Durante a definição dos requisitos de um sistema que realizará tratamento de dados pessoais, a equipe de TI decidiu adotar medidas alinhadas aos princípios de proteção de dados desde a concepção da solução e de configuração padrão voltada à preservação
da privacidade. Nesse contexto, a medida mais aderente a esses princípios é

Question

Durante a definição dos requisitos de um sistema que realizará tratamento de dados pessoais, a equipe de TI decidiu adotar medidas alinhadas aos princípios de proteção de dados desde a concepção da solução e de configuração padrão voltada à preservação
da privacidade. Nesse contexto, a medida mais aderente a esses princípios é Alternativa A: estabelecer avaliações periódicas dos processos de tratamento conduzidas por equipes responsáveis pela governança de
dados. Ou Alternativa B: adotar procedimentos de monitoramento contínuo das operações realizadas, assegurando rastreabilidade das ações exeсиtadas no ambiente. Ou Alternativa C: coletar apenas os dados necessários para a finalidade declarada e configurar permissões de acesso compatíveis com as
funções efetivamente desempenhadas. Ou Alternativa D: manter documentação atualizada das bases legais utilizadas, dos fluxos de tratamento e dos responsáveis pelas atividades
de processamento. Ou Alternativa E: implementar mecanismos de registro das operações realizadas pelos usuários, permitindo auditorias posteriores e investigação de incidentes de segurança.

Qconcursos · Accepted Answer

Alternativa [C] coletar apenas os dados necessários para a finalidade declarada e configurar permissões de acesso compatíveis com as
funções efetivamente desempenhadas. Gabarito: CFundamento decisivo: Lei nº 13.709/2018, art. 46, caput: "Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito." Lei nº 13.709/2018, art. 46, § 2º: "As medidas de que trata o caput deste artigo deverão ser observadas desde a fase de concepção do produto ou do serviço até a sua execução." Lei nº 13.709/2018, art. 6º, III: "III - necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados;" Lei nº 13.709/2018, art. 6º, VII: "VII - segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;"Tema central: Privacidade desde a concepçãoAnálise das alternativasAErradaIncorreta. Avaliações periódicas dos processos de tratamento são medidas de governança e controle continuado, ligadas à demonstração e revisão de conformidade, mas não exprimem, com a mesma aderência exigida no enunciado, a incorporação preventiva de minimização de dados e restrição de acesso no desenho do sistema. O critério jurídico que a elimina é: governança posterior ou continuada não se confunde com medida de privacidade por concepção e por configuração padrão.BErradaIncorreta. Monitoramento contínuo e rastreabilidade reforçam segurança operacional, mas não traduzem diretamente a limitação estrutural do tratamento ao mínimo necessário nem a configuração inicial restritiva de acesso. O enunciado pede a medida mais aderente à proteção desde a concepção; aqui há controle das operações, não a definição preventiva do que será coletado e de quem poderá acessar. O critério jurídico decisivo é a diferença entre segurança operacional posterior e necessidade mais segurança incorporadas ao desenho da solução.CCertaA alternativa C é a correta porque, no próprio desenho do sistema, reduz a coleta ao mínimo necessário para a finalidade declarada, o que atende ao princípio da necessidade do art. 6º, III, da LGPD. Além disso, ao prever permissões de acesso compatíveis com as funções efetivamente desempenhadas, ela adota medida técnica e administrativa de segurança contra acessos não autorizados, em linha com o art. 6º, VII, e com o art. 46, caput. Como essas providências são incorporadas já na estruturação da solução, elas se enquadram na exigência do art. 46, § 2º, de observância desde a fase de concepção do produto ou serviço até a sua execução.DErradaIncorreta. Manter documentação sobre bases legais, fluxos e responsáveis atende à governança e à responsabilização/prestação de contas, servindo à demonstração de conformidade. Porém, isso não é a medida mais aderente à lógica de privacidade por padrão cobrada na questão, porque não configura o sistema para tratar menos dados nem restringe acessos desde sua concepção. O critério jurídico de exclusão é: documentação comprobatória não substitui minimização e controle de acesso implementados no próprio sistema.EErradaIncorreta. O registro de operações para auditoria e investigação de incidentes é relevante para segurança e responsabilização, mas atua predominantemente no controle posterior e na apuração de eventos. A questão, contudo, exige a medida mais aderente à proteção desde a concepção da solução e à configuração padrão voltada à privacidade. O critério jurídico que a afasta é: auditoria posterior não equivale à configuração preventiva do tratamento e dos acessos.Pegadinha da questãoA banca explorou a confusão entre medidas importantes de governança, documentação, monitoramento e auditoria, de um lado, e a medida juridicamente mais aderente à privacidade desde a concepção e por padrão, de outro. A alternativa correta não é a mais “sofisticada” em controle, mas a que limita dados e acessos já no desenho do sistema.Dica para questões semelhantesSe o enunciado falar em concepção da solução, procure primeiro medida incorporada ao desenho do sistema, não ação de revisão ou auditoria posterior.Na LGPD, minimização do tratamento aponta para o art. 6º, III: coletar apenas o mínimo necessário costuma ser traço decisivo.Restrição de permissões conforme a função exercida concretiza segurança contra acesso não autorizado e costuma indicar aderência ao art. 6º, VII, e ao art. 46.Não confunda prestação de contas, documentação e logs com a medida mais aderente à configuração padrão de privacidade.

Durante a definição dos requisitos de um sistema que realiza...

Gabarito comentado

Gabarito: C

Clique para visualizar este gabarito

Comentários

Clique para visualizar este comentário

Questões de assuntos semelhantes

Provas relacionadas