709/2018 (LGPD), arts. 12 e 13 texto oficial ↗
Art. 12. Os dados anonimizados não serão considerados dados pessoais para os fins desta Lei, salvo quando o processo de anonimização ao qual foram submetidos for revertido, utilizando exclusivamente meios próprios, ou quando, com esforços razoáveis, puder ser revertido.
§ 1º A determinação do que seja razoável deve levar em consideração fatores objetivos, tais como custo e tempo necessários para reverter o processo de anonimização, de acordo com as tecnologias disponíveis, e a utilização exclusiva de meios próprios.
§ 2º Poderão ser igualmente considerados como dados pessoais, para os fins desta Lei, aqueles utilizados para formação do perfil comportamental de determinada pessoa natural, se identificada.
§ 3º A autoridade nacional poderá dispor sobre padrões e técnicas utilizados em processos de anonimização e realizar verificações acerca de sua segurança, ouvido o Conselho Nacional de Proteção de Dados Pessoais.
Art. 13. Na realização de estudos em saúde pública, os órgãos de pesquisa poderão ter acesso a bases de dados pessoais, que serão tratados exclusivamente dentro do órgão e estritamente para a finalidade de realização de estudos e pesquisas e mantidos em ambiente controlado e seguro, conforme práticas de segurança previstas em regulamento específico e que incluam, sempre que possível, a anonimização ou pseudonimização dos dados, bem como considerem os devidos padrões éticos relacionados a estudos e pesquisas.
§ 1º A divulgação dos resultados ou de qualquer excerto do estudo ou da pesquisa de que trata o caput deste artigo em nenhuma hipótese poderá revelar dados pessoais.
§ 2º O órgão de pesquisa será o responsável pela segurança da informação prevista no caput deste artigo, não permitida, em circunstância alguma, a transferência dos dados a terceiro.
§ 3º O acesso aos dados de que trata este artigo será objeto de regulamentação por parte da autoridade nacional e das autoridades da área de saúde e sanitárias, no âmbito de suas competências.
§ 4º Para os efeitos deste artigo, a pseudonimização é o tratamento por meio do qual um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo, senão pelo uso de informação adicional mantida separadamente pelo controlador em ambiente controlado e seguro.
Caso prático · A catraca da academia
Uma academia troca o cartão de acesso pelo reconhecimento facial e avisa que quem não cadastrar o rosto não entra. Meses depois, repassa as imagens e os horários de treino de cada cliente a uma empresa de publicidade, sua parceira.
A pergunta: A coleta e o repasse são lícitos?
Conclusão: A coleta só se sustenta com consentimento válido e alternativa real de acesso; o repasse à parceira é ilícito, por falta de base do art. 11 e por desvio de finalidade.
O caso típico de prova reúne várias regras. Um hospital entrega dados de saúde a uma empresa de tecnologia para treinar um algoritmo, guardados em servidores na Europa, sem informar os pacientes, sem consentimento específico, sem anonimização e sem segurança. Há nova finalidade sem base, violação da segurança e transferência internacional que só se admite nas hipóteses do art. 33, e não porque o país de destino tem lei «parecida».
Lei 13.709/2018 (LGPD), art. 33 texto oficial ↗
Art. 33. A transferência internacional de dados pessoais somente é permitida nos seguintes casos:
I - para países ou organismos internacionais que proporcionem grau de proteção de dados pessoais adequado ao previsto nesta Lei;
II - quando o controlador oferecer e comprovar garantias de cumprimento dos princípios, dos direitos do titular e do regime de proteção de dados previstos nesta Lei, na forma de:
a) cláusulas contratuais específicas para determinada transferência;
b) cláusulas-padrão contratuais;
c) normas corporativas globais;
d) selos, certificados e códigos de conduta regularmente emitidos;
III - quando a transferência for necessária para a cooperação jurídica internacional entre órgãos públicos de inteligência, de investigação e de persecução, de acordo com os instrumentos de direito internacional;
IV - quando a transferência for necessária para a proteção da vida ou da incolumidade física do titular ou de terceiro;
V - quando a autoridade nacional autorizar a transferência;
VI - quando a transferência resultar em compromisso assumido em acordo de cooperação internacional;
VII - quando a transferência for necessária para a execução de política pública ou atribuição legal do serviço público, sendo dada publicidade nos termos do inciso I do caput do art. 23 desta Lei;
VIII - quando o titular tiver fornecido o seu consentimento específico e em destaque para a transferência, com informação prévia sobre o caráter internacional da operação, distinguindo claramente esta de outras finalidades; ou
IX - quando necessário para atender as hipóteses previstas nos incisos II, V e VI do art. 7º desta Lei.
E quem responde? O controlador (o hospital) e também o operador (a empresa de tecnologia), que responde solidariamente quando descumpre a lei ou as instruções lícitas do controlador (art. 42, § 1º, I). A comunicação à autoridade e aos titulares só é obrigatória para o incidente que possa acarretar risco ou dano relevante (art. 48).
Tratamentos de dado sensível em grande volume são candidatos naturais ao relatório de impacto, o documento que descreve os riscos do tratamento e as medidas para mitigá-los. A lei não o impõe em termos gerais: permite que a autoridade nacional o exija (art. 38), e a boa prática o recomenda16.
O vazamento de dado sensível pesa mais também na indenização. As Turmas do STJ, sem tese vinculante, distinguem: no vazamento de dado comum, o titular prova o dano moral (AREsp 2.130.619, Segunda Turma); no de dado sensível entregue a uma seguradora, o dano se presume (REsp 2.121.904, Terceira Turma). Na objetiva, a alternativa que generaliza para «todo vazamento» está errada.
Aprofundamento A responsabilidade dos agentes, a prova do dano moral no vazamento e a fraude bancária com dados vazados estão no capítulo 25, tópico 2. ir →
Dado sensível pode ser objeto de negócio? A LGPD não traz vedação geral: exige base do art. 11 (o consentimento específico e destacado, ou a prevenção à fraude na autenticação, alínea g) e os princípios. A vedação expressa de compartilhar dado sensível para obter vantagem econômica vale só para dados de saúde (art. 11, § 4º); para os demais, a autoridade nacional pode vedar ou regulamentar (§ 3º). Exemplo: a venda de imagens da íris a uma startup não é proibida pela letra da lei, mas exige consentimento destacado e segurança reforçada.
Como caiu em prova
Treino para a oral
Lei 13.709/2018 (LGPD), art. 4º texto oficial ↗
Art. 4º Esta Lei não se aplica ao tratamento de dados pessoais:
I - realizado por pessoa natural para fins exclusivamente particulares e não econômicos;
II - realizado para fins exclusivamente:
a) jornalístico e artísticos; ou
b) acadêmicos, aplicando-se a esta hipótese os arts. 7º e 11 desta Lei;
III - realizado para fins exclusivos de:
a) segurança pública;
b) defesa nacional;
c) segurança do Estado; ou
d) atividades de investigação e repressão de infrações penais; ou
IV - provenientes de fora do território nacional e que não sejam objeto de comunicação, uso compartilhado de dados com agentes de tratamento brasileiros ou objeto de transferência internacional de dados com outro país que não o de proveniência, desde que o país de proveniência proporcione grau de proteção de dados pessoais adequado ao previsto nesta Lei.
§ 1º O tratamento de dados pessoais previsto no inciso III será regido por legislação específica, que deverá prever medidas proporcionais e estritamente necessárias ao atendimento do interesse público, observados o devido processo legal, os princípios gerais de proteção e os direitos do titular previstos nesta Lei.
§ 2º É vedado o tratamento dos dados a que se refere o inciso III do caput deste artigo por pessoa de direito privado, exceto em procedimentos sob tutela de pessoa jurídica de direito público, que serão objeto de informe específico à autoridade nacional e que deverão observar a limitação imposta no § 4º deste artigo.
§ 3º A autoridade nacional emitirá opiniões técnicas ou recomendações referentes às exceções previstas no inciso III do caput deste artigo e deverá solicitar aos responsáveis relatórios de impacto à proteção de dados pessoais.
§ 4º Em nenhum caso a totalidade dos dados pessoais de banco de dados de que trata o inciso III do caput deste artigo poderá ser tratada por pessoa de direito privado, salvo por aquela que possua capital integralmente constituído pelo poder público.
Planalto, texto compilado, baixado em 20/10/2026.
Lei 13.709/2018 (LGPD), art. 5º, I a III, X a XII e XVIII texto oficial ↗
Por que juntos: Um artigo só, o 5º, recortado nos conceitos que o capítulo usa.
Art. 5º Para os fins desta Lei, considera-se:
I - dado pessoal: informação relacionada a pessoa natural identificada ou identificável;
II - dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;
III - dado anonimizado: dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento;
X - tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;
XI - anonimização: utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo;
XII - consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada;
XVIII - órgão de pesquisa: órgão ou entidade da administração pública direta ou indireta ou pessoa jurídica de direito privado sem fins lucrativos legalmente constituída sob as leis brasileiras, com sede e foro no País, que inclua em sua missão institucional ou em seu objetivo social ou estatutário a pesquisa básica ou aplicada de caráter histórico, científico, tecnológico ou estatístico; e
Planalto, texto compilado, baixado em 20/10/2026.
Lei 13.709/2018 (LGPD), art. 6º texto oficial ↗
Art. 6º As atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes princípios:
I - finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;
II - adequação: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento;
III - necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados;
IV - livre acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais;
V - qualidade dos dados: garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento;
VI - transparência: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial;
VII - segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;
VIII - prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;
IX - não discriminação: impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos;
X - responsabilização e prestação de contas: demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas.
Planalto, texto compilado, baixado em 20/10/2026.
Lei 13.709/2018 (LGPD), art. 7º, caput e §§ 3º a 7º texto oficial ↗
Art. 7º O tratamento de dados pessoais somente poderá ser realizado nas seguintes hipóteses:
I - mediante o fornecimento de consentimento pelo titular;
II - para o cumprimento de obrigação legal ou regulatória pelo controlador;
III - pela administração pública, para o tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres, observadas as disposições do Capítulo IV desta Lei;
IV - para a realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais;
V - quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados;
VI - para o exercício regular de direitos em processo judicial, administrativo ou arbitral, esse último nos termos da Lei nº 9.307, de 23 de setembro de 1996 (Lei de Arbitragem);
VII - para a proteção da vida ou da incolumidade física do titular ou de terceiro;
VIII - para a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária;
IX - quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais; ou
X - para a proteção do crédito, inclusive quanto ao disposto na legislação pertinente.
§ 3º O tratamento de dados pessoais cujo acesso é público deve considerar a finalidade, a boa-fé e o interesse público que justificaram sua disponibilização.
§ 4º É dispensada a exigência do consentimento previsto no caput deste artigo para os dados tornados manifestamente públicos pelo titular, resguardados os direitos do titular e os princípios previstos nesta Lei.
§ 5º O controlador que obteve o consentimento referido no inciso I do caput deste artigo que necessitar comunicar ou compartilhar dados pessoais com outros controladores deverá obter consentimento específico do titular para esse fim, ressalvadas as hipóteses de dispensa do consentimento previstas nesta Lei.
§ 6º A eventual dispensa da exigência do consentimento não desobriga os agentes de tratamento das demais obrigações previstas nesta Lei, especialmente da observância dos princípios gerais e da garantia dos direitos do titular.
§ 7º O tratamento posterior dos dados pessoais a que se referem os §§ 3º e 4º deste artigo poderá ser realizado para novas finalidades, desde que observados os propósitos legítimos e específicos para o novo tratamento e a preservação dos direitos do titular, assim como os fundamentos e os princípios previstos nesta Lei.
Planalto, texto compilado, baixado em 20/10/2026.
Lei 13.709/2018 (LGPD), art. 11 texto oficial ↗
Art. 11. O tratamento de dados pessoais sensíveis somente poderá ocorrer nas seguintes hipóteses:
I - quando o titular ou seu responsável legal consentir, de forma específica e destacada, para finalidades específicas;
II - sem fornecimento de consentimento do titular, nas hipóteses em que for indispensável para:
a) cumprimento de obrigação legal ou regulatória pelo controlador;
b) tratamento compartilhado de dados necessários à execução, pela administração pública, de políticas públicas previstas em leis ou regulamentos;
c) realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais sensíveis;
d) exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral, este último nos termos da Lei nº 9.307, de 23 de setembro de 1996 (Lei de Arbitragem);
e) proteção da vida ou da incolumidade física do titular ou de terceiro;
f) tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária; ou
g) garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos, resguardados os direitos mencionados no art. 9º desta Lei e exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais.
§ 1º Aplica-se o disposto neste artigo a qualquer tratamento de dados pessoais que revele dados pessoais sensíveis e que possa causar dano ao titular, ressalvado o disposto em legislação específica.
§ 2º Nos casos de aplicação do disposto nas alíneas “a” e “b” do inciso II do caput deste artigo pelos órgãos e pelas entidades públicas, será dada publicidade à referida dispensa de consentimento, nos termos do inciso I do caput do art. 23 desta Lei.
§ 3º A comunicação ou o uso compartilhado de dados pessoais sensíveis entre controladores com objetivo de obter vantagem econômica poderá ser objeto de vedação ou de regulamentação por parte da autoridade nacional, ouvidos os órgãos setoriais do Poder Público, no âmbito de suas competências.
§ 4º É vedada a comunicação ou o uso compartilhado entre controladores de dados pessoais sensíveis referentes à saúde com objetivo de obter vantagem econômica, exceto nas hipóteses relativas a prestação de serviços de saúde, de assistência farmacêutica e de assistência à saúde, desde que observado o § 5º deste artigo, incluídos os serviços auxiliares de diagnose e terapia, em benefício dos interesses dos titulares de dados, e para permitir:
I - a portabilidade de dados quando solicitada pelo titular; ou
II - as transações financeiras e administrativas resultantes do uso e da prestação dos serviços de que trata este parágrafo.
§ 5º É vedado às operadoras de planos privados de assistência à saúde o tratamento de dados de saúde para a prática de seleção de riscos na contratação de qualquer modalidade, assim como na contratação e exclusão de beneficiários.
Planalto, texto compilado, baixado em 20/10/2026.
Lei 13.709/2018 (LGPD), art. 33 texto oficial ↗
Art. 33. A transferência internacional de dados pessoais somente é permitida nos seguintes casos:
I - para países ou organismos internacionais que proporcionem grau de proteção de dados pessoais adequado ao previsto nesta Lei;
II - quando o controlador oferecer e comprovar garantias de cumprimento dos princípios, dos direitos do titular e do regime de proteção de dados previstos nesta Lei, na forma de:
a) cláusulas contratuais específicas para determinada transferência;
b) cláusulas-padrão contratuais;
c) normas corporativas globais;
d) selos, certificados e códigos de conduta regularmente emitidos;
III - quando a transferência for necessária para a cooperação jurídica internacional entre órgãos públicos de inteligência, de investigação e de persecução, de acordo com os instrumentos de direito internacional;
IV - quando a transferência for necessária para a proteção da vida ou da incolumidade física do titular ou de terceiro;
V - quando a autoridade nacional autorizar a transferência;
VI - quando a transferência resultar em compromisso assumido em acordo de cooperação internacional;
VII - quando a transferência for necessária para a execução de política pública ou atribuição legal do serviço público, sendo dada publicidade nos termos do inciso I do caput do art. 23 desta Lei;
VIII - quando o titular tiver fornecido o seu consentimento específico e em destaque para a transferência, com informação prévia sobre o caráter internacional da operação, distinguindo claramente esta de outras finalidades; ou
IX - quando necessário para atender as hipóteses previstas nos incisos II, V e VI do art. 7º desta Lei.
Planalto, texto compilado, baixado em 20/10/2026.
CF, art. 5º, X, XII e LXXIX texto oficial ↗
Por que juntos: Os incisos X e XII são a base de que o STF extraiu o direito antes da emenda; o inciso LXXIX é o texto que a EC 115/2022 escreveu.
Art. 5º Todos são iguais perante a lei, sem distinção de qualquer natureza, garantindo-se aos brasileiros e aos estrangeiros residentes no País a inviolabilidade do direito à vida, à liberdade, à igualdade, à segurança e à propriedade, nos termos seguintes:
X - são invioláveis a intimidade, a vida privada, a honra e a imagem das pessoas, assegurado o direito a indenização pelo dano material ou moral decorrente de sua violação;
XII - é inviolável o sigilo da correspondência e das comunicações telegráficas, de dados e das comunicações telefônicas, salvo, no último caso, por ordem judicial, nas hipóteses e na forma que a lei estabelecer para fins de investigação criminal ou instrução processual penal;
LXXIX - é assegurado, nos termos da lei, o direito à proteção dos dados pessoais, inclusive nos meios digitais.
Planalto, texto compilado, baixado em 20/10/2026.
CF, art. 21, XXVI texto oficial ↗
Art. 21. Compete à União:
XXVI - organizar e fiscalizar a proteção e o tratamento de dados pessoais, nos termos da lei.
Planalto, texto compilado, baixado em 20/10/2026.
CF, art. 22, XXX texto oficial ↗
Art. 22. Compete privativamente à União legislar sobre:
XXX - proteção e tratamento de dados pessoais.
Planalto, texto compilado, baixado em 20/10/2026.
Lei 13.709/2018 (LGPD), art. 1º texto oficial ↗
Art. 1º Esta Lei dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural.
Parágrafo único. As normas gerais contidas nesta Lei são de interesse nacional e devem ser observadas pela União, Estados, Distrito Federal e Municípios.
Planalto, texto compilado, baixado em 20/10/2026.
Lei 13.709/2018 (LGPD), art. 2º texto oficial ↗
Art. 2º A disciplina da proteção de dados pessoais tem como fundamentos:
I - o respeito à privacidade;
II - a autodeterminação informativa;
III - a liberdade de expressão, de informação, de comunicação e de opinião;
IV - a inviolabilidade da intimidade, da honra e da imagem;
V - o desenvolvimento econômico e tecnológico e a inovação;
VI - a livre iniciativa, a livre concorrência e a defesa do consumidor; e
VII - os direitos humanos, o livre desenvolvimento da personalidade, a dignidade e o exercício da cidadania pelas pessoas naturais.
Planalto, texto compilado, baixado em 20/10/2026.
Lei 13.709/2018 (LGPD), art. 3º texto oficial ↗
Art. 3º Esta Lei aplica-se a qualquer operação de tratamento realizada por pessoa natural ou por pessoa jurídica de direito público ou privado, independentemente do meio, do país de sua sede ou do país onde estejam localizados os dados, desde que:
I - a operação de tratamento seja realizada no território nacional;
II - a atividade de tratamento tenha por objetivo a oferta ou o fornecimento de bens ou serviços ou o tratamento de dados de indivíduos localizados no território nacional; ou
III - os dados pessoais objeto do tratamento tenham sido coletados no território nacional.
§ 1º Consideram-se coletados no território nacional os dados pessoais cujo titular nele se encontre no momento da coleta.
§ 2º Excetua-se do disposto no inciso I deste artigo o tratamento de dados previsto no inciso IV do caput do art. 4º desta Lei.
Planalto, texto compilado, baixado em 20/10/2026.
Lei 13.709/2018 (LGPD), art. 8º texto oficial ↗
Art. 8º O consentimento previsto no inciso I do art. 7º desta Lei deverá ser fornecido por escrito ou por outro meio que demonstre a manifestação de vontade do titular.
§ 1º Caso o consentimento seja fornecido por escrito, esse deverá constar de cláusula destacada das demais cláusulas contratuais.
§ 2º Cabe ao controlador o ônus da prova de que o consentimento foi obtido em conformidade com o disposto nesta Lei.
§ 3º É vedado o tratamento de dados pessoais mediante vício de consentimento.
§ 4º O consentimento deverá referir-se a finalidades determinadas, e as autorizações genéricas para o tratamento de dados pessoais serão nulas.
§ 5º O consentimento pode ser revogado a qualquer momento mediante manifestação expressa do titular, por procedimento gratuito e facilitado, ratificados os tratamentos realizados sob amparo do consentimento anteriormente manifestado enquanto não houver requerimento de eliminação, nos termos do inciso VI do caput do art. 18 desta Lei.
§ 6º Em caso de alteração de informação referida nos incisos I, II, III ou V do art. 9º desta Lei, o controlador deverá informar ao titular, com destaque de forma específica do teor das alterações, podendo o titular, nos casos em que o seu consentimento é exigido, revogá-lo caso discorde da alteração.
Planalto, texto compilado, baixado em 20/10/2026.
Lei 13.709/2018 (LGPD), art. 10 texto oficial ↗
Art. 10. O legítimo interesse do controlador somente poderá fundamentar tratamento de dados pessoais para finalidades legítimas, consideradas a partir de situações concretas, que incluem, mas não se limitam a:
I - apoio e promoção de atividades do controlador; e
II - proteção, em relação ao titular, do exercício regular de seus direitos ou prestação de serviços que o beneficiem, respeitadas as legítimas expectativas dele e os direitos e liberdades fundamentais, nos termos desta Lei.
§ 1º Quando o tratamento for baseado no legítimo interesse do controlador, somente os dados pessoais estritamente necessários para a finalidade pretendida poderão ser tratados.
§ 2º O controlador deverá adotar medidas para garantir a transparência do tratamento de dados baseado em seu legítimo interesse.
§ 3º A autoridade nacional poderá solicitar ao controlador relatório de impacto à proteção de dados pessoais, quando o tratamento tiver como fundamento seu interesse legítimo, observados os segredos comercial e industrial.
Planalto, texto compilado, baixado em 20/10/2026.
Lei 13.709/2018 (LGPD), arts. 12 e 13 texto oficial ↗
Por que juntos: Os dois artigos definem as duas técnicas que a banca opõe: o art. 12 tira da lei o dado anonimizado (salvo reversão razoável), e o art. 13, § 4º, define a pseudonimização, que mantém o dado pessoal.
Art. 12. Os dados anonimizados não serão considerados dados pessoais para os fins desta Lei, salvo quando o processo de anonimização ao qual foram submetidos for revertido, utilizando exclusivamente meios próprios, ou quando, com esforços razoáveis, puder ser revertido.
§ 1º A determinação do que seja razoável deve levar em consideração fatores objetivos, tais como custo e tempo necessários para reverter o processo de anonimização, de acordo com as tecnologias disponíveis, e a utilização exclusiva de meios próprios.
§ 2º Poderão ser igualmente considerados como dados pessoais, para os fins desta Lei, aqueles utilizados para formação do perfil comportamental de determinada pessoa natural, se identificada.
§ 3º A autoridade nacional poderá dispor sobre padrões e técnicas utilizados em processos de anonimização e realizar verificações acerca de sua segurança, ouvido o Conselho Nacional de Proteção de Dados Pessoais.
Art. 13. Na realização de estudos em saúde pública, os órgãos de pesquisa poderão ter acesso a bases de dados pessoais, que serão tratados exclusivamente dentro do órgão e estritamente para a finalidade de realização de estudos e pesquisas e mantidos em ambiente controlado e seguro, conforme práticas de segurança previstas em regulamento específico e que incluam, sempre que possível, a anonimização ou pseudonimização dos dados, bem como considerem os devidos padrões éticos relacionados a estudos e pesquisas.
§ 1º A divulgação dos resultados ou de qualquer excerto do estudo ou da pesquisa de que trata o caput deste artigo em nenhuma hipótese poderá revelar dados pessoais.
§ 2º O órgão de pesquisa será o responsável pela segurança da informação prevista no caput deste artigo, não permitida, em circunstância alguma, a transferência dos dados a terceiro.
§ 3º O acesso aos dados de que trata este artigo será objeto de regulamentação por parte da autoridade nacional e das autoridades da área de saúde e sanitárias, no âmbito de suas competências.
§ 4º Para os efeitos deste artigo, a pseudonimização é o tratamento por meio do qual um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo, senão pelo uso de informação adicional mantida separadamente pelo controlador em ambiente controlado e seguro.
Planalto, texto compilado, baixado em 20/10/2026.
Lei 13.709/2018 (LGPD), arts. 15 e 16 texto oficial ↗
Por que juntos: O art. 15 diz quando o tratamento termina; o art. 16, o que se faz com os dados depois: eliminar, salvo as quatro conservações.
Art. 15. O término do tratamento de dados pessoais ocorrerá nas seguintes hipóteses:
I - verificação de que a finalidade foi alcançada ou de que os dados deixaram de ser necessários ou pertinentes ao alcance da finalidade específica almejada;
II - fim do período de tratamento;
III - comunicação do titular, inclusive no exercício de seu direito de revogação do consentimento conforme disposto no § 5º do art. 8º desta Lei, resguardado o interesse público; ou
IV - determinação da autoridade nacional, quando houver violação ao disposto nesta Lei.
Art. 16. Os dados pessoais serão eliminados após o término de seu tratamento, no âmbito e nos limites técnicos das atividades, autorizada a conservação para as seguintes finalidades:
I - cumprimento de obrigação legal ou regulatória pelo controlador;
II - estudo por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais;
III - transferência a terceiro, desde que respeitados os requisitos de tratamento de dados dispostos nesta Lei; ou
IV - uso exclusivo do controlador, vedado seu acesso por terceiro, e desde que anonimizados os dados.
Planalto, texto compilado, baixado em 20/10/2026.
Lei 13.709/2018 (LGPD), art. 14 texto oficial ↗
Art. 14. O tratamento de dados pessoais de crianças e de adolescentes deverá ser realizado em seu melhor interesse, nos termos deste artigo e da legislação pertinente.
§ 1º O tratamento de dados pessoais de crianças deverá ser realizado com o consentimento específico e em destaque dado por pelo menos um dos pais ou pelo responsável legal.
§ 2º No tratamento de dados de que trata o § 1º deste artigo, os controladores deverão manter pública a informação sobre os tipos de dados coletados, a forma de sua utilização e os procedimentos para o exercício dos direitos a que se refere o art. 18 desta Lei.
§ 3º Poderão ser coletados dados pessoais de crianças sem o consentimento a que se refere o § 1º deste artigo quando a coleta for necessária para contatar os pais ou o responsável legal, utilizados uma única vez e sem armazenamento, ou para sua proteção, e em nenhum caso poderão ser repassados a terceiro sem o consentimento de que trata o § 1º deste artigo.
§ 4º Os controladores não deverão condicionar a participação dos titulares de que trata o § 1º deste artigo em jogos, aplicações de internet ou outras atividades ao fornecimento de informações pessoais além das estritamente necessárias à atividade.
§ 5º O controlador deve realizar todos os esforços razoáveis para verificar que o consentimento a que se refere o § 1º deste artigo foi dado pelo responsável pela criança, consideradas as tecnologias disponíveis.
§ 6º As informações sobre o tratamento de dados referidas neste artigo deverão ser fornecidas de maneira simples, clara e acessível, consideradas as características físico-motoras, perceptivas, sensoriais, intelectuais e mentais do usuário, com uso de recursos audiovisuais quando adequado, de forma a proporcionar a informação necessária aos pais ou ao responsável legal e adequada ao entendimento da criança.
Planalto, texto compilado, baixado em 20/10/2026.
Lei 15.211/2025 (Estatuto Digital da Criança e do Adolescente), arts. 13, 22 e 26 texto oficial ↗
Por que juntos: Os três artigos são as regras de dados do estatuto: o dado da verificação de idade só serve a ela, e o perfil da criança ou do adolescente não serve à publicidade.
Art. 13. Os dados coletados para a verificação de idade de crianças e de adolescentes poderão ser utilizados unicamente para essa finalidade, vedado seu tratamento para qualquer outro propósito.
Art. 22. Para além das demais disposições desta Lei, é vedada a utilização de técnicas de perfilamento para direcionamento de publicidade comercial a crianças e a adolescentes, bem como o emprego de análise emocional, de realidade aumentada, de realidade estendida e de realidade virtual para esse fim.
Art. 26. É vedada a criação de perfis comportamentais de usuários crianças e adolescentes a partir da coleta e do tratamento de seus dados pessoais, inclusive daqueles obtidos nos processos de verificação de idade, bem como de dados grupais e coletivos, para fins de direcionamento de publicidade comercial.
Planalto, texto compilado, baixado em 20/10/2026.
LC 105/2001, art. 6º texto oficial ↗
Art. 6º As autoridades e os agentes fiscais tributários da União, dos Estados, do Distrito Federal e dos Municípios somente poderão examinar documentos, livros e registros de instituições financeiras, inclusive os referentes a contas de depósitos e aplicações financeiras, quando houver processo administrativo instaurado ou procedimento fiscal em curso e tais exames sejam considerados indispensáveis pela autoridade administrativa competente.
Parágrafo único. O resultado dos exames, as informações e os documentos a que se refere este artigo serão conservados em sigilo, observada a legislação tributária.
Planalto, texto compilado, baixado em 20/10/2026.
Lei 8.078/1990 (CDC), art. 43 texto oficial ↗
Art. 43. O consumidor, sem prejuízo do disposto no art. 86, terá acesso às informações existentes em cadastros, fichas, registros e dados pessoais e de consumo arquivados sobre ele, bem como sobre as suas respectivas fontes.
§ 1° Os cadastros e dados de consumidores devem ser objetivos, claros, verdadeiros e em linguagem de fácil compreensão, não podendo conter informações negativas referentes a período superior a cinco anos.
§ 2° A abertura de cadastro, ficha, registro e dados pessoais e de consumo deverá ser comunicada por escrito ao consumidor, quando não solicitada por ele.
§ 3° O consumidor, sempre que encontrar inexatidão nos seus dados e cadastros, poderá exigir sua imediata correção, devendo o arquivista, no prazo de cinco dias úteis, comunicar a alteração aos eventuais destinatários das informações incorretas.
§ 4° Os bancos de dados e cadastros relativos a consumidores, os serviços de proteção ao crédito e congêneres são considerados entidades de caráter público.
§ 5° Consumada a prescrição relativa à cobrança de débitos do consumidor, não serão fornecidas, pelos respectivos Sistemas de Proteção ao Crédito, quaisquer informações que possam impedir ou dificultar novo acesso ao crédito junto aos fornecedores.
§ 6º Todas as informações de que trata o caput deste artigo devem ser disponibilizadas em formatos acessíveis, inclusive para a pessoa com deficiência, mediante solicitação do consumidor.
Planalto, texto compilado, baixado em 20/10/2026.
Lei 12.414/2011 (cadastro positivo), art. 3º, § 3º texto oficial ↗
§ 3º Ficam proibidas as anotações de:
I - informações excessivas, assim consideradas aquelas que não estiverem vinculadas à análise de risco de crédito ao consumidor; e
II - informações sensíveis, assim consideradas aquelas pertinentes à origem social e étnica, à saúde, à informação genética, à orientação sexual e às convicções políticas, religiosas e filosóficas.
Planalto, texto compilado, baixado em 20/10/2026.
| Súmula ou tema | Tese | Fonte |
|---|---|---|
| STJ, Tema 710○ | I - O sistema "credit scoring" é um método desenvolvido para avaliação do risco de concessão de crédito, a partir de modelos estatísticos, considerando diversas variáveis, com atribuição de uma pontuação ao consumidor avaliado (nota do risco de crédito). II - Essa prática comercial é lícita, estando autorizada pelo art. 5º, IV, e pelo art. 7º, I, da Lei n. 12.414/2011 (lei do cadastro positivo). III - Na avaliação do risco de crédito, devem ser respeitados os limites estabelecidos pelo sistema de proteção do consumidor no sentido da tutela da privacidade e da máxima transparência nas relações negociais, conforme previsão do CDC e da Lei n. 12.414/2011. IV - Apesar de desnecessário o consentimento do consumidor consultado, devem ser a ele fornecidos esclarecimentos, caso solicitados, acerca das fontes dos dados considerados (histórico de crédito), bem como as informações pessoais valoradas. V - O desrespeito aos limites legais na utilização do sistema "credit scoring", configurando abuso no exercício desse direito (art. 187 do CC), pode ensejar a responsabilidade objetiva e solidária do fornecedor do serviço, do responsável pelo banco de dados, da fonte e do consulente (art. 16 da Lei n. 12.414/2011) pela ocorrência de danos morais nas hipóteses de utilização de informações excessivas ou sensíveis (art. 3º, § 3º, I e II, da Lei n. 12.414/2011), bem como nos casos de comprovada recusa indevida de crédito pelo uso de dados incorretos ou desatualizados. | STJ, Segunda Seção, REsp 1.419.697/RS, Rel. Min. Paulo de Tarso Sanseverino, j. 12/11/2014 (repetitivo, Tema 710), Informativo 551. |
| STJ, Súmula 550○ | A utilização de escore de crédito, método estatístico de avaliação de risco que não constitui banco de dados, dispensa o consentimento do consumidor, que terá o direito de solicitar esclarecimentos sobre as informações pessoais valoradas e as fontes dos dados considerados no respectivo cálculo. | STJ, Segunda Seção, Súmula 550, j. 14/10/2015, DJe 19/10/2015. |
| STF, ADI 5.545 | É inconstitucional a lei estadual que preveja o arquivamento de materiais genéticos de nascituros e parturientes, em unidades de saúde, com o fim de realizar exames de DNA comparativo em caso de dúvida. | STF, Plenário, ADI 5.545/RJ, Rel. Min. Luiz Fux, j. 13/4/2023, Informativo 1090. |
| STF, ADI 6.561 (Tocantins) | É inconstitucional — por invadir a competência privativa da União para legislar sobre matéria penal e processual penal (CF/1988, art. 22, I), bem como por violar o Estado de direito, os direitos fundamentais e o sistema constitucional especial de proteção de dados — lei estadual que cria cadastro de usuários e dependentes de drogas, com informações concernentes ao registro de ocorrência policial, inclusive sobre reincidência. | STF, Plenário, ADI 6.561/TO, Rel. Min. Edson Fachin, j. 1/9/2023, Informativo 1106. |
| STF, Tema 225 | O art. 6º da LC 105/2001 não ofende o direito ao sigilo bancário, porque realiza a igualdade em relação aos cidadãos, por meio do princípio da capacidade contributiva, bem como estabelece requisitos objetivos e o translado do dever de sigilo da esfera bancária para a fiscal. | STF, Plenário, RE 601.314/SP, Rel. Min. Edson Fachin, j. 23/2/2016, repercussão geral, Tema 225, Informativo 815. |
| STF, ADI 5.729 | “É constitucional a vedação ao compartilhamento de informações prestadas pelos aderentes ao RERCT com os Estados, o Distrito Federal e os Municípios, bem como a equiparação da divulgação dessas informações à quebra do sigilo fiscal”. | STF, Plenário, ADI 5.729/DF, Rel. Min. Luís Roberto Barroso, j. 8/3/2021, Informativo 1.008. |
| STF, ADI 5.642 | É constitucional norma que permite, mesmo sem autorização judicial, que delegados de polícia e membros do Ministério Público requisitem de quaisquer órgãos do Poder Público ou de empresas da iniciativa privada o repasse de dados e informações cadastrais da vítima ou dos suspeitos em investigações sobre os crimes de cárcere privado, redução a condição análoga à de escravo, tráfico de pessoas, sequestro relâmpago, extorsão mediante sequestro e envio ilegal de criança ao exterior (CPP/1941, art. 13-A). | STF, Plenário, ADI 5.642/DF, Rel. Min. Edson Fachin, j. 18/4/2024, Informativo 1.133. Fonte oficial ↗ · Dizer o Direito, Info 1133 do STF (1) ↗ · Dizer o Direito, Info 1133 do STF (2) ↗ |
| STJ, Súmula 323○ | A inscrição do nome do devedor pode ser mantida nos serviços de proteção ao crédito até o prazo máximo de cinco anos, independentemente da prescrição da execução. | STJ, Súmula 323, Segunda Seção, aprovada em 23/11/2005; redação revista em 25/11/2009, Informativo 417. |
| STJ, Súmula 548○ | Incumbe ao credor a exclusão do registro da dívida em nome do devedor no cadastro de inadimplentes no prazo de cinco dias úteis, a partir do integral e efetivo pagamento do débito. | STJ, Súmula 548, Segunda Seção, aprovada em 14/10/2015, DJe 19/10/2015, Informativo 571. |
Julgados de Turma ilustram como o tribunal decide, mas não são regra: na prova, a premissa é a lei ou o precedente qualificado.
| Julgado | O que decidiu | Fonte |
|---|---|---|
| STJ, AgInt no REsp 2.122.804 | É desnecessário o consentimento prévio e expresso do consumidor para a disponibilização de informações em relatório de consulta com a finalidade de proteção ao crédito. | STJ, Quarta Turma, AgInt no REsp 2.122.804/SP, Rel. Min. Raul Araújo, j. 12/8/2024, Informativo 823. |
| STJ, REsp 2.092.096 (B3) | A LGPD e o Marco Civil da Internet são aplicáveis aos dados armazenados e transmitidos pela B3, no âmbito de plataforma virtual por ela mantida. | STJ, Terceira Turma, REsp 2.092.096/SP, Rel. Min. Nancy Andrighi, j. 12/12/2023, Informativo 799. |
| STJ, HC 879.757 | O fornecimento de perfil genético, nos termos do art. 9º-A da Lei de Execução Penal, não constitui violação do princípio da vedação à autoincriminação, configurando falta grave a recusa. | STJ, Sexta Turma, HC 879.757/GO, Rel. Min. Sebastião Reis Júnior, j. 20/8/2024, Informativo 822. |
| STJ, REsp 1.348.532 | É abusiva e ilegal cláusula prevista em contrato de prestação de serviços de cartão de crédito que autoriza o banco contratante a compartilhar dados dos consumidores com outras entidades financeiras ou mantenedoras de cadastros positivos e negativos de consumidores, sem que seja dada opção de discordar daquele compartilhamento. | STJ, Quarta Turma, REsp 1.348.532/SP, Rel. Min. Luis Felipe Salomão, j. 10/10/2017, Informativo 616. |
| STJ, REsp 2.056.285 | A notificação do consumidor acerca da inscrição de seu nome em cadastro restritivo de crédito exige o prévio envio de correspondência ao seu endereço, sendo vedada a notificação exclusiva por meio de e-mail ou mensagem de texto de celular (SMS). | STJ, Terceira Turma, REsp 2.056.285/RS, Rel. Min. Nancy Andrighi, j. 25/4/2023, Informativo 773. |
| STJ, REsp 2.063.145 | É válida a comunicação remetida por e-mail para fins de notificação do consumidor acerca da inscrição de seu nome em cadastro de inadimplentes, desde que comprovado o envio e entrega da comunicação ao servidor de destino. | STJ, Quarta Turma, REsp 2.063.145/RS, Rel. Min. Maria Isabel Gallotti, j. 14/3/2024, Informativo 808. |
| STJ, REsp 2.135.783 | Não há óbice para a imediata suspensão do perfil profissional de motorista de aplicativo que pratica ato suficientemente gravoso, com a possibilidade de posterior exercício de defesa visando ao recredenciamento. | STJ, Terceira Turma, REsp 2.135.783/DF, Rel. Min. Nancy Andrighi, j. 18/6/2024, Informativo 817. |
| STJ, HC 1.000.918 | A comunicação feita por profissional de saúde à autoridade policial de fatos protegidos pelo sigilo médico - notadamente em casos de aborto - constitui prova ilícita, contaminando, por derivação, todos os elementos de prova subsequentes. | STJ, Sexta Turma, HC 1.000.918/SP, Rel. Des. conv. Otávio de Almeida Toledo, j. 15/4/2026, Informativo 887. |
Seção ou Plenário sem tese fixada, ou órgão julgador a conferir: ajudam a entender o tema, mas não são precedente qualificado.
| Julgado | O que decidiu | Fonte |
|---|---|---|
| STF, ADI 6.387 MC-Ref | O cenário de urgência decorrente da crise sanitária deflagrada pela pandemia global da Covid-19 e a necessidade de formulação de políticas públicas que demandam dados específicos para o desenho dos diversos quadros de enfrentamento não podem ser invocados como pretextos para justificar investidas que enfraquecem direitos e atropelam garantias fundamentais consagradas na Constituição Federal. | STF, Plenário, ADI 6.387 MC-Ref/DF e outras, Rel. Min. Rosa Weber, j. 7/5/2020, Informativo 976. |
| STJ, RMS 61.302 | A determinação judicial de quebra de sigilo de dados informáticos estáticos (registros), relacionados à identificação de usuários que operaram em determinada área geográfica, suficientemente fundamentada, não ofende a proteção constitucional à privacidade e à intimidade. | STJ, Terceira Seção, RMS 61.302/RJ, Rel. Min. Rogerio Schietti Cruz, j. 26/8/2020 (Informativos 678 e 681). Fonte oficial ↗ · Dizer o Direito, Info 678 do STJ (1) ↗ · Dizer o Direito, Info 678 do STJ (2) ↗ |
Os pares que as bancas usam para construir alternativas erradas: o instituto, o vizinho com que se confunde, o critério que os separa e um exemplo.
| Instituto | Vizinho | O critério que separa | Exemplo | Onde caiu |
|---|---|---|---|---|
| Finalidade | Adequação | Propósito informado, ou compatibilidade com ele no contexto. | Informar que o CPF serve à nota fiscal é finalidade; usar o CPF só para a nota, e não para vender a lista, é adequação. | caiu no TJDFT (Cebraspe, 2023), q. 3 |
| Finalidade declarada de segurança pública | Finalidade exclusiva sob tutela pública | Só a segunda afasta a LGPD; o particular sem tutela está sob a lei. | Câmeras do consórcio de lojistas, sem convênio: LGPD incide. Câmeras operadas sob procedimento da Secretaria de Segurança: exclusão do art. 4º, III. | caiu no TJGO (FGV, 2026), q. 93 |
| Dado anonimizado | Dado pseudonimizado | O primeiro não é pessoal; o segundo continua. | «32% dos pacientes eram fumantes» é anonimizado; «paciente P-0193, fumante», com a chave do nome guardada à parte, é pseudonimizado. | caiu no TRF4 18º (Comissão do tribunal, 2022), q. 43 caiu no TJCE (FGV, 2025), q. 2 |
| Bases do art. 7º | Bases do art. 11 | O sensível não tem legítimo interesse nem proteção do crédito, e exige indispensabilidade. | O banco usa legítimo interesse para o antifraude com dados comuns; para a biometria facial, precisa do art. 11, II, g, ou de consentimento destacado. | caiu no TRF6 (FGV, 2025), q. 89 caiu no TRF4 18º (Comissão do tribunal, 2022), q. 43 |
| Quebra do sigilo bancário | Translado do sigilo ao fisco | A primeira pede decisão judicial; o segundo decorre da LC 105/2001, art. 6º, com processo fiscal em curso e exame indispensável (Tema 225 do STF). | O delegado representa ao juiz pelos extratos do investigado; o auditor fiscal os requisita ao banco no curso da fiscalização e os guarda sob sigilo fiscal. | — |
| Dado sensível | Dado sigiloso | Sensível é o do rol do art. 5º, II; sigiloso é o coberto por dever legal de segredo. Uma coisa não implica a outra. | O extrato bancário é sigiloso e comum; a filiação sindical é sensível e não é coberta por sigilo legal. | — |
| Cadastro de inadimplentes | Cadastro positivo | O primeiro registra a dívida vencida, com notificação prévia e limite de cinco anos; o segundo, o histórico de adimplemento, aberto sem consentimento, com comunicação em trinta dias e direito de cancelamento. | A fatura atrasada vai ao primeiro, depois do aviso escrito; as contas pagas em dia alimentam o segundo e a nota de crédito. | — |
As 12 questões do banco ligadas aos tópicos, com o enunciado da prova. Escolha uma alternativa: o gabarito e a explicação de cada alternativa aparecem depois da resposta.
Respondidas: 0 de 12 · acertos: 0
caiu no TJDFT (Cebraspe, 2023), q. 3
De acordo com a Lei Geral de Proteção de Dados Pessoais, a compatibilidade do tratamento dos dados pessoais com as finalidades informadas ao titular, de acordo com o contexto do tratamento, consiste no princípio da
Correta: é a definição literal do art. 6º, II: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto.
instituto vizinho Finalidade (art. 6º, I) é o propósito legítimo, específico, explícito e informado; a compatibilidade com esse propósito é a adequação.
instituto vizinho Qualidade dos dados (art. 6º, V) é a exatidão, clareza, relevância e atualização dos dados.
instituto vizinho Transparência (art. 6º, VI) é a informação clara, precisa e acessível sobre o tratamento e os agentes.
instituto vizinho Segurança (art. 6º, VII) são as medidas técnicas e administrativas contra acessos não autorizados e incidentes.
Gabarito definitivo: A. Adequação e finalidade são vizinhas; a palavra «compatibilidade» decide.
caiu no TJGO (FGV, 2026), q. 93
Uma empresa privada especializada em soluções de monitoramento urbano celebrou contrato com um consórcio de comerciantes para operar um sistema de câmeras dotadas de tecnologia de reconhecimento facial em áreas de grande circulação de pessoas. O objetivo declarado do projeto é apoiar ações de segurança pública, mediante a identificação de indivíduos supostamente envolvidos em crimes patrimoniais, com o encaminhamento de alertas às forças policiais locais. O sistema é integralmente gerido pela empresa privada, que define os critérios técnicos de coleta, comparação e armazenamento dos dados biométricos, inexistindo convênio formal com o ente público responsável pela segurança ou procedimento específico sob sua tutela institucional. À luz das disposições da Lei Geral de Proteção de Dados (LGPD), o tratamento de dados pessoais descrito no caso deve ser enquadrado como:
Correta: a exclusão do art. 4º, III, exige finalidade exclusiva e, para a pessoa de direito privado, procedimento sob tutela de pessoa jurídica de direito público (§ 2º); sem convênio nem tutela, a empresa está sob a LGPD.
generalização indevida A finalidade declarada de segurança pública não basta: o particular sem tutela estatal não se beneficia da exclusão.
generalização indevida O apoio privado a atividade estatal só fica fora da lei quando sob tutela de pessoa jurídica de direito público, o que o caso nega.
deslocamento de competência Desloca o caso para uma legislação de segurança pública que nem existe para o particular sem tutela; a natureza do agente é justamente o que decide.
generalização indevida A vedação do § 2º alcança exatamente o particular; não há exclusão «excepcional» para prevenção de infrações em espaço público.
Gabarito definitivo: A. O caso testa a palavra «exclusivos» e a vedação ao particular sem tutela estatal.
caiu no TRF1 (FGV, 2025), q. 94
Uma organização da sociedade civil, que tem entre seus objetivos o de defender as vítimas de persecução ilícita praticada por quaisquer estruturas estatais de poder, decidiu ingressar em juízo com ação coletiva, em defesa dos seus associados, visando ao reconhecimento da ilicitude do uso de dados pessoais, em processos de responsabilização individual, nas distintas instâncias existentes, à margem dos balizamentos estabelecidos pela Lei Geral de Proteção dos Dados Pessoais (LGPD). O magistrado competente, ao analisar o processo, concluiu corretamente, à luz da LGPD, que:
Correta: o tratamento para investigação e repressão de infrações penais fica fora da LGPD (art. 4º, III, d) e será regido por legislação específica (§ 1º).
generalização indevida A tutela coletiva dos titulares é admitida pela própria LGPD (art. 22); a natureza personalíssima do dado não impede a ação coletiva.
generalização indevida Cria vedação absoluta que a lei não prevê: o uso de dados em responsabilização segue as regras próprias de cada instância.
instituto vizinho Generaliza a exigência de autorização judicial e aplica a LGPD a todas as instâncias, inclusive a penal, que ela exclui.
instituto vizinho Mistura a exclusão penal com exigência genérica de autorização judicial que a LGPD não cria.
Gabarito definitivo: A. A exceção penal é a regra que a banca quer: fora da LGPD, sob legislação própria e o devido processo.
caiu no TJES (FGV, 2023), q. 4
Sobre a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018), é correto afirmar que:
generalização indevida O art. 11, II, admite tratamento de dado sensível sem consentimento em sete hipóteses; a autorização do titular é uma das bases, não a única.
Correta: é a letra do art. 12, § 2º: podem ser considerados dados pessoais os utilizados para formação do perfil comportamental de determinada pessoa natural, se identificada.
generalização indevida A vedação do art. 26, § 1º, tem exceções: execução descentralizada de atividade pública, dados acessíveis publicamente, previsão legal ou contrato e convênio, prevenção de fraudes e segurança do titular.
instituto vizinho Quem indica o encarregado é o controlador, não o operador (art. 41, caput); a divulgação pública da identidade e do contato do encarregado está certa (§ 1º).
transplante de prazo A lei não fixa 48 horas: a comunicação do incidente se faz em prazo razoável, conforme definido pela autoridade nacional (art. 48, § 1º).
Gabarito definitivo: B. Quatro iscas espalhadas pela lei; a correta é a letra do art. 12, § 2º, que estende o conceito de dado pessoal ao perfil comportamental.
caiu no TJSC (FGV, 2025), q. 98
João tomou conhecimento de que dados genômicos afetos à sua pessoa, colhidos por um laboratório especializado a partir de autorização sua e que continham informações relativas à sequência de moléculas em seus genes, estavam em poder do Ministério Público, encontrando-se encartados em procedimento de investigação criminal em tramitação. Oobjetivo da investigação era o de apurar a autoria de crime contra a liberdade sexual. Ao analisar a Lei Geral de Proteção de Dados Pessoais (LGPD), João concluiu corretamente que, por serem:
instituto vizinho O dado genético é sensível (art. 5º, II), mas o regime do sensível não governa a investigação criminal, que a lei exclui (art. 4º, III, d).
Correta: o tratamento para atividades de investigação e repressão de infrações penais não é disciplinado pela LGPD (art. 4º, III, d) e será regido por legislação específica (§ 1º).
instituto vizinho O dado genético é dado pessoal, e sensível (art. 5º, II); o que afasta a LGPD é a finalidade do tratamento, não a natureza do dado.
generalização indevida A LGPD não cria exigência de autorização judicial prévia, nem procedimento próprio, para a obtenção de dados pessoais; e aqui a lei nem incide.
generalização indevida Não há na LGPD condição geral de autorização judicial para o tratamento por órgão estatal; a investigação criminal está fora da lei (art. 4º, III, d).
Gabarito definitivo: B. A exclusão olha a finalidade, não o dado: mesmo o dado genético sai da LGPD quando tratado na investigação criminal.
caiu no TRF4 18º (Comissão do tribunal, 2022), q. 43
Assinale a alternativa CORRETA. Nos termos da Lei Geral de Proteção de Dados (Lei nº 13.709/2018):
generalização indevida O art. 11, II, traz sete hipóteses de tratamento de dado sensível sem consentimento.
instituto vizinho Só o anonimizado deixa de ser dado pessoal (art. 12); o pseudonimizado continua pessoal, porque o controlador pode reidentificar (art. 13, § 4º).
Correta: é a letra do art. 16, III: conservação para transferência a terceiro, desde que respeitados os requisitos de tratamento.
generalização indevida Só o incidente que possa acarretar risco ou dano relevante aos titulares deve ser comunicado (art. 48).
inversão de regra e exceção Inverte os papéis: é o operador que trata segundo as instruções do controlador, e este verifica a observância (art. 39).
Gabarito definitivo: C. Quatro iscas de generalização ou inversão; a correta é a letra do art. 16.
caiu no TJMG (Consulplan, 2026), q. 4
Nos termos da Lei nº 13.709/2018 – Lei Geral de Proteção de Dados Pessoais, assinale a afirmativa correta.
Correta: é a letra do art. 16, caput e I: eliminação após o término do tratamento, autorizada a conservação para cumprimento de obrigação legal ou regulatória pelo controlador.
inversão de regra e exceção A transferência internacional é permitida quando necessária para a proteção da vida ou da incolumidade física do titular ou de terceiro (art. 33, IV).
inversão de regra e exceção Os estudos por órgão de pesquisa são base legal expressa, garantida, sempre que possível, a anonimização (art. 7º, IV).
generalização indevida O art. 14, § 1º, fala de crianças e exige o consentimento de pelo menos um dos pais ou do responsável legal; o § 3º admite coleta sem ele para contatar os pais ou para a proteção da criança.
Gabarito preliminar: A. A correta é a letra do art. 16; as erradas negam exceções expressas (arts. 33, IV, e 7º, IV) ou endurecem o art. 14. Gabarito preliminar A: o banco não traz o definitivo.
caiu no TJSC (FGV, 2024), q. 7
Baptista cadastrou-se em aplicativo de caronas para prestar serviço como motorista. Em pouco tempo, logrou avaliação elevada pelos passageiros, a ponto de começar a priorizar apenas corridas que lhe rendessem mais. Assim, muitas vezes forçava o cancelamento, atrasando a chegada ao ponto de encontro. Oalgoritmo, então, identificou essa conduta, que infringia o regulamento, e, imediatamente, notificou-o do desligamento. À luz da jurisprudência mais recente do Superior Tribunal de Justiça, nesse caso a decisão automatizada da plataforma é:
instituto vizinho A relação entre motorista e plataforma é civil e paritária, não de consumo; o CDC não rege o descredenciamento.
generalização indevida O STJ admite a suspensão imediata do perfil por ato grave, com defesa posterior; não exige contraditório prévio em toda relação civil paritária.
generalização indevida A possibilidade de impugnar não depende do regulamento: decorre da lei, que garante a revisão de decisão tomada unicamente por tratamento automatizado (art. 20).
Correta: prevalecem a liberdade negocial e a alocação de riscos da relação civil paritária, mas a decisão automatizada que afeta o perfil profissional comporta revisão (art. 20); o STJ admitiu a suspensão imediata com defesa posterior.
instituto vizinho Os dados de conduta do motorista são pessoais, não sensíveis (art. 5º, II), e o tratamento automatizado não depende de consentimento prévio (art. 7º).
Gabarito definitivo: D. Liberdade negocial de um lado, revisão da decisão automatizada do outro: a correta junta os dois. Base: STJ, Terceira Turma, REsp 2.135.783/DF, Rel. Min. Nancy Andrighi, j. 18/6/2024, Informativo 817 (julgado de Turma).
caiu no TJCE (FGV, 2025), q. 2
Uma rede privada de hospitais firmou contrato com uma sociedade empresária para implementar um sistema de inteligência artificial destinado a analisar exames laboratoriais de pacientes. A empresa de tecnologia, com sede no Brasil e controlada por um grupo estrangeiro, passou a receber dados dos pacientes, inclusive dados sensíveis de saúde, para treinar o algoritmo, armazenando-os em servidores situados na Europa. O hospital não se comunicou previamente com os titulares dos dados sobre essa nova finalidade, tampouco obteve consentimento específico. Depois da investigação instaurada pela Autoridade Nacional de Proteção de Dados (ANPD), apurou-se que os dados estavam sendo usados sem anonimização adequada e sem a adoção de medidas de segurança compatíveis com seu grau de sensibilidade. Com base na Lei Geral de Proteção de Dados Pessoais (LGPD), assinale a afirmativa correta.
generalização indevida O operador também responde, solidariamente, quando descumpre a lei (art. 42, § 1º, I), e a falta de segurança e de base legal já é violação, haja ou não compartilhamento com terceiros.
Correta: o dado de saúde foi usado para nova finalidade sem consentimento específico e destacado nem outra hipótese do art. 11, e sem anonimização e segurança compatíveis: infração grave.
instituto vizinho A transferência internacional exige uma das hipóteses do art. 33 (país com proteção adequada reconhecida, garantias contratuais, consentimento específico e outras); «legislação semelhante» não é hipótese.
generalização indevida A exclusão do art. 4º, II, b, é para fins exclusivamente acadêmicos, e mesmo ela manda aplicar os arts. 7º e 11; o dado pseudonimizado continua pessoal.
generalização indevida O operador não é isento: responde solidariamente quando descumpre a lei ou as instruções lícitas do controlador.
Gabarito definitivo: B. O caso reúne quatro regras: base específica, segurança, transferência internacional e responsabilidade do operador.
caiu no TRF6 (FGV, 2025), q. 89
A base de dados afeta a determinado coletivo, contendo dados pessoais sensíveis dos indivíduos que o integram, está sob a administração de um órgão da Administração Pública Direta da União. Certo órgão de pesquisa almejava usar os referidos dados, que considerava indispensáveis para a realização de um estudo, o que importaria no seu correlato tratamento. Na situação descrita, à luz da Lei Geral de Proteção de Dados Pessoais (LGPD), é correto afirmar que o referido tratamento
generalização indevida O art. 11, II, c, autoriza o tratamento de dado sensível por órgão de pesquisa.
inversão de regra e exceção A alínea c é hipótese sem consentimento: exigi-lo inverte a regra.
Correta: art. 11, II, c: estudos por órgão de pesquisa, sem consentimento, garantida, sempre que possível, a anonimização.
generalização indevida A anonimização é garantida «sempre que possível», e não condição absoluta; e a lei não restringe as modalidades de tratamento.
instituto vizinho Cria condição que a lei não prevê: a dispensa do consentimento não depende de aviso dado na coleta.
Gabarito definitivo: C. «Sempre que possível» é a expressão que a banca torce.
caiu no TJMG (Consulplan, 2026), q. 94
O direito à privacidade nasce simbolicamente em 1890, quando se publica, na Havard Law Review, o ensaio The right to privacy, de autoria de Samuel Warren e Louis Brandeis. Otrabalho foi uma reação ao exagero da imprensa em divulgar mexericos do salão a respeito da mulher de Samuel Warren, que, também, era filha de um senador, Louis Brandeis que foi, posteriormente, influente integrante da Suprema Corte dos Estados Unidos. No ensaio, desenvolveu-se o significado e importância da expressão do direito de ser deixado em paz – right to be let alone. Ao examinar alguns precedentes judiciais, referentes à propriedade, direitos autorais e difamação, os autores concluíram que se poderia extrair das decisões um direito geral à privacidade. (Desembargador Leonardo Roscoe Bessa. Disponível em https://www.tjdft.jus.br/institucional/imprensa/campanhas-e-produtos/artigos-discursos-e-Sobre a Lei Geral de Proteção de Dados Pessoais – Lei nº 13.709/2018, assinale a afirmativa correta.
generalização indevida O art. 1º diz «inclusive nos meios digitais»: a lei alcança também o dado em papel.
instituto vizinho Anonimização, consentimento, eliminação e uso compartilhado são conceitos do art. 5º, não princípios; e o art. 6º manda observar todos os dez princípios, não alguns.
Correta: é a letra do art. 5º, II, com o rol completo do dado pessoal sensível.
inversão de regra e exceção A administração pública tem base própria para tratar dados na execução de políticas públicas (art. 7º, III), sem autorização judicial nem procuração.
Gabarito preliminar: C. O texto de abertura sobre a privacidade é moldura; a questão cobra a letra do art. 5º, II. Gabarito preliminar C: o banco não traz o definitivo.
caiu no TJSC (FGV, 2025), q. 9
Uma startup de tecnologia da informação passou a oferecer serviços de escaneamento da íris a seus usuários que, então, poderiam optar por vender seus dados para aperfeiçoamento do programa ou apenas utilizá-los para reforço de transações mediante autenticação biométrica. Nesse caso, é correto afirmar que os dados biométricos da íris:
instituto vizinho A LGPD não traz vedação expressa à cessão onerosa de dado biométrico; a vedação de compartilhar para obter vantagem econômica é só para dados de saúde (art. 11, § 4º), e para os demais a autoridade nacional pode vedar ou regulamentar (§ 3º).
generalização indevida Os direitos da personalidade admitem limitação voluntária, e a autenticação biométrica tem base expressa (art. 11, II, g); nenhum dos dois usos é ilícito por si.
instituto vizinho O dado biométrico é sensível por definição legal (art. 5º, II).
Correta: o dado biométrico é sensível (art. 5º, II), e nem a LGPD nem a disciplina dos direitos da personalidade trazem regra específica que vede os dois serviços, que seguem as cautelas do tratamento de dado sensível.
instituto vizinho Erra a premissa: o dado biométrico é sensível (art. 5º, II).
Gabarito definitivo: D. A correta tem uma imprecisão: a autodeterminação informativa é fundamento da lei (art. 2º, II), não princípio do art. 6º. As outras erram no núcleo (dado não sensível ou vedação que a lei não traz).
O banco ainda não tem questão escrita com o núcleo neste capítulo.
Perguntas de provas orais reais ou simuladas, reunidas como norte de estudo: mostram como a banca costuma transformar o tema em arguição. Antes de abrir a resposta, tente responder mentalmente ou, melhor, em voz alta, como na sala de prova; depois compare com a tese, o fundamento e a ressalva.
O último olhar antes da prova: o que mais cai, as confusões que a banca arma e as âncoras de memória.
Data de acesso de todas as fontes: 18/10/2026.
Questões e espelhos: 145 provas reunidas pelo curso. Leis: transcrição indicada em cada dispositivo, a conferir no Planalto quando marcada com ○. Julgados: base de jurisprudência do Togado e sítios oficiais.