LGPD II: Poder Público, agentes de tratamento e responsabilidade

A LGPD também vale para o Estado

A lei de proteção de dados é só para empresas? Não. O art. 1º inclui expressamente a pessoa jurídica de direito público, e o Capítulo IV (arts. 23 a 32) dá ao Poder Público um regime próprio¹. O Estado é, aliás, o maior controlador do País: cadastro eleitoral, prontuário do SUS, declaração do imposto de renda, processo judicial.

A chave do regime é a finalidade pública. O órgão só trata dados para executar as suas competências legais ou cumprir as atribuições do serviço público, e precisa informar em quais hipóteses o faz, com a previsão legal, a finalidade e os procedimentos, de preferência no próprio sítio eletrônico (art. 23, I). Exemplo: a prefeitura publica, na página de transparência, que usa o CPF dos contribuintes para lançar o IPTU e com quem o compartilha.

A base legal típica do Estado não é o consentimento, mas o cumprimento de obrigação legal e a execução de políticas públicas (art. 7º, II e III). O cidadão não «consente» em pagar imposto. Para o dado sensível, a política pública precisa estar prevista em lei ou regulamento (art. 11, II, b).

A finalidade pública limita o Estado duas vezes. Primeiro, pela competência: o órgão só trata o dado de que precisa para a atribuição que a lei lhe deu. Depois, pelos princípios do art. 6º, que valem para ele como para qualquer controlador: o dado colhido para um fim não migra para outro incompatível, e só se colhe o necessário. Exemplo: a secretaria de educação precisa do endereço do estudante para definir a escola da matrícula; não precisa, para isso, da religião da família.

Dois deveres de organização acompanham o regime. O órgão divulga as hipóteses de tratamento em veículos de fácil acesso, de preferência no sítio eletrônico (art. 23, I), e indica encarregado (art. 23, III). Um detalhe de letra: o inciso III remete ao art. 39, mas a disciplina do encarregado está no art. 41. A autoridade nacional pode dispor sobre as formas dessa publicidade (art. 23, § 1º).

Quem conta como Poder Público para a LGPD? A resposta depende da função, e não só da natureza da pessoa:

Estatais e cartórios: o regime segue a função

Por que a mesma empresa pode ter dois regimes? Porque a lei olha a atividade, e não o nome da pessoa. O banco público que disputa clientes no mercado de crédito trata os dados como qualquer banco privado, sujeito inclusive à multa. Quando paga um benefício social, executa política pública e, no âmbito dessa execução, recebe o regime do Poder Público: finalidade pública, publicidade das hipóteses e as regras de uso compartilhado. A consequência prática aparece na sanção e na base legal do tratamento.

Os cartórios são delegação exercida em caráter privado, mas a LGPD os trata como Poder Público (art. 23, § 4º) e manda que forneçam à Administração acesso eletrônico aos dados, para as finalidades do caput (§ 5º). O registro civil e o registro de imóveis guardam bases inteiras da vida das pessoas; o regime público impede que essas bases sejam exploradas como ativo comercial do delegatário.

Os dois textos se completam. O titular lesado por um cartório, por exemplo pela entrega indevida de certidões a terceiros, pode demandar o Estado, sem discutir culpa. O delegatário responde pessoalmente por culpa ou dolo, com prescrição de três anos contados da lavratura do ato, e é contra ele que o Estado exerce o regresso.

Os direitos do titular diante do Estado

O cidadão tem, perante o órgão público, os mesmos direitos do art. 18: confirmação, acesso, correção. Muda o procedimento: os prazos e o rito vêm da legislação específica, em especial da Lei do Habeas Data, da Lei do Processo Administrativo e da Lei de Acesso à Informação (art. 23, § 3º). O órgão também não se livra de instituir as autoridades da Lei de Acesso por ter encarregado (art. 23, § 2º).

O habeas data é a via judicial própria para conhecer e retificar dados sobre a pessoa do impetrante em bancos de entidades governamentais ou de caráter público, categoria que alcança o banco privado cujas informações são transmitidas a terceiros, como o cadastro de proteção ao crédito. A inicial exige prova da recusa ou do silêncio da entidade: mais de dez dias sem decisão sobre o acesso, mais de quinze sobre a retificação (Lei 9.507/1997, art. 8º, parágrafo único). Sem pedido administrativo prévio, falta interesse de agir.

O uso compartilhado entre órgãos públicos

Uso compartilhado é a comunicação, a transferência ou o tratamento conjunto de bancos de dados entre órgãos públicos, ou entre eles e particulares (art. 5º, XVI). Entre órgãos, a lei o incentiva: os dados devem estar em formato interoperável, isto é, legível por outros sistemas, e o compartilhamento atende a finalidades específicas de políticas públicas e atribuição legal, respeitados os princípios do art. 6º.

Lima e Baronovsky dão exemplos de políticas públicas que justificam o tratamento: programas sociais e Cadastro Único, cotas raciais no acesso à universidade, prevenção ao uso de drogas². Quando o Poder Público compartilha dados para executá-las, o art. 26 entra junto.

O risco é a vigilância estatal. O Decreto 10.046/2019 criou o Cadastro Base do Cidadão, que cruza dados do registro civil, da Receita Federal e da previdência; Faleiros Júnior alertou que o cruzamento permite conhecer todas as esferas da vida do cidadão¹. O STF manteve o decreto, mas com interpretação conforme e parâmetros.

Os parâmetros funcionam como roteiro de controle. Diante de um ato de compartilhamento entre órgãos, o juiz pergunta, nesta ordem:

• Para quê? Finalidade legítima, específica e explícita, ligada a uma política pública ou atribuição legal de quem recebe (o INSS consulta o registro civil para cessar benefício de segurado falecido).
• É compatível? O uso novo precisa ser compatível com a finalidade que justificou a coleta (o cadastro escolar não serve à cobrança de tributos).
• É o mínimo? Só os campos necessários, e não a base inteira (o órgão de trânsito recebe o endereço, não o histórico médico).
• Foi publicado? A hipótese de compartilhamento consta da informação ao público do art. 23, I.
• Há controle? Segurança, registro de quem acessou e possibilidade de responsabilizar o agente que desviar o dado.

Aprofundamento A ADI 6.387 e o reconhecimento da proteção de dados como direito fundamental autônomo estão no capítulo 24, tópico 1. ir →

Fisco, polícia e Ministério Público: o dado requisitado ao particular

Situação diferente do compartilhamento entre órgãos é a do Estado que requisita dados guardados por empresas: bancos, operadoras de telefonia, plataformas. A linha do STF separa a quebra do sigilo, que expõe o dado e pede ordem judicial, da transferência do sigilo, em que a lei fixa requisitos objetivos e o órgão que recebe passa a ter o dever de guardá-lo. A requisição direta só vale dentro do que a norma autoriza.

A decisão sobre o IBGE é de Turma e anterior à vigência da LGPD; a regra segura está na própria lei: o uso compartilhado atende a finalidades específicas e respeita os princípios do art. 6º (art. 26, caput). Dado colhido sob promessa legal de sigilo e para um fim determinado não circula para fim incompatível, ainda que o destinatário também seja órgão público.

Aprofundamento O tratamento feito só para segurança pública, defesa nacional e investigação penal fica fora da LGPD (art. 4º, III), mas não fora da Constituição: as exceções do art. 4º estão no capítulo 24, tópico 1. ir →

Do Poder Público para o particular: arts. 26 e 27

A regra muda quando o dado sai do Estado para uma empresa. O art. 26, § 1º, veda a transferência de dados de bases públicas a entidades privadas, salvo cinco exceções. O art. 27 completa: toda comunicação ou uso compartilhado com pessoa de direito privado deve ser informado à autoridade nacional e depende do consentimento do titular, exceto em três situações¹.

• Dispensa legal de consentimento (art. 27, I): o Município envia à empresa contratada os dados necessários para cumprir uma obrigação legal.
• Uso compartilhado com publicidade (art. 27, II): o compartilhamento divulgado na forma do art. 23, I.
• Exceções do art. 26, § 1º (art. 27, III): execução descentralizada de atividade pública (a concessionária de transporte que recebe o cadastro do bilhete único), dado acessível publicamente, previsão legal ou contrato e convênio, e prevenção de fraudes ou proteção do titular.

A lei pede duas comunicações à autoridade nacional, e a banca as mistura. Os contratos e convênios que respaldam a transferência são comunicados (art. 26, § 2º); e toda comunicação ou uso compartilhado com pessoa de direito privado é informado (art. 27, caput), na forma de regulamento. A autoridade pode ainda editar normas complementares sobre essas atividades (art. 30).

O contrato ou convênio abre a exceção, mas não a esvazia. A transferência continua presa ao caput do art. 26, que exige finalidade específica de execução de política pública ou atribuição legal, e aos princípios do art. 6º. Convênio cujo objeto é interesse comercial do parceiro privado não atende a esse fim, por mais regular que seja a sua forma.

Quem fiscaliza o Poder Público e quem responde

Mais compartilhamento significa mais risco de vazamento, e daí a necessidade de fiscalização forte¹. A autoridade nacional pode pedir informações ao órgão, enviar informe com medidas para fazer cessar a violação e pedir a publicação do relatório de impacto. Ela não aplica multa ao órgão público, mas pode aplicar advertência, publicização, bloqueio, eliminação e suspensões (art. 52, § 3º).

Quais sanções alcançam o órgão público? Só as que não têm conteúdo pecuniário: advertência, publicização da infração, bloqueio e eliminação dos dados, suspensão do banco de dados ou da atividade e proibição do tratamento (art. 52, § 3º). As multas ficam fora. A lei acrescenta que isso não prejudica a responsabilidade pessoal do agente pelo estatuto dos servidores, pela Lei de Improbidade e pela Lei de Acesso à Informação: o órgão é advertido, e o servidor que vendeu o cadastro responde por si.

Para o Poder Público, as boas práticas do art. 50, facultativas na letra, são dever: Faleiros Júnior sustenta que o Estado não se exime da conformidade, porque está submetido à lei e tem a seu cargo a proteção de dois direitos fundamentais, a privacidade e a proteção de dados³. O mesmo dever acompanha o particular que executa a atividade pública por delegação.

E se o vazamento causa dano ao cidadão? O Estado responde objetivamente, pela regra da Constituição, com regresso contra o servidor que agiu com dolo ou culpa. O servidor pode ainda responder por improbidade, se houver dolo. Exemplo: a planilha de pacientes de um posto de saúde vaza por senha compartilhada; o Município indeniza e cobra do servidor negligente.

E quando o dano vem de ataque de terceiro ao sistema do órgão? A invasão não afasta, por si, o dever de indenizar. A pergunta é se o órgão adotou as medidas de segurança que a lei lhe impõe (art. 46): sem elas, o tratamento é irregular (art. 44, parágrafo único), e o dano se liga à falha do próprio serviço. Exemplo: o sistema da prefeitura que guardava senhas em texto aberto não transfere ao invasor a causa do vazamento.

Transparência e proteção de dados: a convivência com a Lei de Acesso

A LGPD convive com a Lei de Acesso à Informação. A transparência é a regra do Estado, mas a informação pessoal ligada à intimidade, à vida privada, à honra e à imagem tem acesso restrito, por até cem anos, aos agentes autorizados e ao próprio titular. A publicidade do salário do servidor é transparência; a divulgação do seu prontuário médico, não.

O critério que separa os dois campos é a ligação do dado com a função pública. O que o agente recebe, o cargo que ocupa e os atos que pratica dizem respeito ao gasto e ao exercício do poder. O que diz respeito à intimidade, à vida privada, à honra e à imagem (saúde, endereço, dependentes) fica restrito, e só se divulga com previsão legal ou consentimento expresso.

O consentimento é dispensado em cinco casos: tratamento médico de quem está incapaz, estatística e pesquisa de interesse público sem identificação da pessoa, ordem judicial, defesa de direitos humanos e interesse público e geral preponderante (art. 31, § 3º). E a restrição não protege o investigado: não pode ser invocada para prejudicar a apuração de irregularidades em que o titular esteja envolvido, nem a recuperação de fatos históricos de maior relevância (§ 4º).

No Judiciário, a tensão é diária: o processo é público, mas carrega dados de partes, testemunhas e vítimas. O CNJ disciplinou a adequação dos tribunais à LGPD, com comitê gestor, encarregado e plano de resposta a incidentes. A publicidade dos atos processuais continua sendo regra, com o segredo de justiça e a minimização dos dados expostos como limites.

Na rotina do gabinete, a minimização se faz na redação: a sentença e a decisão publicadas expõem das partes e das testemunhas o que é necessário à fundamentação, e não o prontuário inteiro ou o endereço da vítima. Onde a lei impõe segredo de justiça (CPC, art. 189), como nas ações de família e nas que tragam dados protegidos pela intimidade, a publicidade se restringe às partes e aos seus procuradores.

Quem é quem: controlador, operador e encarregado

Quem decide e quem executa? A LGPD chama de agentes de tratamento só dois sujeitos. O controlador toma as decisões sobre o tratamento (para que e como). O operador trata os dados em nome do controlador. O encarregado não é agente: é o canal de comunicação entre o controlador, os titulares e a autoridade nacional.

Exemplo: o hospital que contrata uma empresa de nuvem para guardar os prontuários é o controlador; a empresa de nuvem é a operadora; o médico designado para atender os pedidos dos pacientes sobre os seus dados é o encarregado. Pode haver controladores conjuntos, que decidem juntos e respondem solidariamente (art. 42, § 1º, II)⁴.

O que define o papel é o poder de decisão, e não o rótulo do contrato. Controlador é quem escolhe a finalidade e os elementos essenciais do tratamento; operador é quem o executa por conta alheia. A empresa contratada como operadora que passa a usar a base para fins próprios, como vender perfis a anunciantes, decide sobre o tratamento e responde como controladora dessa operação.

O empregado e o servidor que tratam dados dentro da organização não são operadores: agem como a própria organização. Operador é sempre pessoa distinta do controlador, natural ou jurídica, que trata em nome dele. O escriturário do hospital que lança o prontuário é o hospital agindo; a empresa de nuvem é a operadora.

O encarregado tem identidade e contato divulgados publicamente, de preferência no sítio do controlador, e quatro tarefas: receber reclamações dos titulares e dar-lhes resposta, receber as comunicações da autoridade nacional, orientar funcionários e contratados e cumprir o mais que o controlador ou as normas complementares determinarem (art. 41, §§ 1º e 2º). Há um descompasso na letra: a definição fala em pessoa indicada «pelo controlador e operador» (art. 5º, VIII), mas o dever de indicar recai sobre o controlador (art. 41, caput).

Os deveres de cada um

O registro das operações é o inventário do tratamento: que dados entram, com que base legal, para que fim, com quem são compartilhados e por quanto tempo ficam. A lei o exige «especialmente» no legítimo interesse, porque ali não há consentimento nem contrato que documente a escolha do controlador. No processo, é com o registro que o agente prova a excludente de não ter violado a lei (art. 43, II). O tempo de guarda pode ser fixado pela autoridade nacional (art. 40).

O relatório de impacto é a documentação dos tratamentos que podem gerar riscos às liberdades e aos direitos fundamentais, com as medidas para mitigá-los. Ele é do controlador, e a autoridade pode exigi-lo para operações em geral, inclusive de dados sensíveis⁵: não só para eles, e não só depois de regulamento específico.

A lei abre três portas para a exigência do relatório. A geral: a autoridade pode determiná-lo ao controlador para qualquer das suas operações (art. 38). A do legítimo interesse: pode solicitá-lo quando o tratamento se apoiar nessa base (art. 10, § 3º). E a do Poder Público: pode solicitar a agentes públicos a publicação do relatório (art. 32). O conteúdo mínimo é o mesmo: tipos de dados coletados, metodologia da coleta e da segurança e análise das salvaguardas e dos mecanismos de mitigação de risco (art. 38, parágrafo único).

O encarregado pode ser dispensado: a lei autoriza a autoridade nacional a prever hipóteses de dispensa, conforme a natureza e o porte da entidade (art. 41, § 3º). A autoridade usou a permissão ao regulamentar os agentes de tratamento de pequeno porte, por resolução do seu Conselho Diretor, dispensados de indicar encarregado: a microempresa que só guarda o cadastro dos clientes, por exemplo.

Segurança, incidentes e boas práticas

• Segurança desde a concepção (art. 46, § 2º): a proteção entra no projeto do sistema, e não depois do vazamento (o aplicativo que já nasce com criptografia).
• Comunicação de incidente (art. 48): dever do controlador, só para o incidente que possa acarretar risco ou dano relevante, à autoridade e ao titular, com o conteúdo mínimo do § 1º.
• Boas práticas e governança (art. 50): regras facultativas que, adotadas e demonstradas, pesam a favor do agente na dosimetria da sanção (art. 52, § 1º, IX).

O dever de segurança não termina com o tratamento nem se limita aos agentes: obriga também qualquer pessoa que intervenha em uma das suas fases (art. 47). O técnico terceirizado que fez a manutenção do servidor e o ex-operador cujo contrato acabou continuam obrigados ao sigilo do que viram.

Comunicado o incidente, a autoridade nacional avalia a sua gravidade e pode determinar ao controlador a ampla divulgação do fato em meios de comunicação e medidas para reverter ou mitigar os efeitos (art. 48, § 2º). Pesa a favor do controlador a prova de que os dados estavam ininteligíveis para terceiros, por exemplo cifrados (§ 3º): a base roubada que ninguém consegue ler gera menos risco do que a planilha aberta.

Rosenvald chama esse conjunto de prestação de contas com dupla função: antes do dano, guia controladores e operadores por boas práticas e padrões técnicos; depois, dá ao juiz e à autoridade parâmetros objetivos para medir responsabilidades⁶.

A lei diz «poderão»: ninguém é obrigado a ter um programa de governança. Mas a escolha tem preço. Na esfera administrativa, a adoção demonstrada de mecanismos internos e de política de boas práticas atenua a sanção (art. 52, § 1º, VIII e IX). Na esfera civil, o programa efetivo é a prova de conformidade com que o agente sustenta a excludente do art. 43, II; a sua falta, somada ao incidente, aproxima o caso do tratamento irregular do art. 44.

Os direitos do titular

O titular pode exigir do controlador, a qualquer momento e mediante requisição, uma série de providências. Elas concretizam os princípios do art. 6º: o livre acesso vira direito de acesso; a qualidade dos dados vira direito de correção.

• Confirmação e acesso (I e II): saber se a loja tem dados e quais são; em formato simplificado, de imediato, ou por declaração completa em até 15 dias (art. 19).
• Correção (III): o endereço errado no cadastro do plano de saúde.
• Anonimização, bloqueio ou eliminação (IV) do que é desnecessário ou ilícito: a cópia do passaporte que a locadora de veículos guardou depois de devolvido o carro.
• Portabilidade (V): levar o histórico para outro fornecedor.
• Eliminação do que foi tratado com consentimento (VI), salvo as conservações do art. 16.
• Informação sobre compartilhamento (VII) e sobre a possibilidade de negar o consentimento (VIII).
• Revogação do consentimento (IX), para o futuro.

Como se exerce? Por requerimento expresso do titular ou de representante legalmente constituído, dirigido ao agente de tratamento, sem custo (art. 18, §§ 3º e 5º). Se não puder atender de imediato, o controlador responde: ou comunica que não é o agente de tratamento e indica quem é, sempre que possível, ou expõe as razões de fato ou de direito que impedem a providência (§ 4º). Feita a correção, a eliminação, a anonimização ou o bloqueio, quem os fez avisa os agentes com quem compartilhou os dados, para que repitam o procedimento (§ 6º).

Dois direitos fecham o sistema. O titular pode opor-se ao tratamento feito sem o seu consentimento, quando houver descumprimento da lei (art. 18, § 2º): a base legal dispensa a concordância, mas não a legalidade. E os dados referentes ao exercício regular de direitos não podem ser usados em prejuízo do titular (art. 21): a seguradora não agrava o prêmio de quem pediu acesso aos próprios dados ou ajuizou ação contra ela.

Aprofundamento O direito de pedir a revisão de decisão tomada unicamente por tratamento automatizado (art. 20), como a recusa de crédito por algoritmo, está no capítulo 21, tópico 2. ir →

A responsabilidade civil

O art. 42 tem três elementos: dano (patrimonial ou moral, individual ou coletivo), tratamento de dados e violação da legislação de proteção de dados. Dois reforços protegem o titular: a solidariedade e a inversão do ônus da prova quando a alegação for verossímil ou o titular for hipossuficiente.

• Operador responde solidariamente quando descumpre a lei ou não segue as instruções lícitas do controlador, e então se equipara a ele (§ 1º, I): a empresa de folha de pagamento que envia os holerites para o e-mail errado contra a ordem do empregador.
• Controladores diretamente envolvidos respondem solidariamente (§ 1º, II): as duas empresas que decidem juntas um programa de fidelidade.
• Regresso: quem indeniza cobra dos demais na medida da participação (§ 4º)⁷.

As excludentes do art. 43 são três, e o ônus é do agente: não ter feito o tratamento, ter feito sem violar a lei, ou culpa exclusiva do titular ou de terceiro. O art. 44 define o tratamento irregular: o que viola a lei ou não dá a segurança que o titular pode esperar, consideradas a forma, os riscos razoáveis e as técnicas da época. Exemplo: guardar senhas sem criptografia em 2026 é irregular, ainda que nenhuma regra fale de criptografia.

Quem prova o quê? As excludentes são do agente: a lei diz que ele só não responde «quando provar». Ao titular restam o dano e o nexo com o tratamento, e mesmo aí o juiz pode inverter o ônus em três hipóteses alternativas: alegação verossímil, hipossuficiência para a produção da prova ou prova excessivamente onerosa para o titular (art. 42, § 2º). A inversão é judicial, caso a caso. Exemplo: só a empresa tem os registros de acesso que mostram por onde o dado saiu.

Objetiva ou subjetiva?

A lei não diz qual é a natureza dessa responsabilidade⁸. À primeira vista, inclina-se para a subjetiva: o art. 42 exige violação da legislação, e o art. 43, II, livra o agente que prova não ter violado a lei. Mas a cartilha da ANPPD registra a leitura objetiva, para a qual todo tratamento é atividade de risco⁹, e Lima nota que o art. 44 copia a lógica do defeito do serviço do CDC¹⁰.

A divergência tem campo menor do que parece, porque dois regimes especiais resolvem a maior parte dos processos. O réu fornecedor em relação de consumo responde pelo CDC; o réu pessoa jurídica de direito público, ou de direito privado prestadora de serviço público, responde pela Constituição. Sobram para os arts. 42 a 44, sozinhos, as relações entre particulares sem consumo: o empregador que trata dados de empregados, a associação e os seus associados, o condomínio e os moradores.

O dano moral: presumido ou provado?

Afirmada a responsabilidade, resta saber se o titular precisa demonstrar o abalo. Dano moral presumido é o que decorre do próprio fato, sem prova do sofrimento: basta provar o vazamento. A resposta das Turmas do STJ varia com a natureza do dado.

No STJ, a matéria está só em Turmas, sem tese vinculante. As decisões se organizam pelo tipo de dado, pelo modo como ele escapou e pela relação com o consumidor:

Presumir ou não o dano é questão diferente de haver ou não ilícito. Mesmo no vazamento de dados comuns, sem dano moral indenizável, o agente continua obrigado a informar o titular (art. 19, II), a comunicar o incidente relevante (art. 48) e a corrigir a falha de segurança, e fica sujeito às sanções administrativas. E o dano material se indeniza sempre que provado: o valor transferido ao estelionatário que usou os dados vazados.

Dados bancários e fraude: fortuito interno e culpa exclusiva

O caso mais frequente no foro estadual é o da fraude contra o correntista. Fortuito interno é o fato de terceiro que se liga aos riscos da própria atividade e por isso não exclui a responsabilidade; fortuito externo é o estranho a ela. A fraude praticada dentro da operação bancária é risco do negócio do banco.

A súmula vem do consumo bancário, anterior à LGPD, mas se aplica ao incidente com dados nessa relação, pela remissão do art. 45: a fraude de terceiro dentro da operação bancária é fortuito interno, risco da própria atividade, e não exclui a responsabilidade do banco.

O que decide o caso é a origem da facilidade do golpe. Se o estelionatário se valeu de dados que só o banco tinha, ou se o sistema deixou passar operação fora do perfil do cliente, há defeito de segurança. Se a operação foi feita com o cartão original e a senha que o próprio correntista entregou, sem falha do banco, a causa é a conduta da vítima: a culpa exclusiva do titular ou de terceiro, que exclui o dever de indenizar (LGPD, art. 43, III; CDC, art. 14, § 3º, II).

Em juízo: competência, tutela coletiva e prazo

A ação do titular contra a empresa corre na Justiça Estadual. A autoridade nacional é autarquia federal, mas fiscaliza e sanciona: não é parte na ação de indenização entre titular e agente. A competência só se desloca quando ente federal figura no processo, e quem decide se há interesse jurídico dele é a Justiça Federal; afastado o interesse, o processo fica na Justiça Estadual.

O dano pode ser coletivo: o art. 42 o menciona ao lado do individual, e a defesa dos titulares se faz em juízo individual ou coletivamente (arts. 22 e 42, § 3º), pelos legitimados da legislação processual coletiva. Um só incidente que expõe o cadastro de milhares de clientes comporta ação civil pública para as obrigações de fazer (informar, reforçar a segurança) e para a reparação, sem prejuízo das ações individuais.

A LGPD não fixa prazo de prescrição. Aplica-se o do regime que rege a responsabilidade: cinco anos na relação de consumo, contados do conhecimento do dano e de sua autoria (CDC, art. 27), e cinco anos contra a Fazenda Pública (Decreto 20.910/1932). Fora desses regimes, vale a regra geral da reparação civil do Código Civil, de três anos (art. 206, § 3º, V). O marco do conhecimento importa: o titular costuma saber do vazamento muito depois de ele ocorrer.

Sanções administrativas e a autoridade nacional

A Agência Nacional de Proteção de Dados (ANPD) fiscaliza e sanciona. Criada como órgão da Presidência, passou a ser autarquia de natureza especial com a Lei 14.460/2022 e, com a Lei 15.352/2026, mudou de nome e ganhou vínculo e autonomia novos: é a Agência Nacional, vinculada ao Ministério da Justiça e Segurança Pública, com autonomia funcional, técnica, decisória, administrativa e financeira. Questão anterior a 2026 fala em «Autoridade Nacional», com a mesma sigla.

O Conselho Diretor tem cinco diretores, incluído o Diretor-Presidente. Todos são escolhidos e nomeados pelo Presidente da República depois de aprovados pelo Senado, em arguição pública e voto secreto, para mandato de quatro anos, e só perdem o cargo por renúncia, condenação transitada em julgado ou demissão em processo disciplinar. A banca troca o mandato por dois anos, acrescenta idade e mestrado, que a lei não pede, ou transforma o cargo em comissão de livre exoneração.

As sanções vão da advertência à proibição da atividade. A multa simples chega a 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração; a multa diária respeita o mesmo teto. A aplicação exige processo com ampla defesa e dosimetria pelos critérios do § 1º, entre eles a boa-fé, a cooperação e a adoção de boas práticas. Aos órgãos públicos não se aplicam as multas (§ 3º).

As sanções mais graves obedecem a uma gradação. A suspensão do banco de dados, a suspensão da atividade e a proibição do tratamento só se aplicam depois de imposta, para o mesmo caso, ao menos uma das sanções de multa, publicização, bloqueio ou eliminação; e, se o controlador se submete a outro órgão com competência sancionatória, como o Banco Central para os bancos, esse órgão é ouvido (art. 52, § 6º).

Três regras completam o artigo. O vazamento individual e o acesso não autorizado podem ser objeto de conciliação direta entre controlador e titular; sem acordo, o controlador fica sujeito às penalidades (§ 7º). O produto das multas vai ao Fundo de Defesa de Direitos Difusos (§ 5º). E as sanções da LGPD não substituem as do CDC nem as de legislação específica (§ 2º): o mesmo incidente pode render sanção da autoridade nacional e do órgão de defesa do consumidor.

A competência para aplicar as sanções da LGPD é exclusiva da autoridade nacional, e a sua interpretação da lei prevalece, em matéria de proteção de dados, sobre a de outros órgãos administrativos. Isso não toca o Judiciário: a ação de reparação do titular não depende de processo administrativo prévio nem de decisão da autoridade, e a multa administrativa não se compensa com a indenização.

Transferência internacional

Transferência internacional é a remessa de dados pessoais para país estrangeiro ou organismo internacional (art. 5º, XV). Só é permitida nas hipóteses do art. 33, que se agrupam em três famílias: o destino oferece grau de proteção adequado, avaliado pela autoridade nacional (arts. 33, I, e 34); o controlador oferece garantias, como cláusulas-padrão contratuais e normas corporativas globais (arts. 33, II, e 35); ou há uma base específica, como a cooperação jurídica internacional, a proteção da vida, a política pública com publicidade e o consentimento específico e em destaque. O hospital que guarda prontuários em nuvem com servidores no exterior precisa de uma delas.

Aprofundamento A letra do art. 33 e a saída de dados sensíveis do País estão no capítulo 24, tópico 3. ir →