Questão nº 189
Questão de Contratações de TI · CEBRASPE TCU 25 AUFC 2025 (nº 189)
Julgue os itens subsequentes com base na Lei n.º 14.133/2021, na Lei Geral de Proteção de Dados Pessoais (LGPD), no Decreto n.º 10.024/2019 e na Instrução Normativa SGD/ME n.º 94/2022.
No que tange ao tratamento de dados pessoais em contratos de TI, o controlador e o operador devem manter o registro das operações de tratamento de dados pessoais que realizarem, além de adotar medidas de segurança contra acessos não autorizados a tais dados.
Resposta comentada
Conceito-chave: A LGPD divide os responsáveis pelos dados em duas figuras: o controlador (quem decide o que fazer com os dados) e o operador (quem executa o tratamento em nome do controlador, como uma empresa de TI contratada). Ambos, cada um na sua função, têm deveres de prestação de contas (accountability), ou seja, precisam provar que estão tratando dados de forma correta e segura.
- Correta: Certo. A LGPD exige que tanto o controlador quanto o operador mantenham registro das operações de tratamento (um "diário" do que fazem com os dados) e implementem medidas de segurança (técnicas e administrativas) para proteger os dados de acessos não autorizados, como vazamentos ou invasões.
Fica de olho: A banca pode tentar inverter os papéis, dizendo que "apenas o controlador" tem esse dever, ou que "o operador está isento" por ser mero executor. Outra pegadinha comum é trocar a palavra registro por relatório ou dizer que a obrigação é de compartilhar o registro com o público, quando na verdade o registro é interno e deve ser mantido para comprovação perante a autoridade (ANPD).
Fonte: CEBRASPE TCU 25 AUFC 2025 Auditor Federal de Controle Externo - Área de Controle Externo / Orientação: Auditoria de Tecnologia da Informação. Reproduzida para fins de estudo.