Alternativa Correta: A

A questão aborda a norma ABNT NBR ISO/IEC 27701:2019, que está relacionada ao Sistema de Gestão de Privacidade da Informação (SGPI). Este SGPI é uma extensão da norma ISO/IEC 27001 e foca na proteção de dados pessoais, sendo crucial para organizações que tratam informações sensíveis.

A alternativa A é correta porque a norma exige que se realize uma avaliação de impacto de privacidade sempre que houver mudanças significativas nos processos de tratamento de dados pessoais. Esta prática é essencial para identificar riscos e propor medidas de mitigação, garantindo conformidade com as melhores práticas de proteção de dados. A avaliação de impacto é uma ferramenta fundamental para assegurar que a privacidade dos titulares de dados seja respeitada.

Análise das Alternativas Incorretas:

Alternativa B: Está incorreta. A norma de fato aborda as obrigações dos titulares de dados. Desconsiderar esse aspecto pode levar a não conformidades com a legislação de proteção de dados, como a Lei Geral de Proteção de Dados (LGPD) no Brasil, que enfatiza os direitos dos titulares.

Alternativa C: Errada. A norma exige que contratos sejam formalizados com operadores de dados, mas não com todos os parceiros de negócios, a menos que lidem com dados pessoais. Esse cuidado é necessário para garantir a proteção adequada e a responsabilidade no tratamento de dados.

Alternativa D: Incorreta. Mesmo que uma organização opere localmente, a transferência internacional de dados pode ocorrer, e a norma prevê diretrizes específicas para essas situações. Assim, essa questão não pode ser considerada irrelevante.

Alternativa E: Está errada. A manutenção de registros é um requisito da norma, pois documentação rigorosa é crucial para demonstrar conformidade e facilitar auditorias, além de suportar a gestão de riscos de privacidade.

Gostou do comentário? Deixe sua avaliação aqui embaixo!

A ABNT NBR ISO/IEC 27701:2019 (extensão da ISO/IEC 27001 para privacidade) estabelece que:

Avaliação de Impacto à Privacidade (PIA - Privacy Impact Assessment) é obrigatória quando:

• Há mudanças significativas no tratamento de dados (ex.: novo sistema, compartilhamento com terceiros).
• A organização lida com dados sensíveis ou de alto risco (ex.: saúde, biométricos).
• Requisitos da LGPD (Lei Geral de Proteção de Dados) se aplicam, mesmo para operações locais (como em Campinas).

Justificativa das Alternativas Incorretas:

• B) ❌ A norma explicitamente trata dos direitos dos titulares (Seção 8.3), como acesso, retificação e exclusão de dados.
• C) ❌ Contratos são exigidos apenas para operadores que processam dados pessoais (não todos os parceiros).
• D) ❌ A transferência internacional deve ser considerada mesmo para operações locais se houver uso de cloud global (ex.: AWS, Google Cloud).
• E) ❌ A norma exige documentação rigorosa (Seção 8.2), incluindo registros de atividades de tratamento.

Fonte: DeepSeek