Questão nº 23
Questão de Legislação Institucional · FGV TCE-ES 2022 (nº 23)
A sociedade empresária Alfa, que vende eletrodomésticos, coletou dados pessoais dos consumidores dos seus produtos, com a alegação de que formaria cadastro. Embora não tivesse autorização desses consumidores, Alfa contratou a sociedade empresária Beta para que, com fins econômicos, procedesse à avaliação e à classificação desses dados, de modo a transmiti-los, em momento futuro, às demais sociedades empresárias que integravam o mesmo grupo econômico de Alfa. Em razão do ocorrido, uma associação de proteção aos consumidores informou que solicitaria à autoridade nacional a punição de Alfa e Beta, que, até então, jamais tinham infringido a Lei Geral de Proteção de Dados Pessoais.
À luz dessa narrativa, é correto afirmar que:
- Aapenas a sociedade empresária classificada como agente de tratamento de dados pode ser responsabilizada da forma alvitrada, sendo cabível a sanção de suspensão do exercício da atividade de tratamento de dados pessoais a que se refere a infração pelo período máximo legal, não sendo cabível a aplicação de outras sanções administrativas;
- Btanto a controladora como a operadora podem ser responsabilizadas da forma alvitrada, sendo cabíveis as sanções de eliminação dos dados pessoais e suspensão parcial do funcionamento do banco de dados, a que se referem a infração, pelo período máximo legal, bem como a aplicação das sanções da Lei nº 8.078/1990;
- Capenas a sociedade empresária classificada como controladora pode ser responsabilizada da forma alvitrada, sendo cabível a sanção de proibição total ou parcial do exercício de atividades relacionadas a tratamento de dados, não sendo possível a aplicação das sanções da Lei nº 8.078/1990;
- Dtanto a controladora como a operadora podem ser responsabilizadas da forma alvitrada, não sendo cabível a sanção de suspensão parcial do funcionamento do banco de dados, a que se refere a infração, sendo possível a aplicação das sanções da Lei nº 8.078/1990; (alternativa correta)
- Etanto a controladora como a operadora podem ser responsabilizadas da forma alvitrada, sendo cabíveis apenas as sanções de advertência e multa, sem prejuízo das demais sanções administrativas, cíveis e penais cabíveis na espécie.
Resposta comentada
Gabarito Alternativa D
A Lei Geral de Proteção de Dados (LGPD) estabelece que tanto a empresa que decide sobre o tratamento dos dados (controladora) quanto a que realiza o tratamento em seu nome (operadora) podem ser responsabilizadas por infrações. As sanções administrativas aplicáveis variam conforme a gravidade e o contexto da infração, e a LGPD permite a aplicação cumulativa de sanções e de outras leis, como o Código de Defesa do Consumidor.
(A) Incorreta: A LGPD permite a responsabilização tanto da controladora quanto da operadora (ambas são agentes de tratamento), e não "apenas" um tipo genérico. Além disso, a aplicação de sanções pode ser cumulativa, ou seja, mais de uma sanção pode ser aplicada, tornando incorreta a afirmação de que não seriam cabíveis outras sanções.
(B) Incorreta: Embora a responsabilização de ambos e a aplicação de sanções da Lei nº 8.078/1990 estejam corretas, a sanção de "suspensão parcial do funcionamento do banco de dados" (Art. 52, IX da LGPD) pode não ser considerada a mais adequada ou "cabível" para a natureza da infração descrita (tratamento indevido de dados sem consentimento), que se refere mais diretamente à atividade de tratamento do que ao funcionamento do banco de dados em si.
(C) Incorreta: A LGPD permite a responsabilização tanto da controladora quanto da operadora, não "apenas" da controladora. Além disso, a LGPD expressamente permite a aplicação de outras leis, como a Lei nº 8.078/1990 (Código de Defesa do Consumidor), tornando incorreta a afirmação de que não seria possível.
(D) Correta: Tanto a controladora (Alfa) quanto a operadora (Beta) podem ser responsabilizadas, conforme os artigos 42 e 43 da LGPD. A sanção de "suspensão parcial do funcionamento do banco de dados" (Art. 52, IX) é considerada menos diretamente cabível para a infração de tratamento indevido de dados sem consentimento, que se refere à atividade de tratamento, em comparação com outras sanções como a suspensão da própria atividade de tratamento (Art. 52, VIII) ou a proibição de atividades (Art. 52, X). A LGPD, em seu Art. 52, §3º, permite a aplicação de outras sanções administrativas, cíveis ou penais, inclusive as previstas na Lei nº 8.078/1990 (Código de Defesa do Consumidor), sem prejuízo das sanções da LGPD.
(E) Incorreta: A afirmação de que seriam cabíveis "apenas" as sanções de advertência e multa está incorreta. A LGPD prevê um rol de sanções que podem ser aplicadas, e a gravidade da infração descrita (coleta e tratamento de dados sem autorização para fins econômicos e transmissão a terceiros) justificaria a possibilidade de outras sanções mais severas, mesmo que seja a primeira infração.
Fonte: FGV TCE-ES 2022 Conhecimentos Comuns (Auditor de Controle Externo) (Caderno Tipo 1). Reproduzida para fins de estudo.