Fundamentos e âmbito de aplicação da LGPD
Domínio 1: Fundamentos e âmbito de aplicação da LGPD
Este domínio cobra o desenho da Lei 13.709/2018: por que ela existe, quem alcança e o que fica fora. O examinador quer ver se você distingue proteção de dados de privacidade e se aplica o art. 3º sem confundir estabelecimento com nacionalidade.
Regra de aplicação
A LGPD disciplina o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado. O critério do art. 3º é territorial e funcional: aplica-se quando o tratamento é realizado no Brasil; quando os dados são coletados no território nacional; quando a oferta de bens ou serviços se dirige a indivíduos no Brasil; ou quando os titulares estão no Brasil no momento da coleta. Não importa onde o controlador está sediado. Dado pessoal é informação relacionada a pessoa natural identificada ou identificável; dado sensível inclui origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dados de saúde, vida sexual, genética e biometria. Pessoa jurídica não é titular, salvo quando os dados revelam pessoa natural, como no caso do microempreendedor individual.
O que fica fora
O art. 4º exclui o tratamento por pessoa natural para fins exclusivamente particulares e não econômicos; fins jornalísticos, artísticos e acadêmicos, com salvaguardas; e tratamento para segurança pública, defesa nacional, segurança do Estado e investigação criminal. Também exclui dados estrangeiros que apenas transitam pelo Brasil, sem comunicação ou uso compartilhado com agentes brasileiros.
Exemplo trabalhado: um aplicativo sediado nos Estados Unidos vende assinatura para usuários no Brasil e coleta CPF e geolocalização. Ainda que não haja filial no Brasil, a LGPD se aplica porque há oferta de serviço a titulares no Brasil e coleta em território nacional. O fornecedor deve nomear encarregado e observar bases legais; não pode invocar a ausência de estabelecimento para ignorar a lei.
Armadilhas: confundir dado anonimizado com pseudonimizado; este continua sendo dado pessoal. Achar que a exclusão de segurança pública alcança toda a administração pública. E supor que a LGPD só vale para empresas brasileiras.