Quiz
Privacy & Data Protection Professional - PDPP (3o simulado)
Perguntas do quiz (40)
1Por que uma Avaliação de Impacto sobre a Proteção de Dados (DPIA) deve ser realizada antes da introdução de novas políticas, processos ou projetos?
- AA. Uma DPIA demonstra conformidade com o GDPR e inspira confiança nos clientes.
- BB. Uma DPIA examina as atividades atuais e planejadas de tratamento de dados pessoais.
- CC. Uma DPIA detecta possíveis riscos à privacidade, para que possam ser mitigados antecipadamente.
- DD. Uma DPIA diminui os riscos à privacidade ao identificar os direitos e as liberdades dos titulares dos dados.
2Uma instituição financeira de grande porte pretende automatizar a concessão de crédito com base em um sistema de pontuação desenvolvido por meio de um software. A implementação dessa tecnologia será comunicada aos clientes, que poderão escolher participar ou não.
Por qual motivo é necessária a realização de uma Avaliação de Impacto à Proteção de Dados (DPIA) antes do início do uso desse sistema?- AA. O GDPR exige que uma DPIA seja realizada sempre que houver qualquer modificação nos procedimentos internos de tratamento de dados.
- BB. A realização de uma DPIA constitui uma boa prática para garantir que a empresa não possa ser responsabilizada por incidentes de segurança.
- CC. O uso de tecnologias que envolvam decisões automatizadas sobre indivíduos requer, obrigatoriamente, a realização de uma DPIA.
3De que forma as Avaliações de Impacto à Proteção de Dados (DPIAs) contribuem para que as organizações estejam em conformidade com o Regulamento Geral de Proteção de Dados (GDPR)?
- AA. Ao adotar as DPIAs como ferramenta para eliminar ameaças que possam comprometer os direitos dos titulares.
- BB. Ao integrar as DPIAs como elemento essencial nas diretrizes de gestão de riscos da ISO 31000.
- CC. Ao utilizar as DPIAs como instrumento de conformidade com as normas de segurança previstas na ISO 27001.
- DD. Ao aplicar as DPIAs para identificar riscos aos titulares dos dados e implementar medidas de mitigação.
4Um dos princípios de “privacidade desde a concepção” (privacy by design) é a segurança de ponta a ponta. Qual das alternativas representa melhor a aplicação prática desse princípio?
- AA. Garantindo que o uso de criptografia entre a empresa e o fornecedor de serviços em nuvem esteja formalizado contratualmente.
- BB. Garantindo que toda a legislação relativa à privacidade e proteção de dados seja implementada desde a concepção (by design) e por padrão (by default).
- CC. Integrando a proteção de dados em todas as fases do ciclo de vida.
- DD. Garantindo o consentimento apropriado de todos os funcionários antes de iniciar o tratamento de dados pessoais.
5O Diretor de Tecnologia (CIO) de uma empresa está preocupado com a integridade das informações nos sistemas corporativos.
Foram identificados incidentes em que dados foram acessados indevidamente, alterados ou corrompidos.
Diante disso, ele está avaliando a aquisição de um novo sistema que fortaleça a integridade dos dados da organização.
Qual funcionalidade esse sistema deve oferecer para alcançar esse objetivo?- AA. Capacidade de criptografar os dados tanto durante o armazenamento quanto no momento da transmissão.
- BB. Capacidade de gerar relatórios personalizados por usuário.
- CC. Capacidade de realizar análises com base nos dados processados.
6Qual é o principal propósito de conduzir uma Avaliação de Impacto à Proteção de Dados (DPIA)?
- AA. Alinhar as práticas de privacidade da organização à sua missão institucional.
- BB. Atualizar as políticas internas com base em mudanças na legislação de proteção de dados.
- CC. Identificar possíveis riscos relacionados ao tratamento de dados pessoais e avaliar alternativas para reduzi-los.
- DD. Adaptar os canais de comunicação interna às novas diretrizes e procedimentos adotados.
7Qual é a principal finalidade de implementar um Sistema de Gestão de Informações de Privacidade (PIMS) com base na ISO/IEC 27701?
- AA. Monitorar permanentemente os acessos aos sistemas de TI da organização.
- BB. Garantir a segurança física dos ativos de dados pessoais.
- CC. Auxiliar a organização a demonstrar conformidade com regulamentos como o GDPR.
- DD. Automatizar a criptografia dos dados pessoais em todos os ambientes.
8No contexto da norma ISO/IEC 27701, o que representa a Declaração de Aplicabilidade (SoA) em um PIMS?
- AA. Um relatório de auditoria externa emitido anualmente.
- BB. Um documento interno que descreve os riscos críticos à segurança da informação.
- CC. Um relatório que lista os incidentes de segurança envolvendo dados pessoais.
- DD. Um documento que relaciona os controles adotados pela organização com justificativas de inclusão ou exclusão.
9Qual dos itens a seguir é considerado um benefício estratégico da implementação de um PIMS eficaz?
- AA. Reduzir custos operacionais com a área de TI.
- BB. Melhorar o processo de arquivamento digital da empresa.
- CC. Aumentar a confiabilidade junto a parceiros e autoridades reguladoras.
- DD. Eliminar completamente os riscos relacionados ao tratamento de dados pessoais.
10Considerando a relação entre o PIMS (Sistema de Gestão de Informações de Privacidade - ISO 27701) e o SGSI (Sistema de Gestão de Segurança da Informação - ISO 27001), qual das alternativas está correta?
- AA. O PIMS substitui completamente o SGSI quando há tratamento de dados pessoais.
- BB. O PIMS se integra ao SGSI, adicionando requisitos de privacidade à estrutura existente.
- CC. O SGSI é uma versão mais avançada e completa do PIMS.
- DD. O PIMS é um sistema exclusivo para o setor público, enquanto o SGSI é voltado ao setor privado.
11Por que o envolvimento da alta liderança é fundamental na implementação de um PIMS?
- AA. Porque apenas executivos têm autoridade para assinar relatórios de conformidade.
- BB. Porque a norma exige que todas as decisões operacionais passem pela diretoria.
- CC. Porque a ISO/IEC 27701 exige comprometimento institucional da alta direção com a privacidade.
- DD. Porque a liderança precisa redigir pessoalmente os documentos do PIMS.
12O que é a Declaração de Aplicabilidade (SoA) no contexto de um PIMS conforme a ISO/IEC 27701?
- AA. Uma ata formal da reunião de implementação do PIMS.
- BB. Uma política interna que descreve os riscos de segurança da informação.
- CC. Um documento que lista os controles adotados e as justificativas para inclusão ou exclusão.
- DD. Um relatório de conformidade redigido por auditores externos.
13Qual a principal função da SoA dentro de um Sistema de Gestão de Informações de Privacidade?
- AA. Detalhar os requisitos do GDPR adotados pela organização.
- BB. Demonstrar a relação entre o SGSI e o PIMS.
- CC. Documentar decisões sobre quais controles do PIMS são aplicáveis e por quê.
- DD. Armazenar logs de auditoria dos processos de privacidade.
14Por que a SoA é essencial para a conformidade com normas como a ISO/IEC 27701?
- AA. Porque evidencia os controles de privacidade selecionados pela organização e as justificativas para sua adoção ou exclusão.
- BB. Porque padroniza a terminologia utilizada na gestão de privacidade.
- CC. Porque descreve os recursos orçamentários alocados para projetos de privacidade.
- DD. Porque é um documento exigido por autoridades reguladoras nacionais para comprovar conformidade com o GDPR
15Segundo o GDPR, quando uma organização deve obrigatoriamente realizar uma Avaliação de Impacto sobre a Proteção de Dados (DPIA)?
- AA. Sempre que for iniciado qualquer novo processo interno relacionado a dados pessoais.
- BB. Sempre que ocorrer o compartilhamento de dados pessoais com parceiros fora da UE.
- CC. Quando o tratamento puder representar alto risco aos direitos e liberdades dos titulares.
- DD. Quando a empresa desejar obter uma certificação ISO/IEC 27701.
16Qual é a principal finalidade da realização de uma Avaliação de Impacto sobre a Proteção de Dados (DPIA)?
- AA. Atualizar os contratos de proteção de dados com fornecedores.
- BB. Estimar os custos operacionais do tratamento de dados pessoais.
- CC. Identificar riscos à privacidade e propor medidas para mitigá-los antes do início do tratamento.
- DD. Registrar todos os acessos aos dados pessoais pela equipe de TI.
17Uma Avaliação de Impacto sobre a Proteção de Dados (DPIA) deve incluir, no mínimo:
a descrição detalhada das atividades de tratamento de dados e suas finalidades;
a avaliação da necessidade, proporcionalidade do tratamento;
a análise dos riscos aos titulares;
e a definição de medidas técnicas e organizacionais apropriadas para mitigar esses riscos e assegurar a conformidade com o GDPR.
Essa afirmação está correta de acordo com o GDPR?- AVerdadeiro
- BFalso
18Qual das opções abaixo representa corretamente o conceito de “violação de dados pessoais” segundo o GDPR?
- AA. A simples coleta de dados sem consentimento explícito.
- BB. O acesso acidental ou ilegal, destruição, perda, alteração ou divulgação não autorizada de dados pessoais.
- CC. A transferência internacional de dados para país que não possui nível adequado de proteção.
- DD. O uso de dados sensíveis sem base legal.
19Qual das opções a seguir melhor representa a diferença entre “incidente de segurança da informação” e “violação de dados pessoais”?
- AA. Todo incidente de segurança da informação é, automaticamente, uma violação de dados pessoais.
- BB. Uma violação de dados pessoais é sempre causada por um ataque hacker.
- CC. Incidentes de segurança podem envolver qualquer ativo da informação, enquanto a violação de dados envolve especificamente dados pessoais.
- DD. Violação de dados pessoais é um termo técnico da ISO, enquanto incidente de segurança é um conceito exclusivo do GDPR.
20Qual das alternativas abaixo representa um incidente de segurança que não constitui uma violação de dados pessoais?
- AA. Perda de um laptop contendo dados pessoais sem criptografia.
- BB. Queda de energia que causa indisponibilidade temporária de um servidor de arquivos interno, sem impacto em dados pessoais.
- CC. Divulgação acidental de dados de saúde de um paciente por e-mail.
- DD. Acesso não autorizado a um banco de dados com nomes e e-mails de clientes.
21Qual das afirmações abaixo está correta quanto à relação entre incidentes de segurança e violações de dados, segundo o GDPR e as normas ISO?
- AA. Apenas eventos maliciosos intencionais podem ser classificados como violação de dados pessoais.
- BB. Todo vazamento de dados é um incidente, mas nem todo incidente é uma violação de dados pessoais.
- CC. Incidentes de segurança não devem ser registrados se não forem violações de dados pessoais.
- DD. Um incidente só é considerado relevante se for comunicado pela mídia ou pela autoridade supervisora.
22Em quais situações o controlador pode não ser obrigado a notificar a autoridade supervisora sobre uma violação de dados pessoais?
- AA. Quando os dados afetados forem criptografados ou tornados inacessíveis por medidas técnicas eficazes.
- BB. Quando os dados se referirem apenas a funcionários internos da organização.
- CC. Quando a violação for causada por erro humano, sem dolo.
- DD. Quando a empresa realiza auditorias internas frequentes.
23Qual das informações a seguir deve obrigatoriamente constar na notificação feita pelo controlador à autoridade supervisora?
- AA. Nome dos responsáveis legais da empresa e plano de mídia.
- BB. Cópia do contrato com o operador de dados.
- CC. Natureza da violação, número estimado de titulares afetados e medidas adotadas.
- DD. Registro das últimas auditorias de proteção de dados realizadas.
24Uma Avaliação de Impacto sobre a Proteção de Dados (DPIA) mostra que o processamento pretendido inclui a coleta de dados pessoais que não são estritamente necessários para os objetivos desejados.
Os dados adicionais são coletados por sua possível utilidade futura, com o argumento de que coletá-los agora é mais eficiente do que solicitá-los depois. O que o Data Protection Officer (DPO) deve fazer?- AA) Permitir o processamento porque a eficiência constitui um interesse legítimo da organização
- BB) Garantir que os dados sejam protegidos adequadamente para proteger os direitos dos titulares dos dados
- CC) Exigir que os dados adicionais não sejam coletados, uma vez que não são essenciais
25O Encarregado pelo Tratamento de Dados Pessoais (DPO) exerce diferentes funções no relacionamento com a autoridade de proteção de dados.
Diante de uma violação de dados pessoais, qual é o papel específico do DPO em relação à autoridade supervisora de proteção de dados?- AA) Investigador
- BB) Intermediador
- CC) Expert
- DD) Solucionador de problemas de proteção de dados
26Uma organização disponibiliza avisos de privacidade a todos os titulares de dados. Esses avisos têm por finalidade informar de forma clara como as informações pessoais são tratadas.
Dentre os itens a seguir, qual deles não deve, obrigatoriamente, constar no conteúdo de um aviso de privacidade?- AA) A forma como os dados pessoais são utilizados pela organização
- BB) A identificação dos dados pessoais tratados
- CC) A explicação sobre os direitos assegurados aos titulares dos dados
- DD) As medidas técnicas de segurança adotadas internamente pela organização
27O controlador é obrigado a divulgar, no aviso de privacidade, os detalhes técnicos das medidas de segurança utilizadas para proteger os dados.
- AVerdadeiro
- BFalso
28O aviso de privacidade deve ser redigido de forma clara e acessível, sem o uso de linguagem jurídica complexa.
- AVerdadeiro
- BFalso
29O Encarregado pelo Tratamento de Dados Pessoais (DPO) recebe a informação de que uma entrega destinada a um paciente em tratamento oncológico foi enviada para o endereço incorreto. A embalagem exibia o nome, o endereço e detalhes sobre o tratamento médico (relacionado ao uso de um medicamento de quimioterapia). A encomenda foi aberta, por engano, por um vizinho, que posteriormente a repassou ao destinatário correto.
Esse episódio deve ser comunicado pelo DPO à autoridade de proteção de dados como uma violação de dados pessoais?- AA) Sim, pois o vazamento acidental de informações pessoais de saúde pode representar um risco elevado.
- BB) Sim, uma vez que o incidente envolve o acesso não autorizado ou indevido a dados pessoais.
- CC) Não, visto que o ocorrido afetou apenas um indivíduo e, por isso, não caracteriza um risco relevante para a organização.
- DD) Não, pois só haveria necessidade de ação caso o titular apresentasse uma queixa formal à empresa.
30Uma empresa desenvolveu um serviço inovador de análise de perfis, baseado em inteligência artificial (IA) e informações extraídas de plataformas de redes sociais, com a finalidade de estimar o desempenho futuro de candidatos a vagas de trabalho. O sistema considera aspectos como tolerância ao risco, traços de personalidade e posicionamentos pessoais.
No entanto, os desenvolvedores não são capazes de descrever com precisão a lógica utilizada para gerar as previsões.
Após realizar uma Avaliação de Impacto sobre a Proteção de Dados (DPIA), o Encarregado (DPO) identifica potenciais riscos significativos aos direitos dos titulares e opta por consultar previamente a autoridade de proteção de dados antes de iniciar a operação do serviço.
Qual o motivo pelo qual a autoridade supervisora deve ser consultada antes do início desse tratamento de dados?- AA) Porque o tratamento poderá representar um risco elevado aos titulares na ausência de salvaguardas eficazes definidas pela organização.
- BB) Porque a autoridade nacional precisa ativar o mecanismo de consistência e coordenar com autoridades de outros países.
- CC) Porque a organização adotará tecnologias inovadoras para elaboração de perfis, com impacto significativo nas decisões que envolvem os titulares.
- DD) Porque a empresa fará uso de dados sensíveis para avaliar a aptidão profissional dos candidatos.
31A consulta prévia é uma exigência do GDPR, prevista no artigo 35, pela qual o controlador deve buscar a orientação da autoridade de proteção de dados antes de iniciar um tratamento, quando a Avaliação de Impacto (DPIA) indicar risco elevado que não possa ser suficientemente mitigado.
É uma afirmação verdadeira ou falsa?- AVerdadeiro
- BFalso
32O Gerente de Tecnologia de uma organização multinacional pretende transferir dados de clientes da União Europeia para um parceiro comercial em um país que não possui decisão de adequação emitida pela Comissão Europeia.
Antes de prosseguir, ele consulta o Data Protection Officer (DPO) para garantir que a transferência esteja em conformidade com o GDPR.
O que o DPO deve recomendar como medida prioritária para permitir essa transferência?- AA) Utilizar um serviço de transferência de dados terceirizado para assegurar a segurança da conexão.
- BB) Aplicar criptografia durante a transmissão dos dados para garantir sua proteção técnica.
- CC) Firmar cláusulas contratuais padrão aprovadas pela Comissão Europeia nos contratos com os destinatários dos dados.
- DD) Obter o consentimento verbal dos titulares dos dados antes da transferência internacional.
33Uma empresa de transporte público implementa um sistema de bilhetagem inteligente que utiliza reconhecimento facial para permitir o embarque automático de passageiros cadastrados. O sistema armazena imagens do rosto, horário, local de acesso e padrão de uso diário de cada passageiro.
Esses dados são utilizados para fins de segurança, gestão de fluxo e análise de comportamento.
De acordo com o GDPR, é obrigatória a realização de uma Avaliação de Impacto sobre a Proteção de Dados (DPIA) nesse caso?- AA) Sim, porque o tratamento envolve monitoramento sistemático de pessoas em locais públicos e uso de dados biométricos.
- BB) Sim, porque todos os sistemas automatizados exigem DPIA por precaução.
- CC) Não, porque os dados são usados apenas para fins estatísticos.
- DD) Não, porque o reconhecimento facial é opcional e feito com o consentimento do usuário.
34Em uma pequena cidade da Alemanha, uma psicóloga clínica administra sozinha um consultório particular, no qual atende regularmente cerca de 80 pacientes. Os dados de cada paciente são armazenados digitalmente, incluindo diagnósticos, evolução terapêutica e histórico familiar.
Todo o controle de prontuários e marcações é feito por um software contratado, que funciona apenas no consultório da profissional.
De acordo com o GDPR, essa profissional é obrigada a nomear um Data Protection Officer (DPO)?- AA) Não, porque o volume de pacientes é limitado e o tratamento não é considerado de larga escala.
- BB) Sim, porque a psicóloga trata dados sensíveis e deve nomear um DPO independente, mesmo sendo profissional autônoma.
- CC) Sim, mas ela mesma pode exercer o papel de DPO, desde que respeite os critérios de imparcialidade.
- DD) Não, porque os dados são acessados apenas localmente e não são compartilhados com terceiros.
35Uma empresa de tecnologia financeira (fintech) opera uma plataforma digital que analisa o comportamento de consumo de seus usuários para oferecer produtos personalizados, como cartões de crédito e empréstimos.
O sistema monitora, em tempo real, hábitos de compra, localização geográfica, frequência de uso e preferências de pagamento de milhares de titulares. Os dados são utilizados para gerar perfis de risco e aprovar decisões automatizadas de crédito.
De acordo com o GDPR, essa empresa precisa nomear um Data Protection Officer (DPO)?- AA) Não, porque os dados analisados são comuns e o tratamento visa apenas melhorar a experiência do usuário.
- BB) Sim, porque a empresa realiza monitoramento sistemático e automatizado de dados pessoais em larga escala.
- CC) Não, porque a empresa apenas coleta dados com base no consentimento do titular.
- DD) Sim, mas apenas se os dados forem compartilhados com instituições financeiras internacionais.
36Quais são as 3 situações obrigatórias para nomeação de DPO, segundo o GDPR?
- Aa) Quando o tratamento for realizado por uma autoridade ou órgão público
- Bb) Monitoramento regular e sistemático de titulares, em larga escala
- Cc) Quando as atividades principais envolverem tratamento em larga escala de categorias especiais de dados ou dados relativos a condenações penais
- Dd) Sempre que houver tratamento de dados pessoais.
37Quais são as 4 principais situações de obrigatoriedade de realizar uma Avaliação de Impacto sobre a Proteção de Dados (DPIA)?
- Aa) Avaliação sistemática e extensiva de aspectos pessoais com base em tratamento automatizado
- Bb) Monitoramento sistemático de uma área de acesso público em larga escala
- Cc) Tratamento em larga escala de categorias especiais de dados ou dados penais
- Dd) Uso de tecnologias novas ou inovadoras para tratar dados pessoais
38Uma instituição de ensino superior realiza uma Avaliação de Impacto sobre a Proteção de Dados (DPIA) para seu sistema digital de arquivamento de históricos acadêmicos.
O sistema contém dados de desempenho, medidas disciplinares, informações socioeconômicas e documentos pessoais dos alunos. O acesso está restrito ao coordenador de TI, mas não há criptografia, backups regulares nem controle de integridade dos arquivos.
A DPIA aponta que essa situação representa riscos significativos à privacidade dos titulares dos dados.
Qual deve ser a melhor abordagem para tratar esses riscos?- AA) Todos os riscos devem ser eliminados integralmente por meio da substituição do sistema e adoção de medidas de segurança de última geração.
- BB) Não é necessário adotar novas ações, pois os dados são antigos e acessados por um número restrito de pessoas.
- CC) Os riscos devem ser mitigados até um nível aceitável, dando prioridade à redução ou eliminação dos riscos mais relevantes.
39Sob a ótica corporativa, qual é um elemento fundamental para que uma política de proteção de dados e privacidade seja considerada eficaz e bem-sucedida?
- AA) Que ela contenha uma relação de contatos e especifique as atribuições de cada profissional envolvido.
- BB) Que ela apresente as necessidades gerais da organização no que diz respeito à proteção de dados e privacidade.
- CC) Que ela descreva os procedimentos para tratamento de violações à política de proteção de dados.
- DD) Que ela alinhe os propósitos da proteção de dados aos objetivos estratégicos da empresa.
40Durante uma viagem de negócios, um gerente comercial perde seu celular corporativo em um táxi. O dispositivo contém informações de contato e histórico de propostas enviadas a clientes, incluindo nomes, e-mails e preferências comerciais.
O celular estava protegido com criptografia forte e bloqueio por autenticação biométrica. Após tentativas de localização sem sucesso, o incidente foi registrado no sistema interno de segurança.
De acordo com o GDPR, qual deve ser a conduta adequada da organização?- AA) Notificar a autoridade supervisora e os titulares dos dados, pois houve perda de informações pessoais.
- BB) Notificar a autoridade supervisora apenas se não houver proteção criptográfica no dispositivo perdido.
- CC) Notificar a autoridade supervisora, mas não os titulares, pois o risco de acesso aos dados é baixo.
- DD) Não é necessário notificar nem a autoridade nem os titulares, pois o risco à privacidade é improvável devido à proteção técnica adequada.
Informações
- Descrição
- Privacy & Data Protection Professional - PDPP (3o simulado)
- Idioma
- Português
- Visualizações
- 39
- Etiquetas
- Avaliação
- Ainda sem avaliações Avalie este quiz