A Lei Geral de Proteção de Dados Pessoais (LGPD) dispõe sobre a “documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco”. Esta documentação trata-se de:
- A)Relatório de impacto à proteção de dados pessoais.
Certa: é a definição legal do relatório de impacto à proteção de dados pessoais, prevista no art. 5º, XVII, da LGPD.
- B)Parecer de transparência e riscos aos direitos fundamentais.
Errada: não existe na LGPD a figura de parecer de transparência e riscos aos direitos fundamentais com essa definição.
- C)Plano de comunicação, difusão e transferência de dados pessoais.
Errada: plano de comunicação, difusão e transferência de dados pessoais não é instrumento legal previsto com essa descrição.
- D)Sistema de anonimização, consentimento e bloqueio de dados pessoais.
Errada: anonimização, consentimento e bloqueio são institutos distintos da LGPD e não correspondem à documentação descrita.
Gabarito: A
A LGPD criou alguns instrumentos importantes para organizar e justificar o tratamento de dados pessoais. Um deles é o relatório de impacto à proteção de dados pessoais, que serve para registrar, de forma estruturada, quais dados estão sendo tratados, quais riscos esse tratamento pode gerar e quais medidas foram adotadas para reduzir esses riscos. Em português claro: é uma espécie de raio-X do tratamento de dados quando a operação pode afetar liberdades civis e direitos fundamentais. A própria LGPD traz essa ideia no art. 5º, XVII, ao definir o relatório de impacto à proteção de dados pessoais como a documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos, além das medidas, salvaguardas e mecanismos de mitigação de risco. É exatamente a descrição usada no enunciado, então a banca está apontando para esse conceito com bastante precisão. Esse relatório também se conecta ao princípio da responsabilização e prestação de contas, porque mostra que o controlador não está apenas tratando dados, mas também avaliando impacto e adotando providências preventivas. Em prova, sempre desconfie de alternativas inventadas com nomes bonitos, mas sem base legal. A LGPD gosta de termos técnicos bem definidos, e aqui o nome certo é bem específico. Portanto, o gabarito é a letra A, porque a descrição apresentada corresponde literalmente ao relatório de impacto à proteção de dados pessoais, instrumento previsto na LGPD para documentar riscos e medidas de mitigação.