Simulado da Data Protection & AI Professional

Questões de exemplo

Duas questões deste simulado, no mesmo estilo do exame de certificação. Responda antes de abrir a explicação.

1. Questão 1

   Uma universidade mantém uma página em uma rede social. A rede instala cookies nos dispositivos dos visitantes e entrega à universidade estatísticas sobre o público da página, como faixas etárias e os horários em que os visitantes estão mais ativos. Pelo GDPR, como interpretado pelo Tribunal de Justiça da UE, qual é o papel da universidade na coleta dos dados dos visitantes para essas estatísticas?

   1. Nenhum, porque a universidade recebe apenas estatísticas agregadas e nunca vê dados de visitantes individuais
   2. Operadora da rede, porque usa um serviço cujos termos e ferramentas são definidos inteiramente pela rede
   3. Controladora conjunta com a rede, porque, ao criar a página e escolher suas configurações, ajuda a determinar esse tratamento
   4. Controladora exclusiva, porque escolheu abrir a página e por isso responde por tudo o que a rede faz com os dados dos visitantes
   Ver resposta e explicação

   Resposta correta: C. Controladora conjunta com a rede, porque, ao criar a página e escolher suas configurações, ajuda a determinar esse tratamento

   No caso Wirtschaftsakademie (C-210/16), o Tribunal de Justiça decidiu que o administrador de uma página em rede social é controlador conjunto com a plataforma na coleta de dados dos visitantes usada para produzir as estatísticas da página: ao criar a página e definir parâmetros como o público-alvo, o administrador participa da determinação das finalidades e dos meios. Ser controlador não exige acesso aos dados brutos, então receber só dados agregados não afasta o papel. A universidade não é operadora, porque não age em nome da rede nem segue suas instruções. Também não é controladora exclusiva: a controladoria conjunta cobre as etapas que ela ajuda a decidir, não tudo o que a rede faz com os dados para fins próprios.

2. Questão 2

   Uma rede de academias brasileira guarda questionários de saúde em que os alunos informaram problemas cardíacos, lesões e medicamentos, coletados para adaptar com segurança o treino de cada um. A diretoria agora quer analisar os questionários para decidir quais novas aulas oferecer. Pela LGPD, qual caminho pode sustentar esse novo uso?

   1. Obter consentimento específico e destacado para essa finalidade, ou anonimizar os dados antes da análise
   2. Legítimo interesse, apoiado em um teste de balanceamento documentado mostrando que os alunos ganham com aulas melhores
   3. Tutela da saúde, já que os dados tratam da saúde dos alunos e as novas aulas buscam melhorá-la
   4. Legítimo interesse, desde que os questionários sejam pseudonimizados antes de chegar aos analistas
   Ver resposta e explicação

   Resposta correta: A. Obter consentimento específico e destacado para essa finalidade, ou anonimizar os dados antes da análise

   Dado de saúde é dado pessoal sensível na LGPD, e o art. 11 lista as únicas hipóteses para tratá-lo. O legítimo interesse não está entre elas, então nem um teste de balanceamento nem a pseudonimização o tornam disponível; além disso, dado pseudonimizado continua sendo dado pessoal. A tutela da saúde se limita a procedimentos realizados por profissionais de saúde, serviços de saúde ou autoridade sanitária, e o planejamento de produto de uma academia não é isso. Para uma finalidade nova como essa, a academia precisa de consentimento específico e destacado para essa finalidade, ou pode anonimizar os dados para que a análise fique fora da LGPD.