A Lei nº 13.709/2018, que instituiu a proteção de dados pessoais afirma que o controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse. Nesse sentido, analise as assertivas abaixo: • A autoridade nacional poderá determinar ao __________________ que elabore relatório de impacto à proteção de dados pessoais, inclusive de dados sensíveis, referente a suas operações de tratamento de dados, nos termos de regulamento, observados os segredos comercial e industrial. • O relatório de impacto à proteção de dados pessoais deverá conter, no mínimo, a descrição dos tipos de dados coletados, a metodologia utilizada para a coleta e para a garantia da segurança das informações e a análise do ________________ com relação a medidas, salvaguardas e mecanismos de mitigação de risco adotados. • O ________________ deverá realizar o tratamento segundo as instruções fornecidas pelo ______________________, que verificará a observância das próprias instruções e das normas sobre a matéria. Assinale a alternativa que preenche, correta e respectivamente, as lacunas do trecho acima.
- A)controlador – controlador – operador – controlador
Correta, porque a LGPD prevê que a ANPD pode exigir relatório do controlador, o conteúdo do relatório menciona a análise do controlador, e o operador trata os dados sob instruções do controlador.
- B)operador – controlador – controlador – operador
Errada, porque troca o sujeito obrigado a elaborar o relatório e ainda inverte a lógica de direção do tratamento entre controlador e operador.
- C)operador – operador – controlador – operador
Errada, pois atribui ao operador a elaboração/análise do relatório, quando a lei trata essa obrigação como vinculada ao controlador.
- D)controlador – controlador – controlador – controlador
Errada, porque coloca controlador em todas as lacunas e ignora a distinção legal entre quem executa o tratamento e quem o orienta.
- E)operador – operador – operador – operador
Errada, pois universaliza o operador em posições que a LGPD reserva ao controlador, especialmente na responsabilidade pelas instruções e pelo relatório.
Gabarito: A
A LGPD trata o relatório de impacto à proteção de dados pessoais como uma ferramenta para mapear riscos e mostrar, de forma documentada, como o tratamento está sendo feito. Pela lei, a Autoridade Nacional pode determinar ao controlador que elabore esse relatório, e isso aparece no art. 38. Repare no detalhe: quem pode ser obrigado a produzir o relatório é o controlador, porque é ele quem decide sobre o tratamento e assume a posição central de responsabilidade. Outro ponto importante é o conteúdo mínimo do relatório. A lei pede a descrição dos tipos de dados coletados, a metodologia usada para a coleta e para garantir a segurança das informações, além da análise do controlador sobre medidas, salvaguardas e mecanismos de mitigação de risco. Aqui a lógica é simples: a LGPD quer transparência técnica, mas sem abrir a porta para exposição de segredo comercial e industrial. A terceira parte da questão trabalha a relação entre controlador e operador. O operador faz o tratamento seguindo as instruções do controlador, e o controlador é quem verifica a observância dessas instruções e das normas de proteção de dados. Isso está no art. 39 da LGPD. Em outras palavras: o operador executa, o controlador dirige. É a clássica divisão de papéis que a banca adora misturar. Por isso, o gabarito é a alternativa A: controlador - controlador - operador - controlador. Essa sequência encaixa exatamente nos arts. 38 e 39 da Lei nº 13.709/2018.