Questão de Segurança da Informação · FGV TJDFT 2022 (nº 57)

O registro das operações de tratamento é a "fotografia" documentada de como os dados pessoais fluem dentro da empresa: quem coleta, o que coleta, onde armazena, com quem compartilha e por quanto tempo. A LGPD exige que o controlador (quem decide o que fazer com os dados) e o operador (quem executa o tratamento a mando do controlador) mantenham esse registro, e o nome técnico dado a esse documento é inventário de dados pessoais — um mapa completo e atualizado de todos os tratamentos realizados.

• (A) Correta: É exatamente isso que o Art. 37 da LGPD exige: o inventário de dados pessoais é o instrumento formal para registrar as operações de tratamento, contendo informações como finalidade, base legal, prazos e compartilhamentos.
• (B) Incorreta: "Catálogo de base de dados" é um termo genérico de TI (lista de bancos de dados), mas a LGPD não usa essa nomenclatura para o registro legal de operações; o foco do inventário é o fluxo do dado, não a estrutura técnica.
• (C) Incorreta: O Relatório de Impacto à Proteção de Dados (RIPD) é um documento diferente, exigido pelo Art. 38, usado quando o tratamento pode gerar alto risco aos titulares. Ele descreve riscos e mitigação, mas não é o registro rotineiro de todas as operações.
• (D) Incorreta: "Serviços notariais e de registro" são cartórios (registro civil, imóveis), completamente fora do contexto de proteção de dados. A pegadinha aqui é a palavra "registro", que a banca usa para confundir com "registro das operações".
• (E) Incorreta: O termo de consentimento é apenas uma das bases legais (Art. 7º, I) e um documento de autorização do titular, não o registro contínuo das operações que o controlador realiza. A armadilha é achar que "registrar" significa guardar o documento assinado pelo usuário, mas o inventário vai muito além disso.