Na revisão de um programa de benefícios, uma autarquia pret...
Próximas questões
Com base no mesmo assunto
Ano: 2026
Banca:
IBADE
Órgão:
Prefeitura de Itarana - ES
Prova:
IBADE - 2026 - Prefeitura de Itarana - ES - Administrador |
Q4276070
Direito Digital
Na revisão de um programa de benefícios, uma autarquia
pretende integrar dados cadastrais, trabalhistas e fiscais para
detectar pagamentos incompatíveis e facilitar correções pelo
cidadão. A solução envolve um fornecedor de tecnologia e um
painel público de resultados. Qual é o arranjo correto à luz da
Lei Geral de Proteção de Dados Pessoais (LGPD)?
Gabarito comentado
Confira o gabarito comentado por um dos nossos professores
Gabarito: E
Fundamento decisivo: Lei nº 13.709/2018, art. 26, caput, combinado com os arts. 6º e 23: “O uso compartilhado de dados pessoais pelo Poder Público deve atender a finalidades específicas de execução de políticas públicas e atribuição legal pelos órgãos e pelas entidades públicas, respeitados os princípios de proteção de dados pessoais elencados no art. 6º desta Lei.” O art. 23, caput, determina que o tratamento “deverá ser realizado para o atendimento de sua finalidade pública, na persecução do interesse público, com o objetivo de executar as competências legais ou cumprir as atribuições legais do serviço público”, e o art. 6º, III, estabelece: “III - necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados;”. Como a autarquia pretende integrar dados para detectar pagamentos incompatíveis e facilitar correções, a competência e a finalidade pública não autorizam tratamento irrestrito; por isso, E é a alternativa que reúne finalidade, limitação e salvaguardas.
Tema central: Tratamento de dados pelo Poder Público
Análise das alternativas
A
Errada
O art. 8º, § 4º, exige finalidades determinadas: “O consentimento deverá referir-se a finalidades determinadas, e as autorizações genéricas para o tratamento de dados pessoais serão nulas.” Consentimento geral não legitima análises futuras indeterminadas. A conservação integral do histórico também depende de necessidade e justificativa de duração, conforme os arts. 6º, III, 15 e 16. Além disso, pseudonimização não equivale a anonimização nem autoriza automaticamente a divulgação pública de registros; permanece necessária a avaliação de reidentificação e segurança, nos termos dos arts. 12 e 46.
B
Errada
A competência legal não dispensa a necessidade prevista no art. 6º, III: “III - necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados;”. Somente podem ser tratados dados pertinentes, proporcionais e não excessivos, e não todos os campos disponíveis indistintamente. A unidade administrativa de lotação não substitui a avaliação da necessidade de cada acesso e sua proteção, exigida pelo art. 46. Também não basta adotar a vigência do programa como prazo de guarda: a retenção deve ser justificada pela necessidade e pelas hipóteses legais de conservação dos arts. 15 e 16.
C
Errada
A alternativa inverte a relação entre controlador e operador. Pelo art. 39, “O operador deverá realizar o tratamento segundo as instruções fornecidas pelo controlador, que verificará a observância das próprias instruções e das normas sobre a matéria.” Assim, a autarquia não pode entregar ao fornecedor as decisões sobre acesso e retenção e limitar-se a analisar resultados consolidados. A publicação de microdados pseudonimizados também não se torna lícita apenas pela pseudonimização: os arts. 12 e 46 exigem considerar a possibilidade de reidentificação e proteger contra exposição indevida.
D
Errada
Prevenção de fraudes não constitui autorização aberta para usos futuros indeterminados. Se a transferência ao particular utilizar a exceção do art. 26, § 1º, V, incide a condição expressa: “desde que vedado o tratamento para outras finalidades.” Além disso, o art. 23, I, exige “fornecendo informações claras e atualizadas sobre a previsão legal, a finalidade, os procedimentos e as práticas utilizadas para a execução dessas atividades, em veículos de fácil acesso, preferencialmente em seus sítios eletrônicos;”; restringi-las aos órgãos de controle viola essa transparência. Relatórios periódicos não corrigem esses vícios.
E
Certa
A alternativa E observa requisitos cumulativos, e não intercambiáveis. Os arts. 7º, II e III, e 23 da LGPD exigem hipótese autorizativa adequada e vinculação à finalidade pública e às competências legais. O art. 6º, III, limita os dados ao mínimo necessário: “III - necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados;”. Os arts. 15, 16 e 46 sustentam retenção justificada e proteção dos acessos. O compartilhamento deve ter finalidade, dados e responsabilidades delimitados, respeitando o art. 26; o fornecedor que atuar como operador permanece sujeito às instruções e à fiscalização da autarquia, conforme o art. 39: “O operador deverá realizar o tratamento segundo as instruções fornecidas pelo controlador, que verificará a observância das próprias instruções e das normas sobre a matéria.” Informar os titulares atende à transparência do art. 23, I. A divulgação de indicadores agregados, após avaliação do risco de reidentificação, compatibiliza transparência e proteção: pelo art. 12, “salvo quando o processo de anonimização ao qual foram submetidos for revertido, utilizando exclusivamente meios próprios, ou quando, com esforços razoáveis, puder ser revertido.” Indicadores agregados são uma solução para o caso, não uma imposição literal geral da LGPD. O enunciado não permite definir definitivamente a base legal de cada operação nem a exceção aplicável a eventual transferência ao particular.
Pegadinha da questão
A banca combina medidas aparentemente legítimas com permissões excessivas: competência legal não autoriza coletar tudo, prevenção de fraudes não libera finalidades indeterminadas, contratação não transfere as decisões do controlador e pseudonimização não autoriza exposição pública de registros.
Dica para questões semelhantes
- Verifique cumulativamente finalidade pública, competência, base legal e necessidade: acertar a competência não compensa excesso de dados, acessos ou retenção.
- Quando houver fornecedor, confira se o controlador mantém as decisões e verifica as instruções dadas ao operador; eventual transferência ao particular deve atender ao art. 26.
- Separe transparência sobre o tratamento de divulgação de dados individuais: pseudonimização ou agregação, isoladamente, não afastam o risco de reidentificação.
- Examine a justificativa da guarda e as hipóteses legais de conservação, sem presumir que a duração do programa determine automaticamente a retenção.
Clique para visualizar este gabarito
Visualize o gabarito desta questão clicando no botão abaixo
Conheça nossos planos