A deve-se realizar uma avaliação de impacto de privacidade sempre que houver uma mudança significativa nos processos de tratamento de dados pessoais.
B é desnecessário se preocupar com as obrigações dos titulares de dados, pois a norma NBRISO/IEC 27701 não menciona esse aspecto.
C a subseção que trata de contratos com operadores de dados exige que a organização formalize contratos com todos os seus parceiros de negócios, independentemente de eles lidarem com dados pessoais.
D a transferência de dados pessoais entre países é irrelevante para a organização, pois a subseção que trata de transferência de dados pessoais se aplica a organizações que operam apenas localmente.
E a manutenção de registros sobre o tratamento de dados, conforme a subseção que trata de documentação e registros, é opcional para a organização, pois a norma não exige documentação rigorosa.