LGPD — Fundamentos e Princípios (Lei 13.709/2018) Introdução e Contexto Histórico A Lei Geral de Proteção de Dados Pessoais, identificada pela sigla LGPD e representada legalmente pela Lei nº 13.709/2018, constitui o marco regulatório central do Brasil na seara da proteção de dados pessoais. Esta legislação foi sancionada em 14 de agosto de 2018 e sofreu alterações relevantes por meio da Lei nº 13.853/2019, que também instituiu a então denominada Autoridade Nacional de Proteção de Dados. A LGPD entrou em vigor em 18 de setembro de 2020, porém a aplicação de suas sanções administrativas (arts. 52, 53 e 54) teve início apenas em 1º de agosto de 2021, por força da Lei nº 14.010/2020, conferindo ao período anterior um caráter de adaptação e alinhamento organizacional. O contexto de surgimento da LGPD não pode ser compreendido isoladamente. Trata-se de um movimento legislativo global que reconheceu a proteção de dados pessoais como direito fundamental autônomo. A Europa inaugurou essa tendência com o Regulamento Geral sobre a Proteção de Dados, conhecido pela sigla GDPR (General Data Protection Regulation), que se tornou plenamente aplicável em 25 de maio de 2018, com alcance sobre todos os países membros da União Europeia. O Brasil, ao elaborar sua própria lei, absorveu boa parte da estrutura principiológica e das categorias conceituais do GDPR, adaptando o texto às peculiaridades de sua ordem constitucional e de sua estrutura administrativa pública. Um marco constitucional fundamental ocorreu com a Emenda Constitucional 115/2022, promulgada em 10 de fevereiro de 2022, que incluiu expressamente a proteção de dados pessoais entre os direitos fundamentais previstos no artigo 5º da Constituição Federal de 1988, por meio do novo inciso LXXIX: "é assegurado, nos termos da lei, o direito à proteção dos dados pessoais, inclusive nos meios digitais". A mesma emenda acrescentou à competência material da União o inciso XXVI do art. 21 (organizar e fiscalizar a proteção e o tratamento de dados pessoais) e à competência legislativa privativa da União o inciso XXX do art. 22 (proteção e tratamento de dados pessoais). Esta alteração constitucional conferiu ao direito à proteção de dados pessoais o status de direito fundamental autônomo e cláusula pétrea, com proteção reforçada e regime jurídico próprio. Até então, a proteção de dados era deduzida interpretativamente a partir do direito à privacidade, ao habeas data e à inviolabilidade da intimidade e da vida privada (art. 5º, X e XII, da CF/88) — interpretação que, aliás, já havia sido adotada expressamente pelo STF em 2020, antes mesmo da positivação constitucional (ver seção de jurisprudência, adiante). Objeto da LGPD O artigo 1º da LGPD estabelece de forma inequívoca o objeto da norma: "Esta Lei dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural." O parágrafo único do mesmo artigo, incluído pela Lei nº 13.853/2019, esclarece que as normas gerais contidas na LGPD são de interesse nacional e devem ser observadas pela União, pelos Estados, pelo Distrito Federal e pelos Municípios — reforçando o caráter de norma geral de aplicação a todos os entes federativos. Da leitura do dispositivo, extraem-se elementos essenciais para a compreensão do campo de incidência da lei. O objeto da LGPD abrange toda operação de tratamento de dados pessoais, independentemente do meio utilizado — seja digital, seja físico. A lei aplica-se tanto a pessoas naturais quanto a pessoas jurídicas de direito público e de direito privado, demonstrando seu caráter abrangente e horizontal. O escopo teleológico da norma reside na proteção de três valores fundamentais: a liberdade, a privacidade e o livre desenvolvimento da personalidade. Tais valores encontram-se entrelaçados: a privacidade constitui pressuposto da personalidade, e a liberdade só se realiza plenamente quando o indivíduo pode controlar as informações que lhe dizem respeito. Vale acrescentar que o artigo 2º da LGPD elenca os fundamentos da disciplina da proteção de dados pessoais, que incluem o respeito à privacidade, a autodeterminação informativa, a liberdade de expressão, de informação, de comunicação e de opinião, a inviolabilidade da intimidade, da honra e da imagem, o desenvolvimento econômico e tecnológico e a inovação, a livre iniciativa, a livre concorrência e a defesa do consumidor, e os direitos humanos, o livre desenvolvimento da personalidade, a dignidade e o exercício da cidadania pelas pessoas naturais. Este rol é frequentemente cobrado em provas por exigir a distinção entre "fundamentos" (art. 2º) e "princípios" (art. 6º), que não se confundem. Âmbito de Aplicação da LGPD Hipóteses de Incidência O artigo 3º da LGPD define três hipóteses em que a lei se aplica, estabelecendo os chamados critérios de conexão, aplicáveis independentemente do meio, do país da sede do agente de tratamento ou do país onde estejam localizados os dados: A primeira hipótese refere-se às operações de tratamento realizadas em território nacional. Trata-se do critério territorial clássico, segundo o qual qualquer um que opere dentro do Brasil fica sujeito à LGPD, independentemente de sua nacionalidade ou local de constituição. A segunda hipótese abrange as atividades de tratamento realizadas com finalidade de oferta de bens ou serviços a indivíduos localizados no território nacional, ainda que o controlador ou operador esteja estabelecido no exterior. Este critério protege cidadãos brasileiros mesmo quando se relacionam com empresas estrangeiras. A terceira hipótese concerne aos dados pessoais coletados no território nacional, mesmo quando tratados no exterior, garantindo que dados obtidos em solo brasileiro recebam a proteção da lei, independentemente da localização do tratamento. O §1º do art. 3º esclarece que se consideram coletados no território nacional os dados pessoais cujo titular nele se encontre no momento da coleta. Exceções ao Âmbito de Aplicação A LGPD estabelece exceções específicas em seu artigo 4º, que excluem determinadas situações de seu campo de incidência: O tratamento realizado por pessoa natural para fins exclusivamente particulares e não econômicos não está sujeito à LGPD (inciso I). Esta exceção reconhece que existe uma esfera de privacidade na qual o indivíduo pode tratar seus próprios dados sem formalidades legais. Contudo, a exceção não se aplica quando os dados são compartilhados com terceiros ou quando o tratamento afetar terceiros. Também estão excluídas as atividades de tratamento realizadas para fins exclusivamente jornalísticos e artísticos, ou para fins acadêmicos — sendo que, nesta última hipótese, aplicam-se os arts. 7º e 11 da LGPD, ou seja, mesmo o tratamento acadêmico permanece sujeito às hipóteses legais que autorizam o tratamento de dados comuns e sensíveis (inciso II). Esta exceção busca preservar a liberdade de imprensa, a produção artística e a atividade científica, reconhecendo que tais atividades possuem dinâmicas próprias, embora não fiquem totalmente imunes ao regime protetivo. As atividades de tratamento para fins exclusivos de segurança pública, defesa nacional, segurança do Estado, ou de investigação e repressão de infrações penais também estão excluídas (inciso III), devendo ser regidas por legislação específica que preveja medidas proporcionais e estritamente necessárias, observados o devido processo legal e os princípios gerais de proteção de dados. É vedado o tratamento desses dados por pessoa de direito privado, salvo em procedimentos sob tutela de pessoa jurídica de direito público. Esta exceção é fundamental para o funcionamento das atividades de inteligência e de segurança, embora deva ser interpretada de forma restritiva, sob pena de criar um vasto território excluído da proteção de dados. Por fim, o inciso IV exclui os dados provenientes do exterior que não sejam objeto de comunicação, uso compartilhado ou transferência internacional com agentes brasileiros, desde que o país de proveniência assegure grau de proteção adequado. O tratamento de dados por entidades privadas que executam políticas públicas A LGPD não contém, no art. 3º, qualquer regra de equiparação entre entidades privadas que recebem recursos públicos e entes públicos. O regime aplicável ao Poder Público (Capítulo IV da LGPD) alcança, no entanto, situações específicas de execução descentralizada da atividade pública: o art. 24 determina que as empresas públicas e sociedades de economia mista que atuam em regime de concorrência recebem o mesmo tratamento dispensado às pessoas jurídicas de direito privado, mas, quando estiverem operacionalizando políticas públicas, passam a receber o mesmo tratamento dispensado aos órgãos e entidades do Poder Público. Já o art. 23, §4º, estende às atividades notariais e de registro exercidas em caráter privado, por delegação do Poder Público, o mesmo regime aplicável às pessoas jurídicas de direito público. É esse o desenho legal — e não uma equiparação genérica de "entidades privadas que recebem recursos públicos" — que rege a matéria. Conceitos Fundamentais O artigo 5º da LGPD estabelece um extenso glossário de conceitos essenciais para a compreensão e aplicação da lei. Trata-se de terminologia técnica que constitui a base para a interpretação de todos os demais dispositivos. Dado Pessoal A lei define dado pessoal como toda informação relacionada a pessoa natural identificada ou identificável. O conceito é amplo e abrange qualquer informação que, isoladamente ou em conjunto com outras, permita identificar um indivíduo. Esta amplitude intencional visa a assegurar a maior proteção possível, alcançando situações em que a identificação, embora não imediata, possa ser realizada mediante esforços razoáveis. Incluem-se nessa categoria nomes, endereços, números de documentos, endereços eletrônicos, números de telefone, bem como identificadores online, cookies e outros marcadores digitais. Dado Pessoal Sensível O dado pessoal sensível constitui categoria especial que recebe proteção reforçada. Nos termos exatos do art. 5º, II, são considerados sensíveis os dados pessoais sobre: Origem racial ou étnica — informações que identificam ou podem identificar a ascendência ou características físicas de determinado grupo étnico-racial; Convicção religiosa — informações sobre crenças, práticas religiosas e filiação a instituições religiosas; Opinião política — posições políticas e participação em movimentos políticos; Filiação a sindicato ou a organização de caráter religioso, filosófico ou político — categoria associativa que a lei trata de forma unificada; Dado referente à saúde ou à vida sexual — informações sobre condições de saúde, diagnósticos, tratamentos, bem como preferências e práticas sexuais; Dado genético — informações do código genético individual, que possuem características únicas e permanentes; Dado biométrico — impressões digitais, íris, reconhecimento facial e outras características físicas passíveis de mensuração e únicas do indivíduo — desde que, em qualquer dessas hipóteses, o dado esteja vinculado a uma pessoa natural. Esta categoria especial de dados exige tratamento ainda mais cuidadoso e bases legais específicas (art. 11), mais restritas do que as aplicáveis aos dados pessoais comuns (art. 7º). Dado Anonimizado O dado anonimizado é aquele relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião do tratamento. A anonimização representa técnica de proteção que, quando realizada de forma efetiva, exclui os dados do campo de aplicação da LGPD. Contudo, o art. 12 estabelece que os dados anonimizados não serão considerados dados pessoais, salvo quando o processo de anonimização for revertido, utilizando exclusivamente meios próprios, ou quando, com esforços razoáveis, puder ser revertido — sendo a razoabilidade aferida a partir de fatores objetivos, como custo e tempo necessários para a reversão. Esta distinção é fundamental: dados apenas pseudonimizados (art. 13, §4º) permanecem dados pessoais, pois a pseudonimização preserva a possibilidade de reidentificação mediante informação adicional mantida separadamente. Banco de Dados Banco de dados é definido como o conjunto estruturado de dados pessoais, estabelecido em um ou em vários locais, em suporte eletrônico ou físico. O conceito é abrangente e inclui tanto bases de dados digitais quanto arquivos físicos organizados, desde que contenham dados pessoais. Titular dos Dados O titular dos dados refere-se à pessoa natural a quem se referem os dados pessoais que são objeto de tratamento. É o indivíduo que detém os direitos fundamentais de liberdade e de privacidade sobre as suas próprias informações. Operador e Controlador O controlador é a pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais. É quem determina as finalidades, as condições e os meios do tratamento. A figura do controlador conecta-se à responsabilidade primária pela proteção de dados. O operador é a pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador. O operador age segundo as instruções do controlador, executando o tratamento conforme as diretrizes estabelecidas. A distinção entre controlador e operador é funcional: a mesma pessoa pode ser controlador em relação a certas operações e operador em relação a outras. Juntos, controlador e operador formam os chamados agentes de tratamento (art. 5º, IX). Encarregado de Dados O encarregado de dados, também conhecido pela sigla DPO (do inglês Data Protection Officer), é a pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre eles, os titulares dos dados e a autoridade nacional. O encarregado não necessita de formação jurídica específica, mas deve possuir conhecimentos sobre proteção de dados e deve ter independência para exercer suas funções. Suas atividades, nos termos do art. 41, §2º, incluem aceitar reclamações e comunicações dos titulares, receber comunicações da autoridade nacional e orientar os funcionários e contratados da entidade sobre as práticas de proteção de dados. A indicação do encarregado é obrigatória para controladores e operadores, existindo hipóteses de dispensa regulamentadas pela autoridade nacional para agentes de pequeno porte, conforme a natureza e o volume das operações de tratamento. Tratamento de Dados O conceito de tratamento é o mais amplo da lei, abrangendo toda operação realizada com dados pessoais. O artigo 5º, X enumera as operações incluídas: coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração. Esta extensão conceitual assegura que qualquer manipulação de dados pessoais esteja sujeita à LGPD. Relação com o Marco Civil da Internet É importante destacar que a LGPD alterou a Lei 12.965/2014 (Marco Civil da Internet), por meio de seu art. 60. As alterações inseriram, no rol de direitos do usuário do art. 7º, X, e na vedação de guarda de dados excessivos do art. 16, II, a ressalva expressa às hipóteses previstas na "Lei que dispõe sobre a proteção de dados pessoais" — isto é, a própria LGPD passou a ser o parâmetro normativo de referência para essas hipóteses do Marco Civil. Esta alteração legislativa reconhece que o Marco Civil e a LGPD constituem marcos complementares: o primeiro regula especificamente o uso da internet — guarda de registros de conexão e de acesso a aplicações, responsabilidade dos provedores —, enquanto a LGPD estabelece regras gerais de proteção de dados pessoais aplicáveis a todos os meios, físicos ou digitais. Os Dez Princípios da LGPD O artigo 6º estabelece que as atividades de tratamento de dados pessoais deverão observar a boa-fé e os princípios a seguir. Tais princípios constituem o núcleo axiológico da lei e devem ser observados cumulativamente, sob pena de caracterizado o tratamento irregular (art. 44). Finalidade A atividade de tratamento deve ser realizada para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades. Este princípio veda o chamado tratamento para finalidades indeterminadas ou genéricas. O controlador deve informar ao titular, de antemão, para qual finalidade específica os dados serão utilizados. O tratamento posterior para outras finalidades só é admitido quando compatível com a finalidade originalmente informada e quando existirem bases legais específicas para a nova finalidade. Adequação O tratamento deve ser compatível com as finalidades informadas ao titular, de acordo com o contexto do tratamento. Este princípio complementa o anterior, assegurando que o tratamento seja apropriado para alcançar a finalidade declarada. A incompatibilidade entre o tratamento realizado e a finalidade informada caracteriza violação tanto do princípio da finalidade quanto do princípio da adequação. Necessidade O tratamento deve ser limitado ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento. Este princípio, também conhecido como princípio da minimização de dados, impõe que sejam coletados apenas os dados estritamente necessários para a finalidade específica. A coleta indiscriminada de dados, sem justificativa de necessidade, viola este princípio. O princípio da necessidade conecta-se diretamente ao conceito de dado pessoal sensível, pois impõe especial cautela no tratamento de categorias especiais de dados. Livre Acesso Deve ser garantida aos titulares consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais. Este princípio assegura que o titular possa, a qualquer momento, conhecer quais dados seus estão sendo tratados, por quanto tempo e com quais finalidades. A garantia de acesso facilitado e gratuito representa elemento essencial da transparência e da autodeterminação informativa. Qualidade dos Dados Deve ser garantida aos titulares a exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento. O controlador não pode manter dados imprecisos, desatualizados ou irrelevantes nos sistemas. Este princípio impõe deveres ativos de qualidade, não apenas a impossibilidade de manter dados incorretos. A atualização deve ocorrer enquanto os dados forem úteis à finalidade declarada. Transparência Deve ser garantida aos titulares informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial. Este princípio vai além do livre acesso, impondo que as informações sobre o tratamento sejam fornecidas de forma clara e compreensível, não em linguagem técnica inacessível ao cidadão comum — sem, contudo, obrigar o controlador a revelar informações protegidas por sigilo empresarial. A transparência conecta-se ao princípio da segurança, pois só é possível adotar medidas de proteção adequadas quando se conhece o tratamento realizado. Segurança Devem ser utilizadas medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão. Este princípio impõe ao controlador e ao operador o dever de adotar medidas de segurança adequadas ao risco do tratamento. A segurança não é obrigação de resultado, mas de meio: deve-se adotar todas as medidas razoáveis para proteger os dados. Prevenção Devem ser adotadas medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais. Este princípio impõe postura proativa, de antecipação de riscos, não meramente reativa. O controlador deve identificar potenciais danos e adotar medidas preventivas antes que ocorram. A prevenção conecta-se à segurança, mas a amplia: o foco não está apenas na proteção contra acessos não autorizados, mas contra qualquer dano decorrente do tratamento. Não Discriminação É vedada a realização do tratamento para fins discriminatórios ilícitos ou abusivos. Este princípio protege contra o uso de dados para práticas discriminatórias, como decisões de emprego baseadas em dados biométricos que revelem convicções religiosas, ou ofertas de serviços diferenciadas com base em características protegidas. A proibição de discriminação não impede todo tratamento que produza efeitos diferenciados, mas sim o tratamento realizado com intenção discriminatória ou que produza resultados desproporcionalmente adversos sem justificativa legítima. Responsabilização e Prestação de Contas O agente deve demonstrar a adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais, e, inclusive, a eficácia dessas medidas. Este princípio impõe o dever de documentação e demonstração de conformidade — não basta observar a lei de fato; é necessário poder provar que se observou, e mais: provar que as medidas adotadas efetivamente funcionam. Isto conecta-se à governança de dados e aos mecanismos de accountability* que devem ser implementados pelas organizações (art. 50). Jurisprudência Relevante: STF e Proteção de Dados ADI 6.649-DF (e ADPF 695) — Compartilhamento de Dados entre Entidades Públicas A ADI 6.649-DF, ajuizada pelo Conselho Federal da Ordem dos Advogados do Brasil, constitui leading case do Supremo Tribunal Federal sobre proteção de dados pessoais na esfera pública. O processo foi relatado pelo Ministro Gilmar Mendes e julgado em conjunto com a ADPF 695 (ajuizada pelo Partido Socialista Brasileiro) pelo Plenário do STF, com julgamento concluído em 15 de setembro de 2022. O caso analisava a constitucionalidade do Decreto 10.046/2019, que regulamenta o compartilhamento de dados no âmbito da Administração Pública federal e estabelece o Cadastro Base do Cidadão e o Comitê Central de Governança de Dados. A OAB sustentava que o decreto permitiria uma espécie de vigilância massiva e representaria controle inconstitucional do Estado sobre os cidadãos. Por maioria de votos, o STF decidiu pela parcial procedência das ações, conferindo interpretação conforme a Constituição Federal ao Decreto 10.046/2019. A Corte entendeu que o compartilhamento de dados pessoais entre órgãos públicos é legítimo, desde que observados parâmetros constitucionais e os princípios da LGPD — entre eles a eleição de propósitos legítimos, específicos e explícitos para o tratamento, a compatibilidade do uso com essas finalidades e a limitação ao mínimo necessário. Além disso, o Tribunal declarou, com efeito pro futuro, a inconstitucionalidade do artigo 22 do Decreto 10.046/2019 — que tratava da composição do Comitê Central de Governança de Dados, formado exclusivamente por representantes do Poder Executivo, sem garantias contra influências indevidas —, fixando o prazo de 60 dias, a contar da publicação da ata de julgamento, para que o Chefe do Poder Executivo (i) conferisse ao órgão um perfil independente e plural, aberto à participação de outras instituições democráticas, e (ii) assegurasse a seus integrantes garantias mínimas contra influências indevidas. Ficaram parcialmente vencidos os Ministros André Mendonça, Nunes Marques e Edson Fachin. Os requisitos estabelecidos pelo STF para a legitimidade do compartilhamento de dados no âmbito da Administração Pública federal incluem, entre outros: eleição de finalidades legítimas, específicas e explícitas; compatibilidade do tratamento com as finalidades informadas; limitação ao mínimo necessário; observância rigorosa dos princípios da LGPD; publicização ativa das hipóteses de compartilhamento; mecanismos rigorosos de controle de acesso ao Cadastro Base do Cidadão, restrito a órgãos que comprovem real necessidade; e, no que se refere ao compartilhamento em atividades de inteligência, observância dos parâmetros fixados no julgamento da ADI 6.529 (que limitou o compartilhamento de dados no âmbito do Sisbin). Reconhecimento do Direito Fundamental Autônomo à Proteção de Dados Em maio de 2020, ao apreciar em conjunto as ADIs 6.387, 6.388, 6.389, 6.390 e 6.393 — todas relatadas pela Ministra Rosa Weber —, o Plenário do STF suspendeu a eficácia da Medida Provisória 954/2020, que obrigava as prestadoras de Serviço Telefônico Fixo Comutado e de Serviço Móvel Pessoal a compartilhar dados de seus usuários (nome, telefone e endereço) com o IBGE, para fins de produção de estatísticas oficiais durante a pandemia de Covid-19. No voto condutor, a Ministra Rosa Weber reconheceu, por ampla maioria, a existência de um direito fundamental autônomo à proteção de dados pessoais e à autodeterminação informativa, distinto da privacidade tradicional, extraído da interpretação sistemática dos incisos X e XII do art. 5º da Constituição. O Tribunal considerou que a MP 954/2020 não previa mecanismos técnicos ou administrativos suficientes para proteger os dados compartilhados contra acessos não autorizados, vazamentos ou uso indevido, violando o devido processo legal em sua dimensão substantiva. Este precedente é anterior à LGPD entrar em vigor e à própria Emenda Constitucional 115/2022 — e é justamente por isso que costuma ser cobrado em provas: evidencia que o STF já reconhecia a proteção de dados como direito fundamental implícito antes de sua positivação expressa no texto constitucional. Com a EC 115/2022, esse reconhecimento tornou-se explícito e definitivo no texto da Constituição. Atualização Legislativa Recente: a Transformação da ANPD em Agência (Lei nº 15.352/2026) Ponto de altíssima relevância para concursos realizados a partir de 2026: a Lei nº 15.352, de 25 de fevereiro de 2026 — originada da Medida Provisória nº 1.317/2025 — alterou a LGPD para transformar a Autoridade Nacional de Proteção de Dados em Agência Nacional de Proteção de Dados, mantendo a sigla ANPD. A nova redação do art. 55-A da LGPD passou a prever que a ANPD é autarquia de natureza especial, vinculada ao Ministério da Justiça e Segurança Pública, dotada de autonomia funcional, técnica, decisória, administrativa e financeira, com patrimônio próprio e sede e foro no Distrito Federal — equiparando-a, assim, a outras agências reguladoras federais, como Anatel, Aneel e Ancine. A mesma lei criou a Carreira de Especialista em Regulação de Proteção de Dados (200 cargos, providos por concurso público) e instituiu uma unidade de Auditoria interna na estrutura da Agência. Um dos principais motivadores dessa transformação foi a atribuição à ANPD da competência de regulamentar o Estatuto Digital da Criança e do Adolescente (ECA Digital), instituído pela Lei nº 15.211/2025, cuja entrada em vigor foi fixada para 17 de março de 2026. Assim, além do glossário de conceitos e dos princípios já tratados nesta aula, o candidato a concursos difíceis deve estar atento a essa mudança de desenho institucional: onde a legislação e a doutrina mais antigas mencionam "Autoridade Nacional de Proteção de Dados", o texto normativo vigente da LGPD passou a referir-se a "Agência Nacional de Proteção de Dados" (art. 5º, VIII e XIX, na redação dada pela Lei nº 15.352/2026). Quadro Comparativo: Conceitos Fundamentais | Conceito | Definição | Exemplo Prático | |----------|-----------|------------------| | Dado pessoal | Informação relacionada a pessoa natural identificada ou identificável | Nome, CPF, endereço eletrônico | | Dado pessoal sensível | Dados sobre origem racial, religião, saúde, vida sexual, genética, biometria | Tipo sanguíneo, crença religiosa | | Dado anonimizado | Dado que não permite identificação, considerando meios técnicos razoáveis e irreversíveis | Dados estatísticos agregados | | Controlador | Decide sobre finalidades e meios do tratamento | Empresa que coleta dados de clientes | | Operador | Executa o tratamento conforme instruções do controlador | Prestadora de serviços de TI | | Encarregado (DPO) | Canal de comunicação com titulares e ANPD | Profissional designado pela empresa | | Tratamento | Toda operação realizada com dados pessoais | Coleta, armazenamento, transmissão | Quadro Comparativo: Os Dez Princípios | Princípio | Essência | Obrigação Principal | |-----------|----------|---------------------| | Finalidade | Propósitos legítimos e informados | Informar a finalidade antes do tratamento | | Adequação | Tratamento compatível com a finalidade | Compatibilizar meios e fins | | Necessidade | Mínimo necessário, dados pertinentes e proporcionais | Não coletar dados excessivos | | Livre acesso | Consulta facilitada e gratuita | Disponibilizar informações ao titular | | Qualidade | Exatidão e atualização | Manter dados corretos e atuais | | Transparência | Informações claras, resguardado o sigilo empresarial | Comunicar de forma compreensível | | Segurança | Proteção contra acessos não autorizados | Adotar medidas técnicas adequadas | | Prevenção | Antecipar danos | Adotar postura proativa | | Não discriminação | Vedação de fins discriminatórios | Não usar dados para discriminação | | Responsabilização | Demonstrar conformidade e eficácia das medidas | Documentar e provar observância | Aplicação Prática dos Conceitos Exemplo: Atendimento em Unidade de Saúde Pública Quando um cidadão comparece a uma unidade de saúde pública, ocorre a coleta de diversos dados pessoais, alguns dos quais sensíveis. O município, como controlador, decide quais dados são necessários para o atendimento. Os dados de saúde do paciente constituem dado pessoal sensível, exigindo bases legais específicas do art. 11 da LGPD. Os dados devem ser utilizados exclusivamente para fins de atendimento e nunca compartilhados para fins comerciais ou discriminatórios. O município deve garantir acesso do paciente aos seus dados, mantê-los atualizados e protegê-los com medidas de segurança adequadas. O compartilhamento com outros órgãos públicos para fins de políticas públicas é admitido, desde que respeitados os princípios da LGPD e observados os parâmetros fixados pelo STF na ADI 6.649. Exemplo: Concurso Público No contexto de concursos públicos, a banca organizadora atua como controladora de dados pessoais dos candidatos. Os dados coletados devem limitar-se ao necessário para a realização do certame. As informações de saúde declaradas para solicitar condições especiais de prova constituem dados sensíveis, exigindo tratamento sigiloso. A publicação de resultados deve observar o princípio da não discriminação, evitando-se exposição desnecessária de dados sensíveis. O candidato possui direito de acesso aos seus dados e de correção de informações incorretas, nos termos do art. 18 da LGPD. Diferença entre LGPD e Marco Civil da Internet | Aspecto | LGPD | Marco Civil da Internet | |---------|------|------------------------| | Objeto | Proteção de dados pessoais | Uso da internet | | Âmbito | Todos os meios de tratamento | Meio digital específico | | Foco | Direitos do titular | Liberdade de expressão e neutralidade de rede | | Sanções | Administrativas pela ANPD (arts. 52 a 54) | Não previu sanções específicas para dados pessoais | A LGPD e o Marco Civil da Internet são marcos complementares. A LGPD aplica-se a qualquer tratamento de dados pessoais, independentemente do meio utilizado. O Marco Civil regula especificamente aspectos do uso da internet, como neutralidade de rede, responsabilidade dos provedores e guarda de registros de conexão. As duas leis foram desenhadas para serem harmonicamente aplicadas — inclusive com remissões expressas do Marco Civil à LGPD, introduzidas pelo próprio art. 60 desta última. Exercícios: De acordo com o art. 1º da Lei Geral de Proteção de Dados Pessoais (LGPD), qual é o objetivo principal da norma? Conforme o art. 5º da LGPD, qual definição melhor descreve o conceito de 'dado pessoal sensível'? Entre as hipóteses de incidência da LGPD, qual situação está corretamente abrangida pela lei? Qual princípio da LGPD estabelece que o tratamento de dados deve estar limitado ao mínimo necessário para realizar suas finalidades? De acordo com o art. 6º da LGPD, o princípio da 'transparência' garante aos titulares: Qual das opções está INCORRETA em relação ao conceito de 'dado anonimizado', conforme a LGPD? A Emenda Constitucional nº 115/2022 elevou a proteção de dados pessoais ao patamar de direito fundamental autônomo e, simultaneamente, alterou a repartição de competências na Federação para conferir à União a competência legislativa privativa sobre a proteção e o tratamento de dados pessoais. O tratamento de dados pessoais realizado para fins exclusivamente acadêmicos está integralmente excluído do âmbito de incidência da LGPD, dispensando a subsunção da atividade às hipóteses legais que autorizam o tratamento de dados comuns e sensíveis previstos na norma. Aplica-se a LGPD às operações de tratamento de dados pessoais cujo titular esteja localizado em território nacional no momento da coleta, ainda que o controlador esteja estabelecido no exterior e que o processamento subsequente ocorra integralmente fora das fronteiras do país. O Supremo Tribunal Federal, ao julgar a Medida Cautelar na ADI 6.387, reconheceu o direito fundamental autônomo à proteção de dados pessoais e à autodeterminação informativa de forma anterior à entrada em vigor da LGPD e à promulgação da Emenda Constitucional nº 115/2022. As entidades privadas que recebem quaisquer recursos públicos ficam genericamente equiparadas aos entes públicos para fins de aplicação do regime jurídico especial de tratamento de dados previsto no Capítulo IV da LGPD. Os dados pessoais que passam pelo processo de pseudonimização permanecem sob o escopo de incidência protetiva da LGPD, uma vez que a pseudonimização mantém a viabilidade de reidentificação do titular por meio de informação adicional mantida separadamente. A Lei nº 15.352/2026 promoveu a transformação institucional da Autoridade Nacional de Proteção de Dados em Agência Nacional de Proteção de Dados (ANPD), qualificando-a como autarquia de natureza especial administrativamente vinculada à Presidência da República. Em observância ao princípio da transparência, o controlador de dados pessoais é obrigado a fornecer ao titular todas as informações relativas aos critérios de tratamento, inclusive mediante a revelação integral de segredos comerciais e industriais envolvidos nas operações automatizadas. No julgamento conjunto da ADI 6.649-DF e da ADPF 695, o Supremo Tribunal Federal declarou a inconstitucionalidade, com efeitos pro futuro, do dispositivo regulamentar que tratava da composição exclusivamente governamental do Comitê Central de Governança de Dados, fixando prazo para sua reestruturação plural. Nos termos do regime de governança estabelecido pela LGPD, a indicação do encarregado pelo tratamento de dados pessoais (DPO) exige, de forma cogente, graduação em nível superior na área jurídica ou de tecnologia da informação para a validade do ato. Complete a frase: A Lei nº 15.352/2026 promoveu uma alteração substancial na estrutura institucional da proteção de dados no Brasil, transformando a Autoridade Nacional de Proteção de Dados em uma autarquia de natureza especial dotada de autonomia funcional, técnica, decisória, administrativa e financeira, denominada _____ Nacional de Proteção de Dados. Complete a frase: Com a promulgação da Emenda Constitucional nº 115/2022, a proteção de dados pessoais foi guindada ao status de direito fundamental autônomo e cláusula pétrea, passando a figurar formalmente na Constituição Federal de 1988 por meio de um novo _____ do artigo 5º. Complete a frase: No leading case da ADI 6.649-DF, o Plenário do Supremo Tribunal Federal conferiu interpretação conforme à Constituição ao Decreto nº 10.046/2019 e declarou a inconstitucionalidade pro futuro de seu artigo 22, determinando a reestruturação do Comitê Central de Governança de Dados para afastar o vício de um colegiado com perfil _____ Complete a frase: O tratamento de dados pessoais realizado para fins exclusivamente acadêmicos está ressalvado do âmbito de aplicação geral da LGPD pelo artigo 4º, inciso II, alínea 'c', contudo, o legislador determinou expressamente que a essa hipótese normativa aplicam-se os artigos _____ Complete a frase: Os dados anonimizados não serão considerados dados pessoais para os fins da LGPD, exceto se o processo de anonimização for revertido utilizando exclusivamente meios próprios ou quando, com esforços _____, puder ser revertido. Complete a frase: O artigo 6º da LGPD estabelece que as atividades de tratamento de dados pessoais devem observar a boa-fé e princípios específicos, dentre os quais figura o dever de demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas, que corresponde ao princípio da _____ Complete a frase: No tocante ao âmbito de aplicação territorial da LGPD, a legislação adota critérios objetivos de conexão para além das fronteiras físicas, estabelecendo que se consideram coletados no território nacional os dados pessoais cujo _____ nele se encontre no momento da coleta. Complete a frase: Embora as empresas públicas e as sociedades de economia mista que atuam em mercado concorrencial fiquem submetidas ao regime das pessoas jurídicas de direito privado, a LGPD impõe uma exceção e determina que elas receberão o mesmo tratamento dispensado aos órgãos do Poder Público quando estiverem operacionalizando _____ Complete a frase: A LGPD conferiu uma proteção jurídica acentuada a certas categorias de informações que possuem maior potencial de gerar discriminação ou estigmatização, de modo que o dado referente à filiação a sindicato ou a organização de caráter religioso, filosófico ou político é definido formalmente como dado pessoal _____ Complete a frase: Historicamente, antes que a proteção de dados ganhasse expressividade literal no texto constitucional, o Plenário do Supremo Tribunal Federal, ao suspender a eficácia da Medida Provisória nº 954/2020 no julgamento das ADIs 6.387 e seguintes, firmou entendimento vanguardista ao reconhecer a existência de um direito fundamental _____ à proteção de dados e à autodeterminação informativa.