Em um hipotético incidente de segurança em sistema de informação utilizado para atendimento aos participantes, a equipe responsável pelo controle de dados verificou acesso indevido a dados pessoais. A análise preliminar indicou possibilidade de risco ou dano relevante aos titulares, embora ainda estivessem em apuração a extensão exata do evento e a identificação de todos os afetados.

De acordo com a Lei Geral de Proteção dos Dados Pessoais (LGPD), a resposta institucional deve considerar que

Considerando o disposto na LGPD, analise as assertivas abaixo:

I. Quando houver infração à LGPD, em decorrência do tratamento de dados pessoais por órgãos públicos, a autoridade nacional poderá enviar informe com medidas cabíveis para fazer cessar a violação.
II. A autoridade nacional poderá solicitar a agentes do Poder Público a publicação de relatórios de impacto à proteção de dados pessoais e sugerir a adoção de padrões e de boas práticas para os tratamentos de dados pessoais pelo Poder Público.
III. O controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo.

Quais estão corretas?

Nos termos da Lei nº 13.709/2018, Lei Geral de Proteção de Dados Pessoais (LGPD), quando realizarem operações de tratamento de dados pessoais, as pessoas jurídicas de direito público deverão: 

Sobre as sanções administrativas previstas no art. 52 da LGPD, aplicáveis pela ANPD aos agentes de tratamento, assinale a alternativa correta.

O Município Z, por meio de sua Secretaria de Saúde, sofreu um ataque cibernético que resultou no vazamento de dados médicos confidenciais de centenas de pacientes atendidos pelo SUS. A investigação técnica apontou que o incidente ocorreu porque a municipalidade falhou gravemente em implementar os sistemas de segurança técnicos e administrativos exigidos pela legislação. Diante da gravidade, a Autoridade Nacional de Proteção de Dados (ANPD) instaurou processo administrativo para apurar a infração.

Com base nas disposições da LGPD sobre a aplicação de sanções administrativas, assinale a alternativa correta:

A Lei Geral de Proteção de Dados Pessoais (LGPD), Lei nº 13.709/2018, estabelece diretrizes para o tratamento de dados pessoais no Brasil. No Capítulo VII, Seção I, Art. 48, essa lei determina que o controlador deve comunicar à autoridade nacional e ao titular qualquer incidente de segurança que possa acarretar risco ou dano relevante aos titulares. O §1º do artigo define que essa comunicação deve ocorrer em prazo razoável e mencionar, no mínimo, alguns elementos obrigatórios. Com base no Art. 48, são elementos mínimos exigidos pela LGPD na comunicação de um incidente de segurança, EXCETO 

Uma sociedade empresária de serviços de TI revisou sua política de conformidade com a Lei Geral de Proteção de Dados (LGPD). Para mitigar riscos, a equipe de Segurança da Informação aplicou técnicas de pseudonimização nos bancos de dados de produção e estabeleceu um protocolo de resposta a incidentes que prevê a notificação à Autoridade Nacional de Proteção de Dados (ANPD) em situações de risco relevante aos titulares.

Com base nesse cenário e nos preceitos da LGPD, assinale a afirmativa correta.  

De acordo com a Lei n.º 13.709/2018 (Lei Geral de Proteção de Dados Pessoais – LGPD), a autoridade nacional poderá solicitar, a qualquer momento, às entidades do Poder Público alguns tratamento, como:

I. A realização de operações de tratamento de dados pessoais.
II. Informações específicas sobre o âmbito e a natureza dos dados e outros detalhes do tratamento realizado.
III. Poderá emitir parecer técnico complementar para garantir o cumprimento da Lei n.º 13.709/2018.
IV. Suspensão imediata e definitiva de todo e qualquer tratamento de dados do órgão, sem necessidade de processo administrativo prévio.
V. Poderá transferir compulsoriamente todas as bases de dados públicos para entidades privadas de forma sigilosa.



Está CORRETO o que se afirma em:

O art. 7º do Decreto Municipal de Caxias do Sul nº 21.641/2021 estabelece que o encarregado é responsável por atuar como canal de comunicação entre o controlador, os titulares dos dados e a: 

A Lei nº 13.709/2018, popularmente conhecida como Lei Geral de Proteção de Dados Pessoais (LGPD), é a legislação brasileira que regula as atividades de tratamento de dados pessoais de pessoas naturais, tanto por meios digitais quanto físicos, realizados por pessoas naturais ou jurídicas de direito público ou privado. O foco central da LGPD é proteger os direitos fundamentais de liberdade e de privacidade, além de garantir o livre desenvolvimento da personalidade da pessoa natural. Ela busca trazer mais transparência e controle sobre como informações pessoais são coletadas, armazenadas e compartilhadas.
Para zelar pela proteção de dados pessoais orientada pela LGPD, foi criada a Agência Nacional de Proteção de Dados (ANPD), autarquia de natureza especial vinculada ao Ministério da Justiça e Segurança Pública, dotada de autonomia funcional, técnica, decisória, administrativa e financeira, com patrimônio próprio e com sede e foro no Distrito Federal. A ANPD é, portanto, o órgão central de interpretação da LGPD. Sobre as competências da ANPD, analise as asserções.

I. Estimular a adoção de padrões para serviços e produtos que facilitem o exercício de controle dos titulares sobre seus dados pessoais, independentemente das especificidades das atividades e do porte dos responsáveis.
II. Solicitar, a qualquer momento, às entidades do poder público que realizem operações de tratamento de dados pessoais, informe específico sobre o âmbito, a natureza dos dados e os demais detalhes do tratamento realizado, com a possibilidade de emitir parecer técnico complementar para garantir o cumprimento da lei.
III. Apreciar, a qualquer momento, petições de titular contra controlador, ainda que haja prazo regulamentar para solução pelo controlador.
IV. Editar normas, orientações e procedimentos simplificados e diferenciados, inclusive quanto aos prazos, para que microempresas e empresas de pequeno porte, bem como iniciativas empresariais de caráter incremental ou disruptivo que se autodeclarem startups ou empresas de inovação, possam adequar-se à lei.

Assinale a alternativa que apresenta apenas asserções corretas de acordo com a norma. 

Em uma unidade escolar da rede pública, foi identificado acesso indevido ao computador da secretaria, com indícios de possível extração de dados pessoais de estudantes. Diante da situação, a direção da escola solicita orientação imediata quanto às providências a serem adotadas. Considerando as disposições da Lei n.º 13.709/2018 (Lei Geral de Proteção de Dados Pessoais − LGPD) e as orientações da Autoridade Nacional de Proteção de Dados (ANPD) acerca da comunicação de incidentes de segurança, julgue os itens a seguir e registre V, para verdadeiras, e F, para falsas:

(__)A resposta inicial deve incluir registro formal do incidente e documentação mínima do ocorrido, pois a regulamentação de comunicação busca assegurar responsabilização e prestação de contas.

(__)É recomendável apagar arquivos e logs para reduzir risco imediato, ainda que isso prejudique apuração posterior.

(__)A LGPD prevê que agentes de tratamento adotem medidas técnicas e administrativas para proteger dados contra acessos não autorizados e situações ilícitas.

(__)Havendo incidente que possa acarretar risco ou dano relevante, o controlador deve comunicar à ANPD e ao titular, com informações mínimas sobre o incidente e medidas adotadas.

(__)A comunicação à ANPD pode ser realizada diretamente pelo operador, independentemente do controlador, sem necessidade de encarregado ou representação formal.

Assinale a alternativa que apresenta a sequência correta:

A Secretaria de Estado da Educação, atuando como Controladora, sofreu um ataque cibernético em seu sistema acadêmico, hospedado por uma empresa terceirizada de tecnologia educacional (Operadora). O incidente resultou no vazamento de milhares de laudos socioeconômicos de alunos e relatórios de progressão funcional de professores. Rafael, Analista Administrativo e membro do comitê de privacidade, foi convocado para acionar o plano de contingência e orientar a alta gestão. Considerando a situação descrita, a sistemática de notificação de incidentes e as regras de Boas Práticas e Governança estabelecidas na Lei Geral de Proteção de Dados Pessoais (LGPD), analise as assertivas a seguir:

I.O programa de governança em privacidade implementado pela instituição pública deve abranger todo o conjunto de dados pessoais sob seu controle, independentemente de os dados dos alunos e dos professores terem sido coletados fisicamente ou mediante plataformas digitais de ensino.

II.Diante da expressiva gravidade do vazamento, a comprovação da existência de um plano prévio de resposta a incidentes exime a instituição pública da obrigatoriedade legal de notificar a Autoridade Nacional de Proteção de Dados e os respectivos titulares afetados.

III.A empresa terceirizada de tecnologia encontra-se legalmente impedida de formular regras próprias de governança, visto que a legislação concentra a competência regulamentar de boas práticas de forma exclusiva e intransferível na figura institucional da universidade controladora dos dados.

IV.A Secretaria deverá demonstrar a efetividade de seu programa de governança em privacidade quando requerida pela autoridade nacional, cabendo-lhe comprovar que a referida política institucional é atualizada constantemente com base em monitoramento contínuo e em avaliações periódicas de risco cibernético.

V.Visando preservar o princípio da isonomia administrativa, a lei exige que o programa de governança da Secretaria seja estruturalmente idêntico aos formulados por escolas básicas, sendo legalmente irrelevante a dimensão de suas operações acadêmicas ou a sensibilidade dos dados tratados.

É correto o que se afirma em: