Âmbito de aplicação da LGPD e hipóteses de não incidência
O âmbito de aplicação da LGPD representa um dos temas mais cobrados em concursos públicos, especialmente em provas do Cebraspe e da FGV. Grande parte das questões explora justamente as hipóteses em que a Lei nº 13.709/2018 incide e, principalmente, os casos em que ela não se aplica.
A LGPD adotou o critério da extraterritorialidade, razão pela qual sua incidência não depende da nacionalidade da empresa ou da localização de sua sede. Assim, a lei pode alcançar operações de tratamento realizadas por empresas estrangeiras, desde que presentes os requisitos do art. 3º da legislação.
Nesse contexto, a LGPD aplica-se quando:
- o tratamento ocorrer no território nacional;
- houver oferta de bens ou serviços para indivíduos localizados no Brasil;
- os dados pessoais tiverem sido coletados no Brasil.
Para fins de prova, merece atenção o fato de que a lei considera coletado no Brasil o dado obtido quando o titular se encontra em território nacional no momento da coleta, ainda que o armazenamento ocorra em servidores localizados no exterior.
Outro ponto de alta incidência envolve as hipóteses de não incidência da LGPD, previstas no art. 4º. A lei não se aplica ao tratamento de dados realizado:
- por pessoa natural para fins exclusivamente particulares e não econômicos;
- para fins jornalísticos, artísticos e acadêmicos;
- para segurança pública, defesa nacional, segurança do Estado e investigação criminal;
- em determinadas hipóteses envolvendo dados provenientes do exterior.
As bancas frequentemente tentam induzir o candidato ao erro ao afirmar que toda atividade estatal envolvendo dados pessoais estaria automaticamente submetida à LGPD. Na realidade, as hipóteses relacionadas à segurança pública e investigação criminal possuem regime jurídico próprio.
Também é comum a confusão entre dado coletado no Brasil e dado apenas armazenado no Brasil. A incidência da LGPD está relacionada à coleta e à atividade de tratamento, e não necessariamente à localização física do servidor.
Entre as “pegadinhas” mais recorrentes em prova, destacam-se:
- a falsa ideia de que a LGPD somente se aplica a empresas sediadas no Brasil;
- a confusão entre anonimização e eliminação definitiva do dado;
- a afirmação equivocada de que investigação criminal se submete integralmente à LGPD;
- e a alegação incorreta de que atividades acadêmicas e jornalísticas dependem das bases legais previstas na lei.
Por esse motivo, o domínio dos arts. 3º e 4º da LGPD tornou-se indispensável para concursos públicos, especialmente em provas que exigem interpretação prática da legislação e resolução de casos concretos.
Conceitos fundamentais do art. 5º da LGPD
O art. 5º da LGPD reúne os principais conceitos da legislação e representa um dos dispositivos mais cobrados em concursos públicos. As bancas costumam explorar tanto a literalidade das definições quanto as diferenças práticas entre institutos semelhantes, especialmente em questões envolvendo casos concretos.
O dado pessoal é toda informação relacionada à pessoa natural identificada ou identificável. O conceito é amplo e abrange tanto dados que identificam diretamente o indivíduo, como nome e CPF, quanto informações que permitam identificação indireta, como IP, geolocalização e identificadores eletrônicos.
Já o dado pessoal sensível possui proteção reforçada em razão do potencial discriminatório da informação. Enquadram-se nessa categoria dados relacionados à origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual, biometria e genética.
Uma “pegadinha” recorrente consiste em classificar dados financeiros ou patrimoniais como dados sensíveis, embora a LGPD não os enquadre dessa forma.
Outro conceito importante é o de banco de dados, definido como conjunto estruturado de dados pessoais armazenados em suporte físico ou eletrônico. Assim, até mesmo arquivos físicos organizados podem ser considerados banco de dados para fins da LGPD.
A legislação também adota conceito extremamente amplo de tratamento de dados, abrangendo praticamente toda operação realizada com informações pessoais, como coleta, armazenamento, utilização, compartilhamento, transmissão, reprodução e eliminação de dados.
Entre os temas de maior incidência em prova está a diferença entre anonimização e pseudonimização. Na anonimização, são utilizados meios técnicos razoáveis para retirar a possibilidade de associação do dado ao titular. Em regra, o dado anonimizado deixa de ser considerado dado pessoal.
Já a pseudonimização ocorre quando o dado perde sua associação direta com o titular, mas ainda pode ser reidentificado mediante informação adicional mantida separadamente pelo controlador.
Em termos práticos:
- a anonimização tende à irreversibilidade;
- a pseudonimização admite a reidentificação controlada.
No âmbito dos agentes de tratamento, a LGPD diferencia:
- controlador: responsável pelas decisões sobre o tratamento de dados;
- operador: realiza o tratamento em nome do controlador;
- encarregado (DPO): atua como canal de comunicação entre controlador, titular e ANPD.
Uma das confusões mais frequentes em concursos consiste em afirmar que o encarregado é agente de tratamento. Na realidade, a LGPD considera agentes de tratamento apenas o controlador e o operador.
Também é comum a inversão entre controlador e operador em questões objetivas. A lógica central é simples: o controlador decide. O operador executa.
Por esse motivo, o domínio dos conceitos previstos no art. 5º da LGPD tornou-se indispensável para concursos públicos, especialmente em provas que exigem interpretação prática da legislação e resolução de casos concretos.
Fundamentos e princípios da proteção de dados
A LGPD estrutura-se sobre uma lógica de tutela da personalidade e da liberdade informacional do indivíduo. Mais do que regulamentar o uso de dados pessoais, a legislação busca assegurar ao titular o controle sobre suas próprias informações, especialmente em um cenário de intensa circulação de dados no ambiente digital.
Entre os fundamentos previstos no art. 2º da Lei nº 13.709/2018, destacam-se a proteção da privacidade, a inviolabilidade da intimidade, da honra e da imagem, bem como o respeito ao livre desenvolvimento da personalidade da pessoa natural.
Nesse contexto, ganha relevância o conceito de autodeterminação informativa, entendido como o direito do indivíduo de decidir como, quando e em que medida seus dados pessoais poderão ser utilizados.
Em concursos públicos, é comum a cobrança da autodeterminação informativa como fundamento implícito da proteção de dados e como desdobramento dos direitos fundamentais relacionados à privacidade e à liberdade individual.
Além dos fundamentos previstos no art. 2º, o tratamento de dados pessoais deve observar a boa-fé e os princípios estabelecidos no art. 6º da LGPD, que funcionam como verdadeiros parâmetros interpretativos da legislação.
Entre os princípios mais cobrados em prova, destacam-se:
- finalidade: o tratamento deve possuir propósito legítimo, específico e informado ao titular;
- adequação: compatibilidade entre o tratamento realizado e as finalidades informadas;
- necessidade: limitação do tratamento ao mínimo de dados indispensáveis;
- livre acesso: garantia de consulta facilitada e gratuita sobre o tratamento;
- transparência: fornecimento de informações claras, precisas e acessíveis;
- segurança: adoção de medidas técnicas aptas a proteger os dados;
- prevenção: adoção de medidas para evitar danos decorrentes do tratamento;
- não discriminação: vedação de utilização dos dados para fins ilícitos ou abusivos;
- responsabilização e prestação de contas: demonstração de adoção de medidas eficazes de conformidade.
As bancas examinadoras costumam explorar especialmente a diferença entre os princípios da finalidade, adequação e necessidade, além de confundir transparência com livre acesso ou segurança com prevenção.
Bases legais do tratamento de dados
A LGPD estabelece que todo tratamento de dados pessoais deve estar amparado em uma base legal prevista na legislação. Assim, nenhuma operação envolvendo dados pessoais pode ocorrer de forma livre ou sem fundamento jurídico válido.
Esse é um dos temas mais cobrados em concursos públicos, especialmente porque as bancas costumam confundir as hipóteses aplicáveis aos dados pessoais comuns e aos dados pessoais sensíveis.
Dados pessoais comuns
As bases legais aplicáveis aos dados pessoais comuns estão previstas no art. 7º da LGPD. Entre as mais recorrentes em prova, destacam-se:
- consentimento;
- cumprimento de obrigação legal ou regulatória;
- execução de políticas públicas;
- execução de contratos;
- exercício regular de direitos;
- proteção da vida;
- tutela da saúde;
- proteção do crédito;
- legítimo interesse.
O consentimento corresponde à manifestação livre, informada e inequívoca do titular para finalidade determinada, podendo ser revogado a qualquer momento mediante procedimento facilitado.
As bancas frequentemente exploram situações em que o tratamento independe de consentimento, especialmente nas hipóteses de cumprimento de obrigação legal, execução de políticas públicas e tutela da saúde.
No cumprimento de obrigação legal, o tratamento decorre de imposição normativa, como no envio de informações fiscais, previdenciárias e trabalhistas aos órgãos competentes.
Já a execução de políticas públicas autoriza o tratamento de dados pela administração pública para implementação de competências legais e programas governamentais.
A tutela da saúde permite o tratamento de dados por profissionais, serviços e autoridades sanitárias para proteção da vida e da integridade física do titular.
Proteção do crédito
A proteção do crédito é uma das bases legais mais exploradas em concursos públicos. A LGPD autoriza o tratamento de dados pessoais comuns para atividades relacionadas à análise de risco, concessão de crédito e cadastro de inadimplentes.
Entretanto, essa hipótese não se aplica aos dados pessoais sensíveis, ponto frequentemente utilizado pelas bancas como “pegadinha” em questões objetivas.
Dados pessoais sensíveis
O tratamento de dados pessoais sensíveis possui disciplina mais restritiva e encontra previsão no art. 11 da LGPD.
Além do consentimento específico e destacado do titular, a lei admite tratamento sem consentimento em hipóteses excepcionais, como:
- cumprimento de obrigação legal;
- execução de políticas públicas;
- exercício regular de direitos;
- proteção da vida;
- tutela da saúde;
- prevenção à fraude.
Em provas, é comum a tentativa de confundir as bases legais dos arts. 7º e 11, especialmente quanto:
- à proteção do crédito;
- ao legítimo interesse;
- e à amplitude das hipóteses aplicáveis aos dados sensíveis.
Por esse motivo, o estudo comparativo entre dados comuns e dados sensíveis tornou-se indispensável para concursos públicos, sobretudo em provas que exigem interpretação prática da LGPD e resolução de casos concretos.
Tratamento de dados de crianças e adolescentes
O tratamento de dados de crianças e adolescentes recebe proteção reforçada na LGPD em razão da condição de vulnerabilidade desse público.
O tema possui elevada incidência em concursos públicos, especialmente em questões envolvendo plataformas digitais, redes sociais, publicidade direcionada e proteção infantojuvenil no ambiente virtual.
Nos termos do art. 14 da LGPD, o tratamento deve observar o princípio do melhor interesse da criança e do adolescente, funcionando como parâmetro para toda atividade de coleta, armazenamento e utilização de dados pessoais.
Como regra, o tratamento de dados de crianças exige consentimento específico e em destaque fornecido por pelo menos um dos pais ou responsável legal.
Um dos erros mais recorrentes em prova consiste em afirmar que o consentimento dependeria da autorização de ambos os pais, hipótese não prevista pela legislação.
A LGPD admite tratamento sem consentimento em situações excepcionais, especialmente:
- para contato com os pais ou responsável legal;
- para proteção da criança ou do adolescente.
Nesses casos, os dados:
- devem ser utilizados apenas para a finalidade específica;
- não podem ser compartilhados indevidamente com terceiros.
Outro ponto relevante envolve o dever de transparência. As informações sobre o tratamento devem ser claras, acessíveis e compatíveis com a capacidade de compreensão do público infantojuvenil.
O tema ganhou ainda mais relevância diante das discussões envolvendo:
- redes sociais;
- plataformas digitais;
- inteligência artificial;
- perfilamento comportamental;
- e proteção de menores no ambiente virtual, especialmente no contexto do chamado ECA Digital.
Em concursos públicos, as bancas costumam explorar:
- o consentimento de apenas um responsável;
- o princípio do melhor interesse;
- as exceções ao consentimento;
- e a vedação de compartilhamento indevido de dados infantojuvenis.
Direitos do titular dos dados
A LGPD assegura ao titular diversos direitos relacionados ao controle de seus dados pessoais, previstos principalmente no art. 18 da Lei nº 13.709/2018. Trata-se de tema frequentemente cobrado em concursos públicos.
Entre os principais direitos estão a confirmação da existência de tratamento, o acesso aos dados pessoais e a correção de informações incompletas, inexatas ou desatualizadas. A lei também garante a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD.
A anonimização retira a possibilidade de associação do dado ao titular. O bloqueio corresponde à suspensão temporária do tratamento, enquanto a eliminação implica exclusão definitiva da informação, ressalvadas as hipóteses legais de conservação de dados.
A LGPD ainda assegura o direito à portabilidade dos dados, à informação sobre compartilhamento realizado com entidades públicas e privadas e à revogação do consentimento, que pode ocorrer a qualquer momento.
Outro tema de alta incidência envolve o direito de revisão de decisões automatizadas, previsto no art. 20 da LGPD, especialmente em situações relacionadas à concessão de crédito, análise de perfil e relações de consumo.
As bancas costumam explorar:
- as diferenças entre anonimização, bloqueio e eliminação;
- os limites da revogação do consentimento;
- e a possibilidade de manutenção de dados em hipóteses autorizadas pela própria legislação.
LGPD no setor público
A aplicação da LGPD no setor público possui disciplina própria e representa um dos temas mais cobrados em concursos públicos, especialmente em provas do Cebraspe.
Nos termos dos arts. 23 a 30 da LGPD, o tratamento de dados pessoais pelo poder público deve ocorrer para atendimento da finalidade pública, do interesse público e da execução das competências legais dos órgãos e entidades públicas.
Nesse contexto, a administração pública pode realizar tratamento de dados pessoais independentemente de consentimento do titular, desde que a atividade esteja vinculada à execução de políticas públicas ou obrigações legais.
Outro ponto recorrente em prova envolve a interoperabilidade, já que a LGPD determina que os dados mantidos pelo poder público sejam organizados em formato estruturado para permitir compartilhamento eficiente entre órgãos públicos.
A legislação também restringe o compartilhamento de dados com entidades privadas, salvo em hipóteses autorizadas, como:
- execução descentralizada de atividade pública;
- previsão legal;
- contratos e convênios;
- prevenção de fraudes e proteção do titular.
As bancas costumam explorar justamente essas exceções, especialmente em questões envolvendo compartilhamento indevido de dados.
Outro ponto importante envolve as empresas estatais. Quando atuam em regime concorrencial, submetem-se às regras aplicáveis às empresas privadas. Já quando executam políticas públicas ou prestam serviços públicos, submetem-se ao regime próprio do setor público.
Mesmo sem necessidade de consentimento, o tratamento de dados pelo Estado deve respeitar os princípios da necessidade, finalidade, adequação e transparência.
ANPD e sanções administrativas
A Autoridade Nacional de Proteção de Dados (ANPD) é o órgão responsável por fiscalizar, regulamentar e zelar pela aplicação da LGPD em todo o território nacional. Atualmente, possui natureza jurídica de autarquia de natureza especial, dotada de autonomia técnica e decisória.
A estrutura da ANPD é composta por Conselho Diretor, integrado por cinco diretores com mandatos fixos, além do Conselho Nacional de Proteção de Dados Pessoais e da Privacidade, órgão de caráter consultivo.
Entre as principais competências da ANPD estão:
- fiscalizar o cumprimento da LGPD;
- editar regulamentos e diretrizes;
- aplicar sanções administrativas;
- promover proteção de dados pessoais;
- estimular boas práticas e governança.
Em caso de infração à LGPD, a ANPD pode aplicar diversas sanções administrativas, previstas no art. 52 da Lei nº 13.709/2018. Entre as principais, destacam-se advertência, publicização da infração, bloqueio de dados pessoais, eliminação dos dados e suspensão das atividades de tratamento.
A legislação também prevê aplicação de multa simples ou diária, limitada a 2% do faturamento da pessoa jurídica, até o teto de R$ 50 milhões por infração.
Um dos pontos mais cobrados em concursos públicos envolve a impossibilidade de aplicação de multas pecuniárias ao setor público. Embora órgãos e entidades públicas possam sofrer outras sanções administrativas, a LGPD afasta a incidência de multa financeira nesses casos.
Outro tema frequente em provas diz respeito ao devido processo administrativo. A aplicação de sanções pela ANPD exige observância do contraditório, da ampla defesa e da proporcionalidade, sendo vedada imposição automática de penalidades.
As bancas examinadoras costumam explorar:
- a natureza jurídica da ANPD;
- os limites das multas;
- as sanções aplicáveis ao setor público;
- e a necessidade de processo administrativo prévio para aplicação das penalidades previstas na LGPD.
Pegadinhas de prova e temas de alta incidência
A LGPD possui elevado índice de cobrança literal em concursos públicos, mas bancas como Cebraspe e FGV frequentemente exploram distinções conceituais e exceções legais para induzir o candidato ao erro.
Entre os pontos mais cobrados está a diferença entre anonimização e pseudonimização. Na anonimização, o dado perde a possibilidade de associação ao titular, deixando, em regra, de ser considerado dado pessoal. Já na pseudonimização, a reidentificação permanece possível mediante informação adicional mantida separadamente pelo controlador.
Outro erro recorrente consiste em afirmar que o encarregado (DPO) seria agente de tratamento. Na realidade, a LGPD considera como agentes apenas o controlador e o operador.
Também é frequente a cobrança envolvendo a base legal da proteção do crédito. A legislação autoriza sua utilização para dados pessoais comuns, mas essa hipótese não se aplica aos dados pessoais sensíveis.
No tratamento de dados de crianças, as bancas costumam afirmar, equivocadamente, que o consentimento dependeria da autorização de ambos os pais. A LGPD exige consentimento específico e em destaque de pelo menos um dos responsáveis legais.
Outro ponto clássico de prova envolve as sanções aplicadas pela ANPD. Embora a LGPD preveja multas de até 2% do faturamento da pessoa jurídica, limitadas a R$ 50 milhões por infração, a aplicação de multa pecuniária ao setor público não é admitida.
As hipóteses de não incidência da LGPD também aparecem com frequência em concursos. A lei não se aplica ao tratamento de dados realizado:
- para fins exclusivamente particulares e não econômicos;
- para fins jornalísticos, artísticos ou acadêmicos;
- para segurança pública, defesa nacional e investigação criminal;
- em determinadas hipóteses envolvendo dados provenientes do exterior.
Em provas de alto nível, o domínio dessas distinções costuma ser decisivo, especialmente em questões construídas com pequenas alterações na literalidade da lei e em casos concretos envolvendo tratamento irregular de dados pessoais.
Conclusão
A LGPD consolidou-se como uma disciplina transversal nos concursos públicos contemporâneos, dialogando diretamente com temas de Direito Constitucional, Administrativo, Digital, Consumerista e Empresarial. Mais do que memorizar conceitos isolados, o candidato precisa compreender a lógica protetiva da legislação e sua aplicação prática.
O perfil das bancas também mudou. A cobrança deixou de ser exclusivamente literal e passou a explorar interpretação sistemática, tratamento de dados sensíveis, atuação do poder público, inteligência artificial, proteção de crianças e adolescentes e compartilhamento de dados.
Nesse cenário, temas como anonimização, bases legais, direitos do titular, atuação da ANPD e hipóteses de não incidência da lei seguem entre os pontos de maior recorrência em concursos públicos, especialmente em questões envolvendo casos concretos e distinções conceituais.
Por esse motivo, a preparação eficiente para concursos exige leitura atenta da legislação, compreensão prática da LGPD e atenção às principais tendências de cobrança das bancas examinadoras.
Para aprofundar o estudo dos temas mais cobrados em concursos públicos e acompanhar as principais tendências das bancas examinadoras, conheça os cursos e materiais estratégicos do Curso Ênfase, voltados à preparação de alta performance para carreiras jurídicas.
Curso Defensor Público Federal e Estadual
Curso Juiz Federal e Procurador da República
Curso Juiz de Direito e Promotor de Justiça
Curso Juiz do Trabalho e Procurador do Trabalho
Curso Juiz Federal e Juiz de Direito
Escrito por Letícia Trajano. Graduada em Direito pela Universidade do Estado do Rio de Janeiro (UERJ). Pós-graduada em Advocacia Trabalhista e Previdenciária. Revisora Jurídica no Curso Ênfase.
Curso Ênfase – Pela mão até a aprovação!