Capítulo 6 — Proteção de Dados Pessoais e a LGPD

 6.1 Caso Concreto

Este capítulo tem um caso contado de dois ângulos. O primeiro é o de sempre, o da pessoa cujos dados são tratados. O segundo é novo neste livro, e igualmente importante: o da empresa que trata esses dados. A Lei Geral de Proteção de Dados Pessoais é, na vida profissional, tanto uma lei de direitos quanto uma lei de deveres, e quem estuda direito digital costuma trabalhar dos dois lados do balcão.

O lado de Marina

Os capítulos anteriores deixaram Marina com medo. O vídeo de Pedro continuou circulando, os comentários agressivos se multiplicaram, e ela chegou a escrever às amigas que pensava em evitar sair sozinha por uns dias.

Alguns meses depois, Marina decide procurar ajuda. Contrata uma plataforma de terapia on-line, a Clínica Bem-Estar Digital, que atende por videochamada.

O cadastro é longo. Marina informa nome, CPF, endereço e telefone. Responde a um questionário de triagem com perguntas sobre sono, humor, uso de bebida alcoólica e pensamentos de autoagressão. Informa que faz uso contínuo de um medicamento para ansiedade. No fim do formulário, há uma caixa única, com a frase "Li e aceito os Termos de Uso e a Política de Privacidade". Marina marca a caixa sem abrir nenhum dos dois documentos, como quase todo mundo faz, e começa a terapia.

Meses depois, três coisas acontecem.

A primeira: Marina passa a receber, em sites que nada têm a ver com a clínica, anúncios de medicamentos para ansiedade e de aplicativos de meditação. Ela nunca pesquisou nada disso fora da plataforma de terapia.

A segunda: a clínica envia um e-mail comunicando um "incidente de segurança". Uma base de dados hospedada em um serviço de nuvem contratado pela clínica ficou exposta na internet por tempo indeterminado. O e-mail não diz quais dados eram, nem por quanto tempo, nem quantas pessoas foram atingidas.

A terceira: Marina pede um financiamento no banco e recebe a negativa em poucos segundos, pela tela do aplicativo. Nenhum atendente falou com ela. A mensagem informa apenas que "a análise automatizada não aprovou a solicitação". Marina liga, pede uma explicação, e ouve que o sistema não fornece o motivo. Ela desconfia que o histórico de saúde vazado tenha entrado nessa conta, mas não tem como saber.

Marina quer três coisas, e não sabe se tem direito a alguma delas. Saber exatamente o que a clínica tem sobre ela e com quem compartilhou. Corrigir o que estiver errado. Apagar o resto.

O lado da Clínica Bem-Estar Digital

A mesma história, vista de dentro, é uma sequência de decisões que alguém tomou.

Alguém decidiu quais perguntas entrariam no questionário de triagem, e ninguém registrou por escrito para que serviria cada resposta. Alguém decidiu juntar os termos de uso e a política de privacidade numa caixa só, porque duas caixas reduziam as conversões de cadastro. Alguém contratou o serviço de nuvem, e o contrato não trata de segurança nem de responsabilidade por vazamento. Alguém autorizou o envio de uma lista de clientes para uma agência de publicidade, para uma campanha de "reengajamento", sem verificar o que aquela lista continha.

Quando o vazamento aparece, a clínica descobre que tem uma encarregada pela proteção de dados, contratada dois anos antes para "resolver a questão da LGPD", e que ela nunca foi consultada sobre nenhuma dessas decisões. Agora ela tem poucos dias para comunicar o incidente à autoridade competente e às pessoas atingidas, e precisa responder a perguntas que a clínica nunca se fez. Quais dados vazaram. Com que autorização legal eles estavam ali. Por quanto tempo deveriam ter sido guardados. Quem é responsável pelo que a empresa de nuvem fez ou deixou de fazer.

E há uma pergunta que a clínica vai precisar responder a Marina, e depois talvez a um juiz: com que base, exatamente, ela tratou o histórico de saúde de uma paciente?

O que este capítulo responde

Esse conjunto de fatos toca quase toda a LGPD, e é assim que ele vai ser usado. Cada bloco explica uma parte da lei de forma sistemática, e volta ao caso para mostrar a regra funcionando.

O Bloco 1 responde à pergunta mais básica: o que, exatamente, a lei protege, e sobre o que ela incide. O Bloco 2 responde quem pode tratar um dado, com que autorização, e quem responde quando algo dá errado. O Bloco 3 responde o que o titular pode exigir, o que acontece quando o tratamento termina, e quem fiscaliza tudo isso.

6.2.1 Bloco 1 — O Que a LGPD Protege, e Sobre o Que Ela Incide

6.2.1.1 Apresentação

O Capítulo 5 tratou da privacidade e da intimidade de Marina. Este bloco trata de outra coisa, próxima mas não idêntica, e a diferença organiza o capítulo inteiro.

A privacidade protege Marina contra a exposição. É o direito de não ter revelado aquilo que ela escolheu não mostrar. A proteção de dados pessoais protege outra coisa: o controle sobre a informação a respeito dela, mesmo depois de essa informação ter sido legitimamente coletada. Marina entregou seu histórico de saúde à clínica por vontade própria, e não houve exposição nenhuma nesse ato. Ainda assim, ela continua tendo direitos sobre aquele dado.

Este bloco explica o que a lei chama de dado pessoal, qual é a categoria especial de dados que recebe proteção reforçada, sobre quem a lei incide, e os dez princípios que valem para qualquer tratamento, sempre, independentemente de quem trate e para quê.

6.2.1.2 Vocabulário

Este é o bloco dos conceitos de base. Quase todos vêm do art. 5º da LGPD, que é um artigo de definições, e por isso as definições legais aqui são mais precisas do que nos capítulos anteriores. Os artigos ficam para o Marco Normativo. Aqui interessa o que cada conceito é.

Autodeterminação informativa: é o poder de uma pessoa de saber e decidir quem tem, usa e compartilha informação a respeito dela. Não é o mesmo que privacidade, definida no Capítulo 5. Privacidade é o direito de não ser exposto; autodeterminação informativa é o direito de continuar mandando na informação sobre você mesmo depois que ela saiu das suas mãos. Marina entregou o histórico de saúde à clínica de livre vontade, e não houve invasão de privacidade nenhuma nesse momento. A autodeterminação informativa é o que explica por que ela ainda pode, meses depois, exigir saber o que a clínica fez com aquele dado.

Dado pessoal: é qualquer informação relacionada a uma pessoa natural identificada ou identificável. As duas palavras finais fazem toda a diferença. Identificada é a pessoa que o dado nomeia diretamente: o nome de Marina, seu CPF, seu RG. Identificável é a pessoa que o dado não nomeia, mas permite alcançar: o endereço de IP do computador dela, o identificador de usuário no aplicativo, o cookie que o navegador guarda, a geolocalização do celular. A regra prática é esta: se um dado, cruzado com outro, leva a uma pessoa, ele é dado pessoal. O número de matrícula de Marina na clínica, sozinho, não diz nada a ninguém. Cruzado com a lista de pacientes, diz tudo.

Dado pessoal sensível: é uma categoria especial de dado pessoal, que a lei enumera de forma fechada: origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização religiosa, filosófica ou política, dado referente à saúde ou à vida sexual, e dado genético ou biométrico, quando vinculado a uma pessoa natural. Não é uma lista de exemplos, é uma lista taxativa. O que une esses dados é o risco: se vazam, expõem a pessoa a discriminação, a constrangimento ou a perigo concreto. O questionário de triagem de Marina, com perguntas sobre humor, uso de álcool e pensamentos de autoagressão, e a informação sobre o medicamento de uso contínuo, são dados sensíveis de saúde. É por isso que aquele vazamento é mais grave do que o de uma lista de e-mails, e é por isso que ele obedece a um regime jurídico próprio, tratado no Bloco 2.

Tratamento: é qualquer operação feita com um dado pessoal. A lei não define por um conceito, define por uma lista longa e deliberadamente aberta: coletar, produzir, receber, classificar, utilizar, acessar, reproduzir, transmitir, distribuir, processar, arquivar, armazenar, eliminar, avaliar, controlar, modificar, comunicar, transferir, difundir, extrair. O ponto de fixar isso é simples: praticamente tudo o que se faz com um dado é tratamento, inclusive apenas guardá-lo sem nunca olhar, e inclusive apagá-lo. Quando a clínica coletou o questionário de Marina, tratou. Quando armazenou na nuvem, tratou. Quando mandou a lista para a agência de publicidade, tratou. Quando apagar tudo, ao fim da relação, vai estar tratando também.

Titular: é a pessoa natural a quem os dados se referem. Apenas pessoa natural, o que significa que empresa não é titular de dados pessoais na LGPD, ainda que tenha CNPJ, endereço e telefone protegidos por outras leis. Marina é a titular. A clínica, o banco e a empresa de nuvem são outra coisa, e o Bloco 2 explica o quê.

Dado anonimizado e anonimização: anonimização é o processo técnico que retira de um dado a possibilidade de associação, direta ou indireta, a uma pessoa. Dado anonimizado é o resultado desse processo. A importância prática é grande: dado verdadeiramente anonimizado deixa de ser dado pessoal e sai do alcance da LGPD. Há uma armadilha, porém, e ela cai em prova. Se o processo puder ser revertido, com meios próprios ou com esforços razoáveis, o dado nunca foi anonimizado, e continua submetido à lei inteira. Se a clínica publicasse um estudo com estatísticas gerais dos pacientes, sem nada que permitisse chegar a Marina, estaria fora da LGPD. Se bastasse cruzar aquela tabela com a lista de agendamentos para descobrir quem era quem, estaria dentro.

Pseudonimização: é diferente de anonimização, e a confusão entre as duas é comum. Na pseudonimização, o dado perde a ligação com a pessoa exceto por uma informação adicional, guardada separadamente e em ambiente controlado pelo controlador. Trocar o nome de Marina por um código, e manter em outro arquivo a tabela que converte códigos em nomes, é pseudonimizar. Como a reversão é possível para quem tem a chave, o dado pseudonimizado continua sendo dado pessoal, e continua sujeito à LGPD por inteiro. É uma medida de segurança, não uma porta de saída da lei.

6.2.1.3 Explicação do Tema

A LGPD é a Lei 13.709, de 2018. Antes de entrar nos conceitos, vale entender o que ela é dentro do sistema jurídico brasileiro, porque ela não chegou a um terreno vazio.

Onde a LGPD se encaixa. O Marco Civil da Internet, de 2014, já protegia dados pessoais. O art. 7º do MCI, visto no Capítulo 2 e retomado no Capítulo 5, já garantia inviolabilidade da intimidade e da vida privada, sigilo do fluxo das comunicações, não fornecimento de dados a terceiros sem consentimento, informação clara sobre coleta e uso, consentimento destacado das demais cláusulas contratuais, e exclusão dos dados ao fim da relação. A imagem é útil: o MCI foi o alicerce, e a LGPD construiu o edifício. A lei nova não revogou a antiga. Complementou e detalhou, criando um sistema inteiro onde antes havia um punhado de garantias dispersas. E as duas convivem com o Código de Defesa do Consumidor, que continua se aplicando quando há relação de consumo, como o Capítulo 3 já mostrou a propósito de serviços gratuitos.

Acima das três, desde 2022, há um dispositivo constitucional próprio. A Emenda Constitucional 115 incluiu no art. 5º da Constituição o inciso LXXIX, que assegura o direito à proteção dos dados pessoais, inclusive nos meios digitais. A proteção de dados deixou de ser apenas um desdobramento da privacidade e passou a ser direito fundamental autônomo. A Jurisprudência deste bloco mostra que o Supremo já havia chegado a essa conclusão dois anos antes da emenda.

O que a lei protege. O art. 2º da LGPD lista sete fundamentos da disciplina, e o segundo deles é o conceito que organiza tudo: a autodeterminação informativa. Vale insistir na diferença em relação ao Capítulo 5, porque ela é a chave do capítulo inteiro. A privacidade protege contra a exposição indevida. A proteção de dados protege o controle sobre a informação, inclusive quando não houve exposição nenhuma. Quando Marina preencheu o questionário de triagem, ninguém invadiu a privacidade dela. Ela entregou o dado voluntariamente, a quem tinha razão para recebê-lo. Mesmo assim, ela não perdeu o direito de saber o que foi feito daquele dado, nem de exigir que ele seja usado só para o que justificou a coleta. Esse resíduo de poder, que sobrevive à entrega voluntária, é a autodeterminação informativa.

Sobre o que a lei incide. Aqui está um ponto que o aluno costuma subestimar, e ele tem três dimensões.

A primeira é quem. A LGPD alcança qualquer operação de tratamento, feita por pessoa natural ou jurídica, de direito público ou privado. Não é uma lei de empresas de tecnologia, nem sequer uma lei de empresas: alcança o hospital, a escola, o escritório de advocacia, o condomínio, a prefeitura e o indivíduo que trate dados fora da esfera doméstica.

A segunda é por qual meio, e a resposta é: por qualquer um. O art. 1º diz que a lei dispõe sobre o tratamento de dados pessoais "inclusive nos meios digitais", e a palavra "inclusive" faz trabalho pesado. Um fichário de papel na recepção de uma clínica, uma planilha impressa com a lista de funcionários, um caderno de anotações do porteiro registrando quem entrou no prédio: tudo isso é tratamento de dados pessoais e está sujeito à lei. O suporte é irrelevante. O que a lei regula é a operação, não a tecnologia.

A terceira é onde, e é a mais contraintuitiva. O art. 3º determina que a lei se aplica "independentemente do meio, do país de sua sede ou do país onde estejam localizados os dados". Bastam três hipóteses alternativas: que o tratamento ocorra em território nacional, que tenha por objetivo oferecer bens ou serviços a pessoas localizadas no Brasil, ou que os dados tenham sido coletados no Brasil. O §1º esclarece que dado coletado no território nacional é aquele cujo titular aqui se encontrava no momento da coleta.

A consequência prática é ampla. Uma empresa sediada nos Estados Unidos, com servidores na Irlanda, que ofereça serviço a brasileiros, está sujeita à LGPD. Um aplicativo estrangeiro que colete dados de usuários enquanto eles estão no Brasil, também. E a recíproca vale: o simples fato de um servidor estar fora do país não retira do tratamento a incidência da lei brasileira.

Sobre o que a lei não incide. O art. 4º traz quatro exceções, e todas são mais estreitas do que parecem à primeira leitura.

A primeira é o tratamento feito por pessoa natural para fins exclusivamente particulares e não econômicos. Repare no "e": os dois requisitos são cumulativos, e basta falhar um para a exceção cair por inteiro. Falhando um requisito, não adianta o outro estar impecável.

Vale examinar as duas formas de falhar, porque uma é óbvia e a outra não. A forma óbvia é deixar de ser não econômico: a agenda de contatos do celular está fora da lei, mas se a pessoa passar a usar aquela mesma agenda para oferecer produtos, a exceção deixa de valer. A forma menos óbvia, e muito mais comum, é deixar de ser particular sem deixar de ser não econômico. "Particular" não significa "feito por conta própria" nem "sem empresa por trás". Significa doméstico, da esfera pessoal e familiar de quem trata. O álbum de fotos da família e a lista de convidados de um casamento estão dentro; a planilha de moradores que o síndico mantém para administrar o condomínio, não, ainda que ele seja voluntário e não receba nada por isso. O mesmo vale para quem administra, sem remuneração, a lista de contatos de uma associação de bairro ou de um projeto social.

Este é o erro de leitura mais frequente sobre o art. 4º, I, e convém enunciá-lo com todas as letras: não ganhar dinheiro com o tratamento não coloca ninguém fora da LGPD. Atividade gratuita e atividade doméstica são coisas diferentes, e a lei exige as duas ao mesmo tempo.

A segunda exceção é o tratamento para fins exclusivamente jornalísticos, artísticos ou acadêmicos. Ela existe para preservar a liberdade de expressão, de informação e de comunicação, que o art. 2º, III, arrola entre os fundamentos da própria disciplina. Duas ressalvas a delimitam. A primeira é o advérbio: os fins devem ser exclusivamente aqueles, e a exceção acadêmica alcança a pesquisa e a produção científica, não a administração ordinária de uma instituição de ensino. Matrícula, notas, frequência e contato de responsáveis são tratamento comum de dados, sujeitos à lei inteira. A segunda ressalva é que, no caso acadêmico, a exceção é apenas parcial: o próprio art. 4º, II, "b", determina que continuam se aplicando os arts. 7º e 11. Ou seja, mesmo a pesquisa precisa de base legal, e precisa observar o regime especial dos dados sensíveis.

A terceira exceção é o tratamento para fins exclusivos de segurança pública, defesa nacional, segurança do Estado e investigação ou repressão de infrações penais. Não é um vazio jurídico: o §1º determina que essa matéria seja regida por legislação específica, que deverá prever medidas proporcionais e estritamente necessárias ao interesse público, observados o devido processo legal, os princípios gerais de proteção e os direitos do titular. Essa lei ainda não foi editada, o que deixa a área numa zona cinzenta que o Capítulo 5 já tangenciou ao tratar de provas e sigilo. O §2º acrescenta uma vedação relevante: o tratamento desses dados por pessoa de direito privado só é admitido em procedimentos sob tutela de pessoa jurídica de direito público.

A quarta exceção é o dado proveniente do exterior que apenas transita pelo Brasil, sem comunicação nem uso compartilhado com agentes de tratamento brasileiros e sem transferência internacional para outro país, desde que o país de proveniência ofereça grau de proteção adequado ao previsto na lei brasileira.

Há uma quinta porta de saída, fora do art. 4º. O art. 12 estabelece que dado anonimizado não é dado pessoal, e portanto está fora da lei. Já vimos a armadilha no Vocabulário: se a anonimização puder ser revertida com meios próprios ou esforços razoáveis, ela não valeu. A lei ainda acrescenta, no §2º, que dados usados para formar o perfil comportamental de uma pessoa determinada podem ser considerados pessoais mesmo que se apresentem como anônimos.

Os dez princípios. Chegamos ao artigo mais importante deste bloco, e talvez de todo o capítulo. O art. 6º determina que qualquer atividade de tratamento observe a boa-fé e dez princípios. Eles valem sempre, para qualquer tratamento, qualquer que seja a base legal invocada. Cumprir uma das dez autorizações do art. 7º, tema do Bloco 2, não dispensa nenhum deles.

Decorar dez itens soltos não ajuda ninguém. Vale entendê-los por função, e são cinco funções.

Dois princípios limitam para quê o dado pode ser usado. Pela finalidade, o tratamento precisa ter propósito legítimo, específico, explícito e informado ao titular, e não pode haver uso posterior incompatível com aquilo que foi informado. Pela adequação, o tratamento precisa ser compatível com a finalidade informada, considerado o contexto. Marina informou dados de saúde para receber terapia. Usar a mesma base para uma campanha publicitária é violação frontal desses dois princípios, mesmo que houvesse alguma cláusula genérica autorizando "uso para fins de marketing".

Um princípio limita quanto se pode coletar. Pela necessidade, o tratamento se limita ao mínimo necessário para realizar a finalidade, abrangendo dados pertinentes, proporcionais e não excessivos. É o que a prática chama de minimização. Se alguma pergunta do questionário de triagem não tem relação com o atendimento psicológico, ela não deveria estar lá, ainda que Marina a tenha respondido de bom grado.

Três princípios dão poder ao titular. O livre acesso garante consulta facilitada e gratuita sobre a forma e a duração do tratamento e sobre a integralidade dos dados. A qualidade dos dados garante exatidão, clareza, relevância e atualização. A transparência garante informações claras, precisas e facilmente acessíveis sobre o tratamento e sobre quem trata, ressalvados segredo comercial e industrial. Quando Marina pergunta o que a clínica tem sobre ela e não obtém resposta clara, esses três princípios já estão sendo descumpridos, antes mesmo de se falar em direitos do titular.

Dois princípios impõem conduta ao agente. A segurança exige medidas técnicas e administrativas aptas a proteger os dados contra acesso não autorizado e contra destruição, perda, alteração, comunicação ou difusão acidentais ou ilícitas. A prevenção exige medidas para evitar que o dano ocorra. Uma base de dados sensíveis exposta na internet é a prova mais direta possível de que nenhum dos dois foi observado.

Um princípio limita o resultado. Pela não discriminação, é vedado tratar dados para fins discriminatórios ilícitos ou abusivos. Se o histórico de saúde mental de Marina alimentou o modelo que negou o crédito dela, é aqui que a discussão começa. Voltamos a esse ponto no Bloco 3, ao tratar das decisões automatizadas.

E um princípio exige prova de todos os outros. Pela responsabilização e prestação de contas, o agente precisa demonstrar que adotou medidas eficazes e capazes de comprovar o cumprimento das normas de proteção de dados, e ainda a eficácia dessas medidas. Não basta cumprir a lei. É preciso conseguir provar que se cumpriu, com documentos, registros e políticas. É esse princípio que transforma a LGPD numa lei de conformidade, e que explica por que a Clínica Bem-Estar Digital está em situação tão ruim: as decisões existiram, mas ninguém registrou por escrito por que foram tomadas.

De volta ao caso. Com o vocabulário deste bloco já é possível qualificar juridicamente a situação de Marina, ainda sem responder a tudo. O questionário de triagem e a informação sobre medicação são dados pessoais sensíveis de saúde. A clínica realizou tratamento em todas as etapas, da coleta ao compartilhamento com a agência de publicidade. A LGPD se aplica, inclusive à empresa de nuvem, ainda que estrangeira e com servidores fora do país. Nenhuma exceção do art. 4º socorre a clínica, e o dado nunca foi anonimizado. E pelo menos seis dos dez princípios do art. 6º foram descumpridos, do uso para finalidade incompatível à ausência de segurança e à incapacidade de prestar contas.

O que ainda não sabemos é com que autorização legal aquele dado poderia ter sido tratado, e quem responde por cada parte do problema. É o assunto do Bloco 2.

6.2.1.4 Marco Normativo

As fontes deste bloco, na ordem de sua hierarquia.

Na Constituição. O art. 5º, LXXIX, incluído pela Emenda Constitucional 115, de 2022, assegura "o direito à proteção dos dados pessoais, inclusive nos meios digitais". É dispositivo curto e recente, e sua importância está em ser autônomo: a proteção de dados deixou de depender da leitura conjunta dos incisos X e XII, vistos no Capítulo 5, e passou a ter fundamento próprio. Os dois incisos anteriores continuam valendo, e continuam protegendo coisas distintas: o X protege a intimidade e a vida privada, o XII protege o sigilo das comunicações, e o LXXIX protege o dado pessoal enquanto tal.

Na lei. A LGPD é a Lei 13.709, de 14 de agosto de 2018, com vigência escalonada e sanções administrativas aplicáveis desde agosto de 2021.

O art. 1º define o objeto e revela a ambição da lei: ela dispõe sobre o tratamento de dados pessoais, "inclusive nos meios digitais", por pessoa natural ou jurídica, de direito público ou privado, "com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural". A expressão "inclusive nos meios digitais" merece atenção: a LGPD não é uma lei só da internet. Um fichário de papel na recepção da clínica está igualmente sujeito a ela.

O art. 2º lista os sete fundamentos da disciplina: "I - o respeito à privacidade; II - a autodeterminação informativa; III - a liberdade de expressão, de informação, de comunicação e de opinião; IV - a inviolabilidade da intimidade, da honra e da imagem; V - o desenvolvimento econômico e tecnológico e a inovação; VI - a livre iniciativa, a livre concorrência e a defesa do consumidor; e VII - os direitos humanos, o livre desenvolvimento da personalidade, a dignidade e o exercício da cidadania pelas pessoas naturais". Repare que os fundamentos não são todos convergentes: o inciso V protege inovação e desenvolvimento econômico, que muitas vezes puxam em sentido contrário aos incisos I e IV. A lei nasceu de um equilíbrio, não de uma escolha única.

O art. 3º fixa o âmbito de aplicação. A lei incide sobre qualquer operação de tratamento "independentemente do meio, do país de sua sede ou do país onde estejam localizados os dados", desde que ocorra uma de três hipóteses: o tratamento realizado no território nacional (inciso I); a atividade que tenha por objetivo "a oferta ou o fornecimento de bens ou serviços ou o tratamento de dados de indivíduos localizados no território nacional" (inciso II); ou os dados coletados no território nacional (inciso III). O §1º completa: "consideram-se coletados no território nacional os dados pessoais cujo titular nele se encontre no momento da coleta".

O art. 4º traz as hipóteses de não aplicação, já detalhadas na Explicação do Tema: tratamento por pessoa natural para fins exclusivamente particulares e não econômicos; fins exclusivamente jornalísticos, artísticos ou acadêmicos, aplicando-se a este último os arts. 7º e 11; fins exclusivos de segurança pública, defesa nacional, segurança do Estado e investigação ou repressão penal, hipótese que o §1º manda reger por legislação específica; e dados provenientes do exterior nas condições do inciso IV.

O art. 5º é o dicionário da lei. Interessam a este bloco os cinco primeiros incisos e o oitavo. Dado pessoal é "informação relacionada a pessoa natural identificada ou identificável" (I). Dado pessoal sensível é "dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural" (II). Dado anonimizado é "dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento" (III). Banco de dados é "conjunto estruturado de dados pessoais, estabelecido em um ou em vários locais, em suporte eletrônico ou físico" (IV). Titular é "pessoa natural a quem se referem os dados pessoais que são objeto de tratamento" (V). E tratamento é "toda operação realizada com dados pessoais", seguida da longa lista exemplificativa transcrita no Vocabulário (X).

O art. 6º é o coração deste bloco: "as atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes princípios", seguidos dos dez incisos analisados na Explicação do Tema. Vale reter a redação de dois deles, os mais cobrados. Necessidade é a "limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados" (III). Responsabilização e prestação de contas é a "demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas" (X).

O art. 12 trata do dado anonimizado, e é preciso citá-lo por inteiro para não perder a ressalva: "os dados anonimizados não serão considerados dados pessoais para os fins desta Lei, salvo quando o processo de anonimização ao qual foram submetidos for revertido, utilizando exclusivamente meios próprios, ou quando, com esforços razoáveis, puder ser revertido". O §1º manda considerar, na aferição do que é razoável, "fatores objetivos, tais como custo e tempo necessários para reverter o processo de anonimização, de acordo com as tecnologias disponíveis". O §2º acrescenta que poderão ser considerados dados pessoais "aqueles utilizados para formação do perfil comportamental de determinada pessoa natural, se identificada".

O art. 13, §4º, define pseudonimização como "o tratamento por meio do qual um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo, senão pelo uso de informação adicional mantida separadamente pelo controlador em ambiente controlado e seguro". A definição aparece a propósito de estudos em saúde pública, mas o conceito vale para toda a lei.

Nas normas anteriores que continuam valendo. O art. 7º do MCI, apresentado no Capítulo 2, segue em vigor no que não conflita com a LGPD, em especial os incisos VII a X: não fornecimento de dados a terceiros sem consentimento livre, expresso e informado; informações claras e completas sobre coleta, uso, armazenamento, tratamento e proteção de dados, que só podem ser usados para finalidades que justifiquem a coleta, não sejam vedadas em lei e estejam previstas em contrato; consentimento expresso e destacado das demais cláusulas contratuais; e exclusão definitiva dos dados ao término da relação, ressalvadas as hipóteses de guarda obrigatória.

6.2.1.5 Jurisprudência ou Regulação em Ação

O precedente que fundamenta este bloco é anterior à Emenda Constitucional 115 e ajuda a explicar por que ela foi aprovada.

Em março de 2020, no início da pandemia de covid-19, o governo federal editou a Medida Provisória 954/2020. Ela obrigava as empresas de telefonia fixa e móvel a entregar ao Instituto Brasileiro de Geografia e Estatística a relação de nomes, números de telefone e endereços de todos os seus consumidores. A justificativa era produzir estatísticas oficiais durante a emergência sanitária, já que os recenseadores não podiam ir a campo.

O Conselho Federal da Ordem dos Advogados do Brasil e quatro partidos políticos questionaram a medida no Supremo Tribunal Federal. As ações foram julgadas em conjunto, sob relatoria da Ministra Rosa Weber: ADI 6387, da OAB, e as ADIs 6388, do PSDB, 6389, do PSB, 6390, do PSOL, e 6393, do PCdoB. A relatora concedeu a cautelar monocraticamente em abril de 2020, e o Plenário a referendou em 7 de maio de 2020, por dez votos a um, vencido o Ministro Marco Aurélio. A eficácia da medida provisória ficou suspensa.

O fundamento é o que interessa aqui. O STF entendeu que a medida provisória não delimitava o objeto nem a finalidade do compartilhamento, não indicava por quanto tempo os dados ficariam com o IBGE, e não previa mecanismo de proteção contra acesso indevido ou uso para outra finalidade. Faltavam, em resumo, exatamente as garantias que os princípios do art. 6º da LGPD exigem: finalidade específica, necessidade, transparência e segurança. Entregar o dado de todos os assinantes de telefonia do país, sem essas balizas, excedeu os limites constitucionais.

Repare no ponto que faz deste um leading case. Em 2020, o art. 5º, LXXIX, da Constituição ainda não existia, e a LGPD sequer estava plenamente em vigor. O Supremo extraiu a proteção de dados pessoais como direito autônomo do próprio sistema constitucional, apoiado na autodeterminação informativa. A Emenda Constitucional 115, dois anos depois, escreveu na Constituição aquilo que o tribunal já havia reconhecido.

Para o caso deste capítulo, a decisão tem uma consequência direta. Se o Estado, invocando emergência sanitária nacional, não pôde receber nome, telefone e endereço sem finalidade delimitada e sem garantias, uma clínica particular certamente não pode tratar histórico de saúde mental com muito menos cuidado do que isso.

6.2.2 Bloco 2 — Quem Trata, Com Que Autorização, e Sob Que Responsabilidade

6.2.2.1 Apresentação

O Bloco 1 terminou com duas perguntas em aberto. Com que autorização legal a Clínica Bem-Estar Digital poderia ter tratado o histórico de saúde de Marina? E quem responde pelo vazamento: a clínica, que decidiu coletar aqueles dados, ou a empresa de nuvem, em cujo servidor eles ficaram expostos?

As duas perguntas têm a mesma estrutura. Uma pergunta pela autorização, a outra pela responsabilidade, e as duas dependem de saber quem é quem nessa história.

Este bloco responde a isso na ordem: quem são os agentes que a lei reconhece e o que cada um deve; quais são as dez autorizações legais para tratar um dado, e por que consentimento é apenas uma delas; que regimes especiais existem para dados sensíveis, para crianças e adolescentes, e para o Poder Público; e como a lei distribui a responsabilidade quando algo dá errado.

6.2.2.2 Vocabulário

Controlador: é a pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento. A palavra-chave é decisão. Controlador não é quem tem o dado na mão, é quem define por que ele será tratado, para quê, e como. A Clínica Bem-Estar Digital é controladora: foi ela que decidiu quais perguntas entrariam no questionário de triagem, por quanto tempo guardaria as respostas, e que enviaria uma lista de pacientes à agência de publicidade. É sobre o controlador que recai o grosso dos deveres da LGPD.

Operador: é a pessoa natural ou jurídica que realiza o tratamento em nome do controlador. O operador executa; não decide. A empresa de nuvem contratada pela clínica é operadora: armazena os dados, mas não escolheu coletá-los nem definiu para que serviriam. A distinção não é acadêmica, e o Bloco vai mostrar que ela decide quem responde por quê. Vale um alerta contra o erro mais comum: a qualificação não depende do tamanho da empresa nem do que está escrito no contrato, e sim de quem, de fato, toma as decisões. Uma multinacional de tecnologia pode ser operadora de uma clínica pequena.

Encarregado: é a pessoa indicada pelo controlador e pelo operador para atuar como canal de comunicação entre eles, os titulares dos dados e a autoridade nacional. É o que o mercado chama de DPO, sigla de data protection officer. A função é de ponte: receber reclamações de titulares, prestar esclarecimentos, orientar os funcionários da empresa e dialogar com a autoridade. A Clínica Bem-Estar Digital tem uma encarregada, contratada dois anos antes para "resolver a questão da LGPD", e o problema do caso está exatamente aí: encarregado que não é consultado antes das decisões vira apenas quem assina a resposta depois do desastre.

Base legal: é a autorização que a lei dá para tratar um dado pessoal. A LGPD trabalha com uma lógica que costuma surpreender quem chega ao tema: o tratamento é, em princípio, proibido, e só se torna lícito se couber em uma das dez hipóteses que a lei enumera. Não existe tratamento sem base legal. Se a clínica não conseguir apontar em qual das dez hipóteses se encaixava o envio da lista de pacientes à agência de publicidade, aquele tratamento foi simplesmente ilícito, e nenhuma cláusula contratual conserta isso.

Consentimento: é a manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados para uma finalidade determinada. É uma das dez bases legais, e não a regra geral, embora seja a mais conhecida. Cada palavra da definição carrega um requisito, e o "Li e aceito" de Marina falha em quase todos, como a Explicação do Tema vai detalhar.

Legítimo interesse: é a base legal que autoriza o tratamento quando ele atende a interesses legítimos do controlador ou de terceiro, salvo se prevalecerem os direitos e liberdades fundamentais do titular. É a mais flexível das dez, e por isso a mais disputada. Não é um curinga: exige finalidade concreta, limita o tratamento aos dados estritamente necessários, impõe transparência, e admite que a autoridade nacional cobre um relatório de impacto. Se a clínica alegasse legítimo interesse para a campanha publicitária, teria de demonstrar tudo isso, e ainda assim esbarraria no fato de que dado de saúde é sensível e segue outro regime.

Avaliação de legítimo interesse e relatório de impacto: a avaliação de legítimo interesse, conhecida pela sigla LIA, é o documento em que o controlador registra por que entendeu que seu interesse prevalece sobre os direitos do titular. Não está nomeada na lei, mas decorre do dever de prestação de contas. O relatório de impacto à proteção de dados pessoais, este sim definido na lei, é a documentação que descreve os processos de tratamento capazes de gerar risco às liberdades civis e aos direitos fundamentais, com as medidas de mitigação adotadas. A autoridade nacional pode exigi-lo. São os dois documentos que a Clínica Bem-Estar Digital não tem, e cuja ausência, sozinha, já a coloca em falta.

6.2.2.3 Explicação do Tema

Os agentes de tratamento. A LGPD organiza o mundo em quatro figuras, e entender a divisão entre elas resolve metade dos problemas práticos da lei.

O controlador decide. O operador executa em nome do controlador. O encarregado faz a ponte entre esses dois, os titulares e a autoridade. E a autoridade nacional fiscaliza, orienta e sanciona, tema do Bloco 3. Os dois primeiros são chamados, em conjunto, de agentes de tratamento.

A qualificação depende de quem decide, e não do tamanho ou da sofisticação de cada um. Alguns exemplos ajudam a fixar. Uma escola é controladora dos dados de seus alunos, e a empresa que lhe fornece o sistema de gestão acadêmica é operadora. Um empregador é controlador dos dados de seus empregados, e o escritório de contabilidade terceirizado que processa a folha é operador. Um condomínio é controlador dos dados de moradores e visitantes, e a empresa de portaria remota que opera o sistema de acesso é operadora. Em todos os casos, quem define a finalidade é o controlador, ainda que o operador seja tecnicamente muito mais capaz.

O art. 39 fixa a regra que governa essa relação: "o operador deverá realizar o tratamento segundo as instruções fornecidas pelo controlador, que verificará a observância das próprias instruções e das normas sobre a matéria". Note a segunda metade do dispositivo, frequentemente esquecida: não basta ao controlador dar instruções, ele precisa verificar se estão sendo cumpridas. Contratar um bom fornecedor e nunca mais olhar não é conformidade.

A relação se materializa em contrato, e o contrato importa. O mercado o chama de acordo de tratamento de dados, ou DPA, na sigla em inglês. É nele que se define o que o operador pode e não pode fazer, quais medidas de segurança adotará, o que acontece em caso de incidente, e o que será feito dos dados ao fim da relação.

Um ponto que costuma confundir: o operador não é um terceiro estranho à lei, nem alguém que só responde perante o controlador. Ele tem deveres próprios de segurança e sigilo, mantém registro das operações que realiza, e pode responder diretamente perante o titular.

O encarregado. O art. 41 determina que o controlador indique um encarregado, e detalha o que ele faz. São quatro atribuições: aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências; receber comunicações da autoridade nacional e adotar providências; orientar os funcionários e contratados da entidade sobre as práticas de proteção de dados; e executar as demais atribuições determinadas pelo controlador ou por normas complementares.

Duas exigências práticas decorrem daí. A identidade e o contato do encarregado devem ser divulgados publicamente, de forma clara e objetiva, preferencialmente no sítio eletrônico do controlador — encarregado que ninguém sabe quem é não cumpre a função de canal. E a terceira atribuição, orientar os funcionários, revela que o cargo não é de resposta a crises: é de prevenção contínua. Encarregado que só aparece depois do incidente foi mal empregado, ainda que tenha sido corretamente nomeado.

O §3º do art. 41 autoriza a autoridade nacional a estabelecer normas complementares sobre a definição e as atribuições do encarregado, "inclusive hipóteses de dispensa da necessidade de sua indicação, conforme a natureza e o porte da entidade ou o volume de operações". A matéria é hoje regulada pela Resolução CD/ANPD nº 18, de 16 de julho de 2024, e a dispensa alcança agentes de tratamento de pequeno porte, que ainda assim precisam manter um canal de comunicação com os titulares.

A regra de ouro. Chegamos ao mecanismo central da LGPD, e ele se enuncia numa frase: todo tratamento de dado pessoal só pode acontecer se couber em uma das dez hipóteses do art. 7º. Sem base legal, o tratamento é ilícito, ainda que ninguém sofra prejuízo, ainda que o dado esteja bem guardado, ainda que a intenção fosse a melhor possível.

Isso muda a pergunta que se faz na prática. Diante de qualquer coleta de dado, a pergunta correta não é "posso guardar isso?", e sim "com qual base legal?". Quando a clínica decidiu perguntar sobre uso de bebida alcoólica no questionário de triagem, deveria ter respondido a essa pergunta antes de incluir o campo no formulário. Não respondeu, e é por isso que hoje não sabe justificar coisa alguma.

As dez bases legais. O art. 7º lista dez. Decorá-las em ordem não ajuda; vale agrupá-las por lógica.

Três dependem da vontade ou da relação com o próprio titular. O consentimento (inciso I) é a autorização que o titular dá. A execução de contrato (inciso V) cobre o tratamento necessário para cumprir contrato do qual o titular seja parte, ou para procedimentos preliminares a pedido dele: tratar o endereço de Marina para entregar um produto, ou o cartão para processar o pagamento. E a proteção do crédito (inciso X) cobre a consulta a bureaus e o registro de inadimplência.

Três decorrem de um dever ou de uma função pública. O cumprimento de obrigação legal ou regulatória (inciso II) autoriza o tratamento que a própria lei manda fazer: guardar registros de conexão pelo prazo do Marco Civil, visto no Capítulo 2, ou emitir nota fiscal. A execução de políticas públicas (inciso III) autoriza a administração pública. E os estudos por órgão de pesquisa (inciso IV) autorizam a pesquisa, garantida sempre que possível a anonimização.

Duas protegem alguém em situação de risco. A proteção da vida ou da incolumidade física do titular ou de terceiro (inciso VII) cobre a emergência. A tutela da saúde (inciso VIII) cobre o tratamento feito exclusivamente por profissionais de saúde, serviços de saúde ou autoridade sanitária. Repare no advérbio, incluído em 2019: exclusivamente. Uma empresa de tecnologia que não seja serviço de saúde não invoca essa base.

Uma cobre a defesa de direitos: o exercício regular de direitos em processo judicial, administrativo ou arbitral (inciso VI).

E uma, a décima, depende de ponderação: o legítimo interesse (inciso IX), que autoriza o tratamento necessário para atender aos interesses legítimos do controlador ou de terceiro, "exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais".

Por que consentimento não é a regra. É o ponto que mais gera erro, inclusive entre profissionais. A LGPD não é uma lei de consentimento. O consentimento é uma base entre dez, e frequentemente a pior escolha, porque é a única que o titular pode revogar a qualquer momento, derrubando o tratamento inteiro. Uma empresa que pede consentimento para emitir nota fiscal está errando: a base correta é obrigação legal, e pedir autorização sugere ao cliente que ele pode recusar algo que a lei manda fazer.

No caso deste capítulo, a clínica provavelmente não precisava de consentimento para o atendimento em si. Tratar o histórico clínico de Marina para prestar a terapia se encaixa na tutela da saúde. O consentimento era necessário para outra coisa, e é justamente aí que a clínica falhou.

O que a lei exige do consentimento. Quando o consentimento é a base escolhida, o art. 8º impõe requisitos que o "Li e aceito" de Marina não cumpre.

Ele deve ser fornecido por escrito ou por meio que demonstre a manifestação de vontade, e, se por escrito, deve constar de cláusula destacada das demais cláusulas contratuais. Juntar termos de uso e política de privacidade numa caixa única viola essa exigência de forma direta, e a razão de a clínica ter feito isso, aumentar a taxa de conversão do cadastro, é precisamente o que a lei quis impedir.

O ônus da prova de que o consentimento foi obtido validamente é do controlador. Não cabe a Marina provar que não consentiu; cabe à clínica provar que ela consentiu, e como.

O consentimento deve referir-se a finalidades determinadas, e a lei é categórica quanto ao resto: "as autorizações genéricas para o tratamento de dados pessoais serão nulas". Uma cláusula que autorize "o uso dos dados para fins comerciais e de marketing" é nula, e não salva a campanha publicitária.

E ele pode ser revogado a qualquer momento, por procedimento gratuito e facilitado.

Há ainda uma regra que resolve diretamente o problema dos anúncios que Marina passou a receber. O art. 7º, §5º, determina que o controlador que obteve consentimento e precise compartilhar os dados com outros controladores obtenha consentimento específico para esse fim. A clínica não pediu nada disso antes de enviar a lista à agência.

O legítimo interesse e seus limites. Vale deter-se nessa base, porque ela é a mais invocada e a mais mal compreendida. O art. 10 restringe seu uso a finalidades legítimas consideradas a partir de situações concretas, e dá dois exemplos: apoio e promoção de atividades do controlador, e proteção do exercício regular de direitos do titular ou prestação de serviços que o beneficiem, "respeitadas as legítimas expectativas dele".

A expressão "legítimas expectativas" é a chave. A pergunta prática é se o titular, no momento em que forneceu o dado, esperaria razoavelmente aquele uso. Marina, ao responder um questionário de triagem psicológica, não poderia esperar que aquilo alimentasse uma campanha de publicidade. O legítimo interesse não socorre a clínica.

Além disso, o §1º limita o tratamento aos dados estritamente necessários à finalidade, o §2º impõe transparência, e o §3º permite que a autoridade nacional exija relatório de impacto. A Jurisprudência deste bloco mostra a autoridade fazendo exatamente isso com uma das maiores empresas do mundo.

Dados sensíveis: outro regime. Aqui está o erro que mais aparece em prova, e vale enunciá-lo sem rodeios: as dez bases legais do art. 7º não se aplicam a dados sensíveis. O art. 11 cria um rol próprio, mais estreito.

Para dado sensível, ou há consentimento do titular ou de seu responsável legal, dado "de forma específica e destacada, para finalidades específicas", ou há uma das sete hipóteses de dispensa, todas condicionadas a serem indispensáveis: cumprimento de obrigação legal ou regulatória; execução de políticas públicas; estudos por órgão de pesquisa, garantida sempre que possível a anonimização; exercício regular de direitos; proteção da vida ou da incolumidade física; tutela da saúde, exclusivamente por profissionais de saúde, serviços de saúde ou autoridade sanitária; e garantia da prevenção à fraude e à segurança do titular nos processos de identificação e autenticação.

Repare no que sumiu em relação ao art. 7º. Não há legítimo interesse. Não há execução de contrato. Não há proteção do crédito. As bases mais confortáveis para a empresa simplesmente não existem quando o dado é sensível.

E há uma vedação que decide o caso de Marina. O §4º do art. 11 proíbe a comunicação ou o uso compartilhado, entre controladores, de dados sensíveis referentes à saúde com objetivo de obter vantagem econômica, salvo hipóteses ligadas à própria prestação de serviços de saúde e à portabilidade solicitada pelo titular. O envio de uma lista de pacientes de saúde mental a uma agência de publicidade, para campanha de reengajamento, é exatamente a conduta que esse parágrafo proíbe. Não é uma questão de faltar base legal: é conduta vedada.

Dados de crianças e adolescentes. O art. 14 cria um terceiro regime, que a clínica precisaria observar se atendesse adolescentes. O tratamento deve ser realizado no melhor interesse da criança ou do adolescente. O dado de criança exige consentimento específico e em destaque de pelo menos um dos pais ou do responsável legal, e o controlador deve empregar esforços razoáveis para verificar que o consentimento veio mesmo de quem podia dá-lo. O controlador não pode condicionar a participação em jogos, aplicações de internet ou outras atividades ao fornecimento de dados além dos estritamente necessários. E as informações precisam ser fornecidas em linguagem acessível, considerada a capacidade de entendimento da criança. O tema ganhou peso próprio com o Estatuto Digital da Criança e do Adolescente, tratado no Capítulo 8.

O Poder Público como controlador. Até aqui falamos de empresas. Mas o maior controlador de dados pessoais do país é o Estado, e a LGPD dedica um capítulo inteiro a ele, os arts. 23 a 32. O aluno precisa conhecer esse regime, porque ele funciona por uma lógica diferente da que vimos até agora.

A diferença de partida é a base legal. O Poder Público não escolhe entre dez hipóteses: ele trata dados para o atendimento de sua finalidade pública, na persecução do interesse público, com o objetivo de executar as competências legais ou cumprir as atribuições legais do serviço público. Não há espaço para legítimo interesse, e o consentimento raramente é a base adequada, porque não faz sentido pedir autorização para algo que a lei manda a administração fazer. Quando o cidadão se matricula numa escola pública, é atendido num posto de saúde ou se inscreve num programa social, a base é a execução de política pública.

Em compensação, o Estado assume deveres de transparência mais rigorosos. O art. 23, I, exige que os órgãos informem as hipóteses em que tratam dados pessoais, com informações claras e atualizadas sobre previsão legal, finalidade, procedimentos e práticas, "em veículos de fácil acesso, preferencialmente em seus sítios eletrônicos". O inciso III torna a indicação de encarregado obrigatória para os órgãos públicos, sem a flexibilidade de porte que vale para o setor privado.

Há três pontos que costumam cair em prova. O primeiro é que os serviços notariais e de registro, embora exercidos em caráter privado por delegação, recebem o mesmo tratamento dos órgãos públicos. O segundo é a regra do art. 24: empresas públicas e sociedades de economia mista que atuam em regime de concorrência são tratadas como empresas privadas, salvo quando estejam operacionalizando políticas públicas, hipótese em que voltam ao regime do Poder Público. O terceiro é que os prazos e procedimentos para o exercício dos direitos do titular perante o Estado seguem legislação própria, em especial a Lei do Habeas Data, a Lei Geral do Processo Administrativo e a Lei de Acesso à Informação.

O ponto mais sensível do capítulo, porém, é o compartilhamento. O art. 26 permite o uso compartilhado de dados pelo Poder Público para finalidades específicas de execução de políticas públicas, respeitados os princípios do art. 6º. Mas o §1º veda ao Poder Público transferir a entidades privadas dados constantes de bases a que tenha acesso, salvo hipóteses tipificadas: execução descentralizada de atividade pública que exija a transferência, exclusivamente para esse fim; previsão legal ou respaldo em contratos e convênios; prevenção de fraudes e irregularidades ou proteção da segurança do titular, vedado o tratamento para outras finalidades; e dados que já sejam publicamente acessíveis. Os contratos e convênios devem ser comunicados à autoridade nacional. O art. 27 acrescenta que a comunicação de dados do Poder Público a pessoa de direito privado será informada à autoridade nacional e dependerá de consentimento do titular, salvo as exceções que ele mesmo lista.

Repare no que essa vedação protege. O Estado reúne, por imposição legal, bases que nenhuma empresa conseguiria montar: cadastros de saúde, previdência, tributos, benefícios sociais. Permitir que essas bases fluíssem livremente para o setor privado transformaria a obrigação de fornecer dados ao Estado numa fonte de vantagem comercial para terceiros. Foi exatamente esse risco que o Supremo Tribunal Federal enfrentou na ADI 6387, vista no Bloco 1, ainda que ali o fluxo fosse no sentido inverso, das operadoras de telefonia para o IBGE.

Por fim, os arts. 29 a 32 desenham a atuação da autoridade nacional sobre o Estado, e ela é mais branda do que sobre o setor privado. A ANPD pode solicitar informes específicos sobre o tratamento realizado, emitir parecer técnico, estabelecer normas complementares sobre comunicação e uso compartilhado, solicitar a publicação de relatórios de impacto e sugerir padrões e boas práticas. Quando há infração, o art. 31 prevê que a autoridade "poderá enviar informe com medidas cabíveis para fazer cessar a violação". Note o verbo: informe, não multa.

E a assimetria não para aí. O art. 52, §3º, enumera quais sanções podem ser aplicadas às entidades e aos órgãos públicos, e a lista é seletiva: advertência, publicização da infração, bloqueio, eliminação, suspensão parcial do banco de dados, suspensão da atividade de tratamento e proibição de tratar. As duas espécies de multa, dos incisos II e III, ficaram de fora. Vale registrar, ainda, que esse parágrafo integrava as partes vetadas do projeto e só entrou em vigor porque o Congresso derrubou o veto. O Estado, maior controlador de dados do país, responde por tudo, menos por dinheiro. É assimetria relevante, e ela volta na Crítica Jurídica deste capítulo.

Quem responde quando dá errado. A LGPD trata a responsabilidade civil nos arts. 42 a 45, e o desenho é rigoroso.

A regra do art. 42 é ampla: o controlador ou o operador que, no exercício da atividade de tratamento, causar dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados, é obrigado a repará-lo.

A distribuição da responsabilidade segue duas regras de solidariedade. O operador responde solidariamente quando descumprir as obrigações da legislação ou quando não seguir as instruções lícitas do controlador, hipótese em que "o operador equipara-se ao controlador". E os controladores diretamente envolvidos no tratamento do qual decorreu o dano respondem solidariamente entre si. Quem repara tem direito de regresso contra os demais, na medida de sua participação.

Aplicado ao caso: se a empresa de nuvem descumpriu deveres de segurança, responde solidariamente com a clínica perante Marina, ainda que seja apenas operadora. E como a clínica não formalizou instruções em contrato algum, terá dificuldade em demonstrar que o operador as descumpriu, o que enfraquece justamente seu direito de regresso.

O art. 42, §2º, permite ao juiz inverter o ônus da prova em favor do titular quando a alegação for verossímil, houver hipossuficiência ou a produção da prova lhe for excessivamente onerosa. Na prática, é o titular numa posição próxima à do consumidor, e o art. 45 confirma que, havendo relação de consumo, as regras do CDC continuam valendo.

As excludentes do art. 43 são estreitas, e cada uma exige prova pelo agente: que não realizou o tratamento; que o realizou mas não houve violação à legislação; ou que o dano decorre de culpa exclusiva do titular ou de terceiro. O advérbio é decisivo, e a Jurisprudência deste bloco mostra por quê.

Por fim, o art. 44 define quando o tratamento é irregular: quando deixa de observar a legislação ou quando não fornece a segurança que o titular dele pode esperar, consideradas as circunstâncias, entre elas as técnicas disponíveis à época. É um padrão de expectativa legítima, próximo ao do CDC, e não um padrão de culpa.

De volta ao caso. Agora as perguntas do início do bloco têm resposta. A clínica é controladora; a empresa de nuvem é operadora; a encarregada deveria ter sido consultada antes, e não depois. O atendimento terapêutico de Marina encontrava base legal na tutela da saúde, e não precisava de consentimento. O envio da lista à agência de publicidade não encontra base legal nenhuma, e mais que isso, esbarra na vedação expressa do art. 11, §4º. O consentimento colhido em caixa única é inválido por falta de cláusula destacada, e qualquer autorização genérica nele contida é nula. E, pelo vazamento, clínica e empresa de nuvem podem responder solidariamente perante Marina, com possível inversão do ônus da prova em favor dela.

O que Marina pode exigir, na prática, e o que acontece com os dados daqui em diante, é o assunto do Bloco 3.

6.2.2.4 Marco Normativo

Os agentes. O art. 5º define controlador como "pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais" (VI); operador como "pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador" (VII); e encarregado como "pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Agência Nacional de Proteção de Dados (ANPD)" (VIII, na redação da Lei 15.352/2026, que substituiu, também aqui, "Autoridade" por "Agência"). A atuação do encarregado é hoje regulamentada pela Resolução CD/ANPD nº 18, de 16 de julho de 2024.

Os arts. 37 a 41 completam o regime dos agentes. O art. 37 determina que "o controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse". O art. 38 autoriza a autoridade nacional a determinar ao controlador a elaboração de relatório de impacto à proteção de dados pessoais, "inclusive de dados sensíveis", e seu parágrafo único fixa o conteúdo mínimo: "a descrição dos tipos de dados coletados, a metodologia utilizada para a coleta e para a garantia da segurança das informações e a análise do controlador com relação a medidas, salvaguardas e mecanismos de mitigação de risco adotados". O art. 39 determina que "o operador deverá realizar o tratamento segundo as instruções fornecidas pelo controlador, que verificará a observância das próprias instruções e das normas sobre a matéria". O art. 40 autoriza a autoridade nacional a dispor sobre padrões de interoperabilidade para portabilidade, livre acesso e segurança.

O art. 41 trata do encarregado. O caput determina que "o controlador deverá indicar encarregado pelo tratamento de dados pessoais". O §1º exige que "a identidade e as informações de contato do encarregado deverão ser divulgadas publicamente, de forma clara e objetiva, preferencialmente no sítio eletrônico do controlador". O §2º lista as quatro atividades transcritas na Explicação do Tema. O §3º autoriza a autoridade nacional a estabelecer normas complementares, "inclusive hipóteses de dispensa da necessidade de sua indicação, conforme a natureza e o porte da entidade ou o volume de operações de tratamento de dados", matéria hoje objeto da Resolução CD/ANPD nº 18, de 16 de julho de 2024.

O tratamento pelo Poder Público. O Capítulo IV da lei, arts. 23 a 32, cria regime próprio. O art. 23 determina que o tratamento pelas pessoas jurídicas de direito público "deverá ser realizado para o atendimento de sua finalidade pública, na persecução do interesse público, com o objetivo de executar as competências legais ou cumprir as atribuições legais do serviço público", exigindo que sejam informadas as hipóteses de tratamento "em veículos de fácil acesso, preferencialmente em seus sítios eletrônicos" (I) e que seja indicado encarregado (III). O §3º remete os prazos e procedimentos para exercício dos direitos do titular à Lei do Habeas Data, à Lei Geral do Processo Administrativo e à Lei de Acesso à Informação. O §4º equipara os serviços notariais e de registro exercidos por delegação às pessoas jurídicas de direito público.

O art. 24 sujeita empresas públicas e sociedades de economia mista em regime de concorrência ao mesmo tratamento das pessoas jurídicas de direito privado, salvo quando operacionalizem políticas públicas. O art. 25 exige que os dados sejam mantidos "em formato interoperável e estruturado para o uso compartilhado". O art. 26 disciplina o uso compartilhado pelo Poder Público, e seu §1º veda a transferência de dados a entidades privadas, ressalvadas as hipóteses que enumera, com comunicação dos contratos e convênios à autoridade nacional (§2º). O art. 27 condiciona a comunicação de dados do Poder Público a pessoa de direito privado a consentimento do titular, salvo as exceções que lista.

Os arts. 29 a 32 fixam a atuação da autoridade nacional sobre o Estado: solicitação de informes específicos e emissão de parecer técnico (art. 29), normas complementares sobre comunicação e uso compartilhado (art. 30), envio de "informe com medidas cabíveis para fazer cessar a violação" em caso de infração (art. 31), e solicitação de publicação de relatórios de impacto (art. 32).

As bases legais. O art. 7º abre com a regra de ouro: "o tratamento de dados pessoais somente poderá ser realizado nas seguintes hipóteses", seguidas dos dez incisos analisados. Vale reter a redação de dois deles. O inciso VIII autoriza o tratamento "para a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária". O inciso IX autoriza o tratamento "quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais".

Dos parágrafos do art. 7º, três importam a este bloco. O §4º dispensa consentimento "para os dados tornados manifestamente públicos pelo titular, resguardados os direitos do titular e os princípios previstos nesta Lei". O §5º exige do controlador que obteve consentimento e precise "comunicar ou compartilhar dados pessoais com outros controladores" que obtenha "consentimento específico do titular para esse fim". E o §6º fecha qualquer atalho: "a eventual dispensa da exigência do consentimento não desobriga os agentes de tratamento das demais obrigações previstas nesta Lei, especialmente da observância dos princípios gerais e da garantia dos direitos do titular".

O consentimento. O art. 8º determina que ele seja "fornecido por escrito ou por outro meio que demonstre a manifestação de vontade do titular". O §1º exige, no caso escrito, "cláusula destacada das demais cláusulas contratuais". O §2º atribui ao controlador "o ônus da prova de que o consentimento foi obtido em conformidade com o disposto nesta Lei". O §3º veda o tratamento mediante vício de consentimento. O §4º é o mais citado: "o consentimento deverá referir-se a finalidades determinadas, e as autorizações genéricas para o tratamento de dados pessoais serão nulas". E o §5º garante a revogação "a qualquer momento mediante manifestação expressa do titular, por procedimento gratuito e facilitado".

O art. 9º, §1º, acrescenta uma sanção específica: quando o consentimento é requerido, ele "será considerado nulo caso as informações fornecidas ao titular tenham conteúdo enganoso ou abusivo ou não tenham sido apresentadas previamente com transparência, de forma clara e inequívoca".

O legítimo interesse. O art. 10 limita a base a "finalidades legítimas, consideradas a partir de situações concretas", exemplificadas no apoio e promoção de atividades do controlador (I) e na proteção do exercício regular de direitos do titular ou prestação de serviços que o beneficiem, "respeitadas as legítimas expectativas dele e os direitos e liberdades fundamentais" (II). O §1º limita o tratamento aos "dados pessoais estritamente necessários para a finalidade pretendida". O §2º impõe medidas de transparência. O §3º permite à autoridade nacional solicitar relatório de impacto.

Os dados sensíveis. O art. 11 fixa que "o tratamento de dados pessoais sensíveis somente poderá ocorrer" mediante consentimento "de forma específica e destacada, para finalidades específicas" (I), ou, sem consentimento, "nas hipóteses em que for indispensável" para as sete alíneas do inciso II. O §1º estende o artigo "a qualquer tratamento de dados pessoais que revele dados pessoais sensíveis e que possa causar dano ao titular". O §3º permite à autoridade nacional vedar ou regulamentar a comunicação de dados sensíveis entre controladores com objetivo de vantagem econômica. E o §4º veda diretamente essa comunicação quanto a dados de saúde, ressalvadas as hipóteses ligadas à prestação de serviços de saúde, de assistência farmacêutica e de assistência à saúde, para permitir a portabilidade solicitada pelo titular e as transações financeiras e administrativas decorrentes desses serviços. O §5º veda às operadoras de planos privados de assistência à saúde o tratamento de dados de saúde para seleção de riscos e para contratação ou exclusão de beneficiários.

As crianças e adolescentes. O art. 14 determina que o tratamento "deverá ser realizado em seu melhor interesse". O §1º exige, para dados de crianças, "o consentimento específico e em destaque dado por pelo menos um dos pais ou pelo responsável legal". O §4º veda condicionar "a participação dos titulares (...) em jogos, aplicações de internet ou outras atividades ao fornecimento de informações pessoais além das estritamente necessárias à atividade". O §5º impõe ao controlador "todos os esforços razoáveis para verificar que o consentimento (...) foi dado pelo responsável pela criança". O §6º exige informação "de maneira simples, clara e acessível", adequada "ao entendimento da criança".

A responsabilidade. O art. 42 impõe o dever de reparar ao controlador ou operador que "causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais". O §1º, I, estabelece que o operador "responde solidariamente pelos danos causados pelo tratamento quando descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do controlador, hipótese em que o operador equipara-se ao controlador". O §1º, II, torna solidários os controladores diretamente envolvidos. O §2º permite ao juiz inverter o ônus da prova em favor do titular. O §4º assegura o direito de regresso.

O art. 43 lista as excludentes, e a terceira exige que o agente prove "que o dano é decorrente de culpa exclusiva do titular dos dados ou de terceiro". O art. 44 define o tratamento irregular como aquele que "deixar de observar a legislação ou quando não fornecer a segurança que o titular dele pode esperar", e seu parágrafo único responsabiliza quem deu causa ao dano por não adotar as medidas de segurança do art. 46. O art. 45 preserva a aplicação do CDC nas relações de consumo.

No plano setorial. Para o recorte de saúde deste capítulo, a Lei 14.510/2022 autorizou e disciplinou a telessaúde no país, e a Resolução CFP nº 9, de 18 de julho de 2024, regulamenta o exercício profissional da Psicologia mediado por tecnologias digitais da informação e da comunicação, revogando as Resoluções CFP 11/2018 e 4/2020 e dispensando o antigo cadastro prévio no sistema e-Psi. As duas convivem com a LGPD: o sigilo profissional do psicólogo é dever autônomo, anterior e independente da proteção de dados, e o cumprimento de um não dispensa o outro.

6.2.2.5 Jurisprudência ou Regulação em Ação

Este bloco tem dois episódios, e eles mostram os dois lados do que acabamos de estudar: um sobre base legal, outro sobre responsabilidade.

O legítimo interesse posto à prova: ANPD × Meta (2024). Em 1º de julho de 2024, pelo Despacho Decisório nº 20/2024/PR/ANPD, a autoridade nacional determinou a suspensão cautelar do tratamento de dados pessoais de usuários brasileiros para treinamento dos sistemas de inteligência artificial generativa da Meta, sob pena de multa diária de cinquenta mil reais — a primeira multa diária imposta pela autoridade. A empresa havia atualizado sua política de privacidade para usar publicações, imagens e comentários de usuários de suas plataformas nesse treinamento, invocando o legítimo interesse como base legal. A ANPD entendeu haver risco de dano grave e irreparável aos titulares.

Em agosto de 2024, depois de recurso da empresa acompanhado de compromissos de adequação, o Conselho Diretor da ANPD aprovou um Plano de Conformidade e suspendeu a medida preventiva. A empresa pôde retomar o tratamento, com restrições: os dados usados no treinamento seriam previamente desidentificados, a comunicação aos titulares sobre o direito de oposição seria reforçada, e a Meta se comprometeu a não usar dados de contas de menores de dezoito anos até decisão final da autoridade.

A frase que a autoridade usou para explicar a decisão resume a lição do bloco: não se trata de dar um cheque em branco, e o legítimo interesse não se libera por uma hipótese geral de tratamento para inteligência artificial, sem condicionamento adicional. Legítimo interesse não é autorização automática. É uma base que exige demonstração concreta, dado a dado, finalidade a finalidade. Note ainda a coerência com o art. 10, §3º: foi a própria autoridade quem cobrou da empresa a demonstração que a lei permite exigir.

O episódio volta no Capítulo 13, a propósito de inteligência artificial.

A responsabilidade por vazamento: STJ, REsp 2.147.374/SP. Julgado pela Terceira Turma em 3 de dezembro de 2024, sob relatoria do Ministro Ricardo Villas Bôas Cueva, o recurso discutia se o vazamento de dados pessoais não sensíveis, decorrente de atividade ilícita de terceiro, afastaria a responsabilidade do agente de tratamento pela excludente do art. 43, III.

O STJ disse que não, e a fundamentação interessa a este capítulo em quatro pontos.

Primeiro, o tribunal registrou que a Emenda Constitucional 115/2022, ao inscrever a proteção de dados no rol dos direitos fundamentais, "inaugurou um novo capítulo no ordenamento jurídico brasileiro no que tange aos direitos de personalidade, à liberdade e à autodeterminação informativa". É o mesmo fio do Bloco 1.

Segundo, afirmou que a empresa, por ser agente de tratamento, tinha a obrigação de adotar todas as medidas de segurança esperadas pelo titular, com sistemas estruturados segundo os requisitos de segurança, boas práticas, governança e princípios gerais da lei.

Terceiro, e este é o ponto central, considerou irregular o tratamento que "deixou de fornecer a segurança que o titular dele poderia esperar", expressão que o acórdão nomeia como expectativa de legítima proteção. Ela vem do caput do art. 44, cujos três incisos apenas listam as circunstâncias a considerar: o modo pelo qual o tratamento é realizado, o resultado e os riscos que dele razoavelmente se esperam, e as técnicas disponíveis à época. Não se discutiu culpa: discutiu-se se a segurança correspondia ao que era razoável esperar.

Quarto, quanto à excludente, o tribunal foi direto: como a empresa não provou que o vazamento decorreu exclusivamente do incidente causado por terceiro, a excludente do art. 43, III, não se aplica. O acórdão registra ainda que compliance de dados não é apenas obediência à lei, mas comprovação da efetividade dos programas de conformidade, o que reencontra o princípio da responsabilização visto no Bloco 1.

Ao final, o STJ manteve a condenação da empresa a informar as entidades com as quais compartilhou os dados, nos termos do art. 18, VII, e a fornecer declaração completa indicando origem dos dados, critérios utilizados e finalidade do tratamento, nos termos do art. 19, II. Os dois dispositivos são objeto do Bloco 3.

Para a Clínica Bem-Estar Digital, o precedente é uma má notícia. Alegar que o vazamento foi culpa da empresa de nuvem não a exonera, salvo se provar que a causa foi exclusivamente de terceiro. E como os dados de Marina são sensíveis, e não meramente pessoais como no caso julgado, a expectativa de segurança exigível é ainda maior.

6.2.3 Bloco 3 — O Poder do Titular e a Fiscalização

6.2.3.1 Apresentação

Os dois blocos anteriores olharam para o dado e para quem o trata. Este bloco olha para Marina.

Ela quer três coisas concretas, e cada uma delas tem nome jurídico: saber o que a clínica tem sobre ela e com quem compartilhou, corrigir o que estiver errado, e apagar o resto. Quer também entender por que um sistema automatizado negou seu crédito em poucos segundos, sem que nenhuma pessoa tenha olhado o caso.

Este bloco responde a tudo isso, e vai além. Explica os direitos que a lei dá ao titular, o que acontece quando o tratamento termina, quais deveres de segurança pesam sobre quem trata dados, o que a empresa precisa fazer quando ocorre um vazamento, e quem, afinal, fiscaliza tudo isso. Termina na peça que faltava ao quadro: a autoridade que aplica a lei, e que mudou de natureza jurídica em 2026.

6.2.3.2 Vocabulário

Direitos do titular: são as prerrogativas que a lei assegura à pessoa a quem os dados se referem, exercíveis diretamente perante o controlador, a qualquer momento e mediante requisição. São nove no art. 18, e a característica comum é serem gratuitos e não dependerem de processo judicial. Marina não precisa contratar advogado nem ir a juízo para pedir à clínica a lista de tudo o que ela guarda a seu respeito.

Portabilidade: é o direito de pedir que os dados sejam transferidos a outro fornecedor de serviço ou produto, mediante requisição expressa. A finalidade é evitar o aprisionamento do titular a um fornecedor só, pela dificuldade prática de recomeçar em outro lugar. Se Marina quisesse migrar para outra plataforma de terapia sem perder o histórico, é este o direito que invocaria. A lei ressalva os segredos comercial e industrial, e exclui da portabilidade os dados que já tenham sido anonimizados.

Decisão automatizada: é a decisão tomada unicamente com base em tratamento automatizado de dados, sem intervenção humana no caso concreto, e que afeta os interesses do titular. Inclui expressamente as decisões destinadas a definir perfil pessoal, profissional, de consumo e de crédito. A negativa que Marina recebeu do banco em poucos segundos, sem que nenhum atendente examinasse o pedido, é exatamente isso.

Direito à explicação: é o direito de obter informações claras e adequadas sobre os critérios e procedimentos usados numa decisão automatizada. Não é o mesmo que transparência. A transparência é anterior ao fato e geral: informa, antes, como a empresa trata dados. A explicabilidade é posterior e específica: explica por que aquela decisão saiu daquele jeito. A doutrina costuma tratá-la como garantia instrumental, e a expressão é precisa: ela não vale por si, vale porque sem ela o titular não consegue exercer os demais direitos. Marina não pode contestar utilmente a negativa de crédito enquanto não souber que critérios a produziram.

Incidente de segurança: é o evento que compromete a segurança dos dados pessoais, permitindo acesso não autorizado ou causando destruição, perda, alteração ou difusão indevida. Nem todo incidente gera dever de comunicação: a lei exige a comunicação quando o incidente "possa acarretar risco ou dano relevante aos titulares". O vazamento da base da clínica, contendo dados sensíveis de saúde de pacientes de psicologia, é o exemplo mais claro possível de risco relevante.

Transferência internacional de dados: é a transferência de dados pessoais para país estrangeiro ou organismo internacional. Não se confunde com o simples fato de o servidor estar fora do Brasil, embora frequentemente coincida com isso. É operação que a lei só permite em hipóteses determinadas, e a mais usada na prática empresarial são as cláusulas-padrão contratuais definidas pela autoridade nacional.

Sanção administrativa: é a punição aplicada pela autoridade nacional ao agente que descumpre a lei, em procedimento administrativo com ampla defesa. Não se confunde com a responsabilidade civil do Bloco 2: uma coisa é indenizar Marina, outra é ser multado pelo Estado. As duas podem acontecer ao mesmo tempo, e nenhuma exclui eventual responsabilização penal ou consumerista.

6.2.3.3 Explicação do Tema

Os nove direitos do titular. O art. 18 assegura ao titular nove direitos, exercíveis perante o controlador a qualquer momento, mediante requisição e sem custo. Agrupá-los por função ajuda mais do que memorizar a ordem dos incisos, e são quatro funções.

Dois direitos servem para saber. A confirmação da existência de tratamento responde à pergunta "vocês têm dados meus?". O acesso aos dados responde à seguinte: "quais, exatamente?". A eles se soma o direito de obter informação sobre as entidades públicas e privadas com as quais o controlador compartilhou os dados, que responde à pergunta que mais aflige Marina: com quem vocês falaram a meu respeito?

Um direito serve para corrigir: a correção de dados incompletos, inexatos ou desatualizados.

Três direitos servem para limitar ou desfazer. A anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei. A eliminação dos dados tratados com consentimento, ressalvadas as hipóteses de conservação. E a revogação do consentimento, que deve ser gratuita e facilitada.

Dois direitos servem para sair ou escolher. A portabilidade a outro fornecedor. E a informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa, que é o direito de saber, antes de decidir, o que se perde ao dizer não.

O art. 18 traz ainda três regras práticas que costumam passar despercebidas. O titular pode peticionar contra o controlador perante a autoridade nacional, e também perante os órgãos de defesa do consumidor. Pode opor-se a tratamento fundado em dispensa de consentimento, quando houver descumprimento da lei. E, quando o controlador corrige, elimina, anonimiza ou bloqueia dados, precisa informar imediatamente os agentes com quem os compartilhou, para que façam o mesmo, salvo impossibilidade comprovada ou esforço desproporcional.

O art. 19 fixa como o acesso se materializa, e aqui há um prazo que cai em prova. A confirmação e o acesso são providenciados em formato simplificado, imediatamente, ou por declaração clara e completa, indicando origem dos dados, critérios utilizados e finalidade do tratamento, no prazo de até quinze dias. Quando o tratamento tem origem em consentimento ou contrato, o titular pode pedir cópia eletrônica integral de seus dados, em formato que permita uso posterior.

Antes ainda dos direitos do art. 18, o art. 9º já garante o acesso facilitado às informações sobre o tratamento, que devem ser disponibilizadas de forma clara, adequada e ostensiva, incluindo finalidade específica, forma e duração do tratamento, identificação e contato do controlador, informações sobre uso compartilhado, responsabilidades dos agentes, e menção explícita aos direitos do art. 18. É o dispositivo que a política de privacidade deveria cumprir, e que a caixa única da clínica não cumpre.

Decisões automatizadas, e uma armadilha do texto legal. O art. 20 assegura ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, "incluídas as decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade".

Aqui está um detalhe que vale conhecer, porque separa quem leu a lei de quem leu um resumo. A redação original, de 2018, dizia "revisão, por pessoa natural, de decisões tomadas unicamente com base em tratamento automatizado". A Medida Provisória 869/2018 suprimiu a expressão "por pessoa natural", e a Lei 13.853/2019 manteve a supressão. Ou seja: a LGPD hoje não garante que a revisão seja feita por um ser humano. Garante que haja revisão. Houve ainda uma tentativa de reintroduzir a exigência por meio de um §3º, que acabou vetado.

A consequência prática é desconfortável e vale dizer ao aluno com todas as letras: quando Marina pede revisão da negativa de crédito, o banco pode, em tese, submeter o caso a outro processo automatizado. O que ela tem, com certeza, é o direito do §1º: o controlador "deverá fornecer, sempre que solicitadas, informações claras e adequadas a respeito dos critérios e dos procedimentos utilizados para a decisão automatizada, observados os segredos comercial e industrial".

E se a empresa se recusar, invocando segredo comercial? O §2º responde: a autoridade nacional "poderá realizar auditoria para verificação de aspectos discriminatórios em tratamento automatizado". A ressalva do segredo comercial protege a empresa contra o titular, não contra o regulador.

É aqui que a distinção entre transparência e explicabilidade ganha utilidade. A transparência opera antes, informando de modo geral como a empresa decide. A explicabilidade opera depois, sobre a decisão concreta. A primeira, sozinha, não permite a Marina contestar coisa alguma: saber que "o banco usa modelos estatísticos de risco" não diz por que ela foi recusada. Por isso a doutrina trata o direito à explicação como garantia instrumental, que existe para viabilizar o exercício dos demais direitos. O tema volta, com muito mais fôlego, no Capítulo 13.

Note ainda o vínculo com o Bloco 1. Se o histórico de saúde mental de Marina alimentou o escore que negou o crédito, o problema não é apenas de explicação: é de não discriminação, princípio do art. 6º, IX, que veda o tratamento para fins discriminatórios ilícitos ou abusivos. E há um segundo dispositivo pouco lembrado e diretamente aplicável, o art. 21: "os dados pessoais referentes ao exercício regular de direitos pelo titular não podem ser utilizados em seu prejuízo".

O fim do ciclo: término e eliminação. Dado não é para sempre, e essa é uma das ideias mais contraintuitivas da lei para quem trabalha com sistemas, onde a tendência natural é acumular.

O art. 15 estabelece quatro hipóteses de término do tratamento: verificação de que a finalidade foi alcançada ou de que os dados deixaram de ser necessários; fim do período de tratamento; comunicação do titular, inclusive pela revogação do consentimento; e determinação da autoridade nacional em caso de violação.

O art. 16 fixa a consequência: "os dados pessoais serão eliminados após o término de seu tratamento". A eliminação é a regra. A conservação é exceção, e a lei admite apenas quatro: cumprimento de obrigação legal ou regulatória; estudo por órgão de pesquisa, garantida sempre que possível a anonimização; transferência a terceiro, respeitados os requisitos legais; e uso exclusivo do controlador, vedado o acesso por terceiro e desde que os dados sejam anonimizados.

Na prática, eliminar é mais difícil do que parece, e vale que o aluno perceba isso desde já. Apagar um registro do banco de dados principal não resolve backups, logs de sistema, cópias em ambientes de teste e bases analíticas. Por isso a conformidade exige política de retenção e expurgo, e não um comando isolado.

Quando Marina pedir a eliminação de seus dados, a clínica terá de separar o que pode apagar do que é obrigada a conservar. Prontuário de saúde tem prazo mínimo de guarda fixado em norma própria, e essa obrigação legal prevalece sobre o pedido dela. Mas isso vale para o prontuário, não para a lista de marketing que a clínica montou sem base legal: essa deve ser eliminada por inteiro.

Segurança e incidentes. O art. 46 impõe aos agentes de tratamento a adoção de medidas de segurança técnicas e administrativas aptas a proteger os dados contra acessos não autorizados e contra destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito. O §2º acrescenta uma exigência de método: essas medidas "deverão ser observadas desde a fase de concepção do produto ou do serviço até a sua execução". É o que a técnica chama de proteção desde a concepção. Segurança não é camada acrescentada ao final, é requisito de projeto.

O art. 47 estende a obrigação de segurança a qualquer pessoa que intervenha em uma das fases do tratamento, "mesmo após o seu término".

O art. 48 trata do que a clínica está vivendo. O controlador deve comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. A comunicação deve mencionar, no mínimo, a natureza dos dados afetados, as informações sobre os titulares envolvidos, as medidas técnicas de proteção utilizadas, os riscos relacionados ao incidente, os motivos da demora quando não for imediata, e as medidas adotadas para reverter ou mitigar os efeitos.

O prazo, que a lei deixava em aberto ao falar em "prazo razoável", foi fixado pela Resolução CD/ANPD nº 15, de 24 de abril de 2024: até três dias úteis contados do conhecimento, pelo controlador, de que o incidente afetou dados pessoais. O mesmo prazo vale para a comunicação à autoridade e para a comunicação aos titulares, e as informações podem ser complementadas em até vinte dias úteis contados da comunicação inicial. Repare no que essa regra resolve: sem ela, o controlador poderia demorar indefinidamente a montar um quadro completo antes de avisar quem quer que fosse. Com ela, avisa-se primeiro e detalha-se depois.

Compare com o e-mail que Marina recebeu. Ele não informou quais dados foram afetados, nem quantas pessoas, nem por quanto tempo a base ficou exposta, nem quais medidas foram tomadas. Não é apenas comunicação ruim: é comunicação que descumpre o art. 48, §1º, item por item. E a autoridade, pelo §2º, pode determinar ampla divulgação do fato em meios de comunicação e medidas de mitigação.

Transferência internacional. O art. 33 permite a transferência internacional em nove hipóteses. As mais relevantes na prática empresarial são a transferência para países que ofereçam grau de proteção adequado, avaliado pela autoridade nacional, e a apresentação de garantias pelo controlador, na forma de cláusulas contratuais específicas, cláusulas-padrão contratuais, normas corporativas globais, ou selos, certificados e códigos de conduta. Há também o consentimento específico e em destaque do titular, com informação prévia sobre o caráter internacional da operação.

O art. 35 atribui à autoridade nacional a definição do conteúdo das cláusulas-padrão, o que foi feito pela Resolução CD/ANPD nº 19, de 23 de agosto de 2024, que aprovou o Regulamento de Transferência Internacional de Dados. Ela concedeu prazo de doze meses para que os contratos em curso incorporassem as cláusulas-padrão, prazo esgotado em agosto de 2025.

Aqui vale desfazer uma confusão comum, e ela toca o caso deste capítulo. Que os dados de Marina estejam num servidor fora do Brasil não retira a aplicação da LGPD, como o Bloco 1 mostrou ao tratar do art. 3º. E o envio desses dados ao exterior é, ele próprio, uma operação regulada, que exige enquadramento em uma das hipóteses do art. 33. A clínica, que contratou nuvem sem cláusula alguma sobre o assunto, provavelmente não consegue apontar em qual delas se enquadra.

Quem fiscaliza. Chegamos à peça que faltava, e ela merece tratamento próprio, porque uma lei vale o que vale sua autoridade de aplicação.

O que a ANPD é, e um detalhe de nome que vale conhecer. A autoridade mudou de natureza jurídica três vezes em pouco tempo, e a trajetória diz muito sobre a maturação do tema no Brasil. Criada em 2019 como órgão da administração pública federal integrante da Presidência da República, sem personalidade jurídica própria, tornou-se autarquia de natureza especial em 2022. A Medida Provisória 1.317/2025 alterou a definição do art. 5º, XIX, trocando "órgão" por "entidade". E a Lei 15.352/2026, sancionada em fevereiro de 2026, deu ao art. 55-A a redação hoje vigente.

Aqui está o detalhe. A sigla continua sendo ANPD, mas o nome mudou: onde se lia Autoridade Nacional de Proteção de Dados, lê-se agora Agência Nacional de Proteção de Dados. Ela permanece autarquia de natureza especial vinculada ao Ministério da Justiça e Segurança Pública, com autonomia funcional, técnica, decisória, administrativa e financeira e patrimônio próprio, e passou a submeter-se expressamente à Lei 13.848, de 2019, que é a lei geral das agências reguladoras. Foi por essa remissão, e não por uma declaração de vontade do legislador, que a ANPD se tornou agência reguladora em sentido próprio.

Note, porém, que a lei não abandonou a expressão antiga. Ao longo de todo o texto da LGPD, e no art. 5º, XIX, que a define, continua-se a falar em autoridade nacional. É termo funcional, que designa a competência; "Agência Nacional de Proteção de Dados" é o nome da entidade que a exerce. Quem citar a lei encontrará as duas expressões, e ambas estão corretas nos seus lugares.

A mesma lei criou a Carreira de Regulação e Fiscalização de Proteção de Dados, provida por concurso público, e organizou a agência em seis superintendências. O motivo declarado da mudança foi a nova competência da ANPD sobre o Estatuto Digital da Criança e do Adolescente, cuja vigência a mesma lei fixou em março de 2026, tema do Capítulo 8.

A consequência prática não é pequena, e vale que o aluno perceba a diferença. Um órgão sem personalidade jurídica, sem orçamento próprio e com pessoal cedido de outras pastas depende politicamente de quem o abriga. Uma agência reguladora com quadro concursado e receita própria fiscaliza em outra escala. Foi a mesma discussão que o Capítulo 2 registrou a propósito do modelo regulatório da internet, e que reaparece aqui com desfecho diferente.

O que a ANPD faz. As competências estão no art. 55-J, e as principais são cinco. Zelar pela proteção dos dados pessoais e pela observância dos segredos comercial e industrial. Elaborar diretrizes para a Política Nacional de Proteção de Dados Pessoais e da Privacidade. Editar normas e procedimentos sobre a proteção de dados. Fiscalizar e aplicar sanções, mediante processo administrativo que assegure contraditório, ampla defesa e direito de recurso. E apreciar petições de titulares contra controladores, além de promover na população o conhecimento das normas e políticas de proteção de dados.

Duas competências merecem destaque por seus efeitos sistêmicos. A ANPD delibera sobre a interpretação da lei, o que na prática significa que suas manifestações orientam o mercado inteiro, e não apenas o caso examinado. E a lei estabelece que a competência da ANPD prevalece sobre as demais competências correlatas de outras entidades da administração pública, o que resolve conflitos com reguladores setoriais, como se viu quando bancos, operadoras de saúde e empresas de telecomunicações passaram a responder simultaneamente a mais de uma autoridade.

Ao lado da agência funciona o Conselho Nacional de Proteção de Dados Pessoais e da Privacidade, órgão de natureza consultiva, composto por vinte e três representantes de origens diversas: Poder Executivo federal, Senado, Câmara, Conselho Nacional de Justiça, Conselho Nacional do Ministério Público, Comitê Gestor da Internet, entidades da sociedade civil, instituições científicas, confederações sindicais, setor empresarial e setor laboral. É desenho multissetorial, da mesma família do CGI.br visto no Capítulo 2. Note a diferença de natureza: o Conselho aconselha, a agência decide.

As sanções. O art. 52 lista as sanções administrativas, aplicadas após procedimento com ampla defesa, de forma gradativa, isolada ou cumulativa.

São elas: advertência com prazo para medidas corretivas; multa simples de até 2% do faturamento da pessoa jurídica, grupo ou conglomerado no Brasil no último exercício, excluídos tributos, limitada a R$ 50 milhões por infração; multa diária, observado o mesmo limite; publicização da infração; bloqueio dos dados até a regularização; eliminação dos dados; suspensão parcial do funcionamento do banco de dados por até seis meses, prorrogável; suspensão do exercício da atividade de tratamento pelo mesmo prazo; e proibição parcial ou total do exercício de atividades de tratamento.

Vale reparar que as três últimas são potencialmente mais graves que a multa. Uma empresa cujo modelo de negócio depende de tratar dados e que é proibida de fazê-lo, ainda que parcialmente, enfrenta problema maior que uma multa de valor fixo.

O §1º condiciona a aplicação das sanções a procedimento administrativo que possibilite a oportunidade da ampla defesa, e determina que sejam aplicadas "de forma gradativa, isolada ou cumulativa". Gradativa é palavra importante: a lei não autoriza começar pela sanção mais grave. Em seguida lista onze critérios de dosimetria, e vários deles premiam a conformidade: a boa-fé do infrator, a vantagem auferida, a condição econômica, a reincidência, o grau do dano, a cooperação, a adoção reiterada de mecanismos internos capazes de minimizar o dano, a adoção de política de boas práticas e governança, a pronta adoção de medidas corretivas, e a proporcionalidade entre a gravidade da falta e a intensidade da sanção.

Aqui a lei fecha o círculo aberto no Bloco 1. O princípio da responsabilização e prestação de contas não é retórica: quem consegue demonstrar que tinha programa de governança paga menos, e quem não consegue demonstrar nada paga mais. O art. 50 descreve o conteúdo desse programa, incluindo planos de resposta a incidentes e remediação.

O art. 53 acrescenta uma garantia de método: a metodologia de cálculo do valor-base das multas deve constar de regulamento próprio, submetido a consulta pública. Não é a autoridade que arbitra caso a caso quanto vale cada infração; ela precisa publicar antes o critério e ouvir a sociedade sobre ele. É o regulamento de dosimetria, hoje em vigor. O art. 54 exige que a multa diária observe a gravidade da falta e a extensão do dano, com fundamentação da autoridade.

Vale ainda registrar duas regras de fechamento da lei. O §2º do art. 52 esclarece que as sanções administrativas não substituem sanções civis ou penais previstas em legislação específica, o que confirma o que o Bloco 2 já mostrou: multa da ANPD e indenização a Marina são coisas distintas e cumuláveis. E o art. 64 estabelece que os direitos e princípios da LGPD não excluem outros previstos no ordenamento pátrio, nos tratados internacionais de que o Brasil seja parte, ou na legislação setorial. A LGPD é piso, não teto.

De volta ao caso. Marina tem, e pode exercer sem juiz, os direitos de confirmação, acesso, correção, eliminação e informação sobre compartilhamento, com resposta imediata em formato simplificado ou em até quinze dias na forma completa. Pode exigir do banco as informações sobre os critérios da decisão automatizada, ainda que a lei não lhe garanta revisão por um humano. Pode peticionar à ANPD. E, se o dado de saúde alimentou o escore, tem argumento de não discriminação, além do art. 21.

A clínica, por sua vez, tem um problema de outra ordem. Deveria ter comunicado o incidente em três dias úteis, com seis informações que não prestou. Deveria eliminar a lista de marketing e conservar apenas o que obrigação legal mandar guardar. Deveria conseguir demonstrar um programa de governança que não tem. E terá de responder à autoridade sobre uma transferência internacional que nunca enquadrou em hipótese alguma.

Um último ponto, e ele explica por que este capítulo abriu contando a história pelos dois lados. Nada do que a clínica fez foi má-fé. Foram decisões tomadas por pessoas ocupadas, cada uma parecendo razoável isoladamente, nenhuma passando por quem entendia do assunto. É assim que a maioria das violações de proteção de dados acontece na prática, e é por isso que a lei insiste tanto em documentação, governança e num encarregado que seja consultado antes, e não depois.

6.2.3.4 Marco Normativo

Os direitos. O art. 17 abre o Capítulo III da lei: "toda pessoa natural tem assegurada a titularidade de seus dados pessoais e garantidos os direitos fundamentais de liberdade, de intimidade e de privacidade, nos termos desta Lei".

O art. 18 assegura ao titular o direito de obter do controlador, "a qualquer momento e mediante requisição": confirmação da existência de tratamento (I); acesso aos dados (II); correção de dados incompletos, inexatos ou desatualizados (III); "anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com o disposto nesta Lei" (IV); portabilidade a outro fornecedor, "mediante requisição expressa, de acordo com a regulamentação da autoridade nacional, observados os segredos comercial e industrial" (V); eliminação dos dados tratados com consentimento, ressalvado o art. 16 (VI); "informação das entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados" (VII); informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa (VIII); e revogação do consentimento (IX).

Dos parágrafos, importam o §1º (petição à autoridade nacional), o §2º (oposição ao tratamento fundado em dispensa de consentimento, havendo descumprimento da lei), o §5º (atendimento "sem custos para o titular"), o §6º (dever de informar imediatamente os agentes com quem houve uso compartilhado, para que repitam o procedimento) e o §8º (o direito de petição também perante os órgãos de defesa do consumidor).

O art. 19 fixa a forma e os prazos: formato simplificado, "imediatamente" (I), ou declaração clara e completa, "que indique a origem dos dados, a inexistência de registro, os critérios utilizados e a finalidade do tratamento", no prazo de "até 15 (quinze) dias" (II). O §3º assegura, quando o tratamento tiver origem em consentimento ou contrato, a "cópia eletrônica integral de seus dados pessoais (...) em formato que permita a sua utilização subsequente".

O art. 9º, já citado no Bloco 2, garante o acesso facilitado às informações sobre o tratamento, com sete itens obrigatórios, entre eles "informações acerca do uso compartilhado de dados pelo controlador e a finalidade" (V) e "direitos do titular, com menção explícita aos direitos contidos no art. 18 desta Lei" (VII).

As decisões automatizadas. O art. 20, na redação da Lei 13.853/2019: "o titular dos dados tem direito a solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluídas as decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade". Registre-se, para efeito de interpretação, que a redação originária da Lei 13.709/2018 previa revisão "por pessoa natural", expressão suprimida pela Medida Provisória 869/2018 e não restabelecida; o §3º incluído pela Lei 13.853/2019 foi vetado.

O §1º obriga o controlador a "fornecer, sempre que solicitadas, informações claras e adequadas a respeito dos critérios e dos procedimentos utilizados para a decisão automatizada, observados os segredos comercial e industrial". O §2º autoriza a autoridade nacional a "realizar auditoria para verificação de aspectos discriminatórios em tratamento automatizado de dados pessoais" quando as informações forem negadas com base em segredo comercial.

O art. 21 completa: "os dados pessoais referentes ao exercício regular de direitos pelo titular não podem ser utilizados em seu prejuízo". E o art. 22 assegura que a defesa dos interesses dos titulares "poderá ser exercida em juízo, individual ou coletivamente".

O término. O art. 15 lista as quatro hipóteses de término, e o art. 16 fixa a eliminação como regra, com quatro exceções de conservação, ambos transcritos na Explicação do Tema.

A segurança. O art. 46 impõe as medidas de segurança técnicas e administrativas, e seu §2º determina que sejam "observadas desde a fase de concepção do produto ou do serviço até a sua execução". O art. 47 estende a obrigação a qualquer interveniente, "mesmo após o seu término". O art. 48 impõe a comunicação do incidente "que possa acarretar risco ou dano relevante aos titulares", com os seis itens mínimos do §1º, regulamentado pela Resolução CD/ANPD nº 15, de 24 de abril de 2024, que fixou o prazo de três dias úteis, admitida a complementação em até vinte dias úteis. O art. 49 exige que os sistemas sejam estruturados de forma a atender aos requisitos de segurança, boas práticas, governança e princípios gerais da lei.

O art. 50 descreve as regras de boas práticas e governança, e o §2º, I, detalha o conteúdo mínimo de um programa de governança em privacidade, entre eles a alínea "g", que exige "planos de resposta a incidentes e remediação".

A transferência internacional. O art. 33 lista as nove hipóteses; o art. 34 fixa os critérios de avaliação do nível de proteção do país estrangeiro; o art. 35 atribui à autoridade nacional a definição do conteúdo das cláusulas-padrão contratuais, hoje objeto da Resolução CD/ANPD 19/2024.

A fiscalização. O art. 52 lista as sanções administrativas, com destaque para o inciso II: "multa simples, de até 2% (dois por cento) do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada, no total, a R$ 50.000.000,00 (cinquenta milhões de reais) por infração". Os incisos X a XII, incluídos pela Lei 13.853/2019, preveem a suspensão parcial do funcionamento do banco de dados por até seis meses, a suspensão do exercício da atividade de tratamento e a proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados. O §1º lista os onze critérios de dosimetria. O §3º, oriundo de promulgação de partes vetadas, restringe às entidades e aos órgãos públicos as sanções dos incisos I, IV, V, VI, X, XI e XII, excluídas as multas. O §5º destina o produto das multas ao Fundo de Defesa de Direitos Difusos. E o §6º concretiza a gradação: as sanções dos incisos X a XII só podem ser aplicadas depois de já imposta, para o mesmo caso, ao menos uma das dos incisos II a VI.

O art. 53 exige que a metodologia de cálculo do valor-base das multas conste de "regulamento próprio sobre sanções administrativas a infrações a esta Lei, que deverá ser objeto de consulta pública". O art. 54 exige fundamentação e proporcionalidade na multa diária.

A autoridade. O art. 5º, XIX, na redação da Lei 15.352/2026, define a autoridade nacional como "entidade da administração pública responsável por zelar, implementar e fiscalizar o cumprimento desta Lei em todo o território nacional". O art. 55-A, na redação da mesma lei, cria a "Agência Nacional de Proteção de Dados (ANPD), autarquia de natureza especial vinculada ao Ministério da Justiça e Segurança Pública, dotada de autonomia funcional, técnica, decisória, administrativa e financeira, com patrimônio próprio e com sede e foro no Distrito Federal, nos termos da Lei nº 13.848, de 25 de junho de 2019". A remissão à lei geral das agências reguladoras é o que dá à ANPD, hoje, essa natureza.

O art. 55-J enumera as competências da ANPD, entre elas zelar pela proteção dos dados pessoais, elaborar diretrizes para a Política Nacional de Proteção de Dados Pessoais e da Privacidade, editar normas e procedimentos, fiscalizar e aplicar sanções mediante processo administrativo com contraditório e ampla defesa, apreciar petições de titulares e deliberar sobre a interpretação da lei, com prevalência sobre as competências correlatas de outras entidades da administração pública. Os arts. 58-A e 58-B disciplinam o Conselho Nacional de Proteção de Dados Pessoais e da Privacidade, órgão consultivo de vinte e três representantes.

A Lei 15.352/2026 criou, ainda, a carreira própria de regulação e fiscalização, provida por concurso, e organizou a agência em seis superintendências. É norma recente, e vale conferir os desdobramentos de sua implementação.

Cláusula de abertura. O art. 64 determina que "os direitos e princípios expressos nesta Lei não excluem outros previstos no ordenamento jurídico pátrio relacionados à matéria ou nos tratados internacionais em que a República Federativa do Brasil seja parte". A LGPD convive com o Marco Civil, o Código de Defesa do Consumidor e a legislação setorial, e não os revoga.

6.2.3.5 Jurisprudência ou Regulação em Ação

O tratamento de "mero aborrecimento" e a hipervulnerabilidade do titular. Há uma disputa em curso nos tribunais brasileiros que interessa diretamente a Marina, e que o aluno deve conhecer porque ela decide se a LGPD tem consequência prática ou não.

Boa parte da jurisprudência sobre vazamento de dados aplica ao tema uma categoria construída para outro contexto: a distinção entre dano moral indenizável e "mero aborrecimento". O raciocínio é que o vazamento de dados não sensíveis, como nome, telefone ou endereço, não gera sofrimento suficiente para caracterizar dano moral, sobretudo quando o titular não demonstra prejuízo concreto. Nessa linha, entre outros, TJSP, Apelação 1027017-91.2024.8.26.0506, e TJRS, Apelação 5281887-35.2024.8.21.0001, ambos de 2024.

Parte da doutrina critica esse enquadramento, e a crítica se apoia na tese da hipervulnerabilidade do consumidor-titular de dados, associada a Cláudia Lima Marques. O argumento é que o titular não tem como saber o que foi feito de seus dados, nem como medir o risco a que ficou exposto, nem como produzir prova de um dano que se materializa muito depois, em forma de fraude, golpe ou negativa de crédito. Exigir dele a demonstração de sofrimento concreto seria transferir ao mais fraco um ônus que ele estruturalmente não tem como cumprir.

Repare que o REsp 2.147.374/SP, visto no Bloco 2, aponta em direção diferente: ao trabalhar com a "expectativa de legítima proteção" e ao rejeitar a excludente de culpa exclusiva de terceiro, o STJ desloca a discussão do sofrimento do titular para a conduta do agente. O tema segue em aberto, e vale acompanhar.

Para o caso deste capítulo, há uma distinção que muda tudo. Os dados de Marina são sensíveis, de saúde mental, e não dados cadastrais comuns. Mesmo os tribunais que tratam vazamentos cadastrais como mero aborrecimento tendem a decidir diferente quando o dado exposto revela condição de saúde, orientação sexual, convicção religiosa ou opinião política. Foi para isso que a lei criou uma categoria especial.

As prioridades declaradas da fiscalização. Vale registrar, como retrato do momento, que ao fim de 2025 a ANPD publicou o Mapa de Temas Prioritários para o biênio 2026-2027 e atualizou sua Agenda Regulatória. O documento é anterior à transformação da autoridade em agência, e não consequência dela.

São quatro os temas eleitos: direitos dos titulares; proteção de crianças e adolescentes no ambiente digital; tratamento de dados pessoais pelo Poder Público; e inteligência artificial e tecnologias emergentes. Dentro do primeiro, a autoridade anunciou enfoque especial no tratamento de dados biométricos, de saúde e financeiros e no uso de dados para publicidade comercial direcionada.

Repare em duas coisas. A primeira é que o enfoque em dados de saúde alcança exatamente o caso da Clínica Bem-Estar Digital. A segunda é mais interessante: o Poder Público figura entre as quatro prioridades de fiscalização de uma autoridade que, como se viu no Bloco 2, não pode multá-lo. Fiscalizar sem poder multar é possível, e produz efeitos, mas convém ao estudante notar a diferença de instrumentos.

Prioridades e números mudam com rapidez, e é sempre recomendável conferir a informação mais atual no sítio da própria autoridade.

6.3 Crítica Jurídica

A LGPD é, entre as leis estudadas até aqui, a mais generosa com o cidadão. Ela dá a Marina um feixe de direitos que nenhuma norma anterior lhe dava: saber o que existe sobre ela, exigir correção, pedir portabilidade, revogar o que autorizou, obrigar a apagar. Dá tudo isso de graça, sem advogado e sem juiz. E impõe deveres que custam caro a quem trata dados. Seria injusto dirigir a ela o mesmo ceticismo que os capítulos anteriores dirigiram ao Marco Civil. O problema desta lei não está no que ela promete. Está no mundo para o qual foi desenhada.

O direito de proteção de dados nasceu de uma preocupação precisa, e a preocupação era o arquivo. Cadastros, fichas, prontuários, registros funcionais. A pergunta original era quem guarda um documento a seu respeito, o que esse documento afirma, e o que a pessoa pode fazer para corrigi-lo ou apagá-lo. Toda a arquitetura da LGPD responde a essa pergunta, e responde bem. Ela funciona muito bem para o caderno da portaria, para o prontuário do consultório, para a planilha de moradores do condomínio. São dados operacionais: existem para viabilizar uma atividade determinada e não valem quase nada fora dela.

Ocorre que o dado deixou de ser isso. Nas maiores empresas do mundo, ele não é o registro de uma pessoa; é matéria-prima de previsão sobre milhões. O que interessa não é o que consta da ficha de Marina, e sim o padrão extraído de milhões de fichas, capaz de antecipar o que ela fará e, mais que isso, de induzir o que ela fará. O Capítulo 3 mostrou o mecanismo funcionando quando o algoritmo escolheu quem veria o vídeo de Pedro, e o Capítulo 4 mostrou o resultado. É esse deslocamento, do dado como registro ao dado como capital, que o Capítulo 1 apresenta sob os nomes de capitalismo de plataforma e capitalismo de dados, e é ele que muda a natureza do problema jurídico.

Ora, a lei foi construída para o primeiro desses mundos e aplicada ao segundo. Repare em três consequências. A primeira: os direitos do titular são individuais, e o dano é coletivo. Marina pode mandar apagar tudo o que a clínica tem sobre ela, e isso não retira uma linha do modelo que os dados dela ajudaram a calibrar, nem altera em nada a posição de quem opera esse modelo. Um direito cujo exercício integral não muda coisa alguma na estrutura que o motivou é um direito confortavelmente concedido. A segunda: a lei se retira exatamente onde o poder começa. Dado anonimizado não é dado pessoal, diz o art. 12, e a inferência estatística construída sobre ele pertence, sem discussão, a quem a construiu. O valor está no agregado; a proteção está no individual. A terceira: o consentimento pressupõe alguém informado calculando o que troca, quando o modelo de negócio depende precisamente de que esse cálculo seja impraticável. Marina marcou "Li e aceito" como quase todo mundo marca, e a resposta da lei a isso é exigir que a cláusula esteja destacada das demais. É uma regra de diagramação diante de uma indústria de engenharia da atenção.

Um detalhe do art. 52 ilustra a desproporção melhor que qualquer argumento. A multa é de até 2% do faturamento no Brasil, o que seria sanção genuinamente proporcional, já que cresce com o tamanho de quem infringe. Mas o mesmo inciso a limita a cinquenta milhões de reais por infração. Para a imensa maioria das empresas brasileiras, o teto jamais é alcançado e o que vale é o percentual. Para as poucas companhias cujo faturamento tornaria 2% uma cifra capaz de alterar decisões de negócio, o teto converte a sanção em despesa previsível, orçável com antecedência. Curiosamente, o dispositivo que parecia o mais severo da lei é o único que se torna mais brando à medida que a empresa cresce.

Há ainda uma assimetria que o Bloco 2 registrou e que merece ser dita aqui com todas as letras. O maior controlador de dados pessoais do país é o Estado, e é o único a quem a lei não permite multar: o art. 52, §3º, lista as sanções aplicáveis a órgãos e entidades públicas e deixa de fora, exatamente, as duas espécies de multa. Coerentemente, a autoridade elegeu o tratamento de dados pelo Poder Público entre suas quatro prioridades de fiscalização para o biênio, o que a coloca na posição de fiscalizar com afinco aquilo que não pode punir no bolso. Não se trata de imaginar má-fé na construção do dispositivo, que tem razões orçamentárias óbvias, e sim de notar que a sanção pecuniária, apresentada como o instrumento central da lei, some justamente diante do maior de seus destinatários.

Nada disso desqualifica a LGPD, e convém não confundir insuficiência com inutilidade. A lei disciplina com rigor quem guarda o arquivo, e o país está melhor com ela do que estaria sem ela: a clínica de Marina responde hoje por condutas pelas quais não responderia dez anos atrás, e a autoridade que a fiscaliza deixou de ser um órgão sem orçamento para se tornar agência reguladora, com carreira própria e patrimônio. Mas disciplinar quem guarda o arquivo e disciplinar quem detém a capacidade de prever e induzir comportamento são tarefas distintas, e apenas a primeira foi enfrentada. Marina ganhou o direito de acompanhar seu dado até a saída. Não ganhou nada sobre o que se aprendeu com ele. O Capítulo 13 retoma o ponto pelo ângulo da inteligência artificial, que é o nome atual dessa capacidade.

<!DOCTYPE html>
<html lang="pt-BR">
<head>
<meta charset="utf-8">
<meta name="viewport" content="width=device-width, initial-scale=1">
<title>Elementos visuais — Capítulo 6 | Manual de Direito Digital</title>

<!-- ============================================================
     BLOCO A — BASE COMPARTILHADA
     Já publicada. NÃO repetir no site: está aqui apenas para que
     este arquivo possa ser aberto sozinho, para conferência.
     ============================================================ -->
<style>
:root{
  --dl-navy:#1e3a5f; --dl-indigo:#3f3a6b; --dl-ink:#2b3340; --dl-muted:#5c6675;
  --dl-line:#dfdfe7; --dl-card:#ffffff; --dl-soft:#f5f5f9;
  --dl-accent:#22a147; --dl-accent-soft:#e6f4ea;
  --dl-teal:#0f6b6b; --dl-teal-soft:#e8f2f2;
  --dl-coral:#b04a45; --dl-coral-soft:#f9edec;
  --dl-amber:#9a6b16; --dl-amber-soft:#faf2e3;
  --dl-purple:#5a4a8a; --dl-purple-soft:#efecf7;
  --dl-radius:14px; --dl-radius-sm:9px;
}
.dl{font-family:inherit;color:var(--dl-ink);background:var(--dl-card);
  border:1px solid var(--dl-line);border-radius:var(--dl-radius);
  padding:1.9rem 1.7rem;margin:2.6rem 0;line-height:1.55;
  box-shadow:0 1px 2px rgba(30,58,95,.05)}
.dl *{box-sizing:border-box}
.dl-kicker{font-family:ui-sans-serif,system-ui,-apple-system,"Segoe UI",sans-serif;
  font-size:.68rem;font-weight:700;letter-spacing:.13em;text-transform:uppercase;
  color:var(--dl-accent);margin:0 0 .35rem;display:flex;align-items:center;gap:.45rem}
.dl-kicker::before{content:"";width:.42rem;height:.42rem;border-radius:2px;background:var(--dl-accent);flex:none}
.dl-title{font-family:ui-sans-serif,system-ui,-apple-system,"Segoe UI",sans-serif;
  font-size:1.22rem;font-weight:700;line-height:1.25;margin:0 0 .5rem;color:var(--dl-navy)}
.dl-lede{font-size:.95rem;color:var(--dl-muted);margin:0 0 1.4rem;max-width:62ch}
.dl-foot{margin:1.5rem 0 0;padding-top:1rem;border-top:1px solid var(--dl-line);
  font-size:.87rem;color:var(--dl-muted)}
.dl-foot strong{color:var(--dl-ink)}
.dl-card{background:var(--dl-soft);border:1px solid var(--dl-line);
  border-radius:var(--dl-radius-sm);padding:.95rem 1rem}
.dl-card h4{font-family:ui-sans-serif,system-ui,sans-serif;font-size:.82rem;font-weight:700;margin:0 0 .35rem}
.dl-card p{margin:0;font-size:.88rem;color:var(--dl-muted)}
.dl-tag{display:inline-block;font-family:ui-sans-serif,system-ui,sans-serif;
  font-size:.66rem;font-weight:700;letter-spacing:.08em;text-transform:uppercase;
  padding:.2rem .5rem;border-radius:99px;margin-bottom:.5rem}
.t-teal{background:var(--dl-teal-soft);color:var(--dl-teal)}
.t-coral{background:var(--dl-coral-soft);color:var(--dl-coral)}
.t-amber{background:var(--dl-amber-soft);color:var(--dl-amber)}
.t-purple{background:var(--dl-purple-soft);color:var(--dl-purple)}
.t-navy{background:#e9eef4;color:var(--dl-navy)}
.t-green{background:var(--dl-accent-soft);color:#17743a}
.dl-g2{display:grid;grid-template-columns:1fr 1fr;gap:.85rem}
.dl-g3{display:grid;grid-template-columns:repeat(3,1fr);gap:.85rem}
.dl-g4{display:grid;grid-template-columns:repeat(4,1fr);gap:.7rem}
@media(max-width:760px){.dl-g2,.dl-g3,.dl-g4{grid-template-columns:1fr}}
.dl-band{background:linear-gradient(135deg,var(--dl-navy),var(--dl-indigo));color:#fff;
  border-radius:var(--dl-radius-sm);padding:1rem 1.15rem}
.dl-band .k{font-family:ui-sans-serif,system-ui,sans-serif;font-size:.66rem;font-weight:700;
  letter-spacing:.12em;text-transform:uppercase;opacity:.75;display:block;margin-bottom:.25rem}
.dl-band .v{font-size:1rem;font-weight:600;line-height:1.4}
.dl-arw{text-align:center;color:var(--dl-muted);font-size:1.1rem;line-height:1;margin:.35rem 0}
.dl-note{margin-top:.9rem;background:var(--dl-amber-soft);border:1px solid #ecdcb8;
  border-left:4px solid var(--dl-amber);border-radius:var(--dl-radius-sm);
  padding:.8rem .95rem;font-size:.88rem;color:#6d4b0d}
.dl-alert{margin-top:.9rem;background:var(--dl-coral-soft);border:1px solid #ecd3d1;
  border-left:4px solid var(--dl-coral);border-radius:var(--dl-radius-sm);
  padding:.8rem .95rem;font-size:.88rem;color:#8d332f}
</style>

<!-- ============================================================
     BLOCO B — ACRÉSCIMO DO CAPÍTULO 6
     Colar UMA VEZ no site, depois da folha já publicada.
     ============================================================ -->
<style>
/* princípios por função (6.2.1) */
.dl-fx{display:grid;grid-template-columns:repeat(5,1fr);gap:.6rem;align-items:stretch}
@media(max-width:900px){.dl-fx{grid-template-columns:repeat(2,1fr)}}
@media(max-width:560px){.dl-fx{grid-template-columns:1fr}}
.dl-fx .col{border:1.5px solid var(--dl-line);border-radius:var(--dl-radius-sm);
  padding:.7rem .75rem;background:var(--dl-soft);display:flex;flex-direction:column;gap:.45rem}
.dl-fx .col > .h{font-family:ui-sans-serif,system-ui,sans-serif;font-size:.66rem;font-weight:800;
  letter-spacing:.07em;text-transform:uppercase;color:var(--dl-navy);margin:0}
.dl-fx .col .p{background:#fff;border:1px solid var(--dl-line);border-radius:6px;
  padding:.45rem .55rem;font-size:.82rem}
.dl-fx .col .p b{display:block;color:var(--dl-navy);font-size:.84rem}
.dl-fx .col .p span{color:var(--dl-muted);font-size:.78rem}
.dl-fx .col .nt{margin-top:auto;font-size:.75rem;font-style:italic;color:var(--dl-muted);line-height:1.35}
.dl-fx .c1,.dl-fx .c2{background:var(--dl-teal-soft);border-color:#cfe3e3}
.dl-fx .c1 > .h,.dl-fx .c2 > .h{color:var(--dl-teal)}
.dl-fx .c3{background:var(--dl-coral-soft);border-color:#e5c3c1}
.dl-fx .c3 > .h{color:var(--dl-coral)}
.dl-fx .c4,.dl-fx .c5{background:var(--dl-amber-soft);border-color:#ecdcb8}
.dl-fx .c4 > .h,.dl-fx .c5 > .h{color:var(--dl-amber)}
.dl-strip{border-radius:var(--dl-radius-sm);padding:.7rem .95rem;font-size:.88rem}
.dl-strip.top{background:#e9eef4;border:1px solid #cfdae6;color:var(--dl-navy);margin-bottom:.6rem}
.dl-strip.bot{background:var(--dl-purple-soft);border:1px solid #d8d2ec;color:#453770;margin-top:.6rem}
.dl-strip b{font-family:ui-sans-serif,system-ui,sans-serif}

/* duas camadas com divisor (6.2.2) */
.dl-lay{display:grid;gap:0}
.dl-lay .up,.dl-lay .dn{border:1.5px solid var(--dl-line);border-radius:var(--dl-radius-sm);padding:.9rem 1rem}
.dl-lay .up{background:var(--dl-teal-soft);border-color:#cfe3e3}
.dl-lay .dn{background:var(--dl-coral-soft);border-color:#e5c3c1}
.dl-lay .hh{font-family:ui-sans-serif,system-ui,sans-serif;font-size:.7rem;font-weight:800;
  letter-spacing:.08em;text-transform:uppercase;margin:0 0 .6rem}
.dl-lay .up .hh{color:var(--dl-teal)}
.dl-lay .dn .hh{color:var(--dl-coral)}
.dl-lay .div{margin:.7rem 0;text-align:center;font-family:ui-sans-serif,system-ui,sans-serif;
  font-size:.8rem;font-weight:800;color:#8d332f;background:#fff;border:2px solid var(--dl-coral);
  border-radius:99px;padding:.5rem .8rem}
.dl-gset{display:grid;grid-template-columns:repeat(4,1fr);gap:.55rem}
@media(max-width:860px){.dl-gset{grid-template-columns:repeat(2,1fr)}}
@media(max-width:520px){.dl-gset{grid-template-columns:1fr}}
.dl-gset .s{background:#fff;border:1px solid #cfe3e3;border-radius:6px;padding:.5rem .6rem}
.dl-gset .s h5{font-family:ui-sans-serif,system-ui,sans-serif;font-size:.64rem;font-weight:800;
  letter-spacing:.06em;text-transform:uppercase;color:var(--dl-teal);margin:0 0 .3rem}
.dl-gset .s p{margin:0;font-size:.8rem;color:var(--dl-muted);line-height:1.4}
.dl-gset .s.hl{border:2px solid var(--dl-teal);background:#f2f9f9}

/* ciclo de vida com dois trilhos (6.2.3) */
.dl-cyc{display:grid;grid-template-columns:repeat(5,1fr);gap:.5rem}
@media(max-width:900px){.dl-cyc{grid-template-columns:1fr}}
.dl-cyc .st{display:flex;flex-direction:column;gap:.4rem}
.dl-cyc .st .mk{font-family:ui-sans-serif,system-ui,sans-serif;font-size:.72rem;font-weight:800;
  letter-spacing:.05em;text-transform:uppercase;color:#fff;background:var(--dl-navy);
  border-radius:6px;padding:.4rem .5rem;text-align:center}
.dl-cyc .st .tr{border-radius:6px;padding:.5rem .6rem;font-size:.79rem;line-height:1.4;flex:1}
.dl-cyc .st .tr.a{background:var(--dl-teal-soft);border:1px solid #cfe3e3;color:#0d4f4f}
.dl-cyc .st .tr.b{background:var(--dl-amber-soft);border:1px solid #ecdcb8;color:#6d4b0d}
.dl-cyc .st .tr b{display:block;font-family:ui-sans-serif,system-ui,sans-serif;font-size:.62rem;
  letter-spacing:.07em;text-transform:uppercase;opacity:.8;margin-bottom:.15rem}

/* linha do tempo institucional (6.2.3) */
.dl-tl{display:grid;gap:.45rem}
.dl-tl .ev{display:grid;grid-template-columns:5.6rem 1fr;gap:.8rem;align-items:start;
  background:var(--dl-soft);border:1px solid var(--dl-line);border-left:4px solid var(--dl-navy);
  border-radius:var(--dl-radius-sm);padding:.65rem .85rem}
.dl-tl .ev .y{font-family:ui-sans-serif,system-ui,sans-serif;font-size:.78rem;font-weight:800;color:var(--dl-navy)}
.dl-tl .ev p{margin:0;font-size:.86rem;color:var(--dl-muted)}
.dl-tl .ev p b{color:var(--dl-ink)}
.dl-tl .ev.now{background:var(--dl-accent-soft);border-color:#c6e6d1;border-left-color:var(--dl-accent)}
.dl-tl .ev.now p{color:#17743a}
.dl-tl .ev.now p b{color:#12653a}

/* escala de sanções (6.2.3) */
.dl-sc{display:grid;gap:.4rem}
.dl-sc .lv{display:grid;grid-template-columns:1.9rem 1fr;gap:.7rem;align-items:center;
  border:1px solid var(--dl-line);border-radius:6px;padding:.55rem .75rem;font-size:.85rem}
.dl-sc .lv .n{font-family:ui-sans-serif,system-ui,sans-serif;font-weight:800;font-size:.8rem;
  text-align:center;color:var(--dl-navy)}
.dl-sc .lv.g1{background:#f4f8f4}
.dl-sc .lv.g2{background:var(--dl-amber-soft);border-color:#ecdcb8}
.dl-sc .lv.g3{background:var(--dl-coral-soft);border-color:#e5c3c1}
</style>
</head>

<body style="max-width:860px;margin:0 auto;padding:2rem 1.2rem;font-family:Georgia,'Times New Roman',serif;background:#f0f0f4">

<!-- E1 — CASO CONCRETO (6.1) -->
<section class="dl">
  <p class="dl-kicker">6.1 · Caso concreto</p>
  <h3 class="dl-title">A mesma história, contada dos dois lados do balcão</h3>
  <p class="dl-lede">Marina procura terapia on-line depois do que viveu nos capítulos anteriores. Preenche um cadastro longo, responde a um questionário de triagem e marca uma caixa única com a frase "Li e aceito". Meses depois, três coisas acontecem — e cada uma delas foi, do outro lado, uma decisão que alguém tomou.</p>

  <div class="dl-g2">
    <div class="dl-card"><span class="dl-tag t-teal">O lado de Marina</span><h4>Três fatos e três perguntas</h4><p>Anúncios de ansiolíticos passam a segui-la em sites que nada têm a ver com a clínica. Um e-mail comunica "incidente de segurança", sem dizer quais dados, por quanto tempo, nem quantas pessoas. E o banco nega seu crédito em poucos segundos, sem que ninguém olhe o caso. Ela quer <strong>saber</strong> o que a clínica tem, <strong>corrigir</strong> o que estiver errado e <strong>apagar</strong> o resto.</p></div>
    <div class="dl-card"><span class="dl-tag t-coral">O lado da clínica</span><h4>Quatro decisões sem registro</h4><p>Alguém escolheu as perguntas do questionário sem anotar para que serviria cada resposta. Alguém juntou termos de uso e política de privacidade numa caixa só, porque duas caixas reduziam as conversões. Alguém contratou nuvem sem cláusula sobre segurança. Alguém mandou a lista de pacientes a uma agência de publicidade.</p></div>
  </div>

  <div class="dl-band" style="margin-top:.9rem">
    <span class="k">A pergunta que a encarregada não sabe responder</span>
    <span class="v">A clínica tem uma encarregada, contratada dois anos antes para "resolver a questão da LGPD", que nunca foi consultada sobre nenhuma dessas decisões. Agora tem poucos dias para comunicar o incidente e precisa responder ao que ninguém perguntou antes: com que base, exatamente, se tratou o histórico de saúde de uma paciente?</span>
  </div>

  <p class="dl-foot"><strong>Nada disso foi má-fé.</strong> Foram decisões tomadas por pessoas ocupadas, cada uma parecendo razoável isoladamente, nenhuma passando por quem entendia do assunto. É assim que a maioria das violações acontece — e é por isso que a lei insiste tanto em documentação, governança e num encarregado consultado antes, e não depois.</p>
</section>

<!-- E2 — DOIS PARES QUE SE CONFUNDEM (6.2.1.2) -->
<section class="dl">
  <p class="dl-kicker">6.2.1 · Bloco 1 · Vocabulário</p>
  <h3 class="dl-title">Dois pares que se confundem, e a diferença entre eles decide casos</h3>
  <p class="dl-lede">O primeiro par separa este capítulo do anterior. O segundo separa quem sai da lei de quem apenas se protege melhor dentro dela.</p>

  <div class="dl-g2">
    <div class="dl-card"><span class="dl-tag t-navy">Capítulo 5</span><h4>Privacidade</h4><p>É o direito de <strong>não ser exposto</strong> — de não ter revelado aquilo que se escolheu não mostrar. Quando Marina preencheu o questionário de triagem, ninguém invadiu a privacidade dela.</p></div>
    <div class="dl-card"><span class="dl-tag t-teal">Capítulo 6</span><h4>Autodeterminação informativa</h4><p>É o direito de <strong>continuar mandando</strong> na informação sobre si mesmo depois que ela saiu das próprias mãos. É o resíduo de poder que sobrevive à entrega voluntária, e é ele que permite a Marina exigir, meses depois, saber o que se fez com aquele dado.</p></div>
  </div>

  <div class="dl-g2" style="margin-top:.9rem">
    <div class="dl-card" style="border-left:4px solid var(--dl-accent)"><span class="dl-tag t-green">Sai da LGPD</span><h4>Dado anonimizado</h4><p>Perdeu a possibilidade de associação a uma pessoa, considerados meios técnicos razoáveis e disponíveis. Deixa de ser dado pessoal (art. 12). <strong>A armadilha:</strong> se a reversão for possível com meios próprios ou esforços razoáveis, a anonimização não valeu, e a lei inteira volta a incidir.</p></div>
    <div class="dl-card" style="border-left:4px solid var(--dl-coral)"><span class="dl-tag t-coral">Continua na LGPD</span><h4>Dado pseudonimizado</h4><p>Perdeu a associação <em>exceto</em> por informação adicional guardada separadamente pelo controlador (art. 13, §4º). Como a reversão é possível para quem tem a chave, o titular continua identificável. <strong>É medida de segurança, não porta de saída.</strong></p></div>
  </div>

  <div class="dl-note"><b>O teste prático.</b> Se um dado, cruzado com outro, leva a uma pessoa, ele é dado pessoal. O número de matrícula de Marina na clínica, sozinho, não diz nada a ninguém. Cruzado com a lista de pacientes, diz tudo.</div>
</section>

<!-- E3 — OS DEZ PRINCÍPIOS POR FUNÇÃO (6.2.1.3) -->
<section class="dl">
  <p class="dl-kicker">6.2.1 · Bloco 1 · Explicação do tema</p>
  <h3 class="dl-title">Os dez princípios do art. 6º, agrupados por função</h3>
  <p class="dl-lede">Decorar dez itens soltos não ensina nada. Eles se organizam em cinco funções — e uma décima peça, de outra natureza, exige a prova de todas as demais.</p>

  <div class="dl-strip top"><b>Boa-fé</b> — art. 6º, <i>caput</i>. Incide sobre todos os princípios abaixo.</div>

  <div class="dl-fx">
    <div class="col c1">
      <p class="h">Limitam para quê</p>
      <div class="p"><b>Finalidade</b><span>propósito legítimo, específico, explícito e informado</span></div>
      <div class="p"><b>Adequação</b><span>compatível com a finalidade informada</span></div>
      <p class="nt">Usar o dado de saúde de Marina em campanha publicitária viola aqui.</p>
    </div>
    <div class="col c2">
      <p class="h">Limita quanto</p>
      <div class="p"><b>Necessidade</b><span>mínimo necessário; dados pertinentes, proporcionais e não excessivos</span></div>
      <p class="nt">A pergunta que não serve ao atendimento não deveria estar no formulário — ainda que respondida de bom grado.</p>
    </div>
    <div class="col c3">
      <p class="h">Dão poder ao titular</p>
      <div class="p"><b>Livre acesso</b><span>consulta facilitada e gratuita</span></div>
      <div class="p"><b>Qualidade</b><span>exatidão, clareza, relevância, atualização</span></div>
      <div class="p"><b>Transparência</b><span>informação clara, precisa e acessível</span></div>
      <p class="nt">Marina pergunta e não obtém resposta clara: os três já foram descumpridos.</p>
    </div>
    <div class="col c4">
      <p class="h">Impõem conduta ao agente</p>
      <div class="p"><b>Segurança</b><span>medidas técnicas e administrativas</span></div>
      <div class="p"><b>Prevenção</b><span>evitar que o dano ocorra</span></div>
      <p class="nt">Base sensível exposta na internet é prova direta de que nenhum dos dois foi observado.</p>
    </div>
    <div class="col c5">
      <p class="h">Limita o resultado</p>
      <div class="p"><b>Não discriminação</b><span>vedado o tratamento para fins discriminatórios ilícitos ou abusivos</span></div>
      <p class="nt">O crédito negado de Marina começa a ser discutido aqui — ver Bloco 3.</p>
    </div>
  </div>

  <div class="dl-strip bot"><b>Responsabilização e prestação de contas</b> — demonstrar, com provas, que todos os princípios acima foram cumpridos, <i>e</i> que as medidas foram eficazes. Não basta cumprir: é preciso provar que cumpriu.</div>

  <p class="dl-foot"><strong>Os dez valem sempre.</strong> Qualquer que seja a base legal invocada no art. 7º, nenhum deles é dispensado. Ter autorização para tratar não é ter licença para tratar de qualquer jeito.</p>
</section>

<!-- E4 — ÂMBITO DE APLICAÇÃO (6.2.1.3) -->
<section class="dl">
  <p class="dl-kicker">6.2.1 · Bloco 1 · Explicação do tema</p>
  <h3 class="dl-title">Sobre o que a lei incide — e as quatro portas que não levam a lugar nenhum</h3>
  <p class="dl-lede">O aluno costuma subestimar o alcance da LGPD. Ele tem três dimensões, e as exceções são mais estreitas do que parecem à primeira leitura.</p>

  <div class="dl-g3">
    <div class="dl-card"><span class="dl-tag t-teal">Quem</span><h4>Qualquer um</h4><p>Pessoa natural ou jurídica, de direito público ou privado. Não é lei de empresas de tecnologia, nem sequer de empresas: alcança o hospital, a escola, o escritório, o condomínio e a prefeitura.</p></div>
    <div class="dl-card"><span class="dl-tag t-teal">Por qual meio</span><h4>Qualquer um</h4><p>O art. 1º diz "inclusive nos meios digitais", e a palavra faz trabalho pesado. O fichário de papel da recepção e o caderno do porteiro estão dentro. <strong>O que a lei regula é a operação, não a tecnologia.</strong></p></div>
    <div class="dl-card"><span class="dl-tag t-teal">Onde</span><h4>Independe do servidor</h4><p>Art. 3º: aplica-se "independentemente do meio, do país de sua sede ou do país onde estejam localizados os dados". Bastam, alternativamente, tratamento no Brasil, oferta a pessoas aqui localizadas ou coleta em território nacional.</p></div>
  </div>

  <div class="dl-note" style="margin-top:1rem"><b>O erro mais comum sobre o art. 4º, I.</b> A exceção do tratamento por pessoa natural exige dois requisitos <b>cumulativos</b>: fins <b>exclusivamente particulares</b> <i>e</i> <b>não econômicos</b>. "Particular" não quer dizer "por conta própria" nem "sem empresa por trás" — quer dizer doméstico. O álbum de família está fora da lei; a planilha de moradores que o síndico voluntário mantém, não. <b>Não ganhar dinheiro com o tratamento não coloca ninguém fora da LGPD.</b></div>

  <div class="dl-g4" style="margin-top:.9rem">
    <div class="dl-card"><h4>Jornalístico, artístico, acadêmico</h4><p>Só se os fins forem <strong>exclusivamente</strong> esses. E a acadêmica é exceção <em>parcial</em>: continuam a incidir os arts. 7º e 11.</p></div>
    <div class="dl-card"><h4>Segurança pública e penal</h4><p>Remetida a legislação específica, <strong>ainda não editada</strong>. Zona cinzenta que o Capítulo 5 já tangenciou.</p></div>
    <div class="dl-card"><h4>Dado em trânsito</h4><p>Proveniente do exterior, sem uso compartilhado aqui e sem nova transferência, desde que o país de origem ofereça proteção adequada.</p></div>
    <div class="dl-card"><h4>Dado anonimizado</h4><p>Porta que está fora do art. 4º: o art. 12 o exclui do conceito de dado pessoal — <strong>salvo se a anonimização puder ser revertida</strong>.</p></div>
  </div>
</section>

<!-- E5 — ADI 6387 (6.2.1.5) -->
<section class="dl">
  <p class="dl-kicker">6.2.1 · Bloco 1 · Jurisprudência</p>
  <h3 class="dl-title">Quando o Supremo escreveu a emenda antes da emenda</h3>
  <p class="dl-lede">Em março de 2020, no início da pandemia, a MP 954 obrigou as empresas de telefonia a entregar ao IBGE nome, telefone e endereço de todos os seus consumidores, para produzir estatísticas oficiais enquanto os recenseadores não podiam ir a campo.</p>

  <div class="dl-tl">
    <div class="ev"><span class="y">Mar/2020</span><p><b>MP 954/2020.</b> Entrega compulsória da base de assinantes de telefonia fixa e móvel ao IBGE.</p></div>
    <div class="ev"><span class="y">Abr/2020</span><p><b>Cautelar monocrática.</b> A Ministra <b>Rosa Weber</b> suspende a eficácia da medida provisória.</p></div>
    <div class="ev"><span class="y">7/5/2020</span><p><b>Plenário referenda, por 10 votos a 1</b>, vencido o Ministro Marco Aurélio. Cinco ações julgadas em conjunto: <b>ADI 6387</b> (OAB), 6388 (PSDB), 6389 (PSB), 6390 (PSOL) e 6393 (PCdoB).</p></div>
    <div class="ev now"><span class="y">2022</span><p><b>EC 115</b> inscreve na Constituição, no art. 5º, LXXIX, o direito à proteção dos dados pessoais — dois anos depois de o Tribunal já o ter reconhecido.</p></div>
  </div>

  <div class="dl-g3" style="margin-top:.9rem">
    <div class="dl-card"><h4>Não delimitava o objeto</h4><p>Nem a finalidade do compartilhamento.</p></div>
    <div class="dl-card"><h4>Não dizia por quanto tempo</h4><p>Os dados ficariam com o IBGE por prazo indeterminado.</p></div>
    <div class="dl-card"><h4>Não protegia contra desvio</h4><p>Nenhum mecanismo contra acesso indevido ou uso para outra finalidade.</p></div>
  </div>

  <p class="dl-foot"><strong>Repare no que faltava.</strong> Exatamente as garantias que os princípios do art. 6º exigem: finalidade específica, necessidade, transparência e segurança. E note a consequência para este capítulo: se o Estado, invocando emergência sanitária nacional, não pôde receber nome, telefone e endereço sem essas balizas, uma clínica particular certamente não pode tratar histórico de saúde mental com menos cuidado do que isso.</p>
</section>

<!-- E6 — QUEM É QUEM (6.2.2.2) -->
<section class="dl">
  <p class="dl-kicker">6.2.2 · Bloco 2 · Vocabulário</p>
  <h3 class="dl-title">Quem é quem, e por que a qualificação não depende do tamanho</h3>
  <p class="dl-lede">A palavra-chave é <strong>decisão</strong>. Controlador não é quem tem o dado na mão: é quem define por que ele será tratado, para quê e como.</p>

  <div class="dl-g3">
    <div class="dl-card" style="border-left:4px solid var(--dl-teal)"><span class="dl-tag t-teal">Decide</span><h4>Controlador</h4><p>A quem competem as decisões referentes ao tratamento. <strong>A clínica:</strong> escolheu as perguntas, o prazo de guarda e o envio da lista à agência. É sobre ele que recai o grosso dos deveres.</p></div>
    <div class="dl-card" style="border-left:4px solid var(--dl-coral)"><span class="dl-tag t-coral">Executa</span><h4>Operador</h4><p>Realiza o tratamento <strong>em nome do</strong> controlador. <strong>A empresa de nuvem:</strong> armazena, mas não escolheu coletar nem definiu a finalidade. Tem deveres próprios de segurança e sigilo.</p></div>
    <div class="dl-card" style="border-left:4px solid var(--dl-amber)"><span class="dl-tag t-amber">Faz a ponte</span><h4>Encarregado</h4><p>Canal entre controlador, operador, titulares e a autoridade. Contato deve ser <strong>divulgado publicamente</strong>. Uma de suas quatro atribuições é <em>orientar os funcionários</em> — cargo de prevenção, não de resposta a crise.</p></div>
  </div>

  <div class="dl-alert"><b>O erro que decide casos.</b> A qualificação não depende do tamanho da empresa nem do que está escrito no contrato, e sim de quem, de fato, toma as decisões. <b>Uma multinacional de tecnologia pode ser operadora de uma clínica pequena.</b></div>

  <div class="dl-note"><b>A metade esquecida do art. 39.</b> O operador segue as instruções do controlador, "que <b>verificará</b> a observância das próprias instruções e das normas sobre a matéria". Contratar um bom fornecedor e nunca mais olhar não é conformidade.</div>
</section>

<!-- E7 — AS BASES LEGAIS E A LINHA QUE AS SEPARA (6.2.2.3) -->
<section class="dl">
  <p class="dl-kicker">6.2.2 · Bloco 2 · Explicação do tema</p>
  <h3 class="dl-title">A regra de ouro, e a linha que a maioria não vê</h3>
  <p class="dl-lede">Todo tratamento só pode acontecer se couber numa das dez hipóteses do art. 7º. Sem base legal, é ilícito — ainda que ninguém sofra prejuízo e a intenção fosse a melhor possível. Mas as dez não valem para tudo.</p>

  <div class="dl-lay">
    <div class="up">
      <p class="hh">Dado pessoal comum — as dez bases do art. 7º</p>
      <div class="dl-gset">
        <div class="s"><h5>Vontade ou relação com o titular</h5><p>Consentimento (I) · Execução de contrato (V) · Proteção do crédito (X)</p></div>
        <div class="s"><h5>Dever legal ou função pública</h5><p>Obrigação legal ou regulatória (II) · Políticas públicas (III) · Estudos por órgão de pesquisa (IV)</p></div>
        <div class="s"><h5>Proteção de alguém em risco</h5><p>Vida ou incolumidade física (VII) · Tutela da saúde, <b>exclusivamente</b> por profissionais e serviços de saúde (VIII)</p></div>
        <div class="s hl"><h5>Defesa de direitos · e a décima</h5><p>Exercício regular de direitos (VI) · <b>Legítimo interesse (IX)</b>: depende de ponderação, exige avaliação registrada e pode exigir relatório de impacto</p></div>
      </div>
    </div>

    <div class="div">As dez bases acima NÃO se aplicam a dados sensíveis</div>

    <div class="dn">
      <p class="hh">Dado sensível — o rol fechado do art. 11</p>
      <div class="dl-g2">
        <div class="dl-card" style="background:#fff"><h4>Consentimento</h4><p>Específico e destacado, para finalidades específicas.</p></div>
        <div class="dl-card" style="background:#fff"><h4>Ou sete hipóteses, só quando <strong>indispensável</strong></h4><p>Obrigação legal · políticas públicas · pesquisa com anonimização · exercício regular de direitos · proteção da vida · tutela da saúde · prevenção à fraude.</p></div>
      </div>
      <div class="dl-alert" style="margin-top:.8rem"><b>Repare no que sumiu:</b> não há legítimo interesse, não há execução de contrato, não há proteção do crédito. As bases mais confortáveis para a empresa simplesmente não existem quando o dado é sensível. E o <b>art. 11, §4º</b> veda o compartilhamento de dado de saúde entre controladores <b>para obter vantagem econômica</b> — que é exatamente o que a clínica fez.</div>
    </div>
  </div>

  <p class="dl-foot"><strong>Por que consentimento não é a regra.</strong> É uma base entre dez, e frequentemente a pior escolha: é a única que o titular pode revogar a qualquer momento, derrubando o tratamento inteiro. Quem pede consentimento para emitir nota fiscal está errando duas vezes — a base correta é obrigação legal, e pedir autorização sugere ao cliente que ele pode recusar algo que a lei manda fazer.</p>
</section>

<!-- E8 — O PODER PÚBLICO COMO CONTROLADOR (6.2.2.3) -->
<section class="dl">
  <p class="dl-kicker">6.2.2 · Bloco 2 · Explicação do tema</p>
  <h3 class="dl-title">O maior controlador de dados do país é o Estado</h3>
  <p class="dl-lede">A LGPD dedica um capítulo inteiro a ele, os arts. 23 a 32, e a lógica é diferente da que vale para empresas.</p>

  <div class="dl-g2">
    <div class="dl-card"><span class="dl-tag t-navy">Base legal</span><h4>Não escolhe entre dez</h4><p>Trata para o <strong>atendimento de sua finalidade pública</strong>, na persecução do interesse público, executando competências ou atribuições legais. Não há legítimo interesse, e o consentimento raramente é adequado: não se pede autorização para o que a lei manda a administração fazer.</p></div>
    <div class="dl-card"><span class="dl-tag t-navy">Em compensação</span><h4>Transparência mais rigorosa</h4><p>Deve informar as hipóteses de tratamento "em veículos de fácil acesso, preferencialmente em seus sítios eletrônicos", e a <strong>indicação de encarregado é obrigatória</strong>, sem a flexibilidade de porte que vale para o setor privado.</p></div>
  </div>

  <div class="dl-alert"><b>A vedação central, do art. 26, §1º.</b> É vedado ao Poder Público transferir a entidades privadas os dados das bases a que tem acesso, salvo hipóteses tipificadas. O Estado reúne, por imposição legal, cadastros que nenhuma empresa conseguiria montar — saúde, previdência, tributos, benefícios. Deixá-los fluir livremente para o setor privado converteria a obrigação de fornecer dados ao Estado em vantagem comercial de terceiros.</div>

  <div class="dl-note"><b>Três pontos que caem em prova.</b> Serviços notariais e de registro, embora exercidos por delegação, seguem o regime dos órgãos públicos. Empresas públicas e sociedades de economia mista em regime de concorrência são tratadas como privadas — <i>salvo</i> quando operacionalizam políticas públicas. E os prazos para o titular exercer direitos perante o Estado seguem legislação própria: Habeas Data, Processo Administrativo e Lei de Acesso à Informação.</div>

  <p class="dl-foot"><strong>E a assimetria que volta na Crítica.</strong> Diante de infração, o art. 31 prevê que a autoridade "poderá enviar informe com medidas cabíveis para fazer cessar a violação". Note o verbo: informe, não multa. O art. 52, §3º, lista as sanções aplicáveis a órgãos públicos e deixa de fora, exatamente, as duas espécies de multa.</p>
</section>

<!-- E9 — DOIS EPISÓDIOS (6.2.2.5) -->
<section class="dl">
  <p class="dl-kicker">6.2.2 · Bloco 2 · Jurisprudência e regulação em ação</p>
  <h3 class="dl-title">Dois episódios: um sobre base legal, outro sobre responsabilidade</h3>
  <p class="dl-lede">O primeiro mostra o regulador cobrando o que a lei lhe permite exigir. O segundo mostra o Judiciário fechando a porta de saída mais procurada pelas empresas.</p>

  <div class="dl-g2">
    <div class="dl-card" style="border-left:4px solid var(--dl-teal)">
      <span class="dl-tag t-teal">ANPD × Meta · 2024</span>
      <h4>O legítimo interesse posto à prova</h4>
      <p>Em 1º de julho de 2024, pelo <strong>Despacho Decisório nº 20/2024/PR/ANPD</strong>, a autoridade suspendeu cautelarmente o uso de dados de usuários brasileiros para treinar sistemas de IA generativa, sob pena de <strong>multa diária de R$ 50 mil</strong> — a primeira imposta pela autoridade. Em agosto, aprovado um Plano de Conformidade, a empresa pôde retomar com restrições: desidentificação prévia, reforço da comunicação sobre o direito de oposição e compromisso de não usar dados de menores de 18 anos até decisão final.</p>
    </div>
    <div class="dl-card" style="border-left:4px solid var(--dl-coral)">
      <span class="dl-tag t-coral">STJ · REsp 2.147.374/SP</span>
      <h4>A excludente que quase nunca funciona</h4>
      <p>Terceira Turma, 3 de dezembro de 2024, rel. Min. <strong>Ricardo Villas Bôas Cueva</strong>. Discutia-se se o vazamento causado por ato ilícito de terceiro afastaria a responsabilidade pelo art. 43, III. O Tribunal disse que não: como a empresa não provou que o vazamento decorreu <strong>exclusivamente</strong> do ato de terceiro, a excludente não se aplica.</p>
    </div>
  </div>

  <div class="dl-note"><b>A expressão que o acórdão fixou.</b> É irregular o tratamento que "deixou de fornecer a segurança que o titular dele poderia esperar" — a <b>expectativa de legítima proteção</b>, do <i>caput</i> do art. 44. Não se discutiu culpa: discutiu-se se a segurança correspondia ao que era razoável esperar. E o acórdão registrou que <i>compliance</i> de dados não é apenas obediência à lei, mas comprovação da efetividade dos programas — o princípio da responsabilização, do Bloco 1.</div>

  <p class="dl-foot"><strong>Para a clínica, é má notícia.</strong> Alegar que o vazamento foi culpa da empresa de nuvem não a exonera, salvo se provar causa exclusiva de terceiro. E como os dados de Marina são <em>sensíveis</em>, e não meramente cadastrais como no caso julgado, a expectativa de segurança exigível é ainda maior.</p>
</section>

<!-- E10 — OS NOVE DIREITOS (6.2.3.3) -->
<section class="dl">
  <p class="dl-kicker">6.2.3 · Bloco 3 · Explicação do tema</p>
  <h3 class="dl-title">Os nove direitos do art. 18, por função</h3>
  <p class="dl-lede">Exercíveis perante o controlador a qualquer momento, mediante requisição, <strong>sem custo e sem juiz</strong>. Marina não precisa contratar advogado para pedir à clínica a lista de tudo o que ela guarda a seu respeito.</p>

  <div class="dl-g4">
    <div class="dl-card"><span class="dl-tag t-teal">Saber</span><h4>I · II · VII</h4><p>Confirmação da existência de tratamento. Acesso aos dados. E a informação sobre as entidades com quem houve uso compartilhado — <strong>a pergunta que mais aflige Marina</strong>.</p></div>
    <div class="dl-card"><span class="dl-tag t-navy">Corrigir</span><h4>III</h4><p>Correção de dados incompletos, inexatos ou desatualizados.</p></div>
    <div class="dl-card"><span class="dl-tag t-coral">Limitar ou desfazer</span><h4>IV · VI · IX</h4><p>Anonimização, bloqueio ou eliminação do que for desnecessário, excessivo ou tratado em desconformidade. Eliminação do que se tratou com consentimento. Revogação do consentimento.</p></div>
    <div class="dl-card"><span class="dl-tag t-amber">Sair ou escolher</span><h4>V · VIII</h4><p>Portabilidade a outro fornecedor. E a informação sobre a possibilidade de não consentir e sobre as consequências da negativa — <strong>o direito de saber o que se perde ao dizer não</strong>.</p></div>
  </div>

  <div class="dl-g3" style="margin-top:.9rem">
    <div class="dl-card"><h4>Imediatamente</h4><p>Confirmação e acesso em <strong>formato simplificado</strong> (art. 19, I).</p></div>
    <div class="dl-card"><h4>Até 15 dias</h4><p>Declaração clara e completa, indicando <strong>origem dos dados, critérios utilizados e finalidade</strong> (art. 19, II).</p></div>
    <div class="dl-card"><h4>Cópia integral</h4><p>Quando o tratamento tem origem em consentimento ou contrato, em formato que permita uso posterior (art. 19, §3º).</p></div>
  </div>

  <p class="dl-foot"><strong>Três regras que passam despercebidas.</strong> O titular pode peticionar contra o controlador perante a autoridade nacional <em>e</em> perante os órgãos de defesa do consumidor. Pode opor-se a tratamento fundado em dispensa de consentimento, havendo descumprimento da lei. E, quando o controlador corrige, elimina ou bloqueia, precisa <strong>informar imediatamente</strong> os agentes com quem compartilhou, para que façam o mesmo.</p>
</section>

<!-- E11 — O CICLO DE VIDA DO DADO (6.2.3.3) -->
<section class="dl">
  <p class="dl-kicker">6.2.3 · Bloco 3 · Explicação do tema</p>
  <h3 class="dl-title">O ciclo de vida do dado: o direito de um lado, o dever do outro</h3>
  <p class="dl-lede">Cada etapa tem uma prerrogativa do titular e uma obrigação correspondente de quem trata. Lidas em paralelo, elas mostram que a lei não é uma lista de direitos: é um encaixe.</p>

  <div class="dl-cyc">
    <div class="st">
      <p class="mk">1 · Coleta</p>
      <div class="tr a"><b>Direito</b>Ser informado de forma clara, adequada e ostensiva (art. 9º) e saber o que se perde ao recusar (art. 18, VIII).</div>
      <div class="tr b"><b>Dever</b>Ter base legal — art. 7º ou, se sensível, art. 11.</div>
    </div>
    <div class="st">
      <p class="mk">2 · Tratamento</p>
      <div class="tr a"><b>Direito</b>Confirmação, acesso, correção e informação sobre compartilhamento (art. 18, I, II, III e VII).</div>
      <div class="tr b"><b>Dever</b>Observar os dez princípios, manter registro das operações (art. 37) e segurança desde a concepção (art. 46, §2º).</div>
    </div>
    <div class="st">
      <p class="mk">3 · Decisão automatizada</p>
      <div class="tr a"><b>Direito</b>Revisão e explicação dos critérios (art. 20 e §1º).</div>
      <div class="tr b"><b>Dever</b>Fornecer informações claras; se recusar por segredo comercial, sujeitar-se a auditoria da ANPD (§2º).</div>
    </div>
    <div class="st">
      <p class="mk">4 · Incidente</p>
      <div class="tr a"><b>Direito</b>Ser comunicado, com os seis itens do art. 48, §1º.</div>
      <div class="tr b"><b>Dever</b>Comunicar autoridade <i>e</i> titulares em <b>3 dias úteis</b>, complementando em até 20 (Res. CD/ANPD 15/2024).</div>
    </div>
    <div class="st">
      <p class="mk">5 · Término</p>
      <div class="tr a"><b>Direito</b>Eliminação, revogação do consentimento e portabilidade (art. 18, IV, V, VI e IX).</div>
      <div class="tr b"><b>Dever</b>Eliminar como regra (art. 16); conservar apenas nas quatro exceções legais.</div>
    </div>
  </div>

  <div class="dl-alert"><b>Uma armadilha do art. 20 que separa quem leu a lei de quem leu um resumo.</b> A redação original de 2018 dizia "revisão, <b>por pessoa natural</b>, de decisões tomadas unicamente com base em tratamento automatizado". A MP 869/2018 suprimiu a expressão, a Lei 13.853/2019 manteve a supressão, e o §3º que tentava reintroduzi-la foi vetado. <b>A LGPD hoje garante que haja revisão — não que ela seja humana.</b> Quando Marina pede revisão da negativa de crédito, o banco pode, em tese, submeter o caso a outro processo automatizado.</div>

  <p class="dl-foot"><strong>Eliminar é mais difícil do que parece.</strong> Apagar o registro do banco principal não resolve backups, logs, ambientes de teste e bases analíticas. Por isso a conformidade exige política de retenção e expurgo, e não um comando isolado. E note o que a clínica terá de separar: o prontuário tem prazo mínimo de guarda fixado em norma própria, e essa obrigação prevalece sobre o pedido de Marina — mas isso vale para o prontuário, <em>não</em> para a lista de marketing montada sem base legal.</p>
</section>

<!-- E12 — A ANPD (6.2.3.3) -->
<section class="dl">
  <p class="dl-kicker">6.2.3 · Bloco 3 · Explicação do tema</p>
  <h3 class="dl-title">De órgão sem orçamento a agência reguladora — e uma troca de nome</h3>
  <p class="dl-lede">Uma lei vale o que vale sua autoridade de aplicação. A trajetória institucional da ANPD, em pouco mais de seis anos, diz muito sobre a maturação do tema no Brasil.</p>

  <div class="dl-tl">
    <div class="ev"><span class="y">2019</span><p><b>Órgão</b> da administração pública federal, integrante da Presidência da República, <b>sem personalidade jurídica própria</b> e com pessoal cedido de outras pastas.</p></div>
    <div class="ev"><span class="y">2022</span><p><b>Autarquia de natureza especial</b>, pela Lei 14.460.</p></div>
    <div class="ev"><span class="y">2025</span><p>A <b>MP 1.317</b> altera o art. 5º, XIX, trocando "órgão" por <b>"entidade"</b>.</p></div>
    <div class="ev now"><span class="y">Fev/2026</span><p>A <b>Lei 15.352</b> dá nova redação ao art. 55-A: a entidade passa a submeter-se à <b>Lei 13.848/2019</b>, a lei geral das agências reguladoras. Carreira própria provida por concurso e seis superintendências.</p></div>
  </div>

  <div class="dl-note"><b>O detalhe de nome.</b> A sigla continua sendo ANPD, mas onde se lia <b>Autoridade</b> Nacional de Proteção de Dados lê-se agora <b>Agência</b> Nacional de Proteção de Dados. A lei, porém, não abandonou a expressão antiga: ao longo de todo o texto da LGPD, e no art. 5º, XIX, que a define, continua-se a falar em <b>autoridade nacional</b>. É termo funcional, que designa a competência; "Agência Nacional de Proteção de Dados" é o nome da entidade que a exerce. Quem citar a lei encontrará as duas, e ambas estão corretas nos seus lugares.</div>

  <div class="dl-g2" style="margin-top:.9rem">
    <div class="dl-card"><h4>Duas competências de efeito sistêmico</h4><p>A ANPD <strong>delibera sobre a interpretação da lei</strong>, de modo que suas manifestações orientam o mercado inteiro, e não só o caso examinado. E sua competência <strong>prevalece</strong> sobre as competências correlatas de outras entidades da administração, o que resolve conflitos com reguladores setoriais.</p></div>
    <div class="dl-card"><h4>O Conselho, ao lado</h4><p>O Conselho Nacional de Proteção de Dados Pessoais e da Privacidade reúne <strong>23 representantes</strong> de origens diversas — Executivo, Congresso, CNJ, CNMP, CGI.br, sociedade civil, ciência, sindicatos e setor empresarial. Desenho multissetorial, da família do CGI.br visto no Capítulo 2. <strong>O Conselho aconselha; a agência decide.</strong></p></div>
  </div>
</section>

<!-- E13 — AS SANÇÕES (6.2.3.3) -->
<section class="dl">
  <p class="dl-kicker">6.2.3 · Bloco 3 · Explicação do tema</p>
  <h3 class="dl-title">As sanções do art. 52, e por que a multa não é a mais grave</h3>
  <p class="dl-lede">Aplicadas após procedimento com ampla defesa, de forma <strong>gradativa</strong>, isolada ou cumulativa. "Gradativa" é palavra importante: a lei não autoriza começar pela sanção mais pesada.</p>

  <div class="dl-sc">
    <div class="lv g1"><span class="n">I</span><span><b>Advertência</b>, com prazo para medidas corretivas.</span></div>
    <div class="lv g2"><span class="n">II–III</span><span><b>Multa simples de até 2% do faturamento</b> no Brasil no último exercício, excluídos tributos, <b>limitada a R$ 50 milhões por infração</b> — e multa diária, no mesmo limite.</span></div>
    <div class="lv g1"><span class="n">IV–VI</span><span>Publicização da infração · bloqueio dos dados até a regularização · eliminação dos dados.</span></div>
    <div class="lv g3"><span class="n">X–XII</span><span>Suspensão parcial do banco de dados por até 6 meses, prorrogável · suspensão da atividade de tratamento · <b>proibição parcial ou total de tratar dados</b>. Só depois de já imposta uma das sanções II a VI para o mesmo caso (§6º).</span></div>
  </div>

  <div class="dl-note"><b>As três últimas são potencialmente mais graves que a multa.</b> Uma empresa cujo modelo de negócio depende de tratar dados e que é proibida de fazê-lo, ainda que parcialmente, enfrenta problema maior que uma cifra fixa.</div>

  <div class="dl-alert"><b>A assimetria do §3º.</b> Às entidades e aos órgãos públicos aplicam-se apenas as sanções dos incisos I, IV, V, VI, X, XI e XII — <b>as duas espécies de multa ficaram de fora</b>. O parágrafo integrava as partes vetadas do projeto e só vigora porque o Congresso derrubou o veto. O Estado, maior controlador de dados do país, responde por tudo, menos por dinheiro.</div>

  <p class="dl-foot"><strong>Quem documenta paga menos.</strong> Dos onze critérios de dosimetria do §1º, vários premiam a conformidade: boa-fé, cooperação, adoção reiterada de mecanismos internos, política de boas práticas e governança, pronta adoção de medidas corretivas. É aqui que a lei fecha o círculo aberto no Bloco 1 — o princípio da responsabilização não é retórica. E o art. 53 exige que a metodologia de cálculo do valor-base conste de regulamento próprio, submetido a <strong>consulta pública</strong>: não é a autoridade que arbitra caso a caso quanto vale cada infração.</p>
</section>

<!-- E14 — CRÍTICA (6.3) -->
<section class="dl">
  <p class="dl-kicker">6.3 · Crítica Jurídica</p>
  <h3 class="dl-title">Uma lei desenhada para o arquivo, aplicada ao modelo</h3>
  <p class="dl-lede">O problema desta lei não está no que ela promete. Está no mundo para o qual foi desenhada. O direito de proteção de dados nasceu de uma preocupação precisa — cadastros, fichas, prontuários — e a essa preocupação ele responde bem.</p>

  <div class="dl-g2">
    <div class="dl-card"><span class="dl-tag t-navy">O mundo do arquivo</span><h4>Dado como registro</h4><p>Existe para viabilizar uma atividade determinada e não vale quase nada fora dela. O caderno da portaria, o prontuário do consultório, a planilha do condomínio. <strong>A pergunta é quem guarda um documento a seu respeito, o que ele afirma, e como corrigi-lo ou apagá-lo.</strong></p></div>
    <div class="dl-card"><span class="dl-tag t-purple">O mundo do modelo</span><h4>Dado como capital</h4><p>Não é o registro de uma pessoa: é matéria-prima de previsão sobre milhões. O que interessa não é o que consta da ficha de Marina, e sim o padrão extraído de milhões de fichas, capaz de antecipar — e de induzir — o que ela fará.</p></div>
  </div>

  <div class="dl-g3" style="margin-top:.9rem">
    <div class="dl-card"><h4>Direito individual, dano coletivo</h4><p>Marina pode mandar apagar tudo o que a clínica tem sobre ela, e isso não retira uma linha do modelo que os dados dela ajudaram a calibrar. <strong>Um direito cujo exercício integral não muda nada na estrutura que o motivou é um direito confortavelmente concedido.</strong></p></div>
    <div class="dl-card"><h4>A lei se retira onde o poder começa</h4><p>Dado anonimizado não é dado pessoal, diz o art. 12, e a inferência estatística construída sobre ele pertence a quem a construiu. <strong>O valor está no agregado; a proteção está no individual.</strong></p></div>
    <div class="dl-card"><h4>Consentimento pressupõe cálculo</h4><p>E o modelo de negócio depende de que esse cálculo seja impraticável. Marina marcou "Li e aceito" como quase todo mundo marca. <strong>A resposta da lei é exigir que a cláusula esteja destacada.</strong></p></div>
  </div>

  <div class="dl-alert"><b>O teto que inverte a proporcionalidade.</b> A multa é de até 2% do faturamento, o que seria sanção genuinamente proporcional, já que cresce com o tamanho de quem infringe. Mas o mesmo inciso a limita a R$ 50 milhões por infração. Para a imensa maioria das empresas brasileiras, o teto jamais é alcançado e o que vale é o percentual. Para as poucas companhias cujo faturamento tornaria 2% uma cifra capaz de alterar decisões de negócio, o teto converte a sanção em <b>despesa previsível, orçável com antecedência</b>. O dispositivo que parecia o mais severo da lei é o único que se torna mais brando à medida que a empresa cresce.</div>

  <p class="dl-foot"><strong>Nada disso desqualifica a LGPD, e convém não confundir insuficiência com inutilidade.</strong> O país está melhor com ela do que estaria sem ela: a clínica de Marina responde hoje por condutas pelas quais não responderia dez anos atrás, e a autoridade que a fiscaliza deixou de ser um órgão sem orçamento para se tornar agência reguladora. Mas disciplinar quem guarda o arquivo e disciplinar quem detém a capacidade de prever e induzir comportamento são tarefas distintas, e apenas a primeira foi enfrentada. <strong>Marina ganhou o direito de acompanhar seu dado até a saída. Não ganhou nada sobre o que se aprendeu com ele.</strong></p>
</section>

</body>
</html>

<!DOCTYPE html>
<html lang="pt-BR">
<head>
<meta charset="utf-8">
<meta name="viewport" content="width=device-width, initial-scale=1">
<title>Quiz — Capítulo 6 | Manual de Direito Digital</title>
<style>
*,*::before,*::after{box-sizing:border-box}
body{margin:0;height:auto;background:#f4f4f8;color:#2b3340;
  font-family:ui-sans-serif,system-ui,-apple-system,"Segoe UI",Roboto,sans-serif;
  font-size:17px;line-height:1.55;-webkit-font-smoothing:antialiased}
:root{
  --navy:#1e3a5f;--indigo:#3f3a6b;--accent:#22a147;--accent-soft:#e6f4ea;
  --ink:#2b3340;--muted:#5c6675;--line:#dcdce6;--card:#fff;--soft:#f0f0f5;
  --ok:#1a7f4b;--ok-soft:#e7f5ec;--no:#b0433e;--no-soft:#fbecea;
  --teal:#0f6b6b;--teal-soft:#e8f2f2;--coral:#b04a45;--coral-soft:#f9edec;
  --amber:#9a6b16;--amber-soft:#faf2e3;
  --r:16px;--rs:11px;
}
.qz{max-width:840px;margin:0 auto;padding:22px 18px 36px}
.qz-head{margin-bottom:16px}
.qz-eyebrow{display:flex;align-items:center;gap:9px;margin:0 0 6px;
  font-size:.82rem;font-weight:800;letter-spacing:.13em;text-transform:uppercase;color:var(--accent)}
.qz-eyebrow::before{content:"";width:9px;height:9px;border-radius:3px;background:var(--accent)}
.qz-head h1{margin:0 0 6px;font-size:1.75rem;line-height:1.2;color:var(--navy);font-weight:800}
.qz-head p{margin:0;color:var(--muted);font-size:1rem}
.qz-bar{height:7px;background:var(--line);border-radius:99px;overflow:hidden;margin:16px 0 8px}
.qz-bar i{display:block;height:100%;background:var(--accent);width:0;transition:width .3s}
.qz-meta{display:flex;justify-content:space-between;font-size:.9rem;color:var(--muted);margin-bottom:16px}
.qz-card{background:var(--card);border:1px solid var(--line);border-radius:var(--r);padding:24px 22px}
.qz-sec{display:inline-block;font-size:.76rem;font-weight:800;letter-spacing:.09em;text-transform:uppercase;
  padding:4px 10px;border-radius:99px;margin-bottom:12px}
.s1{background:var(--teal-soft);color:var(--teal)}
.s2{background:var(--coral-soft);color:var(--coral)}
.s3{background:var(--amber-soft);color:var(--amber)}
.qz-q{margin:0 0 18px;font-size:1.15rem;line-height:1.45;color:var(--ink);font-weight:600}
.qz-opts{display:grid;gap:10px}
.qz-opt{display:flex;gap:12px;align-items:flex-start;width:100%;text-align:left;font:inherit;color:inherit;
  background:var(--soft);border:1.5px solid var(--line);border-radius:var(--rs);padding:14px 15px;cursor:pointer;transition:.15s}
.qz-opt:hover:not(:disabled){border-color:var(--indigo);background:#fff}
.qz-opt:disabled{cursor:default}
.qz-opt .letter{flex:none;width:28px;height:28px;border-radius:99px;display:flex;align-items:center;justify-content:center;
  font-weight:800;font-size:.92rem;background:#fff;border:1.5px solid var(--line);color:var(--muted)}
.qz-opt .txt{flex:1;font-size:1rem}
.qz-opt .why{display:none;margin-top:9px;padding-top:9px;border-top:1px dashed var(--line);
  font-size:.95rem;color:var(--muted)}
.qz-opt.shown .why{display:block}
.qz-opt.correct{background:var(--ok-soft);border-color:#b6ddc6}
.qz-opt.correct .letter{background:var(--ok);border-color:var(--ok);color:#fff}
.qz-opt.correct .why{color:#14603a}
.qz-opt.wrong{background:var(--no-soft);border-color:#eccbc7}
.qz-opt.wrong .letter{background:var(--no);border-color:var(--no);color:#fff}
.qz-opt.wrong .why{color:#8d332f}
.qz-opt.muted{opacity:.72}
.qz-note{margin:16px 0 0;padding:14px 15px;background:#f6f4fb;border:1px solid #e2dcf0;
  border-left:5px solid var(--indigo);border-radius:var(--rs);font-size:.98rem;display:none}
.qz-note.on{display:block}
.qz-note b{color:var(--indigo)}
.qz-nav{display:flex;justify-content:flex-end;gap:10px;margin-top:18px}
.qz-btn{font:inherit;font-size:1rem;font-weight:700;cursor:pointer;border-radius:99px;padding:11px 22px;transition:.15s;border:1.5px solid transparent}
.qz-btn.primary{background:var(--navy);color:#fff}
.qz-btn.primary:hover{background:var(--indigo)}
.qz-btn.ghost{background:#fff;border-color:var(--line);color:var(--muted)}
.qz-btn.ghost:hover{border-color:var(--indigo);color:var(--indigo)}
.qz-btn[hidden]{display:none}
.qz-score{text-align:center;padding:10px 0 4px}
.qz-score .big{font-size:3rem;font-weight:800;color:var(--navy);line-height:1}
.qz-score .lbl{color:var(--muted);font-size:1.02rem;margin-top:4px}
.qz-msg{margin:16px 0 0;padding:15px 16px;border-radius:var(--rs);font-size:1rem;background:var(--accent-soft);border:1px solid #c6e6d1}
.qz-break{margin-top:20px;display:grid;gap:9px}
.qz-brow{display:flex;align-items:center;gap:12px;background:var(--soft);border:1px solid var(--line);
  border-radius:var(--rs);padding:11px 14px;font-size:1rem}
.qz-brow .s{font-weight:800;color:var(--navy);flex:none;width:52px}
.qz-brow .t{flex:1;color:var(--muted)}
.qz-brow .v{font-weight:800;flex:none}
.qz-brow .v.full{color:var(--ok)}
.qz-brow .v.part{color:var(--muted)}
.qz-brow .v.none{color:var(--no)}
</style>
</head>
<body>
<div class="qz">

  <div class="qz-head">
    <p class="qz-eyebrow">Manual de Direito Digital · Capítulo 6</p>
    <h1>Proteção de dados pessoais e a LGPD</h1>
    <p>Dezenove questões cobrindo os três blocos, distintas das do livro. Cada alternativa vem comentada, inclusive as erradas.</p>
  </div>

  <div class="qz-bar"><i id="bar"></i></div>
  <div class="qz-meta"><span id="pos"></span><span id="hits">0 acertos</span></div>

  <div id="stage"></div>

  <div id="result" class="qz-card" hidden>
    <div class="qz-score">
      <div class="big"><span id="final">0</span>/<span id="tot">18</span></div>
      <div class="lbl" id="pct">0% de acerto</div>
    </div>
    <div class="qz-msg" id="msg"></div>
    <div class="qz-break" id="break"></div>
    <div class="qz-nav">
      <button class="qz-btn ghost" id="again">Refazer o quiz</button>
    </div>
  </div>

</div>

<script>
(function () {
  'use strict';

  var QS = [
    /* ===== BLOCO 1 ===== */
    {
      sec: '6.2.1',
      q: 'Um síndico voluntário, que não recebe nada pela função, mantém em seu computador pessoal uma planilha com nome, apartamento, telefone e placa do carro de todos os moradores, usada para administrar o condomínio. Sobre a incidência da LGPD:',
      opts: [
        { t: 'A LGPD não incide, pois o tratamento não tem finalidade econômica.', ok: false, why: 'É o erro mais frequente sobre o art. 4º, I. A exceção exige dois requisitos cumulativos, e não apenas um: os fins devem ser exclusivamente particulares E não econômicos. Falhando qualquer um, a exceção cai por inteiro.' },
        { t: 'A LGPD incide, pois o tratamento, embora não econômico, não é exclusivamente particular — administrar um condomínio não é atividade doméstica.', ok: true, why: '"Particular" não significa "por conta própria" nem "sem empresa por trás": significa doméstico, da esfera pessoal e familiar. O álbum de fotos da família está dentro da exceção; a planilha de moradores, não, ainda que o síndico seja voluntário.' },
        { t: 'A LGPD não incide, pois a planilha está em computador pessoal e não em sistema corporativo.', ok: false, why: 'O suporte é irrelevante. O art. 1º diz "inclusive nos meios digitais", e a lei alcança até o fichário de papel. O que ela regula é a operação, não a tecnologia nem o equipamento.' },
        { t: 'A LGPD incide apenas sobre a placa do veículo, por ser dado de identificação obrigatória.', ok: false, why: 'A incidência não se fatia por tipo de dado dessa maneira. Todos os itens da planilha são informação relacionada a pessoa natural identificada, e portanto dado pessoal nos termos do art. 5º, I.' }
      ],
      nota: 'Enuncie a regra com todas as letras: não ganhar dinheiro com o tratamento não coloca ninguém fora da LGPD. Atividade gratuita e atividade doméstica são coisas diferentes, e a lei exige as duas ao mesmo tempo.'
    },
    {
      sec: '6.2.1',
      q: 'Uma instituição de ensino invoca a exceção do art. 4º, II, para tratar, sem base legal, os dados de matrícula, notas e frequência de seus alunos, alegando finalidade acadêmica. Sobre o argumento:',
      opts: [
        { t: 'Procede, pois a exceção acadêmica afasta integralmente a incidência da LGPD.', ok: false, why: 'Duas coisas estão erradas aqui. A exceção acadêmica alcança a pesquisa e a produção científica, não a administração ordinária de uma instituição de ensino. E, mesmo quando incide, ela é apenas parcial.' },
        { t: 'Não procede: a exceção alcança a pesquisa e a produção científica, e não a administração ordinária; além disso, mesmo no caso acadêmico continuam a incidir os arts. 7º e 11.', ok: true, why: 'Matrícula, notas, frequência e contato de responsáveis são tratamento comum de dados, sujeitos à lei inteira. E o próprio art. 4º, II, "b", ressalva a aplicação dos arts. 7º e 11: mesmo a pesquisa precisa de base legal e observa o regime dos dados sensíveis.' },
        { t: 'Procede quanto às notas e à frequência, por serem dados produzidos pela própria instituição.', ok: false, why: 'A origem do dado não altera a incidência. Dado produzido pelo controlador sobre uma pessoa identificada continua sendo dado pessoal dela.' },
        { t: 'Não procede, pois a exceção do art. 4º, II, foi revogada pela Emenda Constitucional 115/2022.', ok: false, why: 'A EC 115 inseriu o art. 5º, LXXIX, na Constituição, criando fundamento autônomo para a proteção de dados. Não revogou dispositivo algum da LGPD.' }
      ]
    },
    {
      sec: '6.2.1',
      q: 'Uma empresa sediada nos Estados Unidos, com servidores na Irlanda, oferece um aplicativo a usuários brasileiros, que se cadastram enquanto estão no Brasil. Sobre a aplicação da LGPD:',
      opts: [
        { t: 'Não se aplica, pois nem a sede nem os servidores estão em território nacional.', ok: false, why: 'É o erro mais comum sobre o tema: imaginar a lei limitada pela geografia do servidor. O art. 3º diz o contrário, e de forma expressa.' },
        { t: 'Aplica-se, pois o art. 3º incide independentemente do meio, do país da sede e do país onde os dados estejam localizados, bastando qualquer uma das três hipóteses dos incisos.', ok: true, why: 'Bastam, alternativamente, o tratamento em território nacional, a oferta de bens ou serviços a pessoas aqui localizadas, ou a coleta de dados no território nacional. Aqui há pelo menos duas, e o §1º confirma que a coleta se considera nacional porque os titulares estavam no Brasil no momento dela.' },
        { t: 'Aplica-se somente se houver representante legal constituído no Brasil.', ok: false, why: 'A existência de representante é consequência da incidência, e não seu pressuposto. A lei não condiciona sua aplicação a esse requisito.' },
        { t: 'Aplica-se somente se houver transferência internacional formalizada por cláusulas contratuais.', ok: false, why: 'Confunde dois planos. A incidência da lei decorre do art. 3º; a transferência internacional é operação regulada à parte, pelos arts. 33 a 36, e pressupõe que a lei já incida.' }
      ],
      nota: 'A recíproca também vale: o simples fato de um servidor estar fora do país não retira do tratamento a incidência da lei brasileira.'
    },
    {
      sec: '6.2.1',
      q: 'Um hospital divulga um estudo com estatísticas agregadas de seus pacientes. Descobre-se depois que basta cruzar aquela tabela com a agenda de internações, disponível internamente, para identificar cada pessoa. Sobre esses dados:',
      opts: [
        { t: 'São anonimizados e estão fora da LGPD, pois a tabela publicada não contém identificadores.', ok: false, why: 'O art. 12 exclui o dado anonimizado da lei, mas com ressalva expressa: não vale a exclusão quando o processo puder ser revertido com meios próprios ou, com esforços razoáveis, por qualquer um.' },
        { t: 'Não são anonimizados, pois a reversão é possível com esforços razoáveis, e portanto continuam submetidos à LGPD.', ok: true, why: 'É a armadilha do art. 12. O §1º manda considerar fatores objetivos como custo e tempo necessários à reversão, de acordo com as tecnologias disponíveis. Reversível com esforço razoável significa nunca ter sido anonimizado.' },
        { t: 'São pseudonimizados, e por isso saem do alcance da lei.', ok: false, why: 'Inverte o efeito da pseudonimização. Ela é medida de segurança, e o dado pseudonimizado continua sendo dado pessoal, sujeito à LGPD por inteiro.' },
        { t: 'Estão fora da lei porque o estudo tem finalidade acadêmica.', ok: false, why: 'Ainda que houvesse finalidade exclusivamente acadêmica, a exceção do art. 4º, II, é parcial: continuam a incidir os arts. 7º e 11. E dado de saúde é sensível.' }
      ]
    },
    {
      sec: '6.2.1',
      q: 'Uma empresa obtém consentimento válido dos titulares e passa a coletar, em seu formulário, dados que não guardam relação com a finalidade declarada. Sobre a conduta, à luz do art. 6º:',
      opts: [
        { t: 'É regular, pois o consentimento é a base legal mais robusta e autoriza toda a coleta consentida.', ok: false, why: 'É um erro conceitual grave, e vale enunciá-lo: consentimento autoriza o tratamento, não dispensa os princípios. O art. 7º, §6º, é expresso ao dizer que a dispensa do consentimento não desobriga das demais obrigações, e a recíproca vale.' },
        { t: 'É irregular por violação do princípio da necessidade, que limita o tratamento ao mínimo necessário, com dados pertinentes, proporcionais e não excessivos — independentemente da base legal escolhida.', ok: true, why: 'Os dez princípios do art. 6º incidem sobre qualquer tratamento, qualquer que seja a base do art. 7º. Cumprir uma das dez autorizações não dispensa nenhum deles.' },
        { t: 'É regular, desde que os dados excedentes sejam mantidos em ambiente seguro.', ok: false, why: 'Confunde segurança com necessidade — dois princípios distintos do mesmo artigo. Guardar bem um dado que nunca deveria ter sido coletado não corrige o vício de origem.' },
        { t: 'É irregular apenas se algum titular sofrer dano concreto.', ok: false, why: 'A violação de princípio se configura pela conduta. O dano é pressuposto da reparação civil dos arts. 42 e seguintes, não da irregularidade do tratamento.' }
      ],
      nota: 'A prática chama esse princípio de minimização. Se uma pergunta do formulário não serve à finalidade declarada, ela não deveria estar lá.'
    },
    {
      sec: '6.2.1',
      q: 'Ao julgar as ADIs sobre a MP 954/2020, que obrigava empresas de telefonia a entregar ao IBGE nome, telefone e endereço de todos os consumidores, o STF suspendeu a medida. Qual foi o fundamento central?',
      opts: [
        { t: 'A ausência de previsão constitucional expressa sobre proteção de dados à época, o que tornava a matéria reservada à lei complementar.', ok: false, why: 'Inverte o sentido da decisão. Justamente porque o art. 5º, LXXIX, ainda não existia, o Tribunal extraiu a proteção de dados como direito autônomo do próprio sistema constitucional, apoiado na autodeterminação informativa.' },
        { t: 'A medida não delimitava objeto e finalidade do compartilhamento, não indicava por quanto tempo os dados ficariam com o IBGE e não previa mecanismo contra acesso indevido ou desvio de finalidade.', ok: true, why: 'Faltavam exatamente as garantias que os princípios do art. 6º exigem: finalidade específica, necessidade, transparência e segurança. A cautelar, concedida por Rosa Weber em abril de 2020, foi referendada pelo Plenário em 7 de maio de 2020, por dez votos a um.' },
        { t: 'A impossibilidade de o Poder Público tratar dados pessoais sem consentimento dos titulares.', ok: false, why: 'O Poder Público trata dados sem consentimento como regra, com base no atendimento de sua finalidade pública, nos termos do art. 23. O problema não foi a ausência de consentimento.' },
        { t: 'A vedação absoluta de compartilhamento de dados entre empresas privadas e órgãos públicos.', ok: false, why: 'Não há vedação absoluta. O art. 26 disciplina o uso compartilhado, e o §1º veda o fluxo em sentido inverso, do Poder Público para entidades privadas, com exceções tipificadas.' }
      ],
      nota: 'Dois anos depois, a Emenda Constitucional 115/2022 escreveu na Constituição aquilo que o Tribunal já havia reconhecido. É um bom exemplo de emenda que consolida jurisprudência, e não de jurisprudência que aplica emenda.'
    },

    /* ===== BLOCO 2 ===== */
    {
      sec: '6.2.2',
      q: 'Uma clínica de pequeno porte contrata uma multinacional de tecnologia para hospedar seus prontuários em nuvem. A multinacional é infinitamente maior e tecnicamente mais capaz. Sobre a qualificação dos agentes:',
      opts: [
        { t: 'A multinacional é controladora, por deter a infraestrutura e a capacidade técnica de decisão.', ok: false, why: 'Capacidade técnica não é critério. A qualificação depende de quem, de fato, define a finalidade e os meios essenciais do tratamento.' },
        { t: 'A clínica é controladora e a multinacional é operadora, pois a qualificação depende de quem decide, e não do tamanho ou da sofisticação de cada um.', ok: true, why: 'Foi a clínica que decidiu coletar, o que coletar, por quanto tempo guardar e para que usar. Uma multinacional de tecnologia pode perfeitamente ser operadora de uma clínica pequena.' },
        { t: 'Ambas são controladoras conjuntas, por força do contrato de prestação de serviços.', ok: false, why: 'A qualificação não decorre do que está escrito no contrato, e sim da posição efetivamente ocupada. Haveria controladoria conjunta se ambas decidissem sobre finalidades, o que não é o caso.' },
        { t: 'A multinacional é terceira estranha à LGPD, respondendo apenas contratualmente perante a clínica.', ok: false, why: 'O operador não é estranho à lei: tem deveres próprios de segurança e sigilo, mantém registro das operações que realiza e pode responder diretamente perante o titular.' }
      ]
    },
    {
      sec: '6.2.2',
      q: 'Uma empresa pede consentimento aos clientes para emitir nota fiscal das compras realizadas. Sobre a escolha da base legal:',
      opts: [
        { t: 'É a escolha correta, pois o consentimento é a base mais segura e cobre qualquer tratamento.', ok: false, why: 'A LGPD não é uma lei de consentimento. Ele é uma base entre dez, e frequentemente a pior escolha, por ser a única revogável a qualquer momento, derrubando o tratamento inteiro.' },
        { t: 'É equivocada: a base é o cumprimento de obrigação legal, e pedir autorização sugere ao cliente que ele pode recusar algo que a lei manda fazer.', ok: true, why: 'Emitir nota fiscal é obrigação legal, do art. 7º, II. Além de tecnicamente errada, a escolha do consentimento confunde o titular sobre seus próprios direitos, criando uma faculdade que não existe.' },
        { t: 'É indiferente, pois qualquer das dez bases do art. 7º pode ser livremente escolhida pelo controlador.', ok: false, why: 'As bases não são intercambiáveis à vontade. Cada uma tem pressupostos próprios, e a escolha errada compromete a licitude do tratamento e a coerência do que se informa ao titular.' },
        { t: 'É correta desde que o consentimento seja colhido em cláusula destacada.', ok: false, why: 'A cláusula destacada é requisito de forma do consentimento válido, quando ele é a base adequada. Não conserta a escolha de uma base inadequada.' }
      ],
      nota: 'A pergunta prática certa, diante de qualquer coleta, não é "posso guardar isso?", e sim "com qual base legal?" — e ela deve ser respondida antes de o campo entrar no formulário.'
    },
    {
      sec: '6.2.2',
      q: 'Uma operadora de plano de saúde pretende invocar o legítimo interesse para tratar dados clínicos de beneficiários em campanha de marketing de produtos correlatos. Sobre a pretensão:',
      opts: [
        { t: 'É viável, desde que a empresa elabore avaliação de legítimo interesse e relatório de impacto.', ok: false, why: 'Os documentos seriam necessários se a base fosse cabível — mas ela não é. As dez bases do art. 7º, entre elas o legítimo interesse, não se aplicam a dados sensíveis.' },
        { t: 'É inviável: dado de saúde é sensível e segue o rol fechado do art. 11, no qual o legítimo interesse não existe; e há ainda a vedação específica do art. 11, §4º.', ok: true, why: 'Do art. 11 sumiram justamente as bases mais confortáveis para a empresa: legítimo interesse, execução de contrato e proteção do crédito. E o §4º veda a comunicação de dados de saúde entre controladores com objetivo de vantagem econômica, ressalvadas hipóteses ligadas à própria prestação de serviços de saúde e à portabilidade.' },
        { t: 'É viável se houver cláusula genérica de autorização para fins comerciais nos termos de adesão.', ok: false, why: 'O art. 8º, §4º, é categórico: as autorizações genéricas para o tratamento de dados pessoais são nulas. E, para dado sensível, o consentimento precisa ser específico e destacado, para finalidades específicas.' },
        { t: 'É inviável apenas se algum beneficiário manifestar oposição expressa.', ok: false, why: 'A ilicitude não depende de oposição. Trata-se de conduta vedada, e não de tratamento que se torna irregular pela reação do titular.' }
      ]
    },
    {
      sec: '6.2.2',
      q: 'Sobre a diferença entre a expectativa do titular e o interesse do controlador na base do art. 7º, IX, o critério decisivo do art. 10 é:',
      opts: [
        { t: 'A existência de vantagem econômica para o controlador.', ok: false, why: 'O interesse do controlador pode ser econômico e ainda assim legítimo. O que a lei examina é se ele prevalece sobre os direitos e liberdades fundamentais do titular.' },
        { t: 'As legítimas expectativas do titular: se ele, no momento em que forneceu o dado, esperaria razoavelmente aquele uso.', ok: true, why: 'O art. 10, II, fala expressamente em "respeitadas as legítimas expectativas dele e os direitos e liberdades fundamentais". Quem responde a um questionário de triagem psicológica não pode esperar que aquilo alimente uma campanha publicitária.' },
        { t: 'O consentimento tácito, presumido pela ausência de oposição do titular.', ok: false, why: 'Não existe consentimento tácito na LGPD. O art. 5º, XII, exige manifestação livre, informada e inequívoca. E o legítimo interesse é base autônoma, que não se apoia em consentimento algum.' },
        { t: 'A anonimização prévia dos dados tratados.', ok: false, why: 'Se o dado estivesse verdadeiramente anonimizado, sairia do alcance da lei pelo art. 12 e não haveria base legal a discutir.' }
      ],
      nota: 'O legítimo interesse não é curinga. O §1º do art. 10 limita o tratamento aos dados estritamente necessários, o §2º impõe transparência e o §3º permite que a autoridade exija relatório de impacto — foi o que ela fez no caso Meta.'
    },
    {
      sec: '6.2.2',
      q: 'Um órgão público municipal firma convênio para repassar a uma empresa privada de tecnologia a base de beneficiários de um programa social, a fim de que ela desenvolva soluções comerciais próprias. Sobre a operação:',
      opts: [
        { t: 'É livre, pois o Poder Público trata dados com base no atendimento de sua finalidade pública.', ok: false, why: 'A finalidade pública é a base legal do tratamento pelo Estado, não uma autorização para qualquer destinação posterior dos dados.' },
        { t: 'É vedada pelo art. 26, §1º, que proíbe ao Poder Público transferir a entidades privadas dados das bases a que tenha acesso, salvo hipóteses tipificadas — entre as quais não se inclui o desenvolvimento de soluções comerciais próprias do parceiro.', ok: true, why: 'As hipóteses ressalvadas são a execução descentralizada de atividade pública, a previsão legal ou o respaldo em contratos e convênios com essa finalidade, a prevenção de fraudes e a hipótese de dados já publicamente acessíveis. O Estado reúne, por imposição legal, bases que nenhuma empresa conseguiria montar.' },
        { t: 'É permitida desde que os beneficiários sejam previamente informados.', ok: false, why: 'A informação é dever de transparência que se soma às demais exigências, e não substitui a vedação legal.' },
        { t: 'É permitida porque o convênio, sendo instrumento público, supre qualquer restrição.', ok: false, why: 'O convênio pode dar respaldo a hipóteses tipificadas, e deve ser comunicado à autoridade nacional. Não converte em lícito aquilo que a lei veda.' }
      ],
      nota: 'A razão da vedação é estrutural: permitir esse fluxo transformaria a obrigação de fornecer dados ao Estado numa fonte de vantagem comercial para terceiros.'
    },
    {
      sec: '6.2.2',
      q: 'Ocorre vazamento a partir de falha de configuração no servidor da empresa contratada para hospedagem. O contrato entre controlador e operador trata apenas de preço e disponibilidade. Sobre a responsabilidade:',
      opts: [
        { t: 'Só o operador responde, pois a falha técnica foi dele.', ok: false, why: 'Ignora que o controlador responde pelas decisões que tomou, entre elas a de contratar sem exigir garantias e a de não verificar o cumprimento de instrução alguma, como manda a segunda metade do art. 39.' },
        { t: 'O operador pode responder solidariamente com o controlador, e a ausência de instruções contratuais prejudica justamente o direito de regresso do controlador.', ok: true, why: 'O art. 42, §1º, I, torna o operador solidário quando descumpre a legislação ou não segue as instruções lícitas do controlador, hipótese em que se equipara a ele. Sem instruções escritas, o controlador não consegue demonstrar quais foram descumpridas, e enfraquece o regresso que o §4º lhe asseguraria.' },
        { t: 'Nenhum dos dois responde, por se tratar de fato de terceiro, excludente do art. 43, III.', ok: false, why: 'Falha do próprio operador contratado não é fato de terceiro. E, mesmo que fosse, o art. 43, III, exige culpa exclusiva de terceiro, como o STJ decidiu no REsp 2.147.374/SP.' },
        { t: 'Só o controlador responde, e o operador é mero executor sem deveres próprios.', ok: false, why: 'O operador tem deveres próprios de segurança, pelo art. 46, e de registro das operações, pelo art. 37.' }
      ]
    },
    {
      sec: '6.2.2',
      q: 'No REsp 2.147.374/SP, ao definir quando o tratamento é irregular, o STJ trabalhou com a noção de expectativa de legítima proteção. Ela decorre de qual dispositivo e de qual raciocínio?',
      opts: [
        { t: 'Do art. 43, que lista as excludentes de responsabilidade, exigindo prova de culpa do agente.', ok: false, why: 'O art. 43 trata das excludentes, e o sistema da LGPD não é de culpa. O ponto do acórdão foi justamente afastar a excludente de terceiro por falta de exclusividade.' },
        { t: 'Do caput do art. 44, segundo o qual o tratamento é irregular quando deixa de observar a legislação ou quando não fornece a segurança que o titular dele pode esperar — padrão de expectativa, e não de culpa.', ok: true, why: 'Os incisos I a III do artigo apenas listam as circunstâncias relevantes a considerar: o modo pelo qual o tratamento é realizado, o resultado e os riscos que dele razoavelmente se esperam, e as técnicas disponíveis à época.' },
        { t: 'Do art. 42, §2º, que permite ao juiz inverter o ônus da prova.', ok: false, why: 'A inversão do ônus é instrumento processual em favor do titular, quando verossímil a alegação ou havendo hipossuficiência. Não define o que é tratamento irregular.' },
        { t: 'Do art. 6º, VII, que consagra o princípio da segurança, sem repercussão sobre a responsabilidade civil.', ok: false, why: 'O princípio da segurança é premissa do raciocínio, mas a definição de tratamento irregular está no art. 44 — e ela tem repercussão direta sobre a responsabilidade civil.' }
      ],
      nota: 'O acórdão registrou ainda que compliance de dados não é apenas obediência à lei, mas comprovação da efetividade dos programas de conformidade. É o princípio da responsabilização e prestação de contas, do Bloco 1, aparecendo como fundamento de condenação.'
    },

    /* ===== BLOCO 3 ===== */
    {
      sec: '6.2.3',
      q: 'Um titular requer ao controlador a confirmação da existência de tratamento e o acesso aos seus dados. Sobre a forma e os prazos do art. 19:',
      opts: [
        { t: 'O controlador tem quinze dias para qualquer forma de resposta.', ok: false, why: 'O prazo de quinze dias vale para a declaração clara e completa. A resposta em formato simplificado é devida imediatamente.' },
        { t: 'Em formato simplificado, a resposta é imediata; por declaração clara e completa, indicando origem dos dados, critérios utilizados e finalidade, o prazo é de até quinze dias.', ok: true, why: 'São duas vias distintas no mesmo artigo. E o §3º acrescenta que, quando o tratamento tem origem em consentimento ou contrato, o titular pode pedir cópia eletrônica integral, em formato que permita uso posterior.' },
        { t: 'O prazo é de trinta dias, prorrogável mediante justificativa.', ok: false, why: 'Não há prazo de trinta dias nem previsão de prorrogação nesse dispositivo.' },
        { t: 'A resposta pode ser cobrada quando o volume de dados for expressivo.', ok: false, why: 'O art. 18, §5º, determina o atendimento sem custos para o titular, sem ressalva por volume.' }
      ]
    },
    {
      sec: '6.2.3',
      q: 'Uma pessoa tem crédito negado por sistema automatizado, sem qualquer intervenção humana, e requer a revisão da decisão. À luz do art. 20 na redação vigente:',
      opts: [
        { t: 'Tem direito a que a revisão seja feita necessariamente por pessoa natural.', ok: false, why: 'Corresponde à intuição de muita gente e ao texto original de 2018, mas não à lei vigente. A expressão "por pessoa natural" foi suprimida pela MP 869/2018, a supressão foi mantida pela Lei 13.853/2019, e o §3º que tentava reintroduzi-la foi vetado.' },
        { t: 'Tem direito à revisão e a informações claras sobre os critérios e procedimentos, mas a lei não exige que a revisão seja humana.', ok: true, why: 'É o ponto mais sutil do bloco. Garante-se que haja revisão, não que ela seja feita por um ser humano. A consequência prática é desconfortável: o banco pode, em tese, submeter o caso a outro processo automatizado.' },
        { t: 'Não tem direito algum, pois a decisão se apoia em modelo estatístico protegido por segredo comercial.', ok: false, why: 'Ignora o §1º, que obriga o controlador a fornecer, sempre que solicitadas, informações claras e adequadas sobre os critérios e procedimentos utilizados.' },
        { t: 'Tem direito às informações, mas a instituição pode negá-las integralmente invocando segredo comercial, sem qualquer consequência.', ok: false, why: 'Acerta que o segredo comercial é ressalva legítima, mas erra na consequência. Pelo §2º, a recusa fundada em segredo autoriza a autoridade nacional a realizar auditoria para verificar aspectos discriminatórios. A ressalva protege a empresa contra o titular, não contra o regulador.' }
      ],
      nota: 'Se dados sensíveis alimentaram o escore, some-se a discussão sob o princípio da não discriminação, do art. 6º, IX, e sob o art. 21: os dados referentes ao exercício regular de direitos pelo titular não podem ser utilizados em seu prejuízo.'
    },
    {
      sec: '6.2.3',
      q: 'Uma clínica toma conhecimento, numa segunda-feira, de que uma base com dados de saúde de pacientes ficou exposta na internet. Sobre o dever de comunicação:',
      opts: [
        { t: 'Basta comunicar os titulares afetados; a comunicação à autoridade é facultativa.', ok: false, why: 'O art. 48 impõe a comunicação à autoridade nacional E ao titular. Nenhuma das duas é facultativa quando há risco ou dano relevante.' },
        { t: 'Deve comunicar autoridade e titulares em até três dias úteis do conhecimento de que o incidente afetou dados pessoais, informando, no mínimo, a natureza dos dados, os riscos e as medidas adotadas.', ok: true, why: 'A lei falava em prazo razoável, e a Resolução CD/ANPD nº 15, de 24 de abril de 2024, fixou os três dias úteis, admitindo a complementação das informações em até vinte dias úteis contados da comunicação inicial. O §1º do art. 48 lista seis conteúdos mínimos.' },
        { t: 'Não precisa comunicar, pois o vazamento decorreu de falha do provedor de nuvem contratado.', ok: false, why: 'Confunde a responsabilidade pelo incidente com o dever de comunicação, que é do controlador, independentemente de quem tenha causado a falha.' },
        { t: 'Deve comunicar todo e qualquer incidente de segurança, ainda que sem risco relevante.', ok: false, why: 'É o distrator mais sutil. A lei exige a comunicação apenas dos incidentes capazes de acarretar risco ou dano relevante aos titulares. Aqui, tratando-se de dados sensíveis de saúde, o risco relevante é evidente.' }
      ]
    },
    {
      sec: '6.2.3',
      q: 'Sobre a natureza jurídica da autoridade nacional de proteção de dados após a Lei 15.352/2026:',
      opts: [
        { t: 'Permanece órgão da administração pública federal sem personalidade jurídica própria.', ok: false, why: 'Essa era a configuração de 2019. Em 2022 ela se tornou autarquia de natureza especial, pela Lei 14.460.' },
        { t: 'É a Agência Nacional de Proteção de Dados, autarquia de natureza especial vinculada ao Ministério da Justiça e Segurança Pública, submetida à Lei 13.848/2019 — sem que a lei tenha abandonado a expressão "autoridade nacional" como termo funcional.', ok: true, why: 'A sigla ANPD sobreviveu à troca de nome, mas onde se lia Autoridade lê-se agora Agência, inclusive no art. 5º, VIII. Foi a remissão à lei geral das agências reguladoras, inserida no art. 55-A, que lhe deu essa natureza. E o art. 5º, XIX, continua definindo a "autoridade nacional", termo que designa a competência.' },
        { t: 'Tornou-se autoridade independente desvinculada de qualquer ministério.', ok: false, why: 'A vinculação ao Ministério da Justiça e Segurança Pública permanece. Autonomia funcional, técnica, decisória, administrativa e financeira não é o mesmo que desvinculação.' },
        { t: 'Foi transformada em conselho consultivo multissetorial.', ok: false, why: 'Confunde a agência com o Conselho Nacional de Proteção de Dados Pessoais e da Privacidade, órgão consultivo de vinte e três representantes que funciona ao lado dela. O Conselho aconselha; a agência decide.' }
      ]
    },
    {
      sec: '6.2.3',
      q: 'Sobre as sanções administrativas do art. 52 aplicadas a entidades e órgãos públicos:',
      opts: [
        { t: 'Aplicam-se integralmente, inclusive as multas, em paridade com o setor privado.', ok: false, why: 'É justamente o contrário do que dispõe o §3º, e a diferença é relevante para compreender o alcance real da fiscalização.' },
        { t: 'Aplicam-se apenas as sanções dos incisos I, IV, V, VI, X, XI e XII — ficando de fora, precisamente, as duas espécies de multa.', ok: true, why: 'Advertência, publicização, bloqueio, eliminação, suspensão parcial do banco de dados, suspensão da atividade e proibição de tratar alcançam o Poder Público. Multa simples e multa diária, não. O parágrafo integrava as partes vetadas do projeto e só vigora porque o Congresso derrubou o veto.' },
        { t: 'Nenhuma sanção se aplica a órgãos públicos, cabendo apenas o informe do art. 31.', ok: false, why: 'O informe do art. 31 é uma providência entre outras. O §3º do art. 52 lista expressamente sete espécies sancionatórias aplicáveis ao Poder Público.' },
        { t: 'Aplicam-se todas as sanções, mas com valor de multa reduzido pela metade.', ok: false, why: 'A lei não prevê redução de valor. Prevê a exclusão das espécies de multa do rol aplicável.' }
      ],
      nota: 'Some-se o dado institucional: a autoridade elegeu o tratamento de dados pelo Poder Público entre suas quatro prioridades de fiscalização para o biênio 2026-2027. Fiscaliza com afinco aquilo que não pode punir no bolso.'
    },
    {
      sec: '6.2.3',
      q: 'Sobre o teto da multa simples do art. 52, II, e seu efeito prático:',
      opts: [
        { t: 'O percentual de 2% do faturamento incide sem qualquer limite de valor, o que torna a sanção sempre proporcional ao porte do infrator.', ok: false, why: 'O mesmo inciso fixa limite de R$ 50 milhões por infração. É esse teto que produz o efeito descrito na Crítica do capítulo.' },
        { t: 'A multa é de até 2% do faturamento no Brasil no último exercício, excluídos tributos, limitada a R$ 50 milhões por infração — de modo que, quanto maior a empresa, mais o teto atenua o percentual.', ok: true, why: 'Para a imensa maioria das empresas brasileiras o teto nunca é alcançado e o que vale é o percentual. Para as poucas cujo faturamento tornaria 2% uma cifra capaz de alterar decisões de negócio, o teto converte a sanção em despesa previsível e orçável.' },
        { t: 'O teto de R$ 50 milhões é anual, somando todas as infrações do exercício.', ok: false, why: 'O limite é por infração, e não por exercício. A distinção altera substancialmente o cálculo em casos com múltiplas condutas.' },
        { t: 'A multa incide sobre o faturamento global do grupo, e não apenas sobre o auferido no Brasil.', ok: false, why: 'A base é o faturamento no Brasil. O §4º só autoriza considerar o faturamento total quando a autoridade não dispuser do valor no ramo de atividade em que ocorreu a infração, ou quando ele for apresentado de forma incompleta ou não demonstrado de forma idônea.' }
      ]
    }
  ];

  var NOMES = {
    '6.2.1': 'Bloco 1 · O que a lei protege e onde incide',
    '6.2.2': 'Bloco 2 · Agentes, bases legais e responsabilidade',
    '6.2.3': 'Bloco 3 · Direitos do titular e fiscalização'
  };
  var CLASSES = { '6.2.1': 's1', '6.2.2': 's2', '6.2.3': 's3' };

  var MSGS = {
    high: 'Excelente. Você separa privacidade de autodeterminação informativa, sabe que as dez bases do art. 7º não valem para dado sensível e não confunde princípio com base legal — que é o essencial do capítulo.',
    mid: 'Bom desempenho. Vale reler os pontos em que houve erro: a cumulatividade dos requisitos do art. 4º, I, e a supressão de "por pessoa natural" no art. 20 costumam ser cobradas com pegadinha.',
    low: 'Convém reler o capítulo. Comece pelos dez princípios do art. 6º agrupados por função: sem eles, nem as bases legais do Bloco 2 nem os direitos do Bloco 3 se organizam.'
  };

  var LETTERS = ['A', 'B', 'C', 'D'];
  var idx = 0, hits = 0, answered = [], current = [];

  function shuffle(a) {
    for (var i = a.length - 1; i > 0; i--) {
      var j = Math.floor(Math.random() * (i + 1));
      var t = a[i]; a[i] = a[j]; a[j] = t;
    }
    return a;
  }

  var stage = document.getElementById('stage');
  var bar = document.getElementById('bar');
  var pos = document.getElementById('pos');
  var hitsEl = document.getElementById('hits');
  var result = document.getElementById('result');
  document.getElementById('tot').textContent = QS.length;

  function updateMeta() {
    bar.style.width = (idx / QS.length * 100) + '%';
    pos.textContent = 'Questão ' + (idx + 1) + ' de ' + QS.length;
    hitsEl.textContent = hits + (hits === 1 ? ' acerto' : ' acertos');
  }

  function render() {
    var q = QS[idx];
    updateMeta();

    var card = document.createElement('div');
    card.className = 'qz-card';

    var sec = document.createElement('span');
    sec.className = 'qz-sec ' + CLASSES[q.sec];
    sec.textContent = NOMES[q.sec];
    card.appendChild(sec);

    var h = document.createElement('p');
    h.className = 'qz-q';
    h.textContent = q.q;
    card.appendChild(h);

    var list = document.createElement('div');
    list.className = 'qz-opts';

    current = shuffle(q.opts.slice());
    current.forEach(function (o, i) {
      var b = document.createElement('button');
      b.className = 'qz-opt';
      b.type = 'button';

      var l = document.createElement('span');
      l.className = 'letter';
      l.textContent = LETTERS[i];

      var box = document.createElement('span');
      box.className = 'txt';
      box.textContent = o.t;

      var w = document.createElement('span');
      w.className = 'why';
      w.textContent = o.why;
      box.appendChild(w);

      b.appendChild(l);
      b.appendChild(box);
      b.addEventListener('click', function () { choose(i, list, card); });
      list.appendChild(b);
    });

    card.appendChild(list);

    var note = document.createElement('div');
    note.className = 'qz-note';
    if (q.nota) note.innerHTML = '<b>Vale reter:</b> ' + q.nota;
    card.appendChild(note);

    var nav = document.createElement('div');
    nav.className = 'qz-nav';
    var next = document.createElement('button');
    next.className = 'qz-btn primary';
    next.type = 'button';
    next.hidden = true;
    next.textContent = (idx === QS.length - 1) ? 'Ver resultado' : 'Próxima questão';
    next.addEventListener('click', advance);
    nav.appendChild(next);
    card.appendChild(nav);

    stage.innerHTML = '';
    stage.appendChild(card);
  }

  function choose(pick, list, card) {
    var q = QS[idx];
    var btns = list.querySelectorAll('.qz-opt');
    var right = -1;
    current.forEach(function (o, i) { if (o.ok) right = i; });

    for (var i = 0; i < btns.length; i++) {
      btns[i].disabled = true;
      btns[i].classList.add('shown');
      if (i === right) btns[i].classList.add('correct');
      else if (i === pick) btns[i].classList.add('wrong');
      else btns[i].classList.add('muted');
    }

    if (pick === right) hits++;
    answered.push({ sec: q.sec, ok: pick === right });

    if (q.nota) card.querySelector('.qz-note').classList.add('on');
    card.querySelector('.qz-btn.primary').hidden = false;
    hitsEl.textContent = hits + (hits === 1 ? ' acerto' : ' acertos');
  }

  function advance() {
    if (idx === QS.length - 1) { finish(); return; }
    idx++;
    render();
  }

  function finish() {
    stage.innerHTML = '';
    bar.style.width = '100%';
    pos.textContent = 'Concluído';
    result.hidden = false;

    var pctv = Math.round(hits / QS.length * 100);
    document.getElementById('final').textContent = hits;
    document.getElementById('pct').textContent = pctv + '% de acerto';

    var m = document.getElementById('msg');
    m.textContent = pctv >= 85 ? MSGS.high : (pctv >= 60 ? MSGS.mid : MSGS.low);

    var by = {};
    answered.forEach(function (a) {
      if (!by[a.sec]) by[a.sec] = { ok: 0, n: 0 };
      by[a.sec].n++;
      if (a.ok) by[a.sec].ok++;
    });

    var wrap = document.getElementById('break');
    wrap.innerHTML = '';
    Object.keys(by).sort().forEach(function (k) {
      var d = by[k];
      var row = document.createElement('div');
      row.className = 'qz-brow';
      var cls = d.ok === d.n ? 'full' : (d.ok === 0 ? 'none' : 'part');
      row.innerHTML = '<span class="s">' + k + '</span><span class="t">' + NOMES[k] + '</span>' +
                      '<span class="v ' + cls + '">' + d.ok + '/' + d.n + '</span>';
      wrap.appendChild(row);
    });
  }

  document.getElementById('again').addEventListener('click', function () {
    idx = 0; hits = 0; answered = [];
    result.hidden = true;
    render();
  });

  render();
})();
</script>
</body>
</html>

graph LR
  ROOT["LGPD
Lei 13.709/2018"]

  ROOT --> CASO["6.1 Caso
dois lados"]
  ROOT --> B1["Bloco 1
O que protege"]
  ROOT --> B2["Bloco 2
Quem trata"]
  ROOT --> B3["Bloco 3
Titular e fiscalização"]
  ROOT --> CRIT["6.3 Crítica
arquivo vs modelo"]

  CASO --> MAR["Lado Marina"]
  CASO --> CLI["Lado Clínica"]

  MAR --> M1["Anúncios de
ansiedade"]
  MAR --> M2["E-mail de
incidente vago"]
  MAR --> M3["Crédito negado
sem motivo"]
  MAR --> M4["Quer: saber
corrigir e apagar"]

  CLI --> C1["Perguntas sem
finalidade escrita"]
  CLI --> C2["Caixa única
Li e aceito"]
  CLI --> C3["Nuvem sem
cláusula de segurança"]
  CLI --> C4["Lista a agência
de publicidade"]
  CLI --> C5["Encarregada
só depois do dano"]

  B1 --> CONC["Conceitos-base
art. 5º"]
  B1 --> INC["Incidência
arts. 1º a 4º"]
  B1 --> PRIN["10 princípios
art. 6º"]
  B1 --> STF["ADI 6387
STF 2020"]

  CONC --> CC1["Autodeterminação
≠ privacidade"]
  CONC --> CC2["Dado pessoal:
identificado ou identificável"]
  CONC --> CC3["Sensível: lista
taxativa + saúde"]
  CONC --> CC4["Tratamento:
quase toda operação"]
  CONC --> CC5["Anonimizado sai
Pseudônimo fica"]

  INC --> I1["Quem: qualquer
pessoa ou órgão"]
  INC --> I2["Meio: papel
também conta"]
  INC --> I3["Onde: sede e
servidor irrelevam"]
  INC --> I4["Exceção doméstica:
particular E não econômico"]
  INC --> I5["EC 115: direito
fundamental autônomo"]

  PRIN --> P1["Para quê:
finalidade + adequação"]
  PRIN --> P2["Quanto:
necessidade"]
  PRIN --> P3["Titular: acesso
qualidade transparência"]
  PRIN --> P4["Agente: segurança
e prevenção"]
  PRIN --> P5["Resultado:
não discriminação"]
  PRIN --> P6["Prova de tudo:
prestação de contas"]

  STF --> S1["MP 954 sem
finalidade nem prazo"]
  STF --> S2["Proteção extraída
antes da emenda"]

  B2 --> AG["Agentes"]
  B2 --> BASE["Bases legais"]
  B2 --> SENS["Dado sensível
art. 11"]
  B2 --> PUB["Poder Público
arts. 23-32"]
  B2 --> RESP["Responsabilidade
arts. 42-45"]

  AG --> A1["Controlador
decide"]
  AG --> A2["Operador
executa e verifica-se"]
  AG --> A3["Encarregado
canal e prevenção"]

  BASE --> BA1["Regra de ouro:
sem base = ilícito"]
  BASE --> BA2["Consentimento
não é a regra"]
  BASE --> BA3["Tutela da saúde
para a terapia"]
  BASE --> BA4["Li e aceito
inválido"]
  BASE --> BA5["Legítimo interesse:
expectativa do titular"]

  SENS --> SE1["Sem interesse
nem contrato"]
  SENS --> SE2["Art. 11 §4º veda
saúde por lucro"]

  PUB --> PU1["Finalidade pública
não as 10 bases"]
  PUB --> PU2["Veda ceder bases
ao privado"]
  PUB --> PU3["Sem multa
art. 52 §3º"]

  RESP --> R1["Solidariedade
clínica + nuvem"]
  RESP --> R2["Inversão do
ônus da prova"]
  RESP --> R3["STJ: expectativa
de proteção"]
  RESP --> R4["ANPD x Meta:
interesse não é cheque"]

  B3 --> DIR["9 direitos
art. 18"]
  B3 --> AUTO["Decisão
automatizada"]
  B3 --> FIM["Término e
eliminação"]
  B3 --> SEG["Segurança e
incidente"]
  B3 --> ANPD["ANPD agora
Agência"]
  B3 --> SAN["Sanções
art. 52"]

  DIR --> D1["Saber: confirmação
acesso e com quem"]
  DIR --> D2["Corrigir dados"]
  DIR --> D3["Limitar: bloquear
apagar revogar"]
  DIR --> D4["Sair: portar
e recusar"]
  DIR --> D5["Prazo: já ou
até 15 dias"]

  AUTO --> AU1["Há revisão
não necessariamente humana"]
  AUTO --> AU2["Direito à
explicação"]
  AUTO --> AU3["Segredo não
barra a ANPD"]

  FIM --> F1["Apagar é regra
guardar é exceção"]
  FIM --> F2["Prontuário fica
lista de marketing sai"]

  SEG --> SG1["Privacy by
design"]
  SEG --> SG2["Avisar em
3 dias úteis"]
  SEG --> SG3["E-mail da clínica
descumpre o art. 48"]

  ANPD --> N1["2019 órgão
2026 agência"]
  ANPD --> N2["Multa até 2%
teto R$ 50 mi"]
  ANPD --> N3["Suspensão de
tratar pode ser pior"]
  ANPD --> N4["Quem documenta
paga menos"]

  CRIT --> K1["Lei do arquivo
aplicada ao modelo"]
  CRIT --> K2["Apagar o dado
não apaga o padrão"]
  CRIT --> K3["Valor no agregado
proteção no indivíduo"]
  CRIT --> K4["Teto da multa
amansa o gigante"]
  CRIT --> K5["Útil no cadastro
fraca no capital de dados"]

  classDef root fill:#1e3a5f,stroke:#152a45,color:#fff,font-weight:bold
  classDef bloco fill:#0f6b6b,stroke:#0a4f4f,color:#fff
  classDef lado fill:#3f3a6b,stroke:#2d2950,color:#fff
  classDef item fill:#e8f2f2,stroke:#0f6b6b,color:#143838
  classDef alerta fill:#f9edec,stroke:#b04a45,color:#7a2e2b
  classDef ouro fill:#faf2e3,stroke:#9a6b16,color:#5c400c
  classDef crit fill:#5a4a8a,stroke:#3f3463,color:#fff
  classDef leaf fill:#f5f5f9,stroke:#9aa3b2,color:#2b3340

  class ROOT root
  class B1,B2,B3 bloco
  class CASO,MAR,CLI lado
  class CONC,INC,PRIN,AG,BASE,DIR,ANPD item
  class SENS,RESP,AUTO,SEG,SAN,STF alerta
  class PUB,FIM,CRIT crit
  class M1,M2,M3,M4,C1,C2,C3,C4,C5,CC1,CC2,CC3,CC4,CC5,I1,I2,I3,I4,I5,P1,P2,P3,P4,P5,P6,S1,S2,A1,A2,A3,BA1,BA2,BA3,BA4,BA5,SE1,SE2,PU1,PU2,PU3,R1,R2,R3,R4,D1,D2,D3,D4,D5,AU1,AU2,AU3,F1,F2,SG1,SG2,SG3,N1,N2,N3,N4,K1,K2,K3,K4,K5 leaf