Fórum de discussão

Área de conhecimento: Organização (SGPD) - Ref. 15.758

É uma questão de possibilidades/pressupostos que conduzem a possíveis conclusões que no caso entendo que a resposta “D” está correta e não a “A” que o teste registrou. Vejamos:

Objetivo de um SGPD: Gerenciar melhor os dados corporativos e mitigar os riscos usuais de proteção e de privacidade de dados de coleta e de processamento dados pessoais.

Resposta “A”: Prosseguir com o processo para obter a certificação de proteção de dados e que a mesma pode ser usada para demonstrar conformidade com as obrigações como controlador.

No entanto, uma certificadora não dará a certificação, se a ferramenta utilizada para mitigar riscos de proteção e de privacidade de dados utilizada pela empresa não estiver atualizada, uma vez que a empresa utiliza um SGPD e esse é o objetivo do mesmo. Isso é básico em qualquer certificação e nas boas práticas de segurança da informação. Atualizar o software utilizado com a última versão disponibilizada pelo fornecedor. Principalmente sendo um SGPD. Ex. As atualizações do Windows.

Além desse aspecto deve-se considerar que o recurso adotado de um SGPD na empresa, demonstra um quadro representativo de riscos à proteção e à privacidade dos dados que a mesma processa, caso não fosse, não teria investido nesse tipo de solução.

Resposta “D”: Realizar a atualização do SGPD. A ausência de atualização do SGPD geraria um possível risco de inconformidade, por isso poderia ser visto como uma falha em executar medidas técnicas e operacionais apropriadas como controlador.

Tendo como base o princípio da segurança, no recurso software, para atender suas funções e não comprometer o ambiente, deve estar sempre atualizado.

A colocação que geraria um possível risco de inconformidade é evidente pelo fato de que a empresa está em inconformidade e com isso comprometendo todo o seu contexto de segurança e privacidade que é o objetivo também de quem utiliza um SGPD.

Outro aspecto. O papel do  DPO é a garantir o máximo possível a segurança e privacidade dos dados dos titulares. O problema financeiro da empresa, no caso está alheio a este objetivo, e a resposta “A” coloca em risco esse objetivo que o responsável pelo tratamento deve atender, (Art. 24 (1) (2), até pelo que, a Autoridade de Controle, pode determinar: “Impor uma limitação temporária ou definitiva ao tratamento de dados, ou mesmo a sua proibição; a suspenção das operações da empresa”, Art, 58, (2), (f), pelo risco que o responsável pelo tratamento está impingindo ao não atualizar o SGPD. Como já citado é uma ação fundamental de segurança para garantir a privacidade.

Gostaria da gentileza de uma avaliação sobre a questão e quanto as colocações apresentadas.

Muito obrigado.