Questão de Direito Digital — Lei nº 13.709 de 2018 - Lei Geral de Proteção de Dados Pessoais (LGPD) — Instituto Consulplan 2026

Responsabilidade civil na LGPD

Gabarito: letra E. De acordo com a Lei Geral de Proteção de Dados (Lei 13.709/2018), controlador e operador podem responder solidariamente se diretamente envolvidos no tratamento que causou danos, é possível a inversão do ônus da prova em favor do titular hipossuficiente, e há direito de regresso proporcional entre os responsáveis (art. 42, §§ 1º, 2º, 4º).

A questão exige conhecimento do regime de responsabilidade dos agentes de tratamento (controlador e operador) e das regras de comunicação de incidentes. Vamos analisar cada alternativa.

Lei 13.709/2018 (LGPD):

Art. 42 — "O controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo."

§ 1º — "[I] o operador responde solidariamente pelos danos causados pelo tratamento quando descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do controlador, hipótese em que o operador equipara-se ao controlador, salvo nos casos de exclusão previstos no art. 43 desta Lei; [II] os controladores que estiverem diretamente envolvidos no tratamento do qual decorreram danos ao titular dos dados respondem solidariamente, salvo nos casos de exclusão previstos no art. 43 desta Lei."

§ 2º — "O juiz, no processo civil, poderá inverter o ônus da prova a favor do titular dos dados quando, a seu juízo, for verossímil a alegação, houver hipossuficiência para fins de produção de prova ou quando a produção de prova pelo titular resultar-lhe excessivamente onerosa."

§ 4º — "Aquele que reparar o dano ao titular tem direito de regresso contra os demais responsáveis, na medida de sua participação no evento danoso."

Alternativa A — ❌ Incorreta

Afirma que a responsabilização exige prova de culpa e que é afastada por atuação de hacker. Na LGPD, a responsabilidade é de natureza objetiva (não depende de culpa) para o controlador, nos termos do art. 42, caput. A atuação de terceiro (hacker) pode ser causa excludente apenas se o controlador comprovar que adotou as medidas de segurança adequadas (art. 43, II), mas não é automática. A alternativa erra duplamente.

Alternativa B — ❌ Incorreta

Diz que o operador responde solidariamente apenas se agiu em desacordo com instruções ilícitas do controlador e que seguindo instruções formais exclui sua responsabilidade. O art. 42, §1º, I estabelece que o operador responde solidariamente quando descumpre obrigações legais ou não segue as instruções lícitas do controlador. Se as instruções forem ilícitas, o operador não deve segui-las; segui-las pode até agravar sua responsabilidade. A alternativa inverte o requisito.

Alternativa C — ❌ Incorreta

Sustenta que o controlador só responde com prova de participação direta e não por omissão na fiscalização contratual. O controlador é responsável pelas decisões sobre o tratamento (art. 5º, VI) e deve fiscalizar a atuação do operador. A omissão nesse dever configura descumprimento da LGPD, gerando responsabilidade. A participação direta não é exigida.

Alternativa D — ❌ Incorreta

Condiciona a comunicação do incidente à ANPD a dano efetivo e irreversível e a dispensa se parte dos dados estiver protegida. O art. 48 da LGPD (não transcrito, mas a regra é conhecida) exige comunicação quando o incidente possa acarretar risco ou dano relevante aos titulares, independentemente de certeza de dano efetivo. Além disso, a proteção parcial não dispensa a comunicação, pois ainda pode haver risco aos dados expostos.

Alternativa E — ✅ Correta ⟵ GABARITO

A alternativa reproduz fielmente o regime legal: controladores diretamente envolvidos respondem solidariamente (art. 42, §1º, II); é possível a inversão do ônus da prova em favor do titular hipossuficiente (art. 42, §2º); e há direito de regresso proporcional entre os responsáveis (art. 42, §4º). A existência de exclusões (art. 43) não invalida o núcleo da afirmação, que utiliza o verbo "poderão" — adequado, pois a solidariedade depende do envolvimento direto e não há exclusão aplicável ao caso concreto.

Gabarito: letra E — única que reflete corretamente as regras de solidariedade, inversão do ônus da prova e direito de regresso na LGPD.