ABNT NBR ISO/IEC 27701:2019 — Sistema de Gestão de Privacidade da Informação (SGPI)
Gabarito: letra C. A norma ISO/IEC 27701, que especifica requisitos para um Sistema de Gestão de Privacidade da Informação (SGPI), exige que a organização realize uma avaliação de impacto de privacidade sempre que houver uma mudança significativa nos processos de tratamento de dados pessoais. Essa é uma obrigação central da norma, que visa identificar e mitigar riscos à privacidade antes que eles se materializem. As demais alternativas distorcem o conteúdo da norma, seja afirmando que a transferência internacional é irrelevante para organizações locais, que a documentação é opcional, que os direitos dos titulares não são mencionados, ou que contratos devem ser formalizados com todos os parceiros, independentemente de lidarem com dados pessoais.
A ABNT NBR ISO/IEC 27701:2019 é uma norma de extensão da ISO/IEC 27001 (Sistema de Gestão de Segurança da Informação — SGSI) e da ISO/IEC 27002, adicionando requisitos específicos para a proteção de dados pessoais e a privacidade. Ela fornece diretrizes para que organizações de qualquer porte e setor implementem um SGPI, alinhado aos princípios de privacidade e às legislações aplicáveis, como a LGPD no Brasil. A norma é estruturada em requisitos que se aplicam a controladores e operadores de dados, e aborda temas como governança, documentação, gestão de riscos, direitos dos titulares, e a realização de avaliações de impacto.
O ponto central da questão é a avaliação de impacto de privacidade (PIA — Privacy Impact Assessment). A norma exige que a organização realize essa avaliação para identificar, analisar e avaliar os riscos às operações de tratamento de dados pessoais, especialmente quando há mudanças significativas nos processos, tecnologias ou finalidades do tratamento. Essa avaliação é um instrumento proativo de governança, que permite à organização tomar decisões informadas sobre como mitigar riscos e garantir a conformidade com a legislação. A alternativa C reflete exatamente essa obrigação.
As demais alternativas apresentam distorções sobre o conteúdo da norma. A alternativa A erra ao afirmar que a transferência internacional de dados é irrelevante para organizações locais — a norma se aplica a qualquer organização que trate dados pessoais, e a transferência internacional é um tema tratado pela norma, mesmo que a organização opere apenas localmente (a norma considera a possibilidade de transferências futuras ou o uso de serviços em nuvem, por exemplo). A alternativa B erra ao dizer que a manutenção de registros é opcional — a norma exige documentação rigorosa dos processos de tratamento. A alternativa D erra ao afirmar que a norma não menciona os direitos dos titulares — ela dedica uma seção inteira a esse tema. A alternativa E erra ao exigir contratos com todos os parceiros de negócios, independentemente de lidarem com dados pessoais — a norma exige contratos com operadores de dados, ou seja, aqueles que tratam dados pessoais em nome da organização.
A pegadinha da banca está em explorar o senso comum de que uma organização que opera apenas localmente não precisa se preocupar com transferência internacional de dados (alternativa A), e em generalizar a exigência de contratos para todos os parceiros (alternativa E). A norma, no entanto, é abrangente e se aplica a qualquer organização que trate dados pessoais, independentemente de sua localização ou porte.
Alternativa A — ❌ Incorreta
A alternativa afirma que a transferência de dados pessoais entre países é irrelevante para uma organização que opera apenas localmente, pois a subseção que trata desse tema se aplicaria apenas a organizações que operam internacionalmente. Isso é incorreto. A norma ISO/IEC 27701 se aplica a qualquer organização que trate dados pessoais, independentemente de sua localização ou do escopo de suas operações. A subseção sobre transferência internacional de dados é relevante mesmo para organizações locais, pois elas podem, por exemplo, utilizar serviços em nuvem com servidores em outros países, ou transferir dados para matrizes ou filiais no exterior. A norma exige que a organização avalie os riscos e garanta a conformidade com a legislação aplicável em qualquer transferência internacional.
Alternativa B — ❌ Incorreta
A alternativa afirma que a manutenção de registros sobre o tratamento de dados é opcional, pois a norma não exigiria documentação rigorosa. Isso é incorreto. A norma ISO/IEC 27701 exige que a organização mantenha informação documentada (registros) sobre seus processos de tratamento de dados, incluindo políticas, procedimentos, avaliações de impacto, e registros de atividades de tratamento. A documentação é um requisito essencial para demonstrar conformidade com a norma e com a legislação de proteção de dados, como a LGPD. A norma exige que a organização estabeleça e mantenha registros adequados para evidenciar o cumprimento de seus requisitos.
Alternativa C — ✅ Correta ⟵ GABARITO
A alternativa afirma que deve-se realizar uma avaliação de impacto de privacidade sempre que houver uma mudança significativa nos processos de tratamento de dados pessoais. Isso está correto. A norma ISO/IEC 27701 exige que a organização realize uma avaliação de impacto de privacidade (PIA) para identificar, analisar e avaliar os riscos às operações de tratamento de dados pessoais. Essa avaliação deve ser realizada antes de iniciar um novo tratamento ou quando houver mudanças significativas nos processos existentes, como a introdução de novas tecnologias, a mudança na finalidade do tratamento, ou a ampliação do escopo dos dados tratados. A PIA é um instrumento proativo de governança que permite à organização mitigar riscos e garantir a conformidade com a legislação.
Alternativa D — ❌ Incorreta
A alternativa afirma que é desnecessário se preocupar com as obrigações dos titulares de dados, pois a norma não mencionaria esse aspecto. Isso é incorreto. A norma ISO/IEC 27701 dedica uma seção específica aos direitos dos titulares de dados, exigindo que a organização estabeleça procedimentos para atender a solicitações de acesso, retificação, exclusão, portabilidade, entre outros direitos previstos na legislação aplicável. A norma também exige que a organização informe os titulares sobre como seus dados são tratados e garanta mecanismos para o exercício desses direitos. Ignorar as obrigações dos titulares seria uma violação grave dos requisitos da norma.
Alternativa E — ❌ Incorreta
A alternativa afirma que a subseção sobre contratos com operadores de dados exige que a organização formalize contratos com todos os seus parceiros de negócios, independentemente de eles lidarem com dados pessoais. Isso é incorreto. A norma exige que a organização formalize contratos com operadores de dados, ou seja, aqueles que tratam dados pessoais em nome da organização. A norma não exige contratos com parceiros que não lidam com dados pessoais, como fornecedores de materiais de escritório ou serviços de limpeza. A exigência de contratos é específica para garantir que os operadores de dados cumpram os requisitos de proteção de dados e atuem de acordo com as instruções da organização.
Gabarito: letra C — a única alternativa que reflete corretamente uma obrigação da norma ABNT NBR ISO/IEC 27701:2019.