LGPD: o que cai em concurso público em 2026

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) saiu do "assunto de tecnologia" e virou matéria obrigatória em quase todo edital federal de 2026: PF, Receita Federal, BB, Caixa, INSS, TCU, TRF, TRT — todos estão cobrando. A banca favorita para LGPD é a CESPE/CEBRASPE, que gosta de afirmativas sutis sobre bases legais e direitos do titular.

Este guia cobre o esqueleto completo em ordem de importância para a prova.

Por que a LGPD está em todo edital agora

Quando a lei entrou plenamente em vigor (setembro/2020) e as sanções passaram a ser aplicadas (agosto/2021), a ANPD começou a atuar. Isso se refletiu nos editais: as bancas adicionaram "LGPD" e "proteção de dados pessoais" em praticamente toda prova federal. Você vai encontrar de 2 a 8 questões dependendo do cargo.

Os 4 conceitos que a banca adora confundir

Conceito	Definição objetiva
Dado pessoal	Informação relacionada a pessoa natural identificada ou identificável
Dado sensível	Subconjunto de dado pessoal: origem racial/étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual, dados genéticos ou biométricos vinculados a pessoa natural
Dado anonimizado	Não é dado pessoal — desde que a anonimização seja irreversível
Dado pseudonimizado	Continua sendo dado pessoal — a reidentificação é possível com uso de chave separada

Macete: "Anonimizado = sumiu do mapa. Pseudonimizado = disfarçado mas ainda está lá."

Os 3 agentes do tratamento

1. Controlador — decide o quê e como tratar. É o "chefe" dos dados.
2. Operador — trata em nome do controlador (ex: empresa de nuvem contratada).
3. Encarregado (DPO) — pessoa indicada pelo controlador para ser canal de comunicação com os titulares e com a ANPD. Pode ser pessoa física ou jurídica, interna ou externa.

A CESPE cobra a distinção: quem contrata a nuvem é o controlador; a empresa de nuvem é o operador.

As 10 bases legais para tratar dados pessoais (art. 7)

É o coração da lei. O tratamento de dados pessoais só é lícito se houver ao menos uma das 10 hipóteses:

#	Base legal
1	Consentimento do titular
2	Cumprimento de obrigação legal ou regulatória
3	Execução de políticas públicas pela administração pública
4	Pesquisas (com anonimização quando possível)
5	Execução de contrato ou diligências pré-contratuais a pedido do titular
6	Exercício regular de direitos (judicial, administrativo, arbitral)
7	Proteção da vida ou incolumidade física do titular ou de terceiro
8	Tutela da saúde por profissional ou entidade sanitária (sigilo profissional)
9	Interesse legítimo do controlador ou de terceiro
10	Proteção do crédito

Dados sensíveis (art. 11) têm bases mais restritas e mais exigentes — não admitem, por exemplo, interesse legítimo. A lógica é: quanto mais sensível, menor a lista de hipóteses autorizativas.

Macete para decorar as 10: "CO-OBR-PUB-PES-CON-DIR-VID-SAÚ-INT-CRÉ" — as iniciais das bases em ordem.

Os 9 direitos do titular (art. 18)

O titular pode exigir do controlador:

1. Confirmação da existência de tratamento
2. Acesso aos dados tratados
3. Correção de dados incompletos, inexatos ou desatualizados
4. Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou em desconformidade com a lei
5. Portabilidade a outro fornecedor de serviço ou produto
6. Eliminação dos dados tratados com consentimento
7. Informação sobre as entidades com quem o controlador compartilhou os dados
8. Informação sobre a possibilidade de não fornecer consentimento e as consequências da negativa
9. Revogação do consentimento a qualquer momento

Além disso, o art. 20 garante ao titular o direito de revisão de decisões tomadas exclusivamente por algoritmos (IA, scoring) que afetem seus interesses — ponto cada vez mais cobrado em 2026 com o crescimento da inteligência artificial.

O consentimento: 4 requisitos que a banca cobra

Para valer, o consentimento precisa ser:

• Livre — sem coação ou condicionamento indevido
• Informado — o titular sabe o que está autorizando
• Inequívoco — não cabe consentimento tácito para dados pessoais comuns
• Para finalidades determinadas — consentimento genérico é inválido

O titular pode revogar o consentimento a qualquer momento. Após a revogação, o controlador pode manter os dados apenas se houver outra base legal.

ANPD: a autoridade que fiscaliza

A Autoridade Nacional de Proteção de Dados (ANPD) foi criada pela Lei nº 13.853/2019, que alterou a LGPD. Desde 2023, a ANPD tem natureza de autarquia especial vinculada à Presidência da República, com independência técnica e decisória.

Principais atribuições:

• Fiscalizar o cumprimento da LGPD
• Aplicar sanções administrativas
• Editar normas e regulamentos (ex: Regulamento de Comunicação de Incidentes)
• Promover a cultura de proteção de dados

Incidentes de segurança: o prazo que todo concurseiro precisa saber

O art. 48 da LGPD obriga o controlador a comunicar à ANPD e aos titulares afetados a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. A regulamentação da ANPD estabeleceu dois prazos: relatório preliminar em 3 dias úteis e relatório completo em 30 dias corridos após a ciência do incidente.

As sanções do art. 52 (o que mais cai)

A CESPE adora cobrar os valores da multa:

Sanção	Detalhe
Advertência	Com prazo para adoção de medidas corretivas
Multa simples	Até 2% do faturamento do grupo no Brasil (último exercício), limitada a R$ 50 milhões por infração
Multa diária	Mesmo teto de R$ 50 milhões
Publicização da infração	"Naming and shaming"
Bloqueio dos dados	Até regularização
Eliminação dos dados	Definitiva
Suspensão do banco de dados	Parcial ou total do funcionamento
Proibição de atividades de tratamento	Parcial ou total

Pegadinha clássica: a multa máxima não é "2% do faturamento mundial" — é do faturamento no Brasil no último exercício fiscal.

O que CESPE, FGV e FCC mais cobram na prática

Com base no histórico recente de provas:

CESPE/CEBRASPE — afirmativas C/E que trocam controlador por operador, ou que dizem que dado pseudonimizado "não é dado pessoal" (errado!), ou que afirmam que o consentimento pode ser tácito para qualquer dado.

FGV — questões sobre a lista de direitos do titular (art. 18), frequentemente pedindo "qual NÃO está na lista" com armadilha sobre o direito de revisão automatizada (que está no art. 20, não no 18).

FCC — bases legais: saber que o interesse legítimo não se aplica a dados sensíveis, e que a administração pública tem base própria (políticas públicas) independente de consentimento.

Resumo visual: os números que você não pode esquecer

O quê	Número
Data da lei	Lei 13.709/2018
Bases legais (dados comuns)	10 hipóteses (art. 7)
Direitos do titular	9 direitos (art. 18)
Multa máxima	2% do faturamento, até R$ 50 milhões por infração
Prazo notif. preliminar de incidente	3 dias úteis (regulamentação ANPD)
Prazo notif. completa de incidente	30 dias corridos

Como estudar LGPD sem afundar em texto

A LGPD tem 65 artigos, mas a prova concentra 90% das questões em 4 blocos: definições (art. 5), bases legais (arts. 7 e 11), direitos do titular (arts. 18 e 20) e sanções (art. 52). Leia esses artigos uma vez com a lei em mãos, depois resolva questões de provas anteriores — o padrão se repete.

Se você estuda Informática para concurso federal, o Mapa Visual de Informática AprovaVisual cobre LGPD em 4 páginas visuais: uma tabela das 10 bases, um mapa dos 9 direitos, o quadro de sanções e um resumo dos conceitos-armadilha que a banca usa. É o atalho para gravar sem precisar reler 65 artigos.