CDPO/BR common mistakes
CDPO/BR · Understand the traps and how to avoid them.
Tratar as dez hipóteses legais do art. 7º como uma lista hierárquica, buscando sempre 'a base legal mais forte' (consentimento) em vez de identificar a hipótese efetivamente aplicável ao contexto.
O candidato aprendeu 'consentimento' como regra geral e memoriza a lista sem compreender que as bases são alternativas e de igual hierarquia, dependendo da finalidade e do contexto; confunde também legítimo interesse com 'interesse do controlador' genérico.
What to do instead
Para cada cenário, pergunte primeiro qual é a finalidade e a relação entre controlador e titular; só então selecione a base. Treine distinguir: execução de contrato e procedimentos preliminares (art. 7º, V) versus legítimo interesse (IX); cumprimento de obrigação legal (II) versus exercício regular de direitos (VI); proteção da vida (VII) versus tutela da saúde (VIII). Lembre que consentimento pode ser revogado e que bases contratuais/legais não dependem de revogação.
Confundir os conceitos de dado pessoal, dado sensível, dado anonimizado e pseudonimizado, classificando dados de saúde, biometria e origem racial como 'apenas pessoais' ou afirmando que dado pseudonimizado é anonimizado.
A LGPD não define pseudonimização com o mesmo detalhamento do GDPR e o candidato transporta conceitos europeus sem checar o texto brasileiro; além disso, o rol do art. 5º, II é taxativo e frequentemente reduzido a 'saúde e biometria'.
What to do instead
Memorize o rol do art. 5º, II: origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico. Fixe que anonimização é processo irreversível com meios razoáveis (art. 12) e que dado pseudonimizado continua sendo dado pessoal.
Ao responder a uma solicitação de titular, negar o pedido de eliminação de dados tratados com base em obrigação legal ou contrato, ou prometer eliminação imediata sem observar prazos de guarda obrigatória e sem indicar a base da recusa.
O candidato decora o art. 18 como se todos os direitos fossem absolutos e ignora o art. 16 (conservação) e as exceções do art. 18, § 3º; também não diferencia eliminação, bloqueio e anonimização.
What to do instead
Estruture a resposta em três passos: (1) identificar a base legal do tratamento; (2) verificar se há obrigação de retenção (art. 16); (3) responder fundamentadamente, indicando a hipótese de recusa e o direito de peticionar à ANPD. Treine distinguir eliminação (art. 18, VI), bloqueio (art. 18, IV) e anonimização, e os prazos do art. 19 (confirmação e acesso imediato ou em até 15 dias).
Descrever o encarregado como 'o DPO do GDPR' e atribuir-lhe responsabilidades que a LGPD dá ao controlador, como decidir bases legais, assinar contratos ou responder solidariamente por danos.
A função de encarregado no Brasil é mais restrita e seu papel foi detalhado pela Resolução CD/ANPD nº 18/2024; o candidato importa o modelo europeu, em que o DPO tem papel de supervisão mais amplo, e confunde as figuras de controlador, operador e encarregado do art. 5º.
What to do instead
Fixe as atribuições do art. 41: aceitar reclamações e comunicações dos titulares, prestar esclarecimentos, receber comunicações da ANPD, orientar funcionários e executar demais atribuições. Estude a Resolução CD/ANPD nº 18/2024 quanto à indicação, publicidade da identidade e contato, e à possibilidade de encarregado pessoa jurídica. Em questões de responsabilidade, lembre que o controlador responde solidariamente com o operador (art. 42, § 1º) e que o encarregado não é parte nessa cadeia.
Tratar o RIPD (avaliação de impacto) como obrigatório para todo tratamento ou, no extremo oposto, como documento opcional sem critério, e confundi-lo com o 'relatório de impacto' antigo ou com uma mera checklist de segurança.
A LGPD menciona o RIPD no art. 5º, XVII e no art. 38 sem fixar gatilhos exaustivos; a ANPD complementa com orientação e o candidato oscila entre 'sempre obrigatório' e 'nunca obrigatório', sem critério de risco.
What to do instead
Adote critério baseado em risco: tratamentos de dados sensíveis, em larga escala, com tecnologias emergentes, vigilância ou decisões automatizadas tendem a exigir RIPD. Saiba que o art. 38 permite à ANPD determinar sua elaboração e que o documento deve descrever o tratamento, avaliar riscos e indicar medidas de mitigação, sendo mantido à disposição da ANPD.
Afirmar que a comunicação de incidente à ANPD é sempre obrigatória em qualquer incidente, ou que o prazo é de 72 horas como no GDPR, sem mencionar a avaliação de risco relevante e o prazo de três dias úteis da Resolução CD/ANPD nº 15/2024.
O candidato transporta a regra europeia das 72 horas e ignora que a LGPD (art. 48) exige comunicação de incidente que possa acarretar risco ou dano relevante, com prazo definido em regulamento da ANPD.
What to do instead
Memorize: comunicação à ANPD em até três dias úteis contados do conhecimento do incidente, com conteúdo mínimo (descrição, dados afetados, titulares, medidas técnicas de segurança, riscos e medidas de mitigação). Saiba também que a comunicação aos titulares é feita pela ANPD ou diretamente pelo controlador, e que a avaliação de risco relevante é o filtro - não todo incidente.
Ao analisar transferência internacional, concluir que qualquer transferência para país sem decisão de adequação é proibida, ignorando as cláusulas-padrão contratuais, as normas corporativas globais e as exceções do art. 33.
O candidato memoriza apenas o art. 33, I (decisão de adequação) e esquece que a LGPD admite várias hipóteses alternativas; além disso, a Resolução CD/ANPD nº 19/2024 detalhou o procedimento de cláusulas-padrão e a avaliação de adequação, conteúdo que o candidato não estudou.
What to do instead
Liste as hipóteses do art. 33: adequação, cláusulas contratuais específicas, cláusulas-padrão, normas corporativas globais, selos/certificados, consentimento específico e destacado, cumprimento de obrigação legal, execução de contrato, exercício regular de direitos e proteção da vida. Estude a Resolução CD/ANPD nº 19/2024 quanto ao conteúdo mínimo das cláusulas-padrão e à transferência a partir de decisão de adequação.
Descrever as sanções da ANPD apenas como 'multa de até 2% do faturamento, limitada a R$ 50 milhões', esquecendo as sanções não pecuniárias e a forma de cálculo do faturamento.
A multa é a sanção mais lembrada e o candidato não estuda o art. 52 completo; também confunde o limite por infração com limite global e ignora que o faturamento é o do grupo econômico no Brasil no último exercício, excluídos tributos.
What to do instead
Memorize o rol do art. 52: advertência, multa simples, multa diária, publicização da infração, bloqueio dos dados, eliminação, suspensão parcial do funcionamento do banco de dados por até seis meses prorrogável, suspensão do exercício da atividade de tratamento por até seis meses prorrogável e proibição parcial ou total do exercício de atividades. Estude a Resolução CD/ANPD nº 4/2023 sobre dosimetria (classificação da infração, circunstâncias agravantes e atenuantes) e o cálculo do valor da multa.
Em questões que envolvem sigilo profissional, segredo de justiça ou dados de crianças e adolescentes, aplicar apenas a LGPD e ignorar o Marco Civil da Internet, o CDC, o ECA ou normas setoriais (bancário, saúde, telecom), ou tratar a LGPD como lei que revogou esses regimes.
O candidato estuda a LGPD isoladamente e não percebe que o art. 1º, § 2º e o art. 4º definem âmbito de aplicação sem excluir outros regimes; além disso, confunde a proteção de dados de crianças (art. 14) com o consentimento parental genérico.
What to do instead
Para cada cenário, identifique sobreposições: Marco Civil (guarda de registros, art. 15), CDC (banco de dados de consumo, art. 43 e 44), ECA (art. 14 da LGPD exige consentimento de pelo menos um dos pais ou responsável, com melhor interesse da criança) e sigilo profissional (art. 7º, § 3º, e art. 11, § 4º). Lembre que a LGPD não revoga normas setoriais e que o setor público tem regras próprias de tratamento (art. 23 a 30).
Confundir as competências da ANPD com as de outros órgãos (Ministério Público, Procon, Defesa Civil) e atribuir à ANPD funções jurisdicionais ou de aplicação do CDC, ou, no sentido oposto, negar-lhe competência para regulamentar e sancionar.
A ANPD foi criada pela MP 1.124/2022 e transformada em autarquia de natureza especial pela Lei nº 14.460/2022; o candidato não acompanha essa evolução e mistura o papel de coordenação com o de fiscalização e sanção.
What to do instead
Fixe: a ANPD é autarquia de natureza especial, com competência para regulamentar, fiscalizar, aplicar sanções e coordenar com outros órgãos (art. 55-A a 55-K). Ela não substitui o MP nem o Procon; atua em cooperação. Estude também o Regulamento de Fiscalização (Resolução CD/ANPD nº 1/2021) e o processo de sanção (Resolução CD/ANPD nº 2/2022) para distinguir as fases.