Direito Digital · FGV · 2026 | Questão sqc-fg133929

Direito DigitalLei nº 13.709 de 2018 - Lei Geral de Proteção de Dados Pessoais (LGPD)

Código: fg133929
Banca: FGV
Órgão: TJ-RJ
Ano: 2026
Nível: Superior

Cargo: Analista Judiciário - Tecnologia da Informação - Arquiteto de Dados

Um arquiteto de dados do Tribunal de Justiça do Estado X (TJEX) constatou a ocorrência de um incidente de segurança que pode acarretar risco ou dano relevante a um titular de dados. À luz da LGPD (Lei nº 13.709/2018), a comunicação da ocorrência do incidente, pelo TJEX, à autoridade nacional e ao titular afetado:

Aé obrigatória apenas se o incidente tiver resultado em vazamento de dados pessoais sensíveis;
Bdeve ser feita em prazo razoável, definido pela autoridade nacional, e mencionar informações específicas sobre o incidente;
Cdeve ser imediata para o titular e é dispensável para a autoridade nacional, evitando a disseminação de informações sensíveis;
Dé dispensável, se comprovada a adoção de medidas técnicas que tornaram os dados ininteligíveis para terceiros não autorizados;
Edeve ser imediata, independentemente da gravidade do incidente, a fim de garantir transparência à autoridade nacional e controle aos titulares.

Revelar gabarito e comentário

GabaritoB — deve ser feita em prazo razoável, definido pela autoridade nacional, e mencionar informações específicas sobre o incidente;

Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.

Comunicação de incidente de segurança na LGPD

Gabarito: letra B. Nos termos do art. 48, caput e §1º, da Lei nº 13.709/2018 (LGPD), o controlador deve comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante, em prazo razoável definido pela autoridade nacional, com informações específicas (natura dos dados, titulares, medidas de segurança, riscos, motivos de demora e medidas corretivas).

A questão exige conhecimento literal do art. 48 e seus parágrafos. A banca testa a distinção entre a obrigação de comunicar e as circunstâncias que a autoridade avalia para definir providências.

Art. 48, §1LGPD

Art. 48 — O controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.

§ 1º — A comunicação será feita em prazo razoável, conforme definido pela autoridade nacional, e deverá mencionar, no mínimo:

I — a descrição da natureza dos dados pessoais afetados;

II — as informações sobre os titulares envolvidos;

III — a indicação das medidas técnicas e de segurança utilizadas para a proteção dos dados, observados os segredos comercial e industrial;

IV — os riscos relacionados ao incidente;

V — os motivos da demora, no caso de a comunicação não ter sido imediata; e

VI — as medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do prejuízo.

Critério	Art. 48, caput e §1º (LGPD)	Alternativa A	Alternativa B (Gabarito)	Alternativa C	Alternativa D	Alternativa E
Obrigação de comunicar	Obrigatória quando incidente possa acarretar risco ou dano relevante	Obrigatória apenas se vazamento de dados sensíveis	Obrigatória, conforme lei	Imediata para titular; dispensável para autoridade nacional	Dispensável se dados tornados ininteligíveis	Imediata, independentemente da gravidade
Prazo	Prazo razoável definido pela autoridade nacional	Não especificado	Prazo razoável definido pela autoridade nacional	Imediata para titular	Não especificado	Imediata
Conteúdo da comunicação	Informações específicas (natureza dos dados, titulares, medidas de segurança, riscos, motivos de demora, medidas corretivas)	Não especificado	Informações específicas sobre o incidente	Não especificado	Não especificado	Não especificado
Correção em relação à lei	—	❌ Incorreta (restringe a dados sensíveis)	✅ Correta (reflete o §1º)	❌ Incorreta (prazo e dispensa divergem)	❌ Incorreta (dispensa não prevista)	❌ Incorreta (prazo imediato não é o previsto)

Alternativa A — ❌ Incorreta

A alternativa restringe a obrigação a vazamento de dados sensíveis. O art. 48 não exige essa qualificação; basta que o incidente possa acarretar risco ou dano relevante, independentemente da categoria do dado. Portanto, a comunicação é devida também para dados pessoais não sensíveis, quando houver risco relevante.

Alternativa B — ✅ Correta ⟵ GABARITO

Reflete exatamente o §1º do art. 48: prazo razoável definido pela ANPD e conteúdo mínimo com as informações listadas nos incisos I a VI. A alternativa é genérica (“informações específicas”), mas abarca o comando legal.

Alternativa C — ❌ Incorreta

Afirma que a comunicação deve ser imediata para o titular e dispensável para a autoridade nacional. O art. 48 determina comunicação a ambos (autoridade e titular), e o prazo é razoável, não necessariamente imediato. Além disso, não há dispensa para a autoridade.

Alternativa D — ❌ Incorreta

Alega que a comunicação é dispensável se comprovadas medidas técnicas que tornaram os dados ininteligíveis. O §3º do art. 48 prevê que tais medidas serão avaliadas no juízo de gravidade do incidente, mas não excluem a obrigação de comunicar. A comunicação permanece devida se o incidente, em tese, poderia acarretar risco ou dano relevante – a comprovação de medidas técnicas mitiga a gravidade, mas não elimina o dever de comunicar.

NÃO CAIA NESSA!

A alternativa D é a principal pegadinha. O §3º menciona medidas técnicas como fator de avaliação da gravidade, mas muitos candidatos interpretam erroneamente como excludente de comunicação. A literalidade do caput e a leitura sistêmica mostram que a comunicação é obrigatória quando há risco ou dano relevante; a comprovação de medidas técnicas apenas influencia a decisão da autoridade sobre providências complementares.

Alternativa E — ❌ Incorreta

Prega comunicação imediata independentemente da gravidade. O art. 48, §1º, determina prazo razoável, e não imediato. A lei reconhece que a complexidade do incidente pode exigir tempo para apuração e elaboração da comunicação, sendo o prazo fixado pela ANPD (que pode ser mais curto ou mais longo conforme a gravidade).

Conclusão: A única alternativa que se alinha ao art. 48 e seu §1º é a letra B. Memorize o prazo razoável (não imediato) e o conteúdo mínimo dos incisos I a VI.

Link permanente: /questoes/fg133929