Questão 53 — LGPD — Pseudonimização e Relatório de Impacto (Direito Digital) — Cebraspe · Tribunal de Contas do Estado de Minas Gerais (TCE/MG) 2026

Direito Digital LGPD — Pseudonimização e Relatório de Impacto

Cebraspe 2026 Superior

Tribunal de Contas do Estado de Minas Gerais (TCE/MG) · Analista de Controle Externo – Especialidade: Ciência da Computação

Gabarito disponível

Uma startup brasileira desenvolveu um aplicativo para predizer, por meio de IA, a probabilidade de um indivíduo desenvolver certas condições médicas com base em dados genéticos e histórico familiar. Os dados foram coletados mediante consentimento dos usuários, para fins de melhoria do algoritmo e pesquisa científica. Os riscos para os dados e os impactos associados foram relatados como muito baixos pela startup. Um órgão de pesquisa parceiro internacional que teve acesso aos dados, em razão de vulnerabilidade conceitual do método de pseudonimização empregado, conseguiu reidentificar uma parte significativa dos titulares ao cruzar os dados com bases públicas.
A partir da situação hipotética precedente, é correto afirmar, com base na LGPD, que a ação inadequada da startup que culminou no vazamento de dados sensíveis foi o(a)

Selecione uma alternativa A) ausência de consentimento expresso dos titulares para o compartilhamento dos dados pseudonimizados. B) uso compartilhado de dados de saúde para a realização de estudos e pesquisas científicas. C) emprego de uma técnica frágil de pseudonimização associada à falta de uma análise de riscos adequada no relatório de impacto. D) transferência internacional de dados pseudonimizados de usuários coletados no Brasil para órgão de pesquisa parceiro. E) tratamento de dados genéticos sensíveis para fins de estudos e pesquisa científica.

Resolução comentada

A falha foi a pseudonimização frágil com análise de riscos inadequada no relatório de impacto.

O enunciado indica que a técnica de pseudonimização tinha vulnerabilidade conceitual e que os riscos foram subestimados no relatório de impacto. A causa da reidentificação e do vazamento foi a combinação dessas duas falhas, o que aponta a C.

Análise das alternativas

A) Houve consentimento para melhoria do algoritmo e pesquisa, e a falha não está na ausência dele. B e E) A LGPD permite o tratamento de dados sensíveis e de saúde para estudos por órgão de pesquisa, com garantia de anonimização ou pseudonimização. D) A transferência internacional não é por si só inadequada, e o problema foi a reidentificação decorrente da técnica frágil.

Referência: Lei nº 13.709/2018 (LGPD), arts. 5º, 11, 13 e 38

Resolução comentada do VaiConcursos.