CDPO/BR study plan

Mapear o âmbito de aplicação da LGPD: identificar em 10 cenários fictícios se a lei incide (dados pessoais, suporte, titular, tratamento) e justificar cada resposta por escrito.

Distinguir dados pessoais, dados sensíveis, dados anonimizados e pseudonimizados, redigindo uma tabela comparativa com exemplos próprios e as consequências jurídicas de cada categoria.

Explicar por escrito os 10 princípios do art. 6º e associar cada um a pelo menos uma obrigação prática de um controlador fictício.

Construir um quadro com as 10 bases legais, indicando para cada uma o que exige, o que veda e um exemplo de uso indevido comum.

Resolver 30 questões autorais de cenário sobre âmbito e bases legais, registando erros e a regra correta que os corrige.

Aplicar o teste de necessidade e finalidade a 5 fluxos de tratamento fictícios, escrevendo a justificação da base legal escolhida e o que seria excesso.

Redigir cláusulas de informação ao titular (art. 9º) para dois cenários distintos: site e atendimento presencial.

Diferenciar as hipóteses de legítimo interesse e de consentimento, produzindo um roteiro de avaliação que inclua expectativa legítima, salvaguardas e direito de oposição.

Analisar o tratamento de dados de crianças e adolescentes e o regime de dados sensíveis, listando requisitos e vedações em formato de checklist.

Revisar as anotações da semana anterior e corrigir, por escrito, três interpretações equivocadas identificadas.

Enumerar os direitos dos titulares previstos na LGPD e descrever, para cada um, o procedimento interno de atendimento, prazo e resposta padrão.

Redigir dois modelos de resposta: um de confirmação de tratamento e um de eliminação, incluindo o que fazer quando há retenção obrigatória.

Desenhar o fluxo de receção, verificação de identidade, triagem, execução e registo de solicitações, com prazos e responsáveis.

Definir as funções do encarregado e da alta administração num programa de privacidade, distinguindo atribuições que não podem ser delegadas.

Elaborar um plano de comunicação do encarregado com titulares e com a ANPD, incluindo canal público e conteúdo mínimo da divulgação.

Estruturar um programa de governança em privacidade com políticas, papéis, comités, formação e métricas, justificando cada elemento face aos arts. 50 e 41.

Construir um inventário de tratamentos (ROPA) para uma organização fictícia com 8 atividades, cobrindo finalidade, base legal, retenção e destinatários.

Realizar uma avaliação de impacto (RIPD) completa de um tratamento de alto risco, incluindo descrição, necessidade, riscos, medidas e parecer do encarregado.

Aplicar uma matriz de risco de privacidade a 6 riscos, classificando probabilidade, impacto, risco residual e medida de mitigação.

Identificar quando a RIPD é exigida e quando pode ser dispensada, justificando por escrito três casos limítrofes.

Redigir uma política de segurança da informação alinhada aos arts. 46 a 49, cobrindo controlos técnicos e administrativos e revisão periódica.

Montar um plano de resposta a incidentes com deteção, contenção, avaliação de risco relevante, comunicação à ANPD e ao titular e registo.

Redigir um modelo de comunicação de incidente que responda aos elementos exigidos pela regulamentação da ANPD sobre comunicação de incidentes.

Simular um exercício de mesa com um incidente fictício, documentando decisões, prazos e justificação de comunicação ou não comunicação.

Definir critérios objetivos para avaliar risco ou dano relevante aos titulares e aplicá-los a três cenários distintos.

Identificar as hipóteses de transferência internacional válidas e verificar, em 5 cenários, qual instrumento se aplica e o que falta para regularizar.

Elaborar uma cláusula-padrão contratual fictícia de transferência, cobrindo finalidades, salvaguardas, auditoria e responsabilidade.

Mapear as competências da ANPD e os instrumentos regulatórios já editados, resumindo em fichas o objeto e os destinatários de cada um.

Classificar as sanções administrativas previstas em lei e descrever o processo de dosimetria, com critérios de graduação e valor máximo aplicável.

Diferenciar as figuras de controlador, operador e encarregado em cadeias de tratamento e atribuir responsabilidades em dois casos de transferência.

Comparar a LGPD com o Marco Civil da Internet quanto a guarda e fornecimento de registos, identificando pontos de tensão e prevalência aplicável.

Aplicar o CDC a relações de consumo com dados pessoais, distinguindo deveres de informação, publicidade e tratamento de dados de consumidores.

Analisar obrigações de sigilo profissional e setoriais (saúde, financeiro, telecomunicações) e o modo como convivem com a LGPD.

Examinar o tratamento de dados pelo poder público: finalidade pública, transparência, publicação de informações e limites ao compartilhamento entre órgãos.

Resolver 25 questões autorais de cenário cruzando LGPD com Marco Civil, CDC e sigilo, anotando a regra aplicável em cada erro.

Consolidar as lacunas registadas nas semanas anteriores, reescrevendo por próprio punho as regras dos 20 erros mais recorrentes.

Realizar um simulado cronometrado de 60 questões autorais cobrindo todos os domínios, com meta de acerto igual ou superior a 75%.

Revisar os pontos de maior peso relativo (domínios 2, 4, 1 e 6), relendo apenas as fichas-resumo produzidas no plano.

Corrigir o simulado questão a questão, classificando cada erro como desconhecimento, confusão conceitual ou leitura apressada, e definir a ação corretiva.

Produzir um resumo final de uma página com as 15 regras que mais geram erro, para revisão de véspera.