Questão nº 51
Questão de Tecnologia da Informação · FGV TJ-MS 2024 (nº 51)
O Artigo 46 da Lei Nº 13.709 (Lei Geral de Proteção de Dados Pessoais), de 14 de agosto de 2018, explicita que os agentes de tratamento devem adotar medidas de segurança aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas que gerem destruição, perda, alteração ou comunicação desses dados.
A aplicação do disposto no Artigo requer que:
- Aas medidas de segurança sejam observadas a partir da fase de concepção do produto ou serviço; (alternativa correta)
- Ba proteção de dados pessoais seja considerada a partir da fase de execução do produto ou serviço;
- Cos agentes de tratamento sejam notificados pela autoridade nacional dos riscos e sanções relacionados ao incidente;
- Do titular seja notificado por e-mail ou telegrama quando os riscos relacionados a incidentes de acessos não autorizados puderem afetar a salvaguarda de dados bancários, de saúde ou de seus dependentes menores de idade;
- Eo controlador notifique os administradores dos sistemas de software envolvidos em um incidente para que providenciem, preventivamente, que os usuários alterem suas credenciais de acesso.
Resposta comentada
Gabarito Alternativa A
A LGPD exige que as empresas protejam os dados pessoais. Isso significa que a segurança não é um "extra" que se adiciona depois, mas sim algo que precisa ser pensado e construído desde o início de qualquer projeto, produto ou serviço que lide com dados.
(A) Correta: A Lei Geral de Proteção de Dados (LGPD), embora o Art. 46 não mencione explicitamente "concepção", exige que as medidas de segurança sejam adotadas desde a fase de concepção (ou design) de produtos e serviços. Isso é conhecido como "Privacy by Design" e "Security by Design", princípios fundamentais da LGPD (Art. 6, incisos IX e X, e Art. 49, parágrafo único), garantindo que a proteção de dados seja inerente e não uma adaptação posterior.
(B) Incorreta: Considerar a proteção de dados apenas na fase de execução é tardio. A LGPD exige uma abordagem proativa, onde a segurança é pensada desde o planejamento, e não apenas quando o produto ou serviço já está em funcionamento.
(C) Incorreta: A notificação pela autoridade nacional (ANPD) sobre riscos e sanções ocorre após um incidente ou uma fiscalização, e não é um requisito para a aplicação das medidas de segurança iniciais pelos agentes de tratamento.
(D) Incorreta: Esta alternativa descreve a notificação ao titular sobre um incidente de segurança (conforme Art. 48 da LGPD), e não a aplicação das medidas de segurança preventivas que o Art. 46 exige. Embora a notificação seja importante, ela é uma ação pós-incidente, e não a medida de segurança em si. Armadilha da banca: Esta é a alternativa mais tentadora porque fala de incidentes, riscos e tipos de dados sensíveis, que são temas da LGPD. No entanto, ela aborda a consequência e a reação a um incidente (notificação ao titular), e não a aplicação das medidas de segurança que devem ser adotadas antes para evitar o incidente, conforme o Art. 46.
(E) Incorreta: Notificar administradores de sistemas para alteração de credenciais é uma ação corretiva e reativa, realizada após a ocorrência de um incidente de segurança, e não uma medida de segurança aplicada desde a concepção do produto ou serviço.
Fonte: FGV TJ-MS 2024 Técnico de Nível Superior - Analista de Suporte de T.I. (Caderno Tipo 1). Reproduzida para fins de estudo.