Art. 85
O mapeamento de dados consiste na atividade de identificar o banco de dados da serventia, os dados pessoais objeto de tratamento e o seu ciclo de vida, incluindo todas as operações de tratamento a que estão sujeitos, como a coleta, o armazenamento, o compartilhamento, o descarte e quaisquer outras operações às quais os dados pessoais estejam sujeitos.
Art. 85, § 1º
O produto final da atividade de mapeamento será denominado “Inventário de Dados Pessoais”, devendo o responsável pela serventia:
Art. 85, § 1º, inciso I
garantir que o inventário de dados pessoais contenha os registros e fluxos de tratamento dos dados com base na consolidação do mapeamento e das decisões tomadas a respeito de eventuais vulnerabilidades encontradas, que conterão informações sobre:
a) finalidade do tratamento;
b) categorias de dados pessoais e descrição dos dados utilizados nas respectivas atividades;
c) identificação das formas de obtenção/coleta dos dados pessoais;
d) base legal;
e) descrição da categoria dos titulares;
f) se há compartilhamento de dados com terceiros, identificando eventual transferência internacional;
g) categorias de destinatários, se houver;
h) prazo de conservação dos dados; e i) medidas de segurança organizacionais e técnicas adotadas.
Art. 85, § 1º, inciso II
elaborar plano de ação para a implementação dos novos processos, dos procedimentos, dos controles e das demais medidas internas, incluindo a revisão e criação de documentos, bem como as formas de comunicação com os titulares e a Autoridade Nacional de Proteção de Dados (ANPD), quando necessária;
Art. 85, § 1º, inciso III
conduzir a avaliação das vulnerabilidades ( gap assessment ) para análise de lacunas em relação à proteção de dados pessoais no que se refere às atividades desenvolvidas na serventia;
Art. 85, § 1º, inciso IV
tomar decisões diante das vulnerabilidades encontradas e implementar as adequações necessárias e compatíveis com a tomada de decisões;
Art. 85, § 1º, inciso V
atualizar, sempre que necessário, não podendo ultrapassar um ano,o inventário de dados; e
Art. 85, § 1º, inciso VI
arquivar o inventário de dados pessoais na serventia e disponibilizá- lo em caso de solicitação da Corregedoria-Geral da Justiça (CGJ), da Autoridade Nacional de Proteção de Dados Pessoais ou de outro órgão de controle.
Art. 85, § 2º
O responsável pela serventia extrajudicial poderá utilizar formulários e programas de informática adaptados para cada especialidade de serventia para o registro do fluxo dos dados pessoais, abrangendo todas as fases do seu ciclo de vida durante o tratamento, tais como coleta, armazenamento e compartilhamento, eventualmente disponibilizados por associações de classe dos notários e dos registradores.