Enunciado
Uma rede privada de hospitais firmou contrato com uma sociedade empresária para implementar um sistema de inteligência artificial destinado a analisar exames laboratoriais de pacientes. A empresa de tecnologia, com sede no Brasil e controlada por um grupo estrangeiro, passou a receber dados dos pacientes, inclusive dados sensíveis de saúde, para treinar o algoritmo, armazenando-os em servidores situados na Europa. O hospital não se comunicou previamente com os titulares dos dados sobre essa nova finalidade, tampouco obteve consentimento específico. Depois da investigação instaurada pela Autoridade Nacional de Proteção de Dados (ANPD), apurou-se que os dados estavam sendo usados sem anonimização adequada e sem a adoção de medidas de segurança compatíveis com seu grau de sensibilidade. Com base na Lei Geral de Proteção de Dados Pessoais (LGPD), assinale a afirmativa correta.
Alternativas
- A.Como a empresa de tecnologia atua apenas como operadora de dados, e os dados não foram compartilhados com terceiros não autorizados, não há a violação à LGPD.
- B.O tratamento de dados sensíveis exige consentimento expresso e específico do titular, e sua ausência, aliada à falta de medidas de segurança e anonimização, caracteriza infração grave à LGPD.
- C.A transferência internacional de dados sensíveis para servidores na Europa é lícita, desde que o país de destino possua legislação semelhante à brasileira, independentemente de consentimento do titular.
- D.A LGPD não se aplica ao tratamento de dados realizados com fins de desenvolvimento tecnológico e pesquisa científica, desde que os dados sejam pseudonimizados.
- E.A responsabilidade pela infração recai exclusivamente sobre o hospital, enquanto controlador, sendo o operador isento de responsabilização por atos realizados no exercício da atividade delegada. TRIBUNAL DE JUSTIÇA DO ESTADO DO CEARÁ FGV CONHECIMENTO Juiz Substituto – TARDE TIPO BRANCA – PÁGINA 3
Gabarito: alternativa correta destacada.
Comentario
Por que as demais estão erradas:
A alternativa A está incorreta porque a responsabilidade e a ocorrência de infração à LGPD não dependem do compartilhamento com terceiros, bastando o tratamento inadequado, inseguro ou sem base legal dos dados pelo operador ou controlador.
A alternativa C está incorreta porque a transferência internacional de dados sensíveis não é autorizada de forma automática apenas pela semelhança legislativa, exigindo o preenchimento de requisitos específicos do Art. 33 da LGPD, como garantias contratuais ou salvaguardas adequadas.
A alternativa D está incorreta porque a LGPD se aplica ao tratamento de dados para fins de desenvolvimento tecnológico e pesquisa, e os dados pseudonimizados continuam sob o escopo da lei, pois ainda são considerados dados pessoais sob certas condições.
A alternativa E está incorreta porque o operador responde solidariamente pelos danos causados pelo tratamento se descumprir as obrigações da legislação de proteção de dados ou se não tiver seguido as instruções lícitas do controlador, conforme o Art. 42, § 1º, I, da LGPD.