Sobre os termos da Lei nº 13.709/2018 — Lei Geral de Proteção de Dados (LGPD), assinalar a alternativa INCORRETA:
- A)O controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse.
Certa: reproduz a regra do art. 37 da LGPD, que exige registro das operações de tratamento, especialmente quando baseado no legítimo interesse.
- B)A autoridade nacional poderá determinar ao controlador que elabore relatório de impacto à proteção de dados pessoais, exceto de dados sensíveis, referente às suas operações de tratamento de dados, nos termos de regulamento, observados os segredos comercial e industrial.
Errada: o art. 38 prevê relatório de impacto inclusive para dados sensíveis, e não com exceção deles.
- C)O operador deverá realizar o tratamento segundo as instruções fornecidas pelo controlador, que verificará a observância das próprias instruções e das normas sobre a matéria.
Certa: está de acordo com o art. 39, segundo o qual o operador trata os dados conforme as instruções do controlador, que deve verificar essa observância.
- D)A autoridade nacional poderá dispor sobre padrões de interoperabilidade para fins de portabilidade, livre acesso aos dados e segurança, assim como sobre o tempo de guarda dos registros, tendo em vista especialmente a necessidade e a transparência.
Certa: corresponde à possibilidade de a ANPD disciplinar padrões de interoperabilidade, portabilidade, livre acesso, segurança e tempo de guarda dos registros, conforme a LGPD.
Gabarito: B
A LGPD cobra bastante esses detalhes operacionais: quem trata dados, como registra, quem responde e quando a autoridade pode interferir. Em prova, o truque costuma estar em uma palavrinha que muda tudo, então vale ler com calma. No caso, a regra sobre relatório de impacto é bem específica e a banca trocou o sentido da norma. Pela LGPD, a Autoridade Nacional de Proteção de Dados pode determinar que o controlador elabore relatório de impacto à proteção de dados pessoais, inclusive quando houver dados sensíveis, sobre as operações de tratamento, nos termos do regulamento e preservados os segredos comercial e industrial. Isso está no art. 38 da Lei nº 13.709/2018. Por isso, a alternativa B ficou incorreta: ela diz "exceto de dados sensíveis", mas a lei fala justamente o contrário, isto é, "inclusive de dados sensíveis". Em concurso, essa troca de uma expressão por outra costuma derrubar muita gente, porque parece detalhe, mas muda totalmente o alcance da norma. As demais alternativas refletem comandos legais clássicos da LGPD: registro das operações, dever do operador seguir as instruções do controlador e possibilidade de a ANPD disciplinar interoperabilidade, portabilidade, livre acesso, segurança e guarda de registros. Aqui, o ponto decisivo era reconhecer a redação exata do art. 38.