Como o tratamento de dados pessoais gera riscos para os titulares, o mecanismo recomendado para a avaliação desses riscos consiste em
- A)avaliação de impactos potenciais.
Incorreta, porque avaliação de impactos potenciais é uma expressão genérica e não identifica o instrumento específico usado para medir riscos ao titular no tratamento de dados pessoais.
- B)avaliação de riscos de segurança da informação.
Incorreta, porque avaliação de riscos de segurança da informação foca proteção de ativos e sistemas, e não a análise do impacto do tratamento sobre a privacidade do titular.
- C)avaliação de desempenho.
Incorreta, porque avaliação de desempenho não tem relação com análise de riscos em proteção de dados pessoais.
- D)avaliação de impacto de privacidade.
Correta, pois a avaliação de impacto de privacidade é o mecanismo indicado para analisar os riscos do tratamento de dados pessoais aos titulares.
- E)avaliação e decisão dos eventos de segurança da informação.
Incorreta, porque eventos de segurança da informação tratam de incidentes e respostas operacionais, não da avaliação preventiva dos riscos do tratamento de dados.
Gabarito: D
Quando o tema é tratamento de dados pessoais, o risco não é só técnico: ele pode atingir a privacidade, a liberdade e até a dignidade do titular. Por isso, a lógica da Lei Geral de Proteção de Dados é olhar para o possível impacto desse tratamento sobre a pessoa, e não apenas para falhas de sistema ou para indicadores genéricos de desempenho. Nesse cenário, o mecanismo recomendado é a avaliação de impacto à proteção de dados, também chamada de avaliação de impacto de privacidade. Ela serve para identificar, analisar e mitigar riscos antes que o tratamento cause prejuízos ao titular. A LGPD prevê essa preocupação de forma compatível com a ideia de prevenção e responsabilização, especialmente nos arts. 6º e 38, que tratam de princípios e do relatório de impacto à proteção de dados pessoais. É por isso que o gabarito é a letra D. A expressão usada pela questão aponta exatamente para o instrumento que examina os efeitos do tratamento de dados sobre a privacidade das pessoas, e não um controle de segurança da informação em sentido amplo. Segurança da informação ajuda, claro, mas aqui o foco é o impacto sobre o titular, que é o coração da proteção de dados. Em resumo: se a pergunta fala em risco para titulares de dados pessoais, pense em privacidade primeiro. A banca gosta de trocar o foco jurídico do tema por linguagem de TI, então você precisa separar bem "segurança da informação" de "proteção de dados".