Question

A Pró-Reitoria de Assuntos Estudantis de uma Universidade Federal encomendou o desenvolvimento de um novo sistema informático integrado para gerenciar a concessão de bolsas de vulnerabilidade socioeconômica e auxílio-permanência. O sistema coletará e processará dados cadastrais, históricos escolares, laudos médicos de saúde mental e comprovantes de renda familiar de milhares de estudantes. Na qualidade de gestor técnico responsável pela governança de dados e segurança da informação do projeto, um Técnico em Assuntos Educacionais determinou a implementação de duas diretrizes obrigatórias com base nas boas práticas de segurança em redes corporativas e nas normas da Lei Geral de Proteção de Dados (LGPD - Lei n. 13.709/2018): a Diretriz 1 estabelece que, na infraestrutura de rede e armazenamento, os laudos médicos e comprovantes de renda devem ser submetidos a um processo de codificação matemática reversível utilizando chaves assimétricas antes de serem gravados no banco de dados, e o acesso a esses servidores na rede acadêmica deve ser segmentado de forma que apenas computadores da própria Pró-Reitoria (IPs internos específicos) consigam realizar a requisição através de firewalls; já a Diretriz 2 visa a determinar qual o fundamento jurídico correto da LGPD que a Universidade Federal deve invocar para tratar esses dados pessoais e sensíveis sem a estrita necessidade de coletar a assinatura de um termo de consentimento individual de cada estudante beneficiário. Considerando os princípios de segurança da informação e as disposições da LGPD aplicadas ao setor público, assinale a alternativa que apresenta corretamente os conceitos técnicos e o enquadramento legal desse cenário:

Accepted Answer

A) A diretriz 1 descreve os conceitos de Criptografia e Controle de Acesso Baseado em Rede. Na diretriz 2, a universidade dispensa o consentimento individual porque o tratamento é respaldado na base legal de “execução de políticas públicas” previstas em leis ou regulamentos, sendo que os dados de saúde mental são classificados pela LGPD como “dados pessoais sensíveis”, exigindo salvaguardas rigorosas de segurança.

Answer

B) A diretriz 1 refere-se ao mecanismo de Anonimização Definitiva de Dados. Na diretriz 2, a universidade deve enquadrar o tratamento na base legal de “Legítimo Interesse do Controlador”, visto que qualquer Órgão da Administração Pública Federal 9 possui interesse inerente em monitorar a saúde e a renda de seus cidadãos civis de forma irrestrita.

Answer

C) A diretriz 1 representa o princípio do Firewall de Aplicação com Criptografia Simétrica. Na diretriz 2, o tratamento de dados de estudantes universitários deve se basear exclusivamente na “Tutela da Saúde”, uma base legal que permite o livre compartilhamento de laudos médicos com redes de publicidade e empresas terceirizadas de assistência estudantil sem auditoria.

Answer

D) A diretriz 1 descreve o protocolo de Backup em Nuvem Pública e Varredura de Vulnerabilidades. Na diretriz 2, o tratamento é fundamentado no “Exercício Regular de Direitos em Contrato”, sendo os laudos médicos considerados “dados públicos institucionais de livre acesso”, o que anula a necessidade de criptografia ou proteção contra invasões na rede acadêmica.

Answer

E) As diretrizes falham perante a LGPD, pois o setor público é categoricamente proibido de tratar dados socioeconômicos e médicos de estudantes sem que haja consentimento prévio, por escrito e com firma reconhecida em cartório, sob pena de bloqueio imediato de toda a rede de computadores da universidade pela Autoridade Nacional de Proteção de Dados (ANPD).

Mais questões de Lei 13.709/2018 – Lei Geral de Proteção de Dados (LGPD)