LGPD: o que cai em concurso público em 2026

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) saiu do "assunto de tecnologia" e passou a aparecer com frequência em editais de concursos. No estilo CESPE/CEBRASPE, são comuns afirmativas sutis sobre bases legais e direitos do titular.

Este guia cobre o esqueleto completo em ordem de importância para a prova.

Por que a LGPD aparece cada vez mais nos editais

Quando a lei entrou plenamente em vigor (setembro/2020) e as sanções passaram a ser aplicadas (agosto/2021), a ANPD começou a atuar. Isso se refletiu nos editais: "LGPD" e "proteção de dados pessoais" passaram a aparecer em muitos conteúdos programáticos. O número de questões varia conforme o cargo e o edital.

Os 4 conceitos que a banca adora confundir

Conceito	Definição objetiva
Dado pessoal	Informação relacionada a pessoa natural identificada ou identificável
Dado sensível	Subconjunto de dado pessoal: origem racial/étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual, dados genéticos ou biométricos vinculados a pessoa natural
Dado anonimizado	Não é dado pessoal — desde que a anonimização seja irreversível
Dado pseudonimizado	Continua sendo dado pessoal — a reidentificação é possível com uso de chave separada

Macete: "Anonimizado = sumiu do mapa. Pseudonimizado = disfarçado mas ainda está lá."

Agentes de tratamento (e o encarregado)

Pela lei, agentes de tratamento são só dois: o controlador e o operador (art. 5º, IX). O encarregado é uma terceira figura, mas não é agente de tratamento.

1. Controlador — decide o quê e como tratar. É o "chefe" dos dados.
2. Operador — trata em nome do controlador (ex: empresa de nuvem contratada).
3. Encarregado (DPO) — pessoa indicada pelo controlador e pelo operador para ser canal de comunicação entre o controlador, os titulares e a ANPD (art. 5º, VIII). Pela Resolução CD/ANPD 18/2024, pode ser pessoa natural (do quadro da organização ou externa) ou pessoa jurídica.

A CESPE cobra a distinção: quem contrata a nuvem é o controlador; a empresa de nuvem é o operador.

As 10 bases legais para tratar dados pessoais (art. 7)

É o coração da lei. O tratamento de dados pessoais só é lícito se houver ao menos uma das 10 hipóteses:

#	Base legal
1	Consentimento do titular
2	Cumprimento de obrigação legal ou regulatória
3	Execução de políticas públicas pela administração pública
4	Estudos por órgão de pesquisa (com anonimização sempre que possível)
5	Execução de contrato ou diligências pré-contratuais a pedido do titular
6	Exercício regular de direitos (judicial, administrativo, arbitral)
7	Proteção da vida ou incolumidade física do titular ou de terceiro
8	Tutela da saúde por profissional ou entidade sanitária (sigilo profissional)
9	Interesse legítimo do controlador ou de terceiro
10	Proteção do crédito

Dados sensíveis (art. 11) têm bases mais restritas e mais exigentes — não admitem, por exemplo, interesse legítimo nem proteção do crédito, e o consentimento tem de ser específico e destacado. A lógica é: quanto mais sensível, menor a lista de hipóteses autorizativas.

Macete para decorar as 10: "CO-OBR-PUB-PES-CON-DIR-VID-SAÚ-INT-CRÉ" — as iniciais das bases em ordem.

Os 9 direitos do titular (art. 18)

O titular pode exigir do controlador:

1. Confirmação da existência de tratamento
2. Acesso aos dados tratados
3. Correção de dados incompletos, inexatos ou desatualizados
4. Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou em desconformidade com a lei
5. Portabilidade a outro fornecedor de serviço ou produto
6. Eliminação dos dados tratados com consentimento
7. Informação sobre as entidades com quem o controlador compartilhou os dados
8. Informação sobre a possibilidade de não fornecer consentimento e as consequências da negativa
9. Revogação do consentimento a qualquer momento

Além disso, o art. 20 garante ao titular o direito de revisão de decisões tomadas exclusivamente por algoritmos (IA, scoring) que afetem seus interesses, incluídas as decisões que definem perfil pessoal, profissional, de consumo e de crédito.

O consentimento: 4 requisitos que a banca cobra

Para valer, o consentimento precisa ser:

• Livre — sem coação ou condicionamento indevido
• Informado — o titular sabe o que está autorizando
• Inequívoco — não cabe consentimento tácito (e, para dados sensíveis, ele ainda tem de ser específico e destacado — art. 11, I)
• Para finalidades determinadas — consentimento genérico é inválido

O titular pode revogar o consentimento a qualquer momento. Após a revogação, o controlador pode manter os dados apenas se houver outra base legal.

ANPD: a autoridade que fiscaliza

A ANPD foi criada como Autoridade Nacional de Proteção de Dados (art. 55-A, incluído na LGPD pela Lei nº 13.853/2019) e virou autarquia de natureza especial com a Lei nº 14.460/2022. Hoje, após a MP 1.317/2025, convertida na Lei nº 15.352/2026, chama-se Agência Nacional de Proteção de Dados (ANPD): autarquia de natureza especial vinculada ao Ministério da Justiça e Segurança Pública, com autonomia funcional, técnica, decisória, administrativa e financeira, nos termos da Lei das Agências Reguladoras (Lei 13.848/2019).

Principais atribuições:

• Fiscalizar o cumprimento da LGPD
• Aplicar sanções administrativas
• Editar normas e regulamentos (ex: Regulamento de Comunicação de Incidentes)
• Promover a cultura de proteção de dados

Incidentes de segurança: o prazo que todo concurseiro precisa saber

O art. 48 da LGPD obriga o controlador a comunicar à ANPD e aos titulares afetados a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. A regulamentação da ANPD (Resolução CD/ANPD 15/2024) fixou a comunicação em 3 dias úteis — à ANPD e aos titulares — e permite complementar as informações em até 20 dias úteis contados da comunicação.

As sanções do art. 52 (o que mais cai)

Os valores da multa são ponto clássico de prova:

Sanção	Detalhe
Advertência	Com prazo para adoção de medidas corretivas
Multa simples	Até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil (último exercício, excluídos os tributos), limitada a R$ 50 milhões por infração
Multa diária	Mesmo teto de R$ 50 milhões
Publicização da infração	"Naming and shaming"
Bloqueio dos dados	Até regularização
Eliminação dos dados	Definitiva
Suspensão parcial do funcionamento do banco de dados	Até 6 meses, prorrogável por igual período
Suspensão da atividade de tratamento	Até 6 meses, prorrogável por igual período
Proibição de atividades de tratamento	Parcial ou total

Atenção: órgãos e entidades públicos podem sofrer advertência, publicização, bloqueio, eliminação, suspensões e proibição — mas não as multas (art. 52, § 3º).

Pegadinha clássica: a multa máxima não é "2% do faturamento mundial" — é do faturamento no Brasil no último exercício fiscal.

O que CESPE, FGV e FCC mais cobram na prática

Padrões comuns nas questões (exemplos ilustrativos do estilo de cada banca):

CESPE/CEBRASPE — afirmativas C/E que trocam controlador por operador, ou que dizem que dado pseudonimizado "não é dado pessoal" (errado!), ou que afirmam que o consentimento pode ser tácito para qualquer dado.

FGV — questões sobre a lista de direitos do titular (art. 18), frequentemente pedindo "qual NÃO está na lista" com armadilha sobre o direito de revisão automatizada (que está no art. 20, não no 18).

FCC — bases legais: saber que o interesse legítimo não se aplica a dados sensíveis, e que a administração pública tem base própria (políticas públicas) independente de consentimento.

Resumo visual: os números que você não pode esquecer

O quê	Número
Data da lei	Lei 13.709/2018
Bases legais (dados comuns)	10 hipóteses (art. 7)
Direitos do titular	9 direitos (art. 18)
Multa máxima	2% do faturamento, até R$ 50 milhões por infração
Prazo de comunicação de incidente	3 dias úteis (Res. CD/ANPD 15/2024)
Prazo para complementar a comunicação	20 dias úteis

Como estudar LGPD sem afundar em texto

A LGPD tem 65 artigos, mas a maior parte das questões se concentra em 4 blocos: definições (art. 5), bases legais (arts. 7 e 11), direitos do titular (arts. 18 e 20) e sanções (art. 52). Leia esses artigos uma vez com a lei em mãos, depois resolva questões de provas anteriores — o padrão se repete.

Se você estuda Informática para concurso federal, o Mapa Visual de Informática AprovaVisual cobre LGPD em 4 páginas visuais: uma tabela das 10 bases, um mapa dos 9 direitos, o quadro de sanções e um resumo dos conceitos-armadilha que a banca usa. É o atalho para gravar sem precisar reler 65 artigos.