Title: Noções de Direito Administrativo / Lei de Proteção de Dados Pessoais - LGPD / Agentes de Tratamento de Dados Pessoais
Tags: Lei_de_Proteção_de_Dados_Pessoais_-_LGPD Noções_Direito_Administrativo Resumo
On every note of this deck, unless a note says otherwise:
tldr: - Agentes (Art. 5º §):
• Controlador: define finalidades e meios;
• Operador: executa sob instruções do controlador;
• Encarregado (DPO): canal entre titulares, controlador/operador e ANPD.
- Governança (Arts. 37–40):
• Inventário de Dados Pessoais: registro obrigatório de todas as operações (art. 37).
• Relatório de Impacto: ANPD pode exigir descrição de dados, metodologias e salvaguardas (art. 38).
• Operador segue estritamente instruções do controlador (art. 39).
• ANPD define padrões de interoperabilidade, portabilidade e tempos de retenção (art. 40).
- Encarregado (Art. 41):
• Recebe e trata reclamações de titulares e comunicações da ANPD;
• Orienta funcionários e contratados;
• Outras atribuições definidas pelo controlador ou normas complementares;
• Sua identidade e contato devem ser divulgados publicamente.
- Responsabilidade Civil (Arts. 42–44):
• Controller e operador respondem por danos patrimoniais ou morais;
• Operador é solidariamente responsável se descumprir LGPD ou instruções lícitas (art. 42 §1);
• Controladores conjuntos envolvidos no tratamento respondem solidariamente;
• Exclusão de responsabilidade: provar não ter operado, não ter violado a lei ou dano exclusivo do titular/terceiro (art. 43);
• Tratamento irregular: descumprimento da LGPD ou falta de segurança esperada (art. 44);
• Juiz pode inverter ônus da prova a favor do titular (art. 42 §2);
• Direito de regresso entre agentes que indenizarem em conjunto (art. 42 §4);
• Relações de consumo seguem também o CDC.
link: https://documentacao.online/estudos/e6a7.html
title: Lei de Proteção de Dados Pessoais - LGPD - Agentes de Tratamento de Dados Pessoais

front: FGV/ALESC - 2024 A responsabilidade civil do controlador ou operador de danos pessoais possui disciplina própria na Lei nº 13.709/2018 (Lei Geral de Proteção de Dados). Sobre o tema, assinale a afirmativa correta.
(A) O operador responde solidariamente pelos danos causados pelo tratamento quando descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do controlador, hipótese em que o operador se equipara ao controlador.
(B) O agente de tratamento será responsabilizado ainda que prove que o dano é decorrente de culpa exclusiva do titular dos dados ou de terceiros, pois a Lei nº 13.709/2018 consagrou a teoria do risco integral na matéria.
(C) As hipóteses de violação do direito do titular no âmbito das relações de consumo são disciplinadas exclusivamente pela Lei nº 13.709/2018, vedada a aplicação do Código de Defesa do Consumidor na matéria.
(D) O tratamento de dados pessoais será nulo quando deixar de observar a legislação ou quando não fornecer a segurança que o titular dele pode esperar, consideradas as circunstâncias relevantes, entre as quais o modo pelo qual é realizado.
(E) Não é possível a inversão do ônus da prova nas ações que versem sobre reparação de danos em razão da violação do dever de proteção de dados pessoais.
response: Alternativa A
comment: A letra (A) está correta, a fim de assegurar a efetiva indenização ao titular dos dados, é possível a responsabilização solidária do operador nessa hipótese específica. A alternativa retoma a disposição literal do art. 42, I, da Lei nº 13.709/2018:Art. 42. O controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo. I - o operador responde solidariamente pelos danos causados pelo tratamento quando descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do controlador, hipótese em que o operador equipara-se ao controlador, salvo nos casos de exclusão previstos no art. 43 desta Lei; A letra (B) está incorreta, uma das situações de exclusão da responsabilidade civil dos agentes de tratamento (controlador e operador) ocorre quando o dano é decorrente de culpa exclusiva do titular dos dados ou de terceiro, conforme dispõe a Lei nº 13.709/2018:Art. 43. Os agentes de tratamento só não serão responsabilizados quando provarem: I - que não realizaram o tratamento de dados pessoais que lhes é atribuído; II - que, embora tenham realizado o tratamento de dados pessoais que lhes é atribuído, não houve violação à legislação de proteção de dados; ou III - que o dano é decorrente de culpa exclusiva do titular dos dados ou de terceiro. A letra (C) está incorreta, o Código de Defesa do Consumidor continua aplicável nas situações de violação ao direito do titular no âmbito das relações de consumo, segundo disciplina a Lei nº 13.709/2018:Art. 45. As hipóteses de violação do direito do titular no âmbito das relações de consumo permanecem sujeitas às regras de responsabilidade previstas na legislação pertinente. A letra (D) está incorreta, na situação citada na alternativa, o tratamento de dados pessoais será irregular, e não nulo, de acordo com a Lei nº 13.709/2018:Art. 44. O tratamento de dados pessoais será irregular quando deixar de observar a legislação ou quando não fornecer a segurança que o titular dele pode esperar, consideradas as circunstâncias relevantes, entre as quais: I - o modo pelo qual é realizado; II - o resultado e os riscos que razoavelmente dele se esperam; III - as técnicas de tratamento de dados pessoais disponíveis à época em que foi realizado. A letra (E) está incorreta, já que é possível a inversão do ônus da prova a favor do titular dos dados em três situações: 1. quando for verossímil a alegação; 2. quando houver hipossuficiência para fins de produção de prova; 3. quando a produção de prova pelo titular resultar-lhe excessivamente onerosa, nos termos da Lei nº 13.709/2018:Art. 52, § 2º O juiz, no processo civil, poderá inverter o ônus da prova a favor do titular dos dados quando, a seu juízo, for verossímil a alegação, houver hipossuficiência para fins de produção de prova ou quando a produção de prova pelo titular resultar-lhe excessivamente onerosa.
Other fields (not shown on cards):
back: Alternativa A - A letra (A) está correta, a fim de assegurar a efetiva indenização ao titular dos dados, é possível a responsabilização solidária do operador nessa hipótese específica. A alternativa retoma a disposição literal do art. 42, I, da Lei nº 13.709/2018:Art. 42. O controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo. I - o operador responde solidariamente pelos danos causados pelo tratamento quando descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do controlador, hipótese em que o operador equipara-se ao controlador, salvo nos casos de exclusão previstos no art. 43 desta Lei; A letra (B) está incorreta, uma das situações de exclusão da responsabilidade civil dos agentes de tratamento (controlador e operador) ocorre quando o dano é decorrente de culpa exclusiva do titular dos dados ou de terceiro, conforme dispõe a Lei nº 13.709/2018:Art. 43. Os agentes de tratamento só não serão responsabilizados quando provarem: I - que não realizaram o tratamento de dados pessoais que lhes é atribuído; II - que, embora tenham realizado o tratamento de dados pessoais que lhes é atribuído, não houve violação à legislação de proteção de dados; ou III - que o dano é decorrente de culpa exclusiva do titular dos dados ou de terceiro. A letra (C) está incorreta, o Código de Defesa do Consumidor continua aplicável nas situações de violação ao direito do titular no âmbito das relações de consumo, segundo disciplina a Lei nº 13.709/2018:Art. 45. As hipóteses de violação do direito do titular no âmbito das relações de consumo permanecem sujeitas às regras de responsabilidade previstas na legislação pertinente. A letra (D) está incorreta, na situação citada na alternativa, o tratamento de dados pessoais será irregular, e não nulo, de acordo com a Lei nº 13.709/2018:Art. 44. O tratamento de dados pessoais será irregular quando deixar de observar a legislação ou quando não fornecer a segurança que o titular dele pode esperar, consideradas as circunstâncias relevantes, entre as quais: I - o modo pelo qual é realizado; II - o resultado e os riscos que razoavelmente dele se esperam; III - as técnicas de tratamento de dados pessoais disponíveis à época em que foi realizado. A letra (E) está incorreta, já que é possível a inversão do ônus da prova a favor do titular dos dados em três situações: 1. quando for verossímil a alegação; 2. quando houver hipossuficiência para fins de produção de prova; 3. quando a produção de prova pelo titular resultar-lhe excessivamente onerosa, nos termos da Lei nº 13.709/2018:Art. 52, § 2º O juiz, no processo civil, poderá inverter o ônus da prova a favor do titular dos dados quando, a seu juízo, for verossímil a alegação, houver hipossuficiência para fins de produção de prova ou quando a produção de prova pelo titular resultar-lhe excessivamente onerosa.

front: FGV/TJ-MS – 2024 (adaptada) Acerca da responsabilidade civil, nos termos da Lei de Proteção de Dados Pessoais, nº 13.709/2018, é correto afirmar que:
(A) os danos morais decorrentes do vazamento de dados são presumidos (in re ipsa);
(B) o operador é, via de regra, equiparado ao controlador para fins de aferir sua responsabilidade;
(C) o juiz poderá inverter o ônus da prova quanto aos agentes de tratamento de dados;
(D) não haverá direito de regresso entre os responsáveis, para fortalecer a proteção do titular dos dados;
(E) pelo princípio da especialidade, prevalecem as regras da lei sobre as da legislação consumerista.
response: Alternativa C
comment: A letra (A) está incorreta, segundo decisão da 2ª Turma do STJ no âmbito da AREsp 2.130.619-SP, o vazamento de dados pessoais não gera dano moral presumido. A letra (B) está incorreta, o inciso I do art. 42 da Lei nº 13.709/2018 ilustra uma situação em que a responsabilidade do controlador e do operador é equiparada. Contudo, o controlador é o principal responsável pelo tratamento de dados, enquanto o operador é responsável apenas pelos atos que realiza sob a instrução do controlador. Assim, não é possível afirmar, via de regra, que eles são equiparados para fins de responsabilidade, pois a responsabilidade do operador é mais limitada.Art. 42. O controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo. I - o operador responde solidariamente pelos danos causados pelo tratamento quando descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do controlador, hipótese em que o operador equipara-se ao controlador, salvo nos casos de exclusão previstos no art. 43 desta Lei; A letra (C) está correta, pois a inversão legal do ônus da prova é uma faculdade do juiz, quando ocorre alguma das situações elencadas no art. 42, § 2º, da Lei nº 13.709/2018:Art. 42, § 2º O juiz, no processo civil, poderá inverter o ônus da prova a favor do titular dos dados quando, a seu juízo, for verossímil a alegação, houver hipossuficiência para fins de produção de prova ou quando a produção de prova pelo titular resultar-lhe excessivamente onerosa. A letra (D) está incorreta, dentre os responsáveis, aquele que reparar o dano ao titular tem direito de regresso contra os demais, na medida da participação de cada um no evento danoso, segundo dispõe o art. 42 da Lei nº 13.709/2018Art. 42, § 4º Aquele que reparar o dano ao titular tem direito de regresso contra os demais responsáveis, na medida de sua participação no evento danoso. A letra (E) está incorreta, ao contrário do que foi dito na alternativa, em virtude da especialidade, a violação do direito do titular nas relações de consumo é regulada pela legislação consumerista, conforme assenta o art. 45 da Lei nº 13.709/2018:Art. 45. As hipóteses de violação do direito do titular no âmbito das relações de consumo permanecem sujeitas às regras de responsabilidade previstas na legislação pertinente.
Other fields (not shown on cards):
back: Alternativa C - A letra (A) está incorreta, segundo decisão da 2ª Turma do STJ no âmbito da AREsp 2.130.619-SP, o vazamento de dados pessoais não gera dano moral presumido. A letra (B) está incorreta, o inciso I do art. 42 da Lei nº 13.709/2018 ilustra uma situação em que a responsabilidade do controlador e do operador é equiparada. Contudo, o controlador é o principal responsável pelo tratamento de dados, enquanto o operador é responsável apenas pelos atos que realiza sob a instrução do controlador. Assim, não é possível afirmar, via de regra, que eles são equiparados para fins de responsabilidade, pois a responsabilidade do operador é mais limitada.Art. 42. O controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo. I - o operador responde solidariamente pelos danos causados pelo tratamento quando descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do controlador, hipótese em que o operador equipara-se ao controlador, salvo nos casos de exclusão previstos no art. 43 desta Lei; A letra (C) está correta, pois a inversão legal do ônus da prova é uma faculdade do juiz, quando ocorre alguma das situações elencadas no art. 42, § 2º, da Lei nº 13.709/2018:Art. 42, § 2º O juiz, no processo civil, poderá inverter o ônus da prova a favor do titular dos dados quando, a seu juízo, for verossímil a alegação, houver hipossuficiência para fins de produção de prova ou quando a produção de prova pelo titular resultar-lhe excessivamente onerosa. A letra (D) está incorreta, dentre os responsáveis, aquele que reparar o dano ao titular tem direito de regresso contra os demais, na medida da participação de cada um no evento danoso, segundo dispõe o art. 42 da Lei nº 13.709/2018Art. 42, § 4º Aquele que reparar o dano ao titular tem direito de regresso contra os demais responsáveis, na medida de sua participação no evento danoso. A letra (E) está incorreta, ao contrário do que foi dito na alternativa, em virtude da especialidade, a violação do direito do titular nas relações de consumo é regulada pela legislação consumerista, conforme assenta o art. 45 da Lei nº 13.709/2018:Art. 45. As hipóteses de violação do direito do titular no âmbito das relações de consumo permanecem sujeitas às regras de responsabilidade previstas na legislação pertinente.

front: FUNDATEC/SEPOG-RS - Analista de Planejamento, Orçamento e Gestão - 2022 Segundo a Lei Geral de Proteção de Dados – LGPD (Lei Federal nº 13.709/2018), são considerados Agentes de Tratamento:
I - Encarregado.
II - Controlador.
III - Executor.
IV - Operador.
Quais estão corretos?
(A) Apenas I e II.
(B) Apenas I e IV.
(C) Apenas II e III.
(D) Apenas II e IV.
(E) Apenas III e IV.
response: Alternativa D
comment: Apenas controlador e operador são considerados agentes de tratamento: Controlador e Operador
Other fields (not shown on cards):
back: Alternativa D - Apenas controlador e operador são considerados agentes de tratamento: Controlador e Operador

front: QUADRIX/CRBM 3 - Fiscal Biomédico - 2022 É vedado ao controlador e ao operador manter registro das operações de tratamento de dados pessoais que realizarem.
response: Errado
comment: Ao contrário, trata-se de uma obrigação legal do controlador e do operador:Art. 37. O controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse.
Other fields (not shown on cards):
back: Errado - Ao contrário, trata-se de uma obrigação legal do controlador e do operador:Art. 37. O controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse.

front: FGV/PC-AM - Perito Criminal - 2022 A principal função da Lei Geral de Proteção de Dados (LGPD) é garantir que o tratamento de dados pessoais não cause riscos e danos aos direitos e às liberdades individuais do titular de dados. Nos casos em que pode haver riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco, a lei sugere fortemente a criação de um documento específico, para reconhecer esses riscos presentes no tratamento de dados pela organização. Esse documento, listado na lei, e que também pode ser exigido ao controlador pela ANPD (conforme Art. 38), é
(A) a política de proteção de dados pessoais.
(B) relatório de avaliação de vulnerabilidades no acesso a dados pessoais.
(C) relatório de impacto à proteção de dados pessoais.
(D) termo de consentimento no uso de dados pessoais.
(E) política de segurança da informação.
response: Alternativa C
comment: O documento que a autoridade nacional poderá solicitar do controlador é chamado de relatório de impacto à proteção de dados pessoais:Art. 38. A autoridade nacional poderá determinar ao controlador que elabore relatório de impacto à proteção de dados pessoais, inclusive de dados sensíveis, referente a suas operações de tratamento de dados, nos termos de regulamento, observados os segredos comercial e industrial.
Other fields (not shown on cards):
back: Alternativa C - O documento que a autoridade nacional poderá solicitar do controlador é chamado de relatório de impacto à proteção de dados pessoais:Art. 38. A autoridade nacional poderá determinar ao controlador que elabore relatório de impacto à proteção de dados pessoais, inclusive de dados sensíveis, referente a suas operações de tratamento de dados, nos termos de regulamento, observados os segredos comercial e industrial.

front: FGV/TJDFT - Analista Judiciário - 2022 De acordo com o Art. 37 da LGPD (Lei Geral de Proteção de Dados Pessoais), as operações de tratamento realizadas nos dados pessoais devem ser registradas. Para isso, o controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem. O registro das operações é realizado por meio do:
(A) inventário de dados pessoais;
(B) catálogo de base de dados;
(C) relatório de impacto à proteção de dados pessoais;
(D) serviços notariais e de registro;
(E) termo de consentimento.
response: Alternativa A
comment: Nesta questão a FGV exigiu aprofundamento maior dos candidatos, ao adentrar no meio pelo qual os agentes de tratamento devem manter o registro das operações. Já sabemos que o artigo 37 da LGPD exige que o controlador e o operador mantenham registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse. Este registro será feito por meio de um documento denominado "Inventário de Dados Pessoais"1.
Other fields (not shown on cards):
back: Alternativa A - Nesta questão a FGV exigiu aprofundamento maior dos candidatos, ao adentrar no meio pelo qual os agentes de tratamento devem manter o registro das operações. Já sabemos que o artigo 37 da LGPD exige que o controlador e o operador mantenham registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse. Este registro será feito por meio de um documento denominado "Inventário de Dados Pessoais"1.

front: IADES/CFQ - Analista de Sistemas - Ênfase em Infraestrutura - 2021 No que concerne à Lei Geral de Proteção de Dados Pessoais (LGPD), com relação aos agentes de tratamento de dados pessoais, assinale a alternativa correta.
(A) O controlador e o operador não podem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando com base no legítimo interesse.
(B) O controlador, ou o operador, que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo.
(C) A identidade e as informações de contato do encarregado não podem ser divulgadas publicamente.
(D) O operador responde solidariamente pelos danos causados pelo tratamento quando descumprir as obrigações da legislação de proteção de dados, independentemente se a culpa for exclusiva do titular do dado.
(E) Entre as atividades do controlador, consta orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas quanto à proteção de dados pessoais.
response: Alternativa B
comment: 1 “Guia de Elaboração de Inventário de Dados Pessoais”, elaborado pelo Governo Federal, em abril de 2021. A letra (A), incorreta, pois os agentes devem manter tal registro, para fins de transparência:Art. 37. O controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse. A letra (B), correta, constitui transcrição da seguinte regra legal:Art. 42. O controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo. A letra (C), incorreta, pois tais informações devem ser divulgadas publicamente:Art. 41, § 1º A identidade e as informações de contato do encarregado deverão ser divulgadas publicamente, de forma clara e objetiva, preferencialmente no sítio eletrônico do controlador. A letra (D), incorreta, pois a culpa exclusiva do titular dos dados (ou de terceiro) afasta a responsabilidade do operador:Art. 43. Os agentes de tratamento só não serão responsabilizados quando provarem: I - que não realizaram o tratamento de dados pessoais que lhes é atribuído; - que, embora tenham realizado o tratamento de dados pessoais que lhes é atribuído, não houve violação à legislação de proteção de dados; ou - que o dano é decorrente de culpa exclusiva do titular dos dados ou de terceiro. A letra (E), incorreta, visto tratar-se de atividade do encarregado:Art. 41, § 2º As atividades do encarregado consistem em: - aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências; - receber comunicações da autoridade nacional e adotar providências; - orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais; e - executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares.
Other fields (not shown on cards):
back: Alternativa B - 1 “Guia de Elaboração de Inventário de Dados Pessoais”, elaborado pelo Governo Federal, em abril de 2021. A letra (A), incorreta, pois os agentes devem manter tal registro, para fins de transparência:Art. 37. O controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse. A letra (B), correta, constitui transcrição da seguinte regra legal:Art. 42. O controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo. A letra (C), incorreta, pois tais informações devem ser divulgadas publicamente:Art. 41, § 1º A identidade e as informações de contato do encarregado deverão ser divulgadas publicamente, de forma clara e objetiva, preferencialmente no sítio eletrônico do controlador. A letra (D), incorreta, pois a culpa exclusiva do titular dos dados (ou de terceiro) afasta a responsabilidade do operador:Art. 43. Os agentes de tratamento só não serão responsabilizados quando provarem: I - que não realizaram o tratamento de dados pessoais que lhes é atribuído; - que, embora tenham realizado o tratamento de dados pessoais que lhes é atribuído, não houve violação à legislação de proteção de dados; ou - que o dano é decorrente de culpa exclusiva do titular dos dados ou de terceiro. A letra (E), incorreta, visto tratar-se de atividade do encarregado:Art. 41, § 2º As atividades do encarregado consistem em: - aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências; - receber comunicações da autoridade nacional e adotar providências; - orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais; e - executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares.