Nas permissões NTFS, negar explicitamente a permissão de leitura a um usuário sempre perde efeito quando esse usuário pertence a um grupo que recebeu permissão de controle total sobre a mesma pasta.