Uma organização que opera apenas na cidade de Campinas...

A deve-se realizar uma avaliação de impacto de privacidade sempre que houver uma mudança significativa nos processos de tratamento de dados pessoais. B é desnecessário se preocupar com as obrigações dos titulares de dados, pois a norma NBRISO/IEC 27701 não menciona esse aspecto.   C a subseção que trata de contratos com operadores de dados exige que a organização formalize contratos com todos os seus parceiros de negócios, independentemente de eles lidarem com dados pessoais.  D a transferência de dados pessoais entre países é irrelevante para a organização, pois a subseção que trata de transferência de dados pessoais se aplica a organizações que operam apenas localmente.  E a manutenção de registros sobre o tratamento de dados, conforme a subseção que trata de documentação e registros, é opcional para a organização, pois a norma não exige documentação rigorosa.