A norma NBR ISO/IEC 27701:2019 fornece orientações para gestão da privacidade da informação dentro do contexto da organização. De acordo com esta norma, é recomendado que a organização
- A)disponibilize regularmente informação na forma que permita a identificação dos titulares dos dados pessoais.
Errada: a norma não recomenda divulgar informação de forma que permita identificar titulares, mas sim proteger a privacidade e restringir a exposição dos dados.
- B)assegure que os arquivos temporários criados como um resultado de tratamento de dados pessoais sejam guardados e auditáveis.
Errada: a ideia de guardar e auditar arquivos temporários pode ser uma medida de controle, mas não é a recomendação central descrita pela ISO 27701 para gestão de privacidade.
- C)assegure que o conteúdo de mídia física contendo dados pessoais que esteja deixando as instalações da organização seja acessível a qualquer pessoa.
Errada: permitir que qualquer pessoa acesse mídia física com dados pessoais viola totalmente os princípios de segurança e confidencialidade.
- D)limite a coleta de dados pessoais a um mínimo que seja relevante, proporcional e necessário para os propósitos identificados.
Certa: a ISO/IEC 27701 adota a lógica de minimização, exigindo coleta apenas do mínimo relevante, proporcional e necessário para a finalidade.
- E)utilize dados pessoais reais, precisos, completos e atualizados nos procedimentos de teste e homologação dos sistemas de software.
Errada: em testes e homologação, o adequado é evitar dados pessoais reais sempre que possível, usando dados anonimizados, mascarados ou fictícios.
Gabarito: D
A NBR ISO/IEC 27701:2019 trata da gestão da privacidade da informação e complementa a ISO/IEC 27001 e 27002 com controles específicos para dados pessoais. A lógica dela é bem parecida com a ideia de privacidade desde a concepção: tratar só o necessário, com finalidade clara e proteção adequada. Em prova, a banca costuma misturar esses princípios com regras de segurança física, auditoria e testes de software para ver se voce está atento ao foco da norma. O ponto central aqui é a minimização de dados. A organização deve limitar a coleta de dados pessoais ao mínimo relevante, proporcional e necessário para atingir os propósitos identificados. Isso conversa diretamente com princípios consagrados na LGPD e também com a abordagem de privacy by design da ISO 27701. Menos dado coletado, menos risco, menos dor de cabeça e menos chance de virar manchete. Por isso o gabarito é a letra D. Ela traduz exatamente o princípio de necessidade e minimização: coletar apenas o que for indispensável para a finalidade informada. As demais alternativas falam de condutas que não representam essa orientação da norma, como expor informações, permitir acesso indiscriminado ou usar dados reais em testes, o que vai na contramão da privacidade e da segurança.