Questão de Tecnologia da Informação · FGV TRF1 2024 (nº 73)

Quando ocorre um incidente de segurança que afeta dados pessoais, a organização que os trata (o controlador) precisa avaliar se esse incidente pode causar risco ou dano relevante aos donos dos dados (os titulares). Se sim, ela deve informar a Autoridade Nacional de Proteção de Dados (ANPD) dentro de um prazo específico.

• (A) Incorreta: O prazo é de "três dias úteis", não apenas "três dias", e a comunicação não é acionada apenas pela indisponibilidade, mas pela violação de dados que gere risco ou dano.
• (B) Incorreta: O prazo não é "imediatamente" e o volume de dados, embora relevante para a avaliação de risco, não é o único critério para a comunicação ou para definir o prazo.
• (C) Incorreta: Esta é a armadilha da banca. Embora a "violação de dados pessoais" seja um gatilho correto, a notificação não é "imediatamente". Além disso, falta a condição crucial de que o incidente acarrete "risco ou dano relevante" aos titulares, conforme exigido pela LGPD.
• (D) Correta: Esta alternativa está em total conformidade com o Art. 48, § 1º da Lei Geral de Proteção de Dados Pessoais (LGPD) e a Resolução CD/ANPD Nº 2/2022. A comunicação à ANPD deve ocorrer em até três dias úteis a partir do conhecimento do incidente, mas apenas se houver a confirmação de violação de dados pessoais e se essa violação acarretar risco ou dano relevante aos titulares.
• (E) Incorreta: A exigência de o titular requerer a confirmação de tratamento é um direito do titular (acesso), não uma condição para a comunicação de um incidente de segurança à ANPD.