Não tem jeito: a LGPD virou presença obrigatória em edital. Depois que a proteção de dados pessoais entrou na Constituição como direito fundamental (EC 115/2022), a Lei nº 13.709/2018 deixou de ser “assunto de TI” e caiu de vez no colo do concurseiro — em Direito Constitucional, Administrativo, Digital e até em Informática. A boa notícia? A banca cobra quase sempre os mesmos pontos: conceitos do art. 5º, princípios, bases legais, direitos do titular, papel da ANPD e, principalmente, prazos e números. Este é o resumo esquematizado que você precisa para não errar mais.
O que é a LGPD?
A LGPD (Lei Geral de Proteção de Dados Pessoais) é a Lei nº 13.709, de 14 de agosto de 2018. Ela regula o tratamento de dados pessoais — por pessoas físicas ou jurídicas, de direito público ou privado — com o objetivo de proteger os direitos fundamentais de liberdade, de privacidade e o livre desenvolvimento da personalidade da pessoa natural. Inspirada no GDPR europeu, ela vale para o meio físico e digital.
Guarde já a pegadinha number um: a LGPD protege dados de pessoa natural (o ser humano vivo). Dados de pessoa jurídica não são objeto de proteção da lei.
Linha do tempo: as datas que a banca adora cobrar
Datas de vigência são campeãs de pegadinha porque a LGPD entrou em vigor “em fatias”. Decore esta sequência:
- 14/08/2018 — publicação da Lei nº 13.709.
- 18/09/2020 — entrada em vigor da maior parte da lei.
- 01/08/2021 — passam a valer as sanções administrativas (arts. 52, 53 e 54).
E as atualizações mais recentes, que separam o candidato atualizado do desatualizado:
- EC 115/2022 — proteção de dados pessoais vira direito fundamental (art. 5º, LXXIX) e competência da União (arts. 21, XXVI, e 22, XXX, da CF).
- Lei 14.460/2022 — a ANPD deixa de ser órgão da Presidência e se torna autarquia de natureza especial (mais autonomia).
- Resolução CD/ANPD nº 4/2023 — regulamento de dosimetria e aplicação das sanções.
- Resolução CD/ANPD nº 15/2024 — fixa o prazo de 3 dias úteis para comunicar incidente de segurança.
- Resolução CD/ANPD nº 19/2024 — regras de transferência internacional e cláusulas-padrão contratuais (período de adequação encerrado em 23/08/2025).
Conceitos-chave do art. 5º (é aqui que a banca arma a cilada)
Dado pessoal x dado sensível x dado anonimizado
Dado pessoal é a informação relacionada a pessoa natural identificada ou identificável. Dado pessoal sensível é uma categoria especial, com proteção reforçada. Para nunca esquecer quais são os sensíveis, use o mnemônico:
“Raça, Credo, Política, Filiação, Saúde, Sexo, Genética e Biometria”
- Raça (origem racial ou étnica)
- Credo (convicção religiosa)
- Política (opinião política)
- Filiação a sindicato ou a organização de caráter religioso, filosófico ou político
- Saúde
- Sexo (dado referente à vida sexual)
- Genético
- Biométrico
Dado anonimizado é aquele que perdeu a possibilidade de associação a um indivíduo. Como regra, ele fica fora do alcance da LGPD — salvo quando o processo de anonimização for revertido com esforço razoável. Não confunda com pseudonimização: o dado pseudonimizado ainda é dado pessoal e continua protegido.
Controlador, operador e encarregado
Três figuras que a banca adora trocar de lugar:
- Controlador — a quem competem as decisões sobre o tratamento.
- Operador — realiza o tratamento em nome do controlador.
- Encarregado (DPO) — o canal de comunicação entre controlador, titulares e ANPD. Pode ser pessoa física ou jurídica.
Pegadinha clássica: os agentes de tratamento são apenas o controlador e o operador. O encarregado NÃO é agente de tratamento.
Fundamentos e princípios (arts. 2º e 6º)
A disciplina da proteção de dados tem 7 fundamentos (art. 2º) — entre eles o respeito à privacidade e a autodeterminação informativa. Mas o que mais cai são os 10 princípios do art. 6º, todos regidos pela boa-fé (o caput). Para decorar sem sofrer, agrupe em 3 + 3 + 3 + 1:
- Trio da coleta (FAN): Finalidade, Adequação, Necessidade.
- Trio do titular: Livre acesso, Qualidade dos dados, Transparência.
- Trio da proteção: Segurança, Prevenção, Não discriminação.
- Fecho (accountability): Responsabilização e prestação de contas.
O princípio da não discriminação proíbe o tratamento para fins discriminatórios ilícitos ou abusivos — cai muito.
Gosta de mnemônico? Veja também o nosso guia dos princípios da Administração Pública (LIMPE).
Bases legais: tratar dados NÃO é só pedir consentimento (arts. 7º e 11)
Talvez a maior pegadinha de todas: o candidato acha que todo tratamento precisa de consentimento. Errado. O consentimento é apenas UMA das 10 hipóteses legais do art. 7º. As outras incluem: cumprimento de obrigação legal, execução de políticas públicas, estudos por órgão de pesquisa, execução de contrato, exercício regular de direitos, proteção da vida, tutela da saúde, legítimo interesse e proteção do crédito.
Agora o pulo do gato: para dados sensíveis (art. 11), a lista é diferente e mais restrita. Não existe “legítimo interesse” nem “proteção do crédito” como base para dado sensível. Se a questão disser que se pode tratar dado sensível com base no legítimo interesse, está errada.
Direitos do titular (art. 18)
O titular tem 9 direitos, exercidos gratuitamente. Os mais cobrados: confirmação da existência de tratamento, acesso, correção, anonimização/bloqueio/eliminação de dados desnecessários ou tratados em desconformidade, portabilidade, eliminação dos dados tratados com consentimento e revogação do consentimento. Cai muito a ideia de que o titular pode pedir a portabilidade dos dados a outro fornecedor.
ANPD e sanções: o que você não pode errar (art. 52)
A ANPD é a autoridade competente para fiscalizar e aplicar sanções — competência exclusiva dela no âmbito administrativo da LGPD. As sanções vão da advertência até a proibição das atividades de tratamento. A estrela das provas é a multa simples:
- Multa de até 2% do faturamento da empresa (grupo/conglomerado) no Brasil, no último exercício, excluídos os tributos;
- limitada a R$ 50 milhões POR INFRAÇÃO (e não por ano).
Também existem multa diária, publicização da infração, bloqueio e eliminação dos dados e, acrescentadas pela Lei 13.853/2019, a suspensão (do banco de dados ou da atividade, por até 6 meses, prorrogável) e a proibição parcial ou total das atividades. Atenção: a LGPD não prevê pena de prisão — não tipifica crime. As sanções são administrativas.
Prazos e números da LGPD (tabela-resumo para revisar na véspera)
| Tema | O que decorar | Base |
|---|---|---|
| Vigência geral | 18/09/2020 | Lei 13.709/2018 |
| Sanções administrativas | 01/08/2021 | arts. 52 a 54 |
| Resposta ao titular | Imediata (formato simplificado) ou até 15 dias (declaração completa) | art. 19 |
| Comunicar incidente (à ANPD e ao titular) | 3 dias úteis (em dobro p/ agente de pequeno porte) | Res. ANPD 15/2024 |
| Registro do incidente | Guardar por no mínimo 5 anos | Res. ANPD 15/2024 |
| Multa simples | Até 2% do faturamento, teto de R$ 50 mi por infração | art. 52, II |
| Suspensão (banco de dados/atividade) | Até 6 meses, prorrogável por igual período | art. 52 (Lei 13.853/19) |
| Números para lembrar | 7 fundamentos · 10 princípios · 10 bases legais · 9 direitos | arts. 2º, 6º, 7º e 18 |
As pegadinhas que mais derrubam candidato
- “Todo tratamento exige consentimento.” Falso. Consentimento é 1 de 10 bases legais.
- “Dado sensível pode ser tratado por legítimo interesse.” Falso. Para sensível (art. 11) não existe legítimo interesse nem proteção ao crédito.
- “A LGPD protege dados de pessoa jurídica.” Falso. Só pessoa natural.
- “O encarregado é agente de tratamento.” Falso. Agentes = controlador e operador.
- “A LGPD prevê prisão.” Falso. As sanções são administrativas; não há tipo penal.
- “A multa é limitada a R$ 50 milhões por ano.” Falso. É por infração.
- “Incidente deve ser comunicado em prazo razoável.” Esse é o texto da lei (art. 48), mas o regulamento da ANPD fixou 3 dias úteis. Fique atento ao enunciado.
- “Dado anonimizado é sempre dado pessoal.” Falso. Em regra fica fora da LGPD (salvo reversão). Já a pseudonimização continua sendo dado pessoal.
- “A ANPD é órgão da Presidência da República.” Desatualizado. Desde a Lei 14.460/2022 é autarquia de natureza especial.
- “A LGPD se aplica a qualquer tratamento.” Falso. Há exceções (art. 4º): uso particular e não econômico, fins jornalístico, artístico e acadêmico, e segurança pública/defesa/investigação penal.
Como memorizar a LGPD de vez
Lei cheia de listas (7 fundamentos, 10 princípios, 10 bases, 9 direitos) não se decora lendo — se decora vendo o todo de uma vez. É exatamente para isso que serve um mapa mental: ele coloca artigo, conceito e prazo no mesmo campo visual e ativa a memória por associação. Estude pelo mapa abaixo, feche os olhos e tente redesenhá-lo. Depois, revise em ciclos (24h, 7 dias, 30 dias) — a lógica da curva do esquecimento. É assim que o conteúdo migra para a memória de longo prazo — e é assim que você chega na prova com a LGPD na ponta da língua.
Perguntas frequentes sobre a LGPD
Quando a LGPD entrou em vigor?
A maior parte da lei entrou em vigor em 18 de setembro de 2020. As sanções administrativas (arts. 52 a 54) só passaram a valer em 1º de agosto de 2021.
Quais são os dados pessoais sensíveis?
São os relativos a origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso/filosófico/político, saúde, vida sexual, e dado genético ou biométrico. Mnemônico: Raça, Credo, Política, Filiação, Saúde, Sexo, Genética e Biometria.
O consentimento é sempre obrigatório na LGPD?
Não. O consentimento é apenas uma das 10 bases legais do art. 7º. O tratamento pode se apoiar em obrigação legal, execução de contrato, legítimo interesse, tutela da saúde, entre outras.
Qual o valor máximo da multa da LGPD?
A multa simples é de até 2% do faturamento da empresa no Brasil (excluídos tributos), limitada a R$ 50 milhões por infração.
Em quanto tempo um incidente de segurança deve ser comunicado?
Pela Resolução CD/ANPD nº 15/2024, o controlador deve comunicar o incidente à ANPD e aos titulares em 3 dias úteis (prazo em dobro para agentes de pequeno porte).
Conclusão: transforme teoria em acerto na prova
A LGPD é uma das disciplinas com melhor custo-benefício do seu edital: poucas listas, muita repetição de banca e pegadinhas previsíveis. Domine conceitos do art. 5º, princípios, bases legais, direitos e os prazos da tabela acima e você já garante os pontos. Para acelerar essa fixação, baixe o mapa mental e o resumo esquematizado da LGPD do Mapas Pro e revise onde estiver: conheça os materiais do Mapas Pro aqui. O caminho para a aprovação passa por revisar do jeito certo.