CISO e EPD: clarificar as passagens de testemunho

As equipas de segurança e de privacidade examinam frequentemente o mesmo sistema a partir de perspetivas diferentes. O CISO pergunta se o controlo de acessos, a resiliência e o tratamento de riscos são adequados. O encarregado da proteção de dados (EPD) aconselha sobre a licitude do tratamento, os direitos dos titulares, as salvaguardas e a conformidade em matéria de proteção de dados. O trabalho de ambos sobrepõe-se, mas a sua autoridade não deve tornar-se intermutável.

Para a gestão de topo, a questão prática não é simplesmente quem detém cada título. É quem fornece os factos, quem aconselha, quem implementa e quem toma a decisão pela qual responde. Estas distinções importam quando um produto é lançado, um fornecedor muda ou um incidente obriga a agir antes de a investigação estar concluída.

Um modelo funcional dá a ambas as funções visibilidade antecipada, preservando a independência do EPD. Deixa também claro que nomear especialistas, internos ou externos, não transfere a responsabilidade do responsável pelo tratamento pelas decisões de tratamento.

Separar os mandatos antes de atribuir pessoas

As responsabilidades de um CISO dependem da governação da organização. O título pode designar um executivo que lidera uma função de segurança, um especialista que opera um sistema de gestão da segurança da informação ou um consultor a tempo parcial. Um responsável pela segurança da informação pode ter um mandato mais restrito. Defina o mandato em vez de presumir que o título o resolve.

O EPD tem funções e proteções legais específicas nos termos dos artigos 37.º a 39.º do RGPD. Estas incluem informar e aconselhar, controlar a conformidade, prestar aconselhamento sobre avaliações de impacto sobre a proteção de dados, cooperar com a autoridade de controlo e servir de ponto de contacto para esta. O EPD tem de informar diretamente o mais alto nível de direção e não pode receber instruções relativamente ao exercício dessas funções.

A segurança abrange mais do que os dados pessoais. Um ataque de ransomware que afete desenhos de engenharia ou o planeamento da produção é uma questão de segurança, mesmo que não estejam envolvidos dados pessoais. A privacidade abrange mais do que a segurança: uma base de dados bem protegida pode, ainda assim, conter informação recolhida sem um fundamento jurídico adequado ou conservada sem necessidade.

O território comum inclui as medidas técnicas e organizativas baseadas no risco exigidas pelo artigo 32.º do RGPD. Os controlos de acesso, os mecanismos de recuperação e os testes podem apoiar ambas as funções. A evidência partilhada é útil; não torna idênticas as avaliações subjacentes.

Determinar de que funções a sua organização precisa realmente

Avaliar a obrigação de designar um EPD separadamente do planeamento de efetivos

Um EPD não é automaticamente obrigatório para todas as organizações. Nos termos do artigo 37.º do RGPD, a designação é obrigatória para as autoridades ou organismos públicos, com a ressalva dos tribunais, e para as organizações cujas atividades principais impliquem um controlo regular e sistemático em grande escala ou o tratamento em grande escala de categorias especiais de dados ou de dados pessoais relacionados com condenações penais e infrações.

Não reduza essa avaliação à dimensão da empresa. Uma organização relativamente pequena pode ter atividades de tratamento que obrigam à designação, ao passo que o número de trabalhadores, por si só, não responde ao teste do RGPD. O direito nacional pode impor requisitos adicionais de designação. Na Alemanha, avalie as regras nacionais adicionais em vez de se basear exclusivamente no artigo 37.º ou num limiar de efetivos de que se recorda.

Mantenha uma avaliação da designação que identifique as entidades relevantes, as atividades de tratamento, as jurisdições, os motivos da conclusão e os eventos que desencadeariam uma reavaliação. Um novo serviço de monitorização, uma aquisição ou a passagem para o tratamento de dados sensíveis podem alterar a resposta.

Quando não for obrigatório um EPD, atribua na mesma as responsabilidades de privacidade. Os fundamentos jurídicos, a transparência, o tratamento de direitos, a segurança e as obrigações de responsabilidade não desaparecem. Seja criterioso ao utilizar o título formal de EPD: uma designação voluntária deve ser tratada como uma verdadeira função de EPD e não apenas como um rótulo para um contacto administrativo.

Distinguir a responsabilidade pela segurança de uma obrigação universal de ter um CISO

Não existe no RGPD uma obrigação única de nomear alguém com o título de CISO. Outras regras setoriais ou nacionais podem afetar a governação da segurança, pelo que devem ser avaliadas separadamente.

A ISO/IEC 27001 exige que sejam atribuídas responsabilidades e autoridades para o SGSI no âmbito definido; não prescreve um título profissional universal. Os contratos com clientes podem também exigir um contacto de segurança designado, responsabilidades definidas ou evidências de garantia específicas.

Para as organizações abrangidas, os artigos 20.º a 23.º da Diretiva NIS2 tratam da supervisão pelos órgãos de gestão, das medidas de gestão dos riscos de cibersegurança e da notificação de incidentes. A NIS2 é aplicada através do direito nacional, e a sua aplicabilidade depende do setor, da dimensão, do serviço e das regras de inclusão, e não apenas do número de trabalhadores. Para operações na Alemanha, utilize as orientações do BSI sobre a NIS2 juntamente com a legislação aplicável.

A decisão da gestão é, portanto, dupla: determinar os requisitos legais e contratuais e, depois, dotar de recursos o trabalho de segurança necessário para operar o negócio. Um título profissional sem autoridade, capacidade e acesso não resolve nenhum dos dois problemas.

Testar os conflitos de interesses face aos poderes de decisão efetivos

O n.º 6 do artigo 38.º do RGPD permite que o EPD exerça outras funções, desde que estas não originem um conflito de interesses. Acumular funções não é automaticamente proibido, mas exige uma avaliação substantiva. A preocupação central é saber se a pessoa determina finalidades e meios de tratamento sobre os quais tem depois de aconselhar ou exercer controlo de forma independente.

Analise a autoridade associada à designação proposta:

• A pessoa pode decidir porque são recolhidos dados de trabalhadores ou de clientes?
• Pode escolher ferramentas de monitorização, definir o seu âmbito ou determinar a conservação?
• Aprova sistemas ou modalidades de tratamento, em vez de apenas aconselhar?
• Controlaria decisões que tomou noutra função?
• Pode levar preocupações diretamente à gestão de topo sem um incentivo conflituante?

Um CISO que aprova mecanismos de monitorização de trabalhadores apresenta um perfil de conflito diferente de um consultor de segurança que fornece recomendações sem poder de decisão. As funções de direção de TI, de recursos humanos e de gestão justificam especial escrutínio, mas os títulos profissionais, por si só, não constituem uma avaliação completa.

Documente as funções da outra posição, os poderes delegados, as linhas de reporte e as salvaguardas. Reveja a avaliação quando as responsabilidades mudarem. Um adjunto ou um revisor independente pode ajudar na continuidade e na garantia, mas não sana automaticamente uma designação incompatível.

Como recomendação prática, separe as funções quando a função de segurança tiver uma autoridade substancial sobre o tratamento de dados pessoais. Não justifique uma dupla designação apenas porque a empresa é pequena ou porque a pessoa é de confiança. A confiança não elimina a autorrevisão nem as responsabilidades concorrentes.

As designações externas exigem o mesmo escrutínio. A externalização pode proporcionar independência face às linhas de reporte internas, mas podem surgir conflitos através de mandatos sobrepostos ou de incentivos do prestador.

Definir as passagens de testemunho em torno do trabalho recorrente

Uma matriz de responsabilidades deve descrever decisões e resultados, e não apenas participação. Evite linhas que digam «segurança e privacidade conjuntamente responsáveis» sem identificar quem tem de agir a seguir.

O que se segue é um ponto de partida prático e não uma atribuição legal de todos os deveres:

Alterações de produto: fazer a primeira passagem de testemunho a tempo de ter efeito

Para uma nova plataforma de clientes, o responsável de negócio deve indicar a finalidade pretendida e as decisões de tratamento. Forneça um resumo curto da alteração que abranja as categorias de dados, as pessoas afetadas, os sistemas, os fornecedores, os acessos, a conservação e a data prevista de implementação. Inclua um esboço do fluxo de dados quando isso facilitar a compreensão.

A segurança avalia, então, as ameaças e as proteções: acessos privilegiados, autenticação, segregação, registo de eventos, cópias de segurança e recuperação, e a evidência necessária antes do lançamento. Os especialistas em privacidade avaliam o fundamento jurídico, a transparência, a minimização, a conservação, as relações de tratamento e se é necessária uma AIPD. Nos termos do artigo 35.º do RGPD, uma AIPD é obrigatória quando o tratamento for suscetível de implicar um elevado risco; consulte o EPD quando tiver sido designado.

A passagem de testemunho deve produzir conclusões explícitas em vez de aprovações separadas e sem explicação. Registe o parecer do EPD quando relevante, a decisão de negócio, as condições de lançamento e o responsável por cada ação pendente. Se a gestão não seguir o parecer, preserve o seu raciocínio e escale as preocupações jurídicas por resolver. A aceitação de um risco de negócio não pode tornar lícito um tratamento ilícito.

Defina gatilhos de revisão como novos dados sensíveis, monitorização de trabalhadores, alteração de finalidades, acessos materialmente mais amplos ou um novo fornecedor. Isto é mais útil do que exigir documentação idêntica para cada pequena alteração de interface.

Integração de fornecedores: separar a garantia de segurança da licitude do tratamento

O responsável de negócio deve identificar o serviço, os dados envolvidos e o que o fornecedor fará efetivamente. A segurança avalia a garantia relevante, as modalidades de acesso, o apoio em incidentes e a resiliência. A privacidade avalia se o fornecedor é subcontratante, responsável pelo tratamento independente ou outro participante na relação de tratamento.

Quando o artigo 28.º se aplica, o contrato tem de conter as cláusulas obrigatórias relativas ao subcontratante. As transferências internacionais exigem uma avaliação separada; um acordo de tratamento de dados ou uma localização de alojamento preferida não resolvem essa questão.

Acorde quem obtém a evidência em falta e quem negoceia as alterações contratuais. Uma falha comum é tratar o questionário de segurança como a revisão completa, deixando por analisar os papéis no tratamento, os subcontratantes ulteriores, o apagamento e as transferências. Outra é negociar cláusulas de privacidade sem compreender o acesso técnico real do fornecedor.

O resultado deve identificar que serviço e que configuração foram avaliados, as condições aceites, as questões em aberto e os gatilhos de reavaliação. As alterações materiais aos acessos, aos subcontratantes ulteriores ou às localizações de tratamento devem chegar a ambas as funções.

Incidentes: trocar factos antes de existir certeza

Perante uma suspeita de violação, a segurança investiga enquanto a privacidade avalia as implicações para as pessoas afetadas e a necessidade de notificação. Nenhuma das equipas deve esperar por um relatório final para partilhar informação relevante.

Uma primeira passagem de testemunho deve indicar o que aconteceu, quando foi detetado, que sistemas e dados podem estar envolvidos, se a confidencialidade, a integridade ou a disponibilidade foram afetadas, que contenção foi feita e o que permanece desconhecido. Atribua a alguém a manutenção da cronologia e a atualização de ambas as funções à medida que os factos mudam.

Nos termos do artigo 33.º do RGPD, o responsável pelo tratamento tem de notificar a autoridade de controlo sem demora injustificada e, sempre que possível, até 72 horas após ter tido conhecimento, a menos que a violação não seja suscetível de resultar num risco para os direitos e liberdades das pessoas. O subcontratante tem de notificar o responsável pelo tratamento sem demora injustificada. Registe a avaliação do momento do conhecimento; não presuma que cada alerta inicial faz começar a contar o prazo legal nem que é necessária certeza forense total antes de agir.

O artigo 34.º pode exigir a comunicação às pessoas afetadas quando exista um elevado risco, sem prejuízo das suas exceções. Acorde quem coordena os prazos, prepara as notificações, autoriza as comunicações e conserva as evidências. Documente as violações de dados pessoais, incluindo o raciocínio quando a notificação for considerada desnecessária. A falta de factos pode exigir uma notificação por fases, em vez de silêncio enquanto a investigação prossegue.

Para um incidente que afete uma entidade abrangida, avalie em paralelo se atinge o limiar aplicável de notificação de incidentes significativos da NIS2. A diretiva prevê um alerta precoce em 24 horas, uma notificação do incidente em 72 horas e, em regra, um relatório final no prazo de um mês após a notificação; verifique as regras nacionais e setoriais. Trata-se de gatilhos e destinatários diferentes dos do RGPD e não de um único processo de notificação intermutável.

Pedidos de exercício de direitos: distinguir o apoio operacional da responsabilidade pela resposta

Os pedidos de exercício de direitos exigem frequentemente o apoio da segurança e das TI para verificar a identidade de forma proporcionada, localizar informação, proteger dados de terceiros e entregar a resposta de forma segura. A privacidade coordena a avaliação jurídica, com o parecer do EPD quando adequado. O responsável pelo tratamento continua a ser responsável pela resposta.

Nos termos do artigo 12.º do RGPD, o prazo habitual de resposta é de um mês. Pode ser possível uma prorrogação de mais dois meses quando necessário, com comunicação e indicação dos motivos no primeiro mês. Os pedidos são, em regra, gratuitos, com condições limitadas para a cobrança de taxas ou a recusa.

Registe quem é responsável pelo prazo, que sistemas têm de ser pesquisados e quem aprova a divulgação. Não exija por defeito documentos de identificação excessivos nem permita que uma exportação técnica se torne uma resposta não revista. Um processo operacional partilhado pode ligar a avaliação da privacidade às pesquisas e aos controlos de entrega descritos em tratamento de pedidos de acesso dos titulares.

Escolher designações internas ou externas com base na capacidade e no acesso

O n.º 6 do artigo 37.º do RGPD permite expressamente que a função de EPD seja exercida por um membro do pessoal ou com base num contrato de prestação de serviços. A liderança de segurança também pode ser contratada externamente como modelo organizacional, sem prejuízo dos requisitos aplicáveis e de um mandato claro.

Um EPD interno pode conhecer profundamente o negócio e ter acesso fácil aos colegas. A organização tem, ainda assim, de lhe proporcionar conhecimentos especializados, recursos, tempo protegido, independência e substituição. Um EPD externo pode trazer experiência especializada e capacidade adicional, mas precisa de um canal fiável para as alterações de produto, os contratos, as avaliações e os incidentes. Nenhum dos modelos funciona se o EPD só tomar conhecimento das decisões depois da implementação.

Compare as necessidades operacionais totais, em vez de comparar apenas o salário com a avença. Considere a formação, o aconselhamento especializado, a substituição em ausências, o tempo de coordenação, os picos de projeto e os custos fora do âmbito contratado. Não existe uma regra universal fiável segundo a qual a prestação externa é mais barata.

Para mandatos externos, acorde:

• Contactos designados, substitutos, vias de escalada e acesso ao mais alto nível de direção.
• Que revisões, reuniões, formações e apoio em incidentes estão incluídos.
• Modalidades de resposta adequadas ao trabalho urgente e ao trabalho de rotina.
• Como a informação, o aconselhamento e as decisões serão documentados e conservados.
• Confidencialidade, limites de acesso, gestão de conflitos e disposições de saída.

Se um mesmo prestador assegurar ambas as funções, verifique quem exerce cada mandato e como são geridos os conflitos. Nomes diferentes numa proposta não bastam se a mesma pessoa controlar e rever as decisões de tratamento.

Designe um coordenador interno com autoridade para obter informação e acompanhar a implementação. Os especialistas externos não podem avaliar sistemas que não lhes são revelados nem impor ações pelas quais ninguém internamente é responsável. A gestão mantém as decisões sobre orçamento e prioridades de negócio, e o responsável pelo tratamento mantém a responsabilidade nos termos do artigo 24.º do RGPD.

Adequar o modelo à carga de trabalho

Para uma organização mais pequena sem obrigação de designar um EPD, pode ser adequado ter um responsável de privacidade e um responsável de segurança designados, com aconselhamento especializado disponível para questões difíceis. Isso é diferente de atribuir a alguém uma designação formal como EPD.

Quando um EPD é obrigatório mas os candidatos internos detêm autoridade operacional conflituante, vale a pena considerar uma designação externa. Combine-a com a responsabilidade interna pela implementação, em vez de esperar que o prestador execute todas as tarefas de privacidade.

Quando a garantia exigida pelos clientes requer a construção de um SGSI e a experiência interna em segurança é limitada, uma liderança de segurança externa pode apoiar o trabalho inicial. Decida quem manterá depois as avaliações de riscos, as evidências e o reporte à gestão; um projeto não deve deixar uma lacuna de responsabilidade quando termina.

Uma organização consolidada pode assegurar ambas as funções internamente, desde que proteja a independência do EPD e afete capacidade suficiente. A decisão deve seguir a carga de trabalho real, a competência e a autoridade, e não a presunção de que o interno é sempre melhor ou de que o externo é sempre mais fácil.

Exemplo prático: um fabricante que prepara um portal de clientes

Considere um fabricante ilustrativo com 200 trabalhadores, uma pequena equipa de TI e um portal planeado para o apoio a clientes e a manutenção de máquinas. Suponha que o portal conterá dados de contacto de clientes, históricos de assistência e registos de atividade dos técnicos. Os clientes pedem também uma governação de segurança documentada. Trata-se de factos hipotéticos e não de uma conclusão jurídica sobre todos os fabricantes dessa dimensão.

A gestão começa por encomendar avaliações separadas da obrigação de designar um EPD e da aplicabilidade setorial em matéria de cibersegurança. Não deduz o âmbito da NIS2 apenas a partir do número de trabalhadores. Revê também a designação existente do diretor de TI como EPD, porque esse diretor seleciona sistemas e aprova o seu funcionamento.

Depois de avaliar os conflitos e a capacidade, a empresa designa um EPD externo e um responsável de segurança a tempo parcial. O diretor de TI é responsável pela entrega técnica, o diretor de serviços é responsável pelas finalidades de tratamento e pelos requisitos de negócio do portal, e um coordenador interno mantém o registo de ações. O diretor-geral patrocina as decisões e resolve os conflitos de recursos.

Durante a conceção, a segurança recomenda um registo detalhado da atividade para investigar utilizações abusivas. A privacidade identifica que os registos também revelam o comportamento dos técnicos. O diretor de serviços explica a necessidade operacional; a segurança propõe acesso restrito e uma utilização investigativa definida; a privacidade avalia a necessidade, a transparência e a conservação. O parecer do EPD é registado antes de o responsável decidir a configuração. O EPD não aprova a conceção do registo em vez da gestão.

O registo de lançamento contém a descrição do fluxo de dados, a avaliação do fornecedor, as conclusões de segurança, o resultado da triagem de AIPD, as ações de privacidade e as condições de lançamento aceites. Qualquer ação por resolver tem um responsável e uma data-limite.

A gestão realiza depois um exercício de mesa que envolve uma conta do portal comprometida. A segurança fornece um dossiê inicial de factos; a privacidade avalia os possíveis danos; o coordenador acompanha os prazos de avaliação; e o gestor autorizado trata das comunicações. O exercício revela que os contactos de emergência do EPD externo não constavam do procedimento de incidentes. Corrigir essa pequena lacuna torna a passagem de testemunho utilizável sob pressão.

Tornar a colaboração verificável sem partilhar tudo

Dê às divergências uma via de escalada designada. Os compromissos técnicos podem ir para o responsável pelo serviço e para o patrocinador executivo; as preocupações de conformidade por resolver devem chegar ao mais alto nível de direção através da via de reporte independente do EPD. Preserve as opiniões divergentes em vez de reescrever o registo para sugerir que houve acordo.

Partilhe apenas a informação de que cada função precisa, sobretudo em investigações sensíveis. O EPD tem de ter acesso à informação relevante sobre o tratamento nos termos do artigo 38.º do RGPD, mas isso não justifica distribuir registos brutos de trabalhadores ou material forense a todos os participantes de um projeto. Utilize limites de acesso e resumos adequadamente expurgados, sem reter factos necessários para a avaliação.

A gestão de topo deve rever alguns sinais operacionais: alterações implementadas antes da consulta, ações em atraso após o parecer, incidentes com escalada interfuncional tardia e incerteza repetida sobre a autoridade de decisão. Estes sinais revelam falhas de governação com mais clareza do que contar políticas ou reuniões.

Uma revisão prática pela gestão deve terminar com decisões e não apenas com relatórios atualizados. Se as avaliações chegam repetidamente tarde, altere o gatilho de entrada dos projetos. Se as ações permanecem em aberto por falta de capacidade das equipas, afete recursos ou reveja o plano de entrega. Se ninguém consegue identificar quem decide, corrija a delegação antes de aceitar outro lançamento.

Mantenha o registo resultante compacto: a questão, o aconselhamento relevante de segurança e de privacidade, a decisão responsável, a sua fundamentação, os responsáveis pelas ações e uma data de revisão. Distinga uma lacuna de evidência de um controlo implementado que falhou. Exigem seguimentos diferentes, mesmo quando ambos aparecem como uma tarefa em aberto.

Questões que a gestão de topo deve resolver explicitamente

O EPD tem de aprovar cada lançamento?

O RGPD define uma função de aconselhamento e de controlo, não uma obrigação universal de aprovação de lançamentos pelo EPD. Uma organização pode estabelecer pontos de consulta obrigatórios, mas deve distinguir a consulta da autoridade de lançamento do responsável de negócio. Uma consulta concluída também não demonstra que o tratamento é lícito.

A evidência de segurança pode satisfazer as revisões de privacidade?

Pode apoiá-las. Os registos de revisão de acessos ou os testes de recuperação podem informar uma avaliação nos termos do artigo 32.º. Não estabelecem um fundamento jurídico, uma transparência adequada nem um prazo de conservação justificado. Identifique a afirmação que cada elemento comprova, em vez de tratar um conjunto de evidências como aprovação para tudo.

Começar com dois processos e um pequeno rasto de evidências

Comece pelas alterações de produto e pelo tratamento de incidentes. Para cada um, designe o responsável pela entrada, a informação necessária, os gatilhos de revisão, a autoridade de decisão, a via de escalada e as disposições de substituição. Teste ambos com casos realistas antes de alargar a matriz.

A Secani liga requisitos, evidências, responsáveis, tarefas e decisões de revisão num contexto partilhado. Para um âmbito de serviço focado, as equipas podem modelar os sistemas e fornecedores de suporte, associar as evidências aos requisitos ou decisões que sustentam e transformar as questões de revisão sem resposta em trabalho atribuído. Planeie os limites de acesso para colaboradores internos e externos; a função documentada da API OSCAL concede apenas acesso de validação. Mantenha explícita a revisão humana das sugestões assistidas por IA e preserve as fontes, os comentários, as aprovações e os registos temporais.

O próximo passo prático é uma sessão conjunta com o responsável de negócio, o responsável de segurança, a equipa de privacidade e o EPD. Percorram uma alteração próxima e um incidente plausível através das passagens de testemunho propostas. Sempre que o grupo não conseguir identificar quem age a seguir, melhore o processo antes do próximo caso urgente.