A principal função da Lei Geral de Proteção de Dados (LGPD) é garantir que o tratamento de dados pessoais não cause riscos e danos aos direitos e às liberdades individuais do titular de dados. Nos casos em que pode haver riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco, a lei sugere fortemente a criação de um documento específico, para reconhecer esses riscos presentes no tratamento de dados pela organização. Esse documento, listado na lei, e que também pode ser exigido ao controlador pela ANPD (conforme Art. 38), é
- A)a política de proteção de dados pessoais.
Incorreta, porque política de proteção de dados pessoais é um documento organizacional mais amplo, mas não é o instrumento específico voltado a avaliar riscos do tratamento.
- B)relatório de avaliação de vulnerabilidades no acesso a dados pessoais.
Incorreta, porque a LGPD não usa essa expressão como documento específico para avaliação de riscos no tratamento de dados pessoais.
- C)relatório de impacto à proteção de dados pessoais.
Correta, porque o relatório de impacto à proteção de dados pessoais é o documento previsto na LGPD e pode ser exigido pela ANPD, conforme o art. 38.
- D)termo de consentimento no uso de dados pessoais.
Incorreta, porque termo de consentimento é base legal para tratamento em certos casos, não documento de análise de riscos e impactos.
- E)política de segurança da informação.
Incorreta, porque política de segurança da informação é medida de governança e proteção, mas não substitui o relatório de impacto exigido pela LGPD.
Gabarito: C
A LGPD foi feita para organizar o tratamento de dados pessoais e reduzir riscos para o titular, especialmente quando a atividade da organização pode afetar direitos fundamentais e liberdades civis. Quando esse tratamento envolve maior sensibilidade ou potencial de dano, a lei prevê um instrumento para mapear esses riscos e mostrar quais medidas de proteção foram adotadas. Esse instrumento é o relatório de impacto à proteção de dados pessoais, previsto no art. 38 da LGPD. Ele funciona como uma espécie de "raio-x" do tratamento: identifica a finalidade, os tipos de dados usados, os riscos envolvidos e as salvaguardas aplicadas. Ou seja, não é só papel bonito na gaveta - ele serve para demonstrar responsabilidade e prevenção. Por isso o gabarito é a letra C. A lei permite que a Autoridade Nacional de Proteção de Dados (ANPD) solicite esse relatório ao controlador, justamente para verificar se o tratamento está compatível com a proteção dos direitos do titular. Em linguagem de prova: se a questão falar em riscos, mitigação, salvaguardas e exigência pela ANPD, pense no relatório de impacto. As outras alternativas tentam parecer próximas, mas misturam documentos e políticas genéricas com um instrumento específico da LGPD. Em concurso, a banca gosta desse truque: joga um nome parecido e vê se você confunde política de segurança, consentimento e relatório de impacto.