De acordo com o Art. 37 da LGPD (Lei Geral de Proteção de Dados Pessoais), as operações de tratamento realizadas nos dados pessoais devem ser registradas. Para isso, o controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem. O registro das operações é realizado por meio do:
- A)inventário de dados pessoais;
Correta, porque o registro das operações de tratamento é feito, na prática, por meio do inventário de dados pessoais, que mapeia o fluxo e as finalidades do tratamento.
- B)catálogo de base de dados;
Errada, porque catálogo de base de dados não é a nomenclatura usada pela LGPD para esse dever de documentação.
- C)relatório de impacto à proteção de dados pessoais;
Errada, porque o relatório de impacto à proteção de dados pessoais é um instrumento diferente, voltado à análise de riscos em certas hipóteses.
- D)serviços notariais e de registro;
Errada, porque serviços notariais e de registro não têm relação com o registro das operações de tratamento previsto no art. 37 da LGPD.
- E)termo de consentimento.
Errada, porque termo de consentimento é forma de autorização para tratamento em certas situações, não o registro das operações.
Gabarito: A
A LGPD exige que o controlador e o operador mantenham registro das operações de tratamento de dados pessoais, como forma de dar transparência e permitir controle sobre o ciclo de vida dessas informações. A ideia é simples: se você coleta, usa, compartilha, armazena ou elimina dados, isso não pode ficar no escuro. Tem que estar mapeado. Na prática, esse registro costuma ser feito por meio do inventário de dados pessoais, que organiza quais dados são tratados, para qual finalidade, por quanto tempo ficam guardados, com quem são compartilhados e quais medidas de segurança existem. É uma espécie de raio-X do tratamento, muito útil para governança e conformidade. Por isso, o gabarito é a letra A. A alternativa traz o nome mais usado para esse mapeamento interno exigido pelo art. 37 da LGPD, que serve justamente para documentar as operações de tratamento realizadas pelo controlador e pelo operador. As demais opções fogem da lógica da lei. Relatório de impacto, por exemplo, é outro instrumento, mais ligado a riscos elevados, e consentimento ou serviços notariais não têm relação com esse dever de registro. Aqui, a banca quer ver se você sabe separar documentação de tratamento de documentos de autorização ou de controle cartorial.