A alternativa correta é a A.

Análise:

A questão trata das regras de boas práticas e de governança previstas na LGPD (Lei nº 13.709/2018), especialmente no art. 50.

O dispositivo estabelece que:

Controladores e operadores, no âmbito de suas competências, poderão formular regras de boas práticas e de governança que estabeleçam condições de organização, funcionamento, procedimentos, normas de segurança, padrões técnicos, ações educativas, mecanismos internos de supervisão e mitigação de riscos.

Além disso, o § 1º do art. 50 determina que, ao estabelecer essas regras, deverão ser considerados:

• a natureza do tratamento;
• o escopo;
• a finalidade;
• a probabilidade e a gravidade dos riscos e dos benefícios decorrentes do tratamento de dados pessoais.

Portanto, a alternativa A reproduz corretamente a previsão legal.

✅ Resposta: A

Por que as demais estão erradas?

B) Errada.

A alternativa mistura conceitos. Ela menciona o princípio da adequação, mas o dever de implementar programa de governança em privacidade está relacionado ao art. 50, não ao princípio da adequação (art. 6º, II). Além disso, o texto da LGPD fala em considerar estrutura, escala, volume, sensibilidade dos dados e riscos para fins de governança, não como conteúdo do princípio da adequação.

C) Errada.

A LGPD prevê justamente o contrário: o controlador e o operador devem demonstrar a efetividade de seu programa de governança em privacidade quando solicitado pela ANPD.

O sigilo não impede essa demonstração.

D) Errada.

A alternativa atribui a ideia ao princípio da publicidade, mas o programa de governança em privacidade não decorre desse princípio. A LGPD trata de políticas, salvaguardas, avaliação de impactos e riscos no contexto de governança (art. 50).

E) Errada.

As regras de boas práticas e governança devem ser publicadas e atualizadas periodicamente (art. 50, § 2º). Além disso, não cabe exclusivamente ao controlador: o dispositivo menciona controladores e operadores.

Gabarito: Letra A.

Fundamento: LGPD (Lei nº 13.709/2018):

Art. 50. Os controladores e operadores, no âmbito de suas competências, pelo tratamento de dados pessoais, individualmente ou por meio de associações, poderão formular regras de boas práticas e de governança que estabeleçam as condições de organização, o regime de funcionamento, os procedimentos, incluindo reclamações e petições de titulares, as normas de segurança, os padrões técnicos, as obrigações específicas para os diversos envolvidos no tratamento, as ações educativas, os mecanismos internos de supervisão e de mitigação de riscos e outros aspectos relacionados ao tratamento de dados pessoais.

§ 1º Ao estabelecer regras de boas práticas, o controlador e o operador levarão em consideração, em relação ao tratamento e aos dados, a natureza, o escopo, a finalidade e a probabilidade e a gravidade dos riscos e dos benefícios decorrentes de tratamento de dados do titular.

§ 2º Na aplicação dos princípios indicados nos incisos VII e VIII do caput do art. 6º desta Lei, o controlador, observados a estrutura, a escala e o volume de suas operações, bem como a sensibilidade dos dados tratados e a probabilidade e a gravidade dos danos para os titulares dos dados, poderá:

I - implementar programa de governança em privacidade que, no mínimo:

a) demonstre o comprometimento do controlador em adotar processos e políticas internas que assegurem o cumprimento, de forma abrangente, de normas e boas práticas relativas à proteção de dados pessoais;

b) seja aplicável a todo o conjunto de dados pessoais que estejam sob seu controle, independentemente do modo como se realizou sua coleta;

c) seja adaptado à estrutura, à escala e ao volume de suas operações, bem como à sensibilidade dos dados tratados;

d) estabeleça políticas e salvaguardas adequadas com base em processo de avaliação sistemática de impactos e riscos à privacidade;

e) tenha o objetivo de estabelecer relação de confiança com o titular, por meio de atuação transparente e que assegure mecanismos de participação do titular;

f) esteja integrado a sua estrutura geral de governança e estabeleça e aplique mecanismos de supervisão internos e externos;

g) conte com planos de resposta a incidentes e remediação; e

h) seja atualizado constantemente com base em informações obtidas a partir de monitoramento contínuo e avaliações periódicas;

II - demonstrar a efetividade de seu programa de governança em privacidade quando apropriado e, em especial, a pedido da autoridade nacional ou de outra entidade responsável por promover o cumprimento de boas práticas ou códigos de conduta, os quais, de forma independente, promovam o cumprimento desta Lei.

§ 3º As regras de boas práticas e de governança deverão ser publicadas e atualizadas periodicamente e poderão ser reconhecidas e divulgadas pela autoridade nacional.

Art. 51. A autoridade nacional estimulará a adoção de padrões técnicos que facilitem o controle pelos titulares dos seus dados pessoais.