LGPD — Direitos do Titular, Bases Legais e Tratamento por Entes Públicos Introdução A Lei Geral de Proteção de Dados Pessoais não se limita a estabelecer regras para o tratamento de dados; ela cria um verdadeiro estatuto do titular, conferindo aos indivíduos direitos subjetivos exercitáveis contra qualquer controlador ou operador. O artigo 18 enumera os direitos dos titulares em rol taxativo, enquanto os artigos 7º a 11 estabelecem as condições em que o tratamento pode ser realizado — as chamadas bases legais. Compreender esse binômio é fundamental para entender como a LGPD equilibra a proteção do indivíduo com as necessidades operacionais de tratamento de dados. O tratamento pelo poder público recebe disciplina própria nos artigos 23 a 32, reconhecendo que órgãos públicos possuem finalidades distintas das pessoas jurídicas privadas e que o tratamento deve atender ao interesse público. Por fim, a Agência Nacional de Proteção de Dados (ANPD) constitui o órgão fiscalizatório responsável por zelar pela aplicação da lei e impor sanções em caso de violação. Atenção — atualização de nomenclatura relevante para provas: desde a reforma promovida pela Lei nº 15.352/2026, o órgão passou a se chamar Agência Nacional de Proteção de Dados, mantendo a sigla ANPD. Até então, e desde sua transformação em autarquia de natureza especial pela Lei nº 14.460/2022, o órgão era denominado Autoridade Nacional de Proteção de Dados. A Lei nº 15.352/2026 também reestruturou a composição interna da ANPD, que hoje inclui Conselho Diretor, Conselho Nacional de Proteção de Dados Pessoais e da Privacidade, Corregedoria, Ouvidoria, Procuradoria, Auditoria e unidades administrativas especializadas. Trata-se de mudança recente e com alto potencial de cobrança em concursos de 2026. Os Direitos do Titular dos Dados Pessoais O artigo 18, caput, estabelece que o titular tem direito a obter do controlador, a qualquer momento e mediante requisição, as providências listadas em seus incisos. São direitos subjetivos exercíveis independentemente de justificativa, e seu descumprimento sujeita o controlador ou operador às sanções do artigo 52. Confirmação da Existência de Tratamento (art. 18, I) O titular tem direito de obter do controlador a confirmação de que existe tratamento de seus dados pessoais. É um direito básico e inicial: sem saber que existe tratamento, o titular não pode exercer os demais direitos. Na prática, esse direito é exercido por meio de solicitações à central de atendimento da empresa ou por canais específicos de privacidade. O artigo 19 disciplina como essa confirmação (e o acesso) deve ser providenciada: em formato simplificado, imediatamente (inciso I), ou por meio de declaração clara e completa — indicando origem dos dados, inexistência de registro, critérios utilizados e finalidade — fornecida no prazo de até 15 dias, contado do requerimento (inciso II). Acesso aos Dados (art. 18, II) O direito de acesso permite ao titular obter todos os dados pessoais tratados a seu respeito, incluindo origem, finalidades, prazos de conservação e entidades com quem foram compartilhados. Conforme o artigo 19, §3º, quando o tratamento tiver origem no consentimento do titular ou em contrato, ele pode solicitar cópia eletrônica integral de seus dados, em formato que permita utilização subsequente — inclusive em outras operações de tratamento, o que fundamenta a portabilidade na prática. O acesso deve ser gratuito (art. 18, §5º) e observar os prazos do artigo 19 já mencionados. Correção de Dados (art. 18, III) O titular pode solicitar a correção de dados incompletos, inexatos ou desatualizados. Esse direito conecta-se diretamente ao princípio da qualidade dos dados (art. 6º, V), que garante aos titulares exatidão, clareza, relevância e atualização das informações. A correção pode incluir complementação de dados incompletos, retificação de dados incorretos e atualização de dados desatualizados. Anonimização, Bloqueio ou Eliminação de Dados (art. 18, IV) O artigo 18, IV garante ao titular três alternativas em relação a dados problemáticos: anonimização, bloqueio ou eliminação. A anonimização consiste em técnicas que tornam o dado incapaz de identificar o titular, considerando os meios técnicos razoáveis e disponíveis no momento do tratamento (art. 5º, XI). O bloqueio é a suspensão temporária de qualquer operação de tratamento, mediante guarda do dado (art. 5º, XIII). A eliminação é a exclusão de dado ou conjunto de dados, independentemente do procedimento empregado (art. 5º, XIV). O titular pode exercer esse direito quando os dados forem desnecessários, excessivos ou tratados em desconformidade com a LGPD. A Terceira Turma do STJ, no REsp 2.092.096/SP (Rel. Min. Nancy Andrighi), aplicou esse direito num caso concreto de fraude: reconheceu que a B3 (bolsa de valores), na condição de agente de tratamento de dados, tem a obrigação de excluir dados cadastrais inseridos indevidamente por terceiros que obtiveram acesso não autorizado ao perfil de um investidor em sua plataforma. A relatora fundamentou a decisão diretamente no art. 18 da LGPD, afirmando que, havendo requisição do titular, o agente de tratamento deve excluir as informações inseridas sem autorização — hipótese de aplicação prática do direito à correção e à eliminação de dados tratados em desconformidade com a lei. Portabilidade dos Dados (art. 18, V) O direito de portabilidade permite ao titular requisitar a transferência de seus dados a outro fornecedor de serviço ou produto, mediante requisição expressa, de acordo com a regulamentação da autoridade nacional e observados os segredos comercial e industrial (art. 18, V, com redação dada pela Lei 13.853/2019). O artigo 18, §7º esclarece que a portabilidade não inclui dados já anonimizados pelo controlador. O artigo 40 permite à ANPD dispor sobre padrões de interoperabilidade para fins de portabilidade, livre acesso e segurança. A ANPD ainda não editou regulamento específico e definitivo sobre o exercício prático da portabilidade (prazos, formato técnico, verificação de identidade) — a agência vinha, ao longo de 2025, conduzindo consulta pública com esse objetivo, sem conclusão até o momento. Não confundir com a Resolução CD/ANPD nº 19/2024, que trata de tema distinto: o regulamento de transferência internacional de dados (cláusulas-padrão contratuais, normas corporativas globais e decisões de adequação), disciplinando os artigos 33 a 36 da LGPD. Eliminação dos Dados Tratados com Consentimento (art. 18, VI) O artigo 18, VI garante o direito à eliminação dos dados tratados com fundamento no consentimento do titular, exceto nas hipóteses do artigo 16 — que autoriza a conservação dos dados para cumprimento de obrigação legal, estudos por órgão de pesquisa, transferência a terceiro nos termos da lei, ou uso exclusivo do controlador com dados anonimizados. Trata-se de consequência lógica do direito de revogação do consentimento. Informação sobre Entidades com as Quais Houve Uso Compartilhado (art. 18, VII) O titular tem direito de ser informado sobre as entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados, o que concretiza o princípio da transparência e permite ao titular verificar se o compartilhamento observou as bases legais invocadas. Informação sobre a Possibilidade de Não Fornecer Consentimento (art. 18, VIII) O artigo 18, VIII garante ao titular o direito de ser informado sobre a possibilidade de não fornecer consentimento e as consequências da negativa — pressuposto do consentimento verdadeiramente informado. Revogação do Consentimento (art. 18, IX c/c art. 8º, §5º) O direito de revogação do consentimento está previsto no art. 18, IX, nos termos do artigo 8º, §5º: o titular pode revogar o consentimento a qualquer momento, mediante manifestação expressa, por procedimento gratuito e facilitado. Os tratamentos realizados sob amparo do consentimento anterior permanecem ratificados até que haja requerimento de eliminação dos dados (art. 18, VI) — não bastando, portanto, a mera revogação para apagar automaticamente o histórico de tratamentos já realizados. As Bases Legais para Tratamento de Dados Pessoais O artigo 7º estabelece rol taxativo: se o tratamento não se enquadrar em uma das dez hipóteses, será ilícito. I — Consentimento do titular. Manifestação livre, informada e inequívoca, específica para cada finalidade (art. 8º). II — Cumprimento de obrigação legal ou regulatória pelo controlador. Abrange hipóteses em que norma jurídica exige o tratamento — reporte de operações suspeitas ao Coaf, manutenção de registros contábeis, fornecimento de dados de empregados à Receita Federal. III — Execução de políticas públicas pela administração pública. Tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em lei, regulamento, contrato ou convênio, observado o Capítulo IV da LGPD (arts. 23 a 32). É base exclusiva do poder público. IV — Estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados. V — Execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do próprio titular. VI — Exercício regular de direitos em processo judicial, administrativo ou arbitral (este último nos termos da Lei de Arbitragem). VII — Proteção da vida ou da incolumidade física do titular ou de terceiro. VIII — Tutela da saúde, exclusivamente em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária (redação dada pela Lei 13.853/2019). IX — Interesses legítimos do controlador ou de terceiro, exceto quando prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados. O artigo 10 exige que o legítimo interesse funde-se em situações concretas e que sejam tratados apenas os dados estritamente necessários à finalidade pretendida, podendo a ANPD solicitar relatório de impacto. A própria ANPD publicou, em fevereiro de 2024, o Guia Orientativo das Hipóteses Legais de Tratamento de Dados — Legítimo Interesse, esclarecendo, entre outros pontos, que essa base pode fundamentar o tratamento de dados de crianças e adolescentes desde que prevaleça seu melhor interesse (Enunciado ANPD 1/2023) e sejam observados os parâmetros do art. 14. X — Proteção do crédito, inclusive quanto ao disposto na legislação pertinente (como a Lei do Cadastro Positivo — Lei 12.414/2011). A licitude do tratamento de dados para essa finalidade é reforçada pela jurisprudência consolidada do STJ sobre o *sistema de credit scoring. No julgamento do REsp 1.419.697/RS (Rel. Min. Paulo de Tarso Sanseverino, Segunda Seção, recurso repetitivo — Tema 710), o Tribunal fixou a tese de que o credit scoring é método estatístico de avaliação de risco de crédito, prática comercial lícita autorizada pela Lei do Cadastro Positivo, que dispensa o consentimento prévio do consumidor, desde que respeitados os limites da privacidade e da transparência do CDC. Esse entendimento foi cristalizado na Súmula 550 do STJ: "A utilização de escore de crédito, método estatístico de avaliação de risco que não constitui banco de dados, dispensa o consentimento do consumidor, que terá o direito de solicitar esclarecimentos sobre as informações pessoais valoradas e as fontes dos dados considerados no respectivo cálculo." É um dos temas mais cobrados em concursos por combinar direito do consumidor, LGPD e recurso repetitivo em um único enunciado. Bases Legais para Dados Pessoais Sensíveis O artigo 11 estabelece hipóteses mais restritivas que as do artigo 7º: Consentimento específico e destacado, vedado o consentimento genérico; Cumprimento de obrigação legal ou regulatória; Execução de políticas públicas pela administração pública; Realização de estudos por órgão de pesquisa, com anonimização sempre que possível; Exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo ou arbitral; Proteção da vida do titular ou de terceiro; Tutela da saúde, exclusivamente em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária; Prevenção à fraude e segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos. A LGPD não prevê Proteção do Crédito nem Interesse Legítimo como bases aplicáveis a dados sensíveis. Merece destaque, para fins de aprofundamento, o artigo 11, §4º (incluído pela Lei 13.853/2019): é vedada a comunicação ou uso compartilhado, entre controladores, de dados sensíveis de saúde com objetivo de obter vantagem econômica — exceto para prestação de serviços de saúde, assistência farmacêutica e assistência à saúde, e desde que se destine à portabilidade de dados solicitada pelo titular ou a transações financeiras e administrativas decorrentes da prestação desses serviços. O §5º veda às operadoras de planos de saúde o tratamento de dados de saúde para seleção de risco na contratação ou exclusão de beneficiários. O Consentimento: Requisitos e Limites O artigo 8º disciplina os requisitos do consentimento válido, fornecido por escrito ou por outro meio que demonstre a manifestação de vontade do titular: §1º — se fornecido por escrito, deve constar de cláusula destacada das demais cláusulas contratuais; §2º — cabe ao controlador o ônus da prova de que o consentimento foi obtido em conformidade com a lei; §3º — é vedado o tratamento mediante vício de consentimento; §4º — o consentimento deve referir-se a finalidades determinadas; autorizações genéricas são nulas; §5º — o consentimento pode ser revogado a qualquer momento, mediante manifestação expressa, por procedimento gratuito e facilitado, ficando ratificados os tratamentos já realizados até que haja requerimento de eliminação (art. 18, VI); §6º — em caso de alteração relevante das informações do art. 9º (finalidade, forma e duração do tratamento, identificação do controlador ou uso compartilhado), o controlador deve informar o titular, que poderá revogar o consentimento se discordar da alteração. Tratamento pelo Poder Público Os artigos 23 a 32 estabelecem regras específicas para o tratamento de dados por órgãos e entidades públicas. Regras Gerais do Artigo 23 O artigo 23, caput, estabelece que o tratamento de dados por pessoas jurídicas de direito público deve atender à finalidade pública, na persecução do interesse público, para executar competências ou cumprir atribuições legais do serviço público, desde que: (I) sejam informadas ativamente as hipóteses de tratamento, com informações claras e atualizadas sobre previsão legal, finalidade, procedimentos e práticas, preferencialmente em sítio eletrônico; e (III) seja indicado um encarregado quando realizadas operações de tratamento de dados pessoais (o inciso II foi vetado). §1º — a autoridade nacional pode dispor sobre as formas de publicidade das operações de tratamento; §2º — a LGPD não dispensa os entes públicos de instituir as autoridades de que trata a Lei de Acesso à Informação (Lei 12.527/2011); §3º — os prazos e procedimentos para exercício dos direitos do titular perante o Poder Público observam legislação específica, notadamente a Lei do Habeas Data, a Lei do Processo Administrativo Federal e a Lei de Acesso à Informação; §4º — os serviços notariais e de registro exercidos em caráter privado, por delegação do Poder Público, recebem o mesmo tratamento dispensado aos entes públicos; §5º — os órgãos notariais e de registro devem fornecer acesso aos dados por meio eletrônico à administração pública. STJ e a transparência patrimonial de agentes públicos. No RMS 55.819/MG (Rel. Min. Francisco Falcão, Primeira Turma, 2022), o STJ decidiu que não extrapola o poder regulamentar da administração pública o decreto estadual que exige de servidores a entrega anual de declaração de bens e evolução patrimonial. O sindicato impetrante alegava violação da LGPD e do direito à privacidade. O relator invocou o precedente do STF na SS 3.902, segundo o qual agentes públicos sujeitam-se a uma redução da esfera de privacidade e intimidade, não sendo legítimo recusar-se a revelar dados sobre sua evolução patrimonial — dever, aliás, já previsto no art. 13 da Lei de Improbidade Administrativa. A decisão frisou que a LGPD não proíbe a coleta desses dados pela administração, apenas impõe aos entes público-administrativos o dever de dar tratamento adequado a eles depois de coletados, sem expor ao público em geral o que foi entregue para fins de controle interno. É julgado central para provas que cobrem a interseção entre LGPD, improbidade administrativa e transparência. Compartilhamento de Dados pelo Poder Público (arts. 25 a 27) A disciplina do compartilhamento de dados pelo poder público está nos artigos 25 a 27, e não no artigo 23. O artigo 25 exige que os dados sejam mantidos em formato interoperável e estruturado, voltado à execução de políticas públicas, à prestação de serviços públicos, à descentralização da atividade pública e à disseminação de informações ao público. O artigo 26 estabelece que o uso compartilhado pelo Poder Público deve atender a finalidades específicas de execução de políticas públicas e atribuição legal, respeitados os princípios do artigo 6º. O artigo 26, §1º é o dispositivo central quanto à vedação de compartilhamento com entidades privadas: é vedado ao Poder Público transferir a entidades privadas dados constantes de bases às quais tenha acesso, exceto: execução descentralizada de atividade pública que exija a transferência, observada a Lei de Acesso à Informação; casos em que os dados sejam publicamente acessíveis; quando houver previsão legal ou a transferência for respaldada em contrato, convênio ou instrumento congênere; quando a transferência objetivar exclusivamente a prevenção de fraudes e irregularidades, ou proteger a segurança e integridade do titular, vedado o tratamento para outras finalidades. O artigo 27 complementa: a comunicação ou uso compartilhado de dados de pessoa jurídica de direito público para pessoa de direito privado será informada à autoridade nacional e dependerá de consentimento do titular, exceto nas hipóteses de dispensa de consentimento previstas na lei ou nas exceções do art. 26, §1º. Responsabilização do Estado A LGPD não contém, no artigo 23, um parágrafo específico sobre responsabilização civil objetiva do Estado por danos decorrentes do tratamento de dados. A responsabilidade civil dos agentes de tratamento — pública ou privada — está disciplinada de forma geral no artigo 42: o controlador ou operador que, em razão do tratamento, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à LGPD, é obrigado a repará-lo, podendo o juiz inverter o ônus da prova em favor do titular (art. 42, §2º). Quando o controlador for ente público, a responsabilização civil do Estado por atos de seus agentes segue, adicionalmente, a regra constitucional geral da responsabilidade objetiva (art. 37, §6º da Constituição Federal), combinada com direito de regresso contra o agente que tiver agido com dolo ou culpa. A Agência Nacional de Proteção de Dados (ANPD) A ANPD foi criada pela Lei 13.853/2019, inicialmente como órgão da administração pública, e transformada em autarquia de natureza especial pela Lei 14.460/2022. Pela Lei 15.352/2026, passou a denominar-se Agência Nacional de Proteção de Dados, mantendo a sigla ANPD e a natureza de autarquia especial vinculada ao Ministério da Justiça e Segurança Pública, com autonomia funcional, técnica, decisória, administrativa e financeira. Suas atribuições, previstas no artigo 55-J, incluem, entre outras: zelar pela proteção dos dados pessoais; elaborar diretrizes para a Política Nacional de Proteção de Dados Pessoais e da Privacidade; fiscalizar e aplicar sanções, mediante processo que assegure contraditório e ampla defesa; apreciar petições de titulares contra controladores; editar regulamentos e procedimentos, inclusive sobre relatórios de impacto; e promover o conhecimento da população sobre proteção de dados. A ANPD começou a aplicar sanções administrativas a partir de 1º de agosto de 2021, data de entrada em vigor dos artigos 52 a 54 (art. 65, I-A, incluído pela Lei 14.010/2020). Sanções Administrativas (art. 52) Advertência, com prazo para correção; Multa simples, de até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração; Multa diária, observado o mesmo limite total; Publicização da infração, após devidamente apurada; Bloqueio dos dados a que se refere a infração, até regularização; Eliminação dos dados a que se refere a infração; Suspensão parcial do funcionamento do banco de dados, por até 6 meses, prorrogável; Suspensão do exercício da atividade de tratamento, por até 6 meses, prorrogável; Proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados. As três últimas sanções (suspensão do banco de dados, suspensão da atividade e proibição) somente podem ser aplicadas após já ter sido imposta ao menos uma das demais sanções para o mesmo caso concreto (art. 52, §6º, I). O §3º permite aplicar às entidades e órgãos públicos as sanções de advertência, publicização, bloqueio, eliminação, suspensão e proibição — mas não a multa, sem prejuízo da Lei 8.112/1990, da Lei de Improbidade Administrativa e da LAI. Encarregado de Dados O artigo 41 determina que o controlador deve indicar encarregado pelo tratamento de dados pessoais, cuja identidade e contato devem ser divulgados publicamente, preferencialmente no sítio eletrônico. Ao contrário do que às vezes se afirma, a lei não restringe essa obrigação a controladores de "grande escala" ou que tratem dados sensíveis: a indicação é, em regra, obrigatória para todo controlador. A Resolução CD/ANPD nº 18/2024 esclareceu que a indicação é obrigatória ao controlador e facultativa ao operador, e a Resolução CD/ANPD nº 2/2022 dispensa agentes de tratamento de pequeno porte dessa indicação, exigindo, em contrapartida, a disponibilização de canal de comunicação com os titulares. Jurisprudência Relevante STF — ADI 6.649: Compartilhamento de Dados entre Órgãos Públicos O STF, na ADI 6.649, relatada pelo Ministro Gilmar Mendes, julgada em conjunto com a ADPF 695, analisou a constitucionalidade do Decreto 10.046/2019, que instituiu o Cadastro Base do Cidadão e o Comitê Central de Governança de Dados. O Tribunal julgou parcialmente procedentes os pedidos, conferindo interpretação conforme a Constituição ao decreto: reconheceu como legítimo o compartilhamento de dados entre órgãos e entidades da administração pública federal, desde que respeitados propósitos legítimos, específicos e explícitos, mecanismos rigorosos de controle de acesso e publicidade das operações — mas declarou inconstitucional a estrutura do Comitê Central de Governança de Dados, por oferecer proteção deficiente aos direitos fundamentais dos titulares, com modulação de efeitos. É importante não confundir essa decisão com a vedação de compartilhamento de dados públicos com entidades privadas: essa vedação decorre diretamente do texto do artigo 26, §1º da LGPD, e não foi objeto central da ADI 6.649, que tratou do compartilhamento entre órgãos públicos. STJ — Vazamento e Disponibilização Indevida de Dados: Divergência entre as Turmas Um dos temas mais sensíveis e atuais da jurisprudência é a existência de entendimentos divergentes entre as Turmas do STJ quanto à necessidade de comprovação de dano para caracterizar dano moral em casos de vazamento de dados pessoais: A Segunda Turma, no AREsp 2.130.619/SP (Rel. Min. Francisco Falcão), firmou entendimento de que o vazamento de dados pessoais, embora seja falha indesejável no tratamento, não gera, por si só, dano moral indenizável — é necessário que o titular comprove o dano decorrente da exposição. A Terceira Turma, em sentido diverso, tem reconhecido o dano moral presumido (in re ipsa) em hipóteses específicas: no REsp 2.121.904/SP (Rel. Min. Nancy Andrighi, fevereiro de 2025), decidiu que o vazamento de dados sensíveis de segurado, em contrato de seguro de vida, expõe o consumidor a riscos relevantes à honra, imagem, intimidade e segurança pessoal, dispensando prova de prejuízo concreto. No REsp 2.201.694/SP (Rel. Min. Nancy Andrighi, agosto de 2025), por maioria, a mesma Turma estendeu esse entendimento à hipótese em que o gestor de banco de dados disponibiliza a terceiros, sem autorização específica, informações cadastrais e de adimplemento do titular — reconhecendo dano moral presumido em razão da forte sensação de insegurança gerada, ainda que o julgamento não tenha sido unânime. Trata-se de matéria ainda em consolidação, com relevante potencial de cobrança em provas objetivas e discursivas: a tendência é que a divergência entre as Turmas seja pacificada pela Corte Especial ou por embargos de divergência. STJ — Proteção do Crédito e Credit Scoring: Súmula 550 e Tema 710 Já abordados na seção de bases legais (art. 7º, X), a Súmula 550 do STJ e o Tema 710 (REsp 1.419.697/RS) consolidam a licitude do uso de escore de crédito sem necessidade de consentimento prévio do consumidor, desde que respeitados os limites da privacidade e da transparência. STJ — Transparência Patrimonial de Agentes Públicos Também já tratado na seção sobre tratamento pelo Poder Público, o RMS 55.819/MG confirma que a exigência de declaração de bens de servidores públicos não viola a LGPD, por força da redução da esfera de privacidade a que se sujeitam os agentes públicos (STF, SS 3.902). STJ — Correção e Eliminação de Dados Inseridos por Terceiros O REsp 2.092.096/SP, já mencionado na seção sobre o direito de anonimização, bloqueio e eliminação (art. 18, IV), reconheceu a obrigação do agente de tratamento de excluir dados cadastrais inseridos indevidamente por terceiros que acessaram fraudulentamente a conta do titular. Direito à Revisão de Decisões Automatizadas (art. 20) Embora não conste do rol do artigo 18, o artigo 20 garante ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses — incluídas decisões que definam perfil pessoal, profissional, de consumo ou de crédito, ou aspectos de sua personalidade (redação dada pela Lei 13.853/2019). O controlador deve fornecer, quando solicitado, informações claras e adequadas sobre os critérios e procedimentos utilizados na decisão automatizada, observados os segredos comercial e industrial (§1º). Havendo recusa baseada nesses segredos, a autoridade nacional pode realizar auditoria para verificar eventual conteúdo discriminatório (§2º). É tema frequentemente cobrado em conjunto com os direitos do artigo 18, por tratar-se também de direito do titular, ainda que topologicamente autônomo. Quadro Comparativo: Bases Legais para Dados Comuns e Dados Sensíveis | Base Legal | Dados Comuns (Art. 7º) | Dados Sensíveis (Art. 11) | |------------|------------------------|---------------------------| | Consentimento | Livre, informado, inequívoco | Específico e destacado | | Obrigação legal | Sim | Sim | | Políticas públicas | Sim (administração pública) | Sim (administração pública) | | Estudos por órgão de pesquisa | Sim | Sim (com anonimização) | | Exercício de direitos | Sim | Sim | | Proteção da vida | Sim | Sim | | Tutela da saúde | Sim | Sim | | Prevenção à fraude/segurança do titular | — | Sim | | Interesses legítimos | Sim | Não | | Proteção do crédito | Sim | Não | Quadro Comparativo: Sanções da LGPD | Sanção | Descrição | Aplicável a entes públicos? | |--------|-----------|------------------------------| | Advertência | Comunicação formal, com prazo para correção | Sim | | Multa simples | Até 2% do faturamento, limite de R$ 50 milhões | Não | | Multa diária | Por descumprimento de obrigações específicas | Não | | Publicização | Divulgação da infração após apuração | Sim | | Bloqueio | Impedimento temporário de acesso aos dados | Sim | | Eliminação | Exclusão definitiva dos dados da infração | Sim | | Suspensão do banco de dados | Até 6 meses, prorrogável | Sim | | Suspensão da atividade | Até 6 meses, prorrogável | Sim | | Proibição | Vedação parcial ou total de atividades de tratamento | Sim | Resumo para Prova Os 9 direitos do titular (art. 18, I a IX): confirmação, acesso, correção, anonimização/bloqueio/eliminação (IV), portabilidade (V), eliminação com consentimento (VI, ressalvado o art. 16), informação sobre compartilhamento (VII), informação sobre negativa de consentimento (VIII) e revogação (IX, c/c art. 8º, §5º). O prazo de resposta para confirmação/acesso está no art. 19, não no art. 18: imediato em formato simplificado, ou até 15 dias para declaração completa. As 10 bases legais para dados comuns estão no art. 7º; as bases para dados sensíveis (art. 11) são mais restritas, excluindo Proteção do Crédito e Interesse Legítimo. O consentimento deve ser livre, informado, inequívoco e para finalidades determinadas; o ônus da prova recai sobre o controlador (art. 8º, §2º); autorizações genéricas são nulas (art. 8º, §4º); a revogação está no art. 8º, §5º. O compartilhamento de dados entre órgãos públicos é regido pelos arts. 25 e 26; a vedação de compartilhamento com entidades privadas está no art. 26, §1º, com suas exceções. Os serviços notariais e de registro equiparam-se aos entes públicos por força do art. 23, §4º. A multa máxima é de 2% do faturamento ou R$ 50 milhões por infração — sanção não aplicável a órgãos e entidades públicas. A ANPD, desde a Lei 15.352/2026, é a Agência Nacional de Proteção de Dados (antes, Autoridade), autarquia de natureza especial desde a Lei 14.460/2022. O STF, na ADI 6.649, validou o compartilhamento de dados entre órgãos públicos sob parâmetros da LGPD, mas declarou inconstitucional a estrutura do Comitê Central de Governança de Dados. O STJ apresenta divergência entre a Segunda e a Terceira Turma sobre a exigência de prova de dano em vazamentos de dados (AREsp 2.130.619 x REsp 2.121.904 e REsp 2.201.694) — tema de alta atualidade para 2026. A Súmula 550 do STJ (Tema 710) dispensa o consentimento do consumidor para uso de credit scoring, com base no art. 7º, X, da LGPD. O RMS 55.819/STJ confirma que a exigência de declaração de bens de agentes públicos não viola a LGPD, dada a redução da esfera de privacidade a que se sujeitam (STF, SS 3.902). O direito à revisão de decisões automatizadas (art. 20) integra o rol de direitos do titular, embora fora do art. 18. Exercícios: De acordo com a Lei Geral de Proteção de Dados (LGPD), qual é o requisito fundamental para que o consentimento do titular seja considerado válido? Qual das seguintes opções NÃO configura um direito do titular de dados pessoais previsto na LGPD? O tratamento de dados pessoais pelo poder público, conforme a LGPD, é permitido para: Qual das alternativas abaixo é uma das bases legais previstas na LGPD para o tratamento de dados pessoais comuns? No contexto da LGPD, qual é o limite máximo de multa aplicável por infração, conforme definido no artigo 52? Sobre a Autoridade Nacional de Proteção de Dados (ANPD), é correto afirmar que: Complete a frase: A Resolução CD/ANPD nº 19/2024 disciplinou detalhadamente as regras relativas a _____, não devendo ser confundida com as normas pendentes sobre o direito de portabilidade de dados do titular. Complete a frase: À luz do regime do consentimento estabelecido pela LGPD, a revogação da manifestação de vontade opera efeitos prospectivos, ficando plenamente _____ os tratamentos realizados sob o amparo do consentimento anteriormente manifestado. De acordo com a disciplina legal do direito de acesso, o controlador deve fornecer a confirmação de existência ou o acesso aos dados pessoais em formato simplificado, imediatamente, ou por meio de declaração clara e completa no prazo de até 15 dias, contado da data do requerimento do titular. O direito à portabilidade de dados pessoais a outro fornecedor de serviço ou produto, previsto no artigo 18 da LGPD, encontra-se plenamente regulamentado em seus aspectos operacionais e prazos de resposta por meio da Resolução CD/ANPD nº 19/2024. A utilização de escore de crédito, método estatístico de avaliação de risco que não constitui banco de dados, dispensa o consentimento do consumidor, que terá o direito de solicitar esclarecimentos sobre as informações pessoais valoradas e as fontes dos dados considerados no respectivo cálculo. O legítimo interesse do controlador e a proteção do crédito, embora figurem como hipóteses autorizadoras para o tratamento de dados pessoais comuns no artigo 7º da LGPD, não foram elencados pelo legislador como bases legais aplicáveis ao tratamento de dados pessoais sensíveis no artigo 11. A revogação do consentimento pelo titular opera efeitos retroativos, de modo que a manifestação expressa de desfazimento da autorização acarreta a nulidade automática dos tratamentos pretéritos realizados sob o seu amparo, impondo ao controlador a eliminação imediata de todo o histórico de dados sem necessidade de nova provocação. Os serviços notariais e de registro exercidos em caráter privado, por delegação do Poder Público, recebem o mesmo tratamento dispensado às pessoas jurídicas de direito público no que tange às obrigações e limites fixados para o tratamento de dados pessoais na LGPD. Diante do princípio do interesse público, é vedado de forma absoluta às pessoas jurídicas de direito público transferir a entidades privadas dados constantes de bases de dados pessoais a que tenham acesso, não admitindo a legislação exceções contratuais ou convencionais para tal compartilhamento. Complete a frase: Nos moldes da jurisprudência consolidada na Súmula 550 do STJ, a utilização de escore de crédito como método estatístico de avaliação de risco comercial é considerada legítima e _____ o consentimento prévio do consumidor. Constatada a infração administrativa às normas de proteção de dados por autarquia federal, a Agência Nacional de Proteção de Dados poderá impor-lhe multa simples de até 2% do seu orçamento no último exercício, limitada ao valor de R\$ 50 milhões por infração. Não extrapola o poder regulamentar da administração pública a edição de decreto que exija de servidores públicos a entrega anual de declaração de bens e evolução patrimonial, haja vista que tais agentes sujeitam-se a uma redução da esfera de privacidade e intimidade no interesse do controle administrativo. A Agência Nacional de Proteção de Dados, que adotava a denominação de Autoridade Nacional de Proteção de Dados até a modificação promovida pela Lei nº 15.352/2026, foi instituída originalmente pela Lei nº 13.853/2019 sob a forma de autarquia de regime especial dotada de total independência orçamentária e desvinculada de Ministérios. Complete a frase: A partir da reforma promovida pela Lei nº 15.352/2026, o órgão fiscalizatório da LGPD passou a denominar-se oficialmente _____, mantendo sua natureza jurídica de autarquia de natureza especial vinculada ao Ministério da Justiça e Segurança Pública. Complete a frase: De acordo com o artigo 19 da LGPD, a declaração clara e completa que indica a origem dos dados, a inexistência de registro, os critérios utilizados e a finalidade do tratamento deve ser fornecida ao titular no prazo de até _____ dias, contado da data do requerimento. Complete a frase: No julgamento do REsp 2.092.096/SP, a Terceira Turma do STJ reconheceu que a B3, na condição de agente de tratamento de dados, tem a obrigação jurídica de realizar a _____ de dados cadastrais inseridos indevidamente por terceiros que obtiveram acesso não autorizado à plataforma. Complete a frase: Ao disciplinar o tratamento de dados pessoais sensíveis, o artigo 11 da LGPD estabelece restrições severas e veda o uso da base legal de _____ para justificar tais operações. Complete a frase: Conforme a literalidade do artigo 23, § 4º, da LGPD, os serviços notariais e de registro exercidos em caráter privado por delegação do Poder Público recebem, para todos os efeitos de privacidade, o mesmo tratamento jurídico dispensado aos _____. Complete a frase: De acordo com as regras de responsabilização e sanções previstas no artigo 52, § 3º, da LGPD, as punições de natureza eminentemente pecuniária são consideradas _____ às entidades e aos órgãos públicos. Complete a frase: Na evolução jurisprudencial do STJ em 2026, a Segunda Turma exige a prova de prejuízo concreto para deferir indenizações por vazamento de dados comuns, enquanto a Terceira Turma reconhece a ocorrência de dano moral _____ em cenários específicos envolvendo dados sensíveis ou fornecimento desautorizado de cadastros.