Questão de Legislação Federal — Lei nº 12.527 de 2011 - Lei de Acesso à Informação e Decreto nº 7.724 de 2012 — Quadrix 2024

Lei de Acesso à Informação e LGPD: responsabilidade, sigilo e relatório de impacto

Gabarito: letra E. A alternativa correta define com precisão o relatório de impacto à proteção de dados pessoais (RIPD), instituto previsto na Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018), como a documentação do controlador que descreve os processos de tratamento que podem gerar riscos às liberdades civis e aos direitos fundamentais, além das medidas de mitigação. As demais alternativas distorcem regras da LAI (Lei nº 12.527/2011) e da própria LGPD, como veremos a seguir.

A questão exige o domínio de dois diplomas legais que se complementam: a Lei de Acesso à Informação (LAI), que estabelece o dever de transparência ativa e passiva do Estado, e a Lei Geral de Proteção de Dados Pessoais (LGPD), que disciplina o tratamento de dados pessoais, inclusive pelo Poder Público. A LAI trata da publicidade como regra e do sigilo como exceção, impondo responsabilidades aos agentes públicos que descumprirem seus comandos. A LGPD, por sua vez, protege os direitos fundamentais de liberdade e privacidade da pessoa natural, criando instrumentos como o relatório de impacto à proteção de dados.

O relatório de impacto à proteção de dados pessoais (RIPD) é um dos instrumentos centrais da LGPD. Ele é elaborado pelo controlador — a pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento — e deve conter a descrição dos processos de tratamento de dados que possam gerar riscos às liberdades civis e aos direitos fundamentais, bem como as medidas, salvaguardas e mecanismos de mitigação de risco. É um documento de planejamento e prestação de contas, que materializa o princípio da responsabilização e prestação de contas (accountability).

A banca explora, nas alternativas incorretas, confusões típicas entre os dois regimes. A alternativa A, por exemplo, trata da conduta ilícita de ocultar informação sigilosa da revisão de autoridade superior, mas a LAI não exige a simultaneidade de benefício pessoal e prejuízo a terceiros — basta uma das finalidades. A alternativa C inverte a regra de responsabilidade: os órgãos e entidades públicas respondem diretamente pelos danos, com direito de regresso contra o agente. A alternativa D erra ao excluir o Poder Público do âmbito da LGPD, que expressamente o inclui. A alternativa B, por fim, contraria a lógica de cooperação internacional em matéria de dados.

Guarde a fronteira entre os dois regimes: a LAI disciplina o acesso à informação pública e a responsabilidade dos agentes; a LGPD disciplina o tratamento de dados pessoais, inclusive pelo Poder Público, e cria instrumentos como o RIPD. É exatamente nessa fronteira que as alternativas se dividem.

Alternativa A — ❌ Incorreta

A alternativa afirma que a ocultação de informação sigilosa da revisão de autoridade superior só caracteriza conduta ilícita quando o agente obtém benefício pessoal e causa prejuízo a terceiros simultaneamente. Isso está errado. A Lei de Acesso à Informação (Lei nº 12.527/2011) prevê a conduta de forma alternativa, bastando uma das finalidades:

A conjunção "ou" indica que as hipóteses são alternativas, não cumulativas. O agente que oculta informação sigilosa para beneficiar a si mesmo já pratica a conduta ilícita, independentemente de causar prejuízo a terceiros. A banca tenta confundir o candidato ao trocar a conjunção "ou" por "e", alterando o sentido do dispositivo.

Alternativa B — ❌ Incorreta

A alternativa afirma que o tratamento de informações sigilosas originárias de tratados internacionais deve seguir, exclusivamente, as normas brasileiras, em respeito à soberania nacional. Isso contraria a lógica da cooperação internacional e a própria previsão legal. O Brasil, ao firmar tratados internacionais, compromete-se a observar suas disposições, inclusive em matéria de proteção de dados. A LGPD, por exemplo, prevê a transferência internacional de dados pessoais em casos específicos, e o art. 33, parágrafo único, da Lei nº 13.709/2018 permite que as pessoas jurídicas de direito público requeiram à autoridade nacional a avaliação do nível de proteção conferido por país ou organismo internacional. A soberania não impede a observância de compromissos internacionais assumidos voluntariamente.

Alternativa C — ❌ Incorreta

A alternativa afirma que a responsabilidade pelos danos resultantes da divulgação não autorizada de informações sigilosas é exclusivamente dos servidores, não podendo as entidades públicas ser responsabilizadas. Isso é o oposto do que determina a LAI. O art. 34 da Lei nº 12.527/2011 estabelece a responsabilidade direta dos órgãos e entidades públicas:

A responsabilidade da entidade pública é direta e objetiva (decorrente do risco administrativo), com direito de regresso contra o agente que agiu com dolo ou culpa. A alternativa inverte a lógica: a responsabilidade não é exclusiva do servidor; ao contrário, a entidade responde primeiro, e só depois busca o regresso.

Alternativa D — ❌ Incorreta

A alternativa afirma que a LGPD protege apenas os dados de pessoas jurídicas de direito privado, não abrangendo órgãos e entidades públicas, que estariam sujeitos apenas à LAI. Isso é duplamente errado. Primeiro, a LGPD protege dados pessoais de pessoa natural, não de pessoas jurídicas. Segundo, a LGPD expressamente se aplica ao Poder Público. O art. 1º da Lei nº 13.709/2018 dispõe que a lei trata do tratamento de dados pessoais "por pessoa natural ou por pessoa jurídica de direito público ou privado". Além disso, a LGPD dedica um capítulo inteiro ao tratamento de dados pelo Poder Público (arts. 23 a 32), estabelecendo regras específicas, como o uso compartilhado de dados para execução de políticas públicas (art. 26). A LAI e a LGPD se complementam: a primeira garante o acesso à informação pública; a segunda protege os dados pessoais, inclusive os tratados pelo Estado.

Alternativa E — ✅ Correta ⟵ GABARITO

A alternativa define corretamente o relatório de impacto à proteção de dados pessoais (RIPD), instituto previsto na LGPD. O RIPD é a documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como as medidas, salvaguardas e mecanismos de mitigação de risco. Essa definição está alinhada ao art. 5º, XVII, da Lei nº 13.709/2018, que conceitua o relatório de impacto como a "documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco". O RIPD é um instrumento de accountability, que materializa o princípio da responsabilização e prestação de contas, e deve ser elaborado pelo controlador quando o tratamento puder gerar riscos.

Gabarito: letra E