RGPD e segurança: ligar as salvaguardas ao tratamento

Um sistema de gestão da segurança da informação bem gerido oferece processos úteis para o RGPD: gestão de acessos, tratamento de incidentes, avaliação de fornecedores e resiliência. O trabalho de privacidade, porém, pergunta também porque é que o tratamento é lícito, proporcionado e transparente. Estas questões cruzam-se na mesma atividade de negócio, mas exigem decisões diferentes.

Para a gestão de topo, a tarefa consiste em ligá-las sem tratar uma como substituta da outra. Uma base de dados de clientes segura pode, ainda assim, conter informação que a empresa não deveria ter recolhido. Um contrato válido com o cliente não demonstra que todas as pessoas com acesso à base de dados precisam desse acesso. Um certificado ISO 27001 não resolve nenhuma das duas questões.

O ponto de partida prático é, por isso, o tratamento e não um catálogo de controlos. Identifique o que a empresa pretende fazer com os dados pessoais, avalie se essa atividade é admissível e, só depois, selecione salvaguardas para as consequências de uma falha. Preserve o raciocínio, as evidências, o responsável e o próximo evento que deve desencadear uma revisão.

Determinar que tratamentos e responsabilidades estão no âmbito

O Regulamento Geral sobre a Proteção de Dados regula o tratamento de dados pessoais. O tratamento inclui a recolha, a conservação, a consulta, a divulgação, a alteração e o apagamento. Dados pessoais são informações relativas a uma pessoa singular identificada ou identificável; não se limitam a nomes ou a registos manifestamente sensíveis.

Endereços de correio eletrónico profissionais, identificadores de colaboradores, identificadores de dispositivos, históricos de localização e conversas de suporte podem ser dados pessoais. Saber se um determinado identificador se qualifica depende do contexto e dos meios suscetíveis de ser razoavelmente utilizados para identificar alguém. Substituir nomes por números de referência produz normalmente dados pseudonimizados e não dados anónimos, quando a reidentificação continua possível. Os dados pessoais pseudonimizados continuam abrangidos pelo RGPD.

Verificar o âmbito territorial antes de escolher um modelo operacional

O artigo 3.º abrange o tratamento efetuado no contexto de um estabelecimento na UE, mesmo que o tratamento em si ocorra noutro lugar. Pode também abranger uma organização fora da UE quando o seu tratamento está relacionado com a oferta de bens ou serviços a pessoas na União ou com o controlo do seu comportamento nesse território. A mera acessibilidade de um sítio web não resolve a questão do direcionamento; avalie a oferta e a atividade de controlo efetivas.

Quando o n.º 2 do artigo 3.º se aplica, o artigo 27.º pode exigir um representante na União. As suas exceções são limitadas e não dependem simplesmente da dimensão da empresa. A exceção para o tratamento ocasional exige também o cumprimento das condições especificadas relativas a dados sensíveis e ao risco. Um representante não substitui o responsável pelo tratamento, um EPD nem uma gestão responsável.

O RGPD entrou em vigor em 24 de maio de 2016 e é aplicável desde 25 de maio de 2018. Para as decisões atuais, distinga o direito em vigor das simplificações propostas. Um comunicado de imprensa sobre uma possível isenção não é fundamento para interromper um processo de conformidade existente.

Determinar os papéis por atividade e não pela designação da empresa

O responsável pelo tratamento determina as finalidades e os meios do tratamento. O subcontratante trata dados pessoais por conta de um responsável pelo tratamento. Os responsáveis conjuntos determinam conjuntamente as finalidades e os meios e precisam de um acordo nos termos do artigo 26.º que reflita as respetivas responsabilidades.

Uma mesma empresa pode desempenhar vários papéis. Um fornecedor de software pode ser subcontratante relativamente aos registos carregados pelos clientes e responsável pelo tratamento relativamente aos seus próprios processamentos salariais, à administração de contas e a algumas operações de segurança. A designação contratual de um fornecedor é relevante, mas não pode prevalecer sobre o que as partes efetivamente fazem.

O primeiro resultado deve ser uma decisão de âmbito curta: atividades aplicáveis, entidades organizacionais, papéis de responsável pelo tratamento ou de subcontratante, mercados e questões por resolver. Atribua um responsável para resolver as incertezas antes de o tratamento correspondente começar ou ser alargado.

Separar a finalidade de negócio do fundamento jurídico

Os artigos 5.º e 6.º estabelecem a base do tratamento corrente de dados pessoais. A segurança é uma parte dessa base, não uma forma de a contornar.

Os princípios do artigo 5.º são habitualmente apresentados como sete: licitude, lealdade e transparência; limitação das finalidades; minimização dos dados; exatidão; limitação da conservação; integridade e confidencialidade; e responsabilidade. A responsabilidade exige que o responsável pelo tratamento cumpra e seja capaz de comprovar o cumprimento. Não exige um produto de software específico, mas exige uma explicação defensável, apoiada em evidências adequadas.

Traduza cada princípio numa pergunta de negócio:

Escolher um fundamento para cada finalidade

O artigo 6.º prevê seis fundamentos de licitude. As suas condições importam mais do que as suas designações:

• Consentimento: uma manifestação de vontade livre, específica, informada e inequívoca, com possibilidade de retirada.
• Contrato: tratamento necessário para a execução de um contrato com a pessoa ou para diligências pré-contratuais a pedido desta.
• Obrigação jurídica: tratamento necessário para o cumprimento de uma obrigação jurídica aplicável.
• Interesses vitais: tratamento necessário para proteger interesses vitais de alguém.
• Interesse público: tratamento necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública, com a necessária base legal.
• Interesses legítimos: tratamento necessário para efeito de interesses legítimos, sujeito à ponderação desses interesses face aos interesses, direitos e liberdades da pessoa.

Não enumere vários fundamentos como um seguro intermutável. Estabeleça o fundamento que efetivamente sustenta cada finalidade e comunique-o com rigor. Acrescentar uma cláusula a um contrato com o cliente não torna automaticamente o tratamento necessário para esse contrato. Do mesmo modo, os interesses legítimos exigem uma avaliação; não constituem uma autorização geral para utilizar os dados disponíveis.

Como recomendação prática, documente uma avaliação de interesses legítimos centrada no interesse prosseguido, na necessidade, nos efeitos sobre as pessoas, nas suas expectativas razoáveis e nas salvaguardas. Considere alternativas menos intrusivas. Mantenha a análise proporcional à atividade, mas suficientemente específica para que alguém de fora do projeto a compreenda.

O consentimento não é universalmente mais seguro. Tem de ser verdadeiramente facultativo quando as circunstâncias exigem uma escolha, e a retirada tem de funcionar na prática. As relações laborais levantam preocupações particulares quanto a saber se a concordância é dada livremente. A retirada põe termo, para o futuro, ao tratamento baseado nesse consentimento; não apaga automaticamente registos sujeitos a deveres legais de conservação autónomos. Não transfira retroativamente o mesmo tratamento para outro fundamento só porque o consentimento foi retirado. Qualquer tratamento distinto, como a conservação legalmente exigida, precisa do seu próprio fundamento aplicável e de transparência adequada.

Os dados de categorias especiais, como as informações de saúde, precisam de uma condição do artigo 9.º, além de um fundamento do artigo 6.º. Os dados relativos a condenações penais e infrações estão sujeitos a requisitos próprios do artigo 10.º. Uma empresa não deve aprovar nenhuma destas categorias apenas porque o tratamento corrente de dados de clientes já foi avaliado.

Construir um registo de tratamento que oriente decisões

Os registos das atividades de tratamento do artigo 30.º são úteis porque ligam a análise jurídica à realidade operacional. O registo do responsável pelo tratamento inclui as finalidades, as categorias de titulares e de dados, os destinatários, as transferências, os prazos previstos para o apagamento, sempre que possível, e uma descrição geral das medidas de segurança, sempre que possível. Os subcontratantes têm uma obrigação de registo diferente, que abrange o tratamento que efetuam por conta dos responsáveis pelo tratamento.

A isenção para organizações com menos de 250 trabalhadores é condicional. Não abrange o tratamento que não seja ocasional, que seja suscetível de implicar o risco especificado ou que inclua as categorias sensíveis especificadas. Uma pequena empresa com tratamento contínuo de dados de trabalhadores ou de clientes não deve presumir que o número de efetivos elimina as suas obrigações de registo.

Utilize as atividades de tratamento como unidade de organização. «Infraestrutura cloud» é normalmente demasiado amplo para explicar porque são tratados os dados. «Gestão de pedidos de suporte de clientes» é mais útil, porque tem uma finalidade, pessoas identificáveis, categorias de dados, destinatários, regras de conservação e sistemas de suporte.

Um registo de trabalho prático pode ir além dos campos legais:

• Responsável de negócio e revisor de privacidade.
• Finalidade e fundamento jurídico relevante.
• Origens dos dados, categorias e grupos afetados.
• Relações de responsável pelo tratamento, subcontratante ou responsáveis conjuntos.
• Aplicações, exportações, registos (logs) e destinatários a jusante.
• Regras de conservação e forma como o apagamento é executado.
• Referências a avisos, tratamento de direitos, fornecedores e transferências.
• Resultado da triagem de AIPD e salvaguardas associadas.
• Data de aprovação, ações por concluir e gatilhos de revisão.

Os campos adicionais são uma recomendação para efeitos de coordenação e não uma afirmação de que o artigo 30.º exige expressamente cada elemento. O seu valor está em tornarem o registo utilizável durante um lançamento, um pedido de acesso, uma mudança de fornecedor ou um incidente.

Conciliar o registo com os sistemas que as pessoas realmente utilizam

É pouco provável que um questionário anual revele cada exportação para folha de cálculo, cada aplicação em período experimental ou cada subscrição de IA ao nível de uma equipa. Compare o registo com a informação de compras, as listas de aplicações aprovadas, os inventários de sistemas e entrevistas com os responsáveis pelos processos. Reveja as unidades partilhadas e as passagens manuais de informação quando afetem materialmente a atividade.

Não confunda um inventário de ativos com um registo de tratamento. O inventário de ativos explica sistemas e dependências; o registo de tratamento explica as utilizações de dados pessoais. Ligue-os de modo que uma aplicação possa suportar várias finalidades sem que essas finalidades se fundam numa descrição indistinta.

Para mais contexto sobre o fluxo de trabalho, consulte descoberta de dados e privacidade. A descoberta deve produzir uma lista verificável de discrepâncias e não a presunção de que cada campo detetado foi corretamente classificado ou juridicamente avaliado.

Traduzir o artigo 32.º em salvaguardas para consequências reais

O artigo 32.º do RGPD exige que os responsáveis pelo tratamento e os subcontratantes apliquem medidas técnicas e organizativas adequadas ao risco. A avaliação tem em conta as técnicas mais avançadas, os custos de aplicação, a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como a probabilidade e a gravidade dos riscos para os direitos e liberdades das pessoas.

As consequências relevantes incluem a destruição, perda ou alteração acidentais ou ilícitas, a divulgação não autorizada e o acesso não autorizado. Isto torna a disponibilidade e a integridade tão importantes quanto a confidencialidade. A perda de acesso a um serviço pode prejudicar pessoas mesmo quando nenhum dado foi roubado.

Uma declaração genérica de que «se aplica segurança de padrão da indústria» não basta para explicar porque é que as salvaguardas se adequam a uma determinada atividade. Comece por cenários: quem poderá ser afetado, o que pode acontecer, qual a probabilidade e qual a gravidade do efeito. Depois, ligue cada cenário importante a medidas preventivas, de deteção e de recuperação.

As restrições de acesso devem seguir a finalidade

Para uma atividade de suporte, pergunte que agentes precisam de que registos de clientes, se os anexos sensíveis precisam de restrições separadas e quando deve expirar um acesso temporário. Considere a administração privilegiada, o acesso de suporte de fornecedores, as exportações em massa, as contas partilhadas e o acesso de emergência.

As evidências úteis incluem definições de funções, aprovações de acesso, registos de entradas, mudanças e saídas de pessoas, mecanismos de acesso privilegiado e revisões de acessos concluídas. Uma política de acessos comprova uma regra pretendida. Uma revisão recente que mostre a remoção de permissões desnecessárias fornece evidência de que a regra está a ser aplicada.

A gestão de topo deve perguntar se a organização consegue distinguir o acesso autorizado da utilização adequada. Um colaborador pode ter uma conta tecnicamente válida e, mesmo assim, utilizar dados para uma finalidade não autorizada. A formação, a supervisão, a conceção dos acessos e os processos de investigação são todos relevantes.

A cifragem exige uma decisão de implementação

O artigo 32.º identifica a cifragem e a pseudonimização entre as medidas a considerar; não impõe uma obrigação universal e indiscriminada de cifragem para todas as situações. Quando se opta pela cifragem, especifique o que protege e o que não protege.

A cifragem em trânsito protege os dados que circulam entre pontos terminais quando os protocolos e a autenticação dos pontos terminais estão devidamente configurados. A cifragem em repouso protege os dados armazenados em cenários de ameaça específicos. Nenhuma delas impede automaticamente que uma aplicação ou um administrador autorizados vejam o texto simples.

Reveja quem controla as chaves, como é segregado o acesso a elas e como são geradas, rodadas, revogadas, salvaguardadas e recuperadas. A cifragem gerida pelo fornecedor pode ser adequada para alguns riscos e deixar outros por resolver. Uma cifragem cujas chaves estejam disponíveis para o mesmo agente comprometido pode não responder ao cenário em avaliação.

A decisão da administração não é qual algoritmo implementar pessoalmente. É se a conceção responde ao risco relevante e se o responsável técnico consegue fundamentar essa conclusão. Consulte cifragem e gestão de chaves para as distinções ao nível dos controlos.

A resiliência tem de ser demonstrada, não presumida

O artigo 32.º aborda a confidencialidade, a integridade, a disponibilidade e a resiliência permanentes, bem como a capacidade de restabelecer atempadamente a disponibilidade e o acesso após um incidente. Uma tarefa de cópia de segurança bem-sucedida não demonstra que a empresa consegue restaurar um serviço utilizável.

Defina expectativas de recuperação com base no tratamento e nas consequências de uma interrupção. Teste a restauração, as dependências, as credenciais e o tratamento de dados pessoais nos ambientes recuperados. Guarde evidência do que foi restaurado, quanto tempo demorou, o que falhou e o que foi corrigido. As regras de conservação e de apagamento têm também de ter em conta o comportamento das cópias de segurança.

Testar a eficácia com evidência relevante

O artigo 32.º inclui um processo para testar, apreciar e avaliar regularmente as medidas. O método adequado depende do controlo: revisões de acessos, exercícios de restauração, verificações de configuração, avaliações de vulnerabilidades, revisões de fornecedores e exercícios de incidentes podem todos contribuir.

Um teste de intrusão pode ser útil, mas não é um substituto universal destas atividades nem um requisito geral do RGPD. Registe o âmbito testado e as limitações. Um teste a uma aplicação não demonstra que uma nova exportação de marketing, uma ligação a um fornecedor ou um processo de recuperação estejam adequadamente controlados.

Para cada salvaguarda material, mantenha um responsável, uma descrição da implementação, evidência relevante, a data da avaliação e o próximo gatilho de revisão. Trata-se de uma estrutura prática de evidência e não de um modelo prescrito pelo artigo 32.º.

Reutilizar o SGSI sem fundir as conclusões de segurança e de privacidade

A ISO/IEC 27001 diz respeito a um sistema de gestão da segurança da informação com um âmbito definido. A sua avaliação de riscos, o tratamento de riscos, os processos operacionais, a auditoria interna e a revisão pela gestão podem apoiar a gestão das salvaguardas do RGPD.

A sobreposição é valiosa. Muitas vezes não é necessário recriar para a privacidade as evidências de gestão de acessos, as avaliações de fornecedores, os exercícios de incidentes e os testes de recuperação. Contudo, a sua relevância tem de ser verificada face à atividade de tratamento e ao âmbito atual.

A certificação por um organismo de certificação independente diz respeito ao âmbito declarado do SGSI. Não abrange automaticamente todos os produtos, entidades, fornecedores ou atividades de tratamento. A Declaração de Aplicabilidade regista as decisões de aplicabilidade e de tratamento dos controlos; não é uma declaração de que todas as obrigações do RGPD foram cumpridas.

A ISO 27001 também não é, em si mesma, um regime legal geral de notificação de violações. Os deveres de notificação do RGPD têm de ser avaliados separadamente. Inversamente, cumprir o RGPD não demonstra que uma organização implementou todos os requisitos necessários para a certificação ISO 27001.

O RGPD prevê procedimentos de certificação nos artigos 42.º e 43.º. Essa certificação não reduz a responsabilidade do responsável pelo tratamento ou do subcontratante e não equivale a um certificado ISO 27001 nem a uma declaração universal de conformidade legal.

A questão de gestão é, por isso, a reutilização de evidências com conclusões separadas: o que demonstra este elemento, para que sistemas e que período, e que questões de privacidade continuam sem resposta?

Atribuir responsabilidades distintas à gestão, à segurança e à privacidade

Um modelo operacional funcional precisa de mais do que uma caixa de correio partilhada de conformidade. Os responsáveis de negócio devem descrever e justificar o seu tratamento; a segurança deve avaliar e implementar as salvaguardas relevantes; os especialistas em privacidade devem aconselhar sobre requisitos legais, direitos, avisos e avaliações. A gestão de topo tem de disponibilizar recursos e resolver as decisões materiais dentro da lei.

Um EPD não é automaticamente obrigatório para todas as empresas. O artigo 37.º abrange as autoridades e organismos públicos, com a ressalva dos tribunais, e as organizações cujas atividades principais preencham as condições especificadas de controlo em grande escala ou de dados sensíveis. O direito nacional pode acrescentar requisitos, pelo que deve verificar as jurisdições relevantes.

Quando designado, o EPD tem funções independentes de aconselhamento e de controlo, deve ser envolvido de forma adequada e atempada e reporta diretamente ao mais alto nível de direção. O EPD não deve receber instruções para chegar a uma conclusão preferida nem ser incumbido de responsabilidades conflituantes que determinem as finalidades e os meios do tratamento.

Não faça do EPD o responsável por todos os controlos, o aprovador de todas as finalidades de negócio e a pessoa que audita essas mesmas decisões. Isso concentra responsabilidades incompatíveis e pode levar as equipas operacionais a acreditar que a responsabilidade lhes foi retirada.

Um registo de aprovação útil identifica o responsável proponente, o parecer especializado, as evidências consideradas, quem decide, as condições e as ações por concluir. Se a gestão escolher uma abordagem lícita diferente da recomendada, registe o raciocínio. A gestão não pode transformar a falta de um fundamento jurídico ou de uma cláusula contratual obrigatória em conformidade rotulando-a como «risco aceite».

O guia sobre as responsabilidades do CISO e do EPD explica a fronteira de responsabilidades com mais pormenor. Para o CEO, a questão-chave de supervisão é se as divergências chegam a alguém capaz de alterar o tratamento, financiar a salvaguarda ou travar a proposta, e não apenas aprovar um documento.

Avaliar fornecedores através do papel, do contrato e da implementação

A revisão de segurança de fornecedores e a revisão de fornecedores para o RGPD sobrepõem-se, mas não são idênticas. Comece por determinar se o fornecedor é subcontratante, responsável pelo tratamento independente, responsável conjunto ou se desempenha papéis diferentes em serviços diferentes.

Nos termos do artigo 28.º, os responsáveis pelo tratamento só podem recorrer a subcontratantes que apresentem garantias suficientes de medidas técnicas e organizativas adequadas. As relações com subcontratantes exigem um contrato vinculativo ou outro ato jurídico elegível que abranja o conteúdo prescrito. Uma cláusula de confidencialidade isolada não cumpre esse requisito.

Os requisitos do artigo 28.º incluem:

• O objeto, a duração, a natureza e a finalidade do tratamento.
• O tipo de dados pessoais e as categorias de titulares.
• As obrigações e os direitos do responsável pelo tratamento.
• O tratamento mediante instruções documentadas, incluindo as disposições relevantes sobre transferências.
• A confidencialidade e as medidas de segurança do artigo 32.º.
• As condições para contratar outros subcontratantes.
• A assistência nos pedidos de exercício de direitos e em obrigações de conformidade especificadas.
• A devolução ou o apagamento dos dados no final da prestação de serviços, sem prejuízo dos requisitos legais aplicáveis.
• As disposições de informação e de auditoria para demonstrar a conformidade.

Reveja os termos efetivos do serviço juntamente com o acordo. Um fornecedor pode prometer o apagamento e, ainda assim, conservar alguns registos para uma finalidade própria enquanto responsável pelo tratamento. Uma subscrição empresarial pode restringir a utilização para treino, enquanto uma conta de avaliação não o faz. Um subcontratante pode recorrer a vários subcontratantes ulteriores com localizações e modalidades de suporte diferentes.

A autorização de subcontratantes ulteriores pode ser específica ou geral nos termos do artigo 28.º. Quando é utilizada uma autorização geral por escrito, o subcontratante tem de informar o responsável pelo tratamento de quaisquer alterações pretendidas quanto ao aumento do número ou à substituição de subcontratantes, dando-lhe a oportunidade de se opor. A questão operacional é quem recebe essas notificações e as avalia antes que desapareçam numa caixa de correio sem vigilância.

Mantenha a revisão contratual separada da avaliação das transferências. Um acordo nos termos do artigo 28.º não proporciona, por si só, um mecanismo de transferência do capítulo V. Assinar um acordo de tratamento de dados também não estabelece o fundamento de licitude da atividade do responsável pelo tratamento.

Tratar termos não negociáveis como uma decisão de negócio

Os clientes de menor dimensão podem ter um poder negocial limitado. Isso torna a avaliação antecipada mais importante e não facultativa. Documente a deficiência, peça as alternativas disponíveis e considere alterar a configuração, reduzir os dados, escolher outro serviço ou não avançar.

Quando um requisito obrigatório continua por cumprir, a aprovação da administração não o pode sanar. Quando a questão é uma escolha entre opções lícitas com riscos residuais diferentes, a gestão pode decidir com base num parecer documentado. As compras devem distinguir estas situações, em vez de reunirem todas as preocupações numa única categoria de exceção.

Uma revisão de fornecedor deve terminar com uma decisão, condições, referências às evidências e gatilhos de nova revisão, e não apenas com um questionário preenchido.

Conceber o tratamento de direitos antes do primeiro pedido difícil

Os artigos 15.º a 22.º conferem direitos que incluem o acesso, a retificação, o apagamento, a limitação, a portabilidade, a oposição e a proteção relativamente a certas decisões tomadas exclusivamente com base no tratamento automatizado. Estes direitos têm condições e exceções diferentes; um único fluxo de «apagar tudo» não serve todos eles.

Nos termos do artigo 12.º, as organizações têm de responder sem demora injustificada e, em regra, no prazo de um mês a contar da receção do pedido. É possível uma prorrogação até dois meses adicionais, quando necessário, tendo em conta a complexidade e o número de pedidos, mas a pessoa tem de ser informada no primeiro mês, com indicação dos motivos. Os pedidos são, em regra, gratuitos; a cobrança de taxas ou a recusa estão limitadas às condições do regulamento, como pedidos manifestamente infundados ou excessivos, o que o responsável pelo tratamento tem de demonstrar.

Construa um circuito operacional que funcione através dos canais de suporte, recursos humanos, vendas e privacidade:

1. Registar a receção, os direitos solicitados e o prazo.
2. Confirmar o responsável pelo tratamento relevante e o âmbito.
3. Verificar a identidade de forma proporcionada quando existam dúvidas razoáveis.
4. Localizar os dados e identificar os sistemas, destinatários e subcontratantes relevantes.
5. Avaliar as condições aplicáveis, as exceções e os direitos de terceiros.
6. Preparar a resposta ou a ação e revê-la.
7. Entregar de forma segura e conservar um registo de conclusão adequado.

Não exija por rotina documentos de identificação quando uma verificação menos intrusiva seria suficiente. Do mesmo modo, não divulgue registos sensíveis só porque alguém conhece um endereço de correio eletrónico. A própria verificação implica tratamento de dados pessoais e exige uma abordagem proporcionada.

Uma resposta a um pedido de acesso precisa normalmente de mais do que uma lista de categorias. O artigo 15.º inclui uma cópia dos dados pessoais em fase de tratamento e informações complementares. Reveja a informação e os direitos de terceiros antes da divulgação; não trate a presença do nome de outra pessoa como justificação para reter tudo.

O apagamento não é absoluto. Podem aplicar-se deveres legais de conservação e outras exceções do artigo 17.º. Quando o apagamento é obrigatório, determine como chega aos serviços ligados e aos destinatários relevantes, e como a restauração de cópias de segurança evita reintroduzir inadvertidamente registos apagados. Explique com rigor quaisquer limitações lícitas.

A automatização pode controlar prazos e organizar pesquisas, mas alguém tem de decidir se os resultados estão completos, se as ocultações se justificam e se se aplica uma exceção. Uma resposta normalizada gerada rapidamente não é útil se omitir um sistema que contém os dados solicitados.

Consulte pedidos de acesso dos titulares para um fluxo de trabalho mais detalhado. A gestão de topo deve testar periodicamente um pedido representativo, desde a receção até à entrega segura, em vez de confiar apenas na publicação de um procedimento.

Utilizar as AIPD para pôr a conceção em causa antes de a aprovar

Uma avaliação de impacto sobre a proteção de dados nos termos do artigo 35.º é obrigatória antes de um tratamento suscetível de implicar um elevado risco para os direitos e liberdades das pessoas. O regulamento identifica casos específicos, incluindo certas avaliações automatizadas significativas, o tratamento em grande escala de dados sensíveis e o controlo sistemático em grande escala de zonas acessíveis ao público. Devem ser igualmente consideradas as listas relevantes das autoridades de controlo.

Faça a triagem das atividades propostas desde cedo. Como recomendação prática, preserve o raciocínio quando a triagem concluir que uma AIPD é desnecessária, sobretudo nos casos limite. Um registo de triagem curto permite rever a decisão quando a escala, a tecnologia ou a finalidade se alteram.

A AIPD completa deve abordar quatro elementos interligados:

• Uma descrição sistemática do tratamento previsto e das finalidades, incluindo os interesses legítimos, quando relevante.
• A necessidade e a proporcionalidade relativamente a essas finalidades.
• Os riscos para os direitos e liberdades dos titulares.
• As medidas previstas para fazer face aos riscos e demonstrar a conformidade.

Não comece nem termine com uma lista de ameaças de segurança. Pergunte primeiro se os dados, a frequência, os destinatários e o processo de decisão propostos são necessários. Uma conceção menos intrusiva pode eliminar um risco de forma mais eficaz do que um controlo técnico adicional.

Por exemplo, um projeto de produtividade dos colaboradores pode propor a recolha contínua de capturas de ecrã. A cifragem e o acesso restrito podem reduzir o risco de divulgação, deixando em aberto questões sérias sobre proporcionalidade, monitorização, expectativas dos colaboradores e a adequação de medidas menos intrusivas. A finalidade de negócio tem de ser examinada antes de a conceção de segurança fazer sentido.

Avaliar o risco para as pessoas e não apenas a exposição da empresa

Considere perdas financeiras, discriminação, usurpação de identidade, perda de confidencialidade, exclusão de serviços e outros efeitos relevantes. Um cenário pode ter um impacto financeiro limitado para a empresa e um impacto substancial para uma pessoa.

Documente as mitigações propostas, os responsáveis pela implementação e a avaliação residual. Peça o parecer do EPD quando este tiver sido designado. Reveja se as alterações na operação ou no risco exigem a atualização da avaliação.

O artigo 36.º exige a consulta prévia da autoridade de controlo quando a AIPD indicar que o tratamento resultaria num elevado risco na ausência das medidas tomadas para o atenuar. Se a organização não conseguir fazer face suficientemente a esse elevado risco, não pode substituir a consulta obrigatória por um estado interno de «aceite». A gestão pode reformular, adiar ou abandonar a atividade; não pode dispor dos direitos de outras pessoas como se fossem apenas um risco comercial.

Ligar a resposta a incidentes às decisões de notificação do RGPD

Uma violação de dados pessoais inclui uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizados a dados pessoais. É mais ampla do que um atacante roubar uma base de dados. Um anexo enviado ao destinatário errado, um dispositivo desprotegido perdido ou um incidente que afete a disponibilidade ou a integridade de dados pessoais podem exigir avaliação.

Nos termos dos artigos 33.º e 34.º, os responsáveis pelo tratamento avaliam dois limiares de notificação distintos:

O prazo de 72 horas conta a partir do conhecimento e não simplesmente do momento original do incidente ou do dia útil seguinte. Se a notificação for posterior, tem de ser acompanhada dos motivos do atraso. A informação pode ser fornecida por fases quando não seja possível fornecê-la toda de uma só vez sem demora injustificada adicional.

Prepare antecipadamente a cadeia de escalada: líder do incidente, consultor de privacidade, decisor responsável do lado do responsável pelo tratamento, investigadores técnicos, comunicação e contactos dos fornecedores. Localize o canal de notificação da autoridade competente antes de uma emergência. Um subcontratante não deve esperar pela sua própria conclusão final sobre o risco antes de informar o responsável pelo tratamento.

O registo do incidente deve captar o que aconteceu, os dados e as pessoas afetados, as consequências prováveis, a contenção e a remediação, bem como as decisões de notificação. O n.º 5 do artigo 33.º exige a documentação das violações de dados pessoais, incluindo os factos, os respetivos efeitos e a medida de reparação adotada. Preserve o raciocínio de não notificação para que a decisão possa ser compreendida mais tarde.

A cifragem pode influenciar a análise do risco e do artigo 34.º, mas apenas quando a sua proteção for relevante e eficaz. «O serviço utiliza cifragem» não basta se um atacante acedeu ao texto simples através de uma conta comprometida. O artigo 34.º inclui também outras exceções, como medidas subsequentes que assegurem que o elevado risco já não é suscetível de se concretizar; avalie as condições reais em vez de aplicar uma isenção genérica.

Pratique um cenário que envolva um fornecedor e outro que envolva uma divulgação interna. O exercício deve testar a recolha de evidências e a autoridade de decisão, bem como a contenção técnica.

Tratar as transferências internacionais como uma avaliação separada

Os requisitos de transferência do capítulo V coexistem com o resto do RGPD. Um mecanismo de transferência não fornece um fundamento de licitude do artigo 6.º, e um fundamento de licitude não elimina a necessidade de um mecanismo de transferência adequado.

Mapeie os destinatários e os percursos de acesso efetivos. O alojamento num centro de dados na UE é relevante, mas não demonstra, por si só, que não ocorre qualquer transferência para países terceiros nem que todas as obrigações de privacidade estão cumpridas. Considere o acesso de suporte, os subcontratantes ulteriores, o acesso administrativo, a divulgação subsequente e as partes envolvidas.

O regime de transferências do RGPD inclui as decisões de adequação nos termos do artigo 45.º, as garantias adequadas nos termos do artigo 46.º e as derrogações limitadas do artigo 49.º. Verifique o mecanismo relevante e o seu âmbito no momento da decisão.

Quando se recorre a um regime de adequação limitado às organizações participantes, verifique o destinatário exato e a atividade abrangida. Uma sociedade do grupo ou uma designação comercial semelhante não é necessariamente o destinatário abrangido. Preserve o resultado e a data da verificação.

Quando se utilizam cláusulas contratuais-tipo, selecione as cláusulas que correspondem aos papéis efetivos das partes e preencha os anexos relevantes. Avalie a legislação e as práticas do país de destino e se são necessárias medidas complementares para tornar a proteção eficaz. Um contrato assinado não responde, por si só, a todas as questões de risco das transferências.

Um dossiê de transferência prático deve identificar o exportador e o importador, os dados e as finalidades, as localizações e os acessos, as transferências ulteriores, o mecanismo selecionado, a avaliação relevante, as medidas técnicas ou organizativas e os gatilhos de revisão. A documentação do fornecedor pode apoiar este trabalho, mas perguntar se um fornecedor «tem uma avaliação» não é o mesmo que avaliar as conclusões relevantes dessa avaliação.

A gestão deve saber que serviços dependem de um determinado mecanismo e que alterações exigiriam uma nova avaliação. Isto permite um plano de contingência deliberado, sem implicar que todos os fornecedores precisam de uma solução contratual alternativa idêntica.

Avaliar a utilização de IA como tratamento e não apenas como uma nova ferramenta

Uma aplicação de IA pode introduzir novos destinatários, inferir informação pessoal adicional, conservar prompts ou permitir uma nova finalidade. Estas alterações importam mesmo que a aplicação reutilize a autenticação única e os controlos de acesso existentes da organização.

Antes de aprovar a utilização de dados pessoais num serviço de IA, determine:

• A tarefa exata e se os dados pessoais são necessários.
• As categorias de dados de entrada, de resultados e de pessoas afetadas.
• O papel do fornecedor em cada utilização, incluindo eventuais finalidades de treino ou de melhoria.
• A conservação, o acesso humano, os subcontratantes ulteriores e as disposições de transferência.
• Os compromissos contratuais e as definições de configuração relevantes.
• Os riscos de exatidão, de divulgação, de tratamento de direitos e de tomada de decisão.

Não presuma que todos os fornecedores de modelos são exclusivamente subcontratantes. O seu papel depende do tratamento que efetuam e das finalidades que determinam. Do mesmo modo, um acordo nos termos do artigo 28.º não torna automaticamente lícita a transmissão proposta. Avalie a finalidade, o fundamento jurídico, a transparência, a necessidade e todos os outros requisitos aplicáveis.

Se a própria empresa for subcontratante, a introdução de um fornecedor de IA pode criar uma relação de subcontratação ulterior. Verifique as instruções dos clientes e o processo de autorização acordado antes de enviar dados de clientes. Nem sempre é necessária uma nova adenda contratual, mas é necessário cumprir as disposições contratuais e legais existentes.

O artigo 22.º aborda certas decisões tomadas exclusivamente com base no tratamento automatizado que produzam efeitos jurídicos ou afetem significativamente a pessoa de forma similar. Uma revisão humana meramente nominal não resolve a questão se o revisor não puder avaliar ou alterar o resultado de forma significativa. As decisões de recrutamento, de elegibilidade e financeiras exigem especial escrutínio.

O Regulamento da Inteligência Artificial e o RGPD impõem obrigações distintas. Uma avaliação ao abrigo do Regulamento da IA não dispensa uma AIPD, e a conformidade com o RGPD não demonstra a conformidade com o Regulamento da IA. Utilize a visão geral atual da Comissão Europeia sobre o Regulamento da IA para as datas de aplicação, em vez de transportar um calendário de lançamento antigo para um projeto atual.

No trabalho interno de privacidade, a IA pode redigir descrições a partir de fontes aprovadas, comparar documentos ou sugerir perguntas. Trate o seu resultado como um rascunho. Um fundamento jurídico plausível, um destinatário omitido ou uma indicação de conservação incorreta podem tornar um documento bem acabado materialmente errado.

Automatizar a coordenação preservando uma revisão responsável

As organizações em crescimento acumulam trabalho recorrente: atualizações do registo de tratamento, prazos de pedidos de direitos, documentos de fornecedores, ações de avaliação, expiração de evidências e decisões de revisão. A automatização pode organizar as entradas e os prazos. Não deve ocultar a diferença entre recolher informação e chegar a uma conclusão defensável.

Comece com um processo estável e uma responsabilidade clara. Automatizar uma passagem de testemunho ambígua pode apenas distribuir a ambiguidade mais depressa. Defina o que abre uma tarefa, quem a recebe, que evidência é necessária, quem revê o resultado e o que conclui o trabalho.

Na redação assistida por IA, preserve as fontes aprovadas e identifique a incerteza. Não permita que um resumo gerado substitua silenciosamente um contrato de fornecedor ou uma avaliação. Os revisores devem conseguir distinguir os factos fornecidos, as sugestões inferidas e as questões por resolver.

Aplique o princípio do menor privilégio ao próprio fluxo de trabalho. Os dossiês de pedidos de direitos, os registos de incidentes e as avaliações de colaboradores podem conter informação sensível. Um acesso amplo a um espaço de trabalho de conformidade pode comprometer as restrições que estão a ser documentadas. Minimize os dados pessoais nas evidências e restrinja o material que realmente exige identificação.

As métricas de gestão úteis incluem ações em atraso, responsáveis em falta, registos a aguardar revisão após uma alteração material e controlos com evidência desatualizada ou insuficiente. Contagens brutas de documentos são menos informativas. Meça se as decisões e o trabalho corretivo são concluídos, e não apenas se foi gerado mais texto.

Exemplo prático: uma integração de marketing que reutiliza controlos de segurança

O exemplo seguinte é ilustrativo. Suponha que uma empresa de software B2B em crescimento tem uma base de dados de clientes consolidada, um SGSI que abrange o seu serviço de produção e uma plataforma de campanhas proposta. O marketing pretende enviar mensagens de integração inicial e, mais tarde, promover produtos adicionais. A plataforma receberia dados de contacto, eventos de utilização do produto e notas de suporte em texto livre. Não se pretende sugerir qualquer resultado real de clientes nem qualquer capacidade da Secani.

1. Separar as finalidades propostas

O pedido inicial diz «melhorar o envolvimento dos clientes». O responsável de negócio reformula-o em finalidades específicas: a integração inicial necessária ao serviço, as comunicações promocionais facultativas e a análise do desempenho das campanhas.

O revisor de privacidade avalia o fundamento de cada finalidade, em vez de aplicar o contrato com o cliente às três. As comunicações promocionais podem também estar sujeitas às regras nacionais aplicáveis sobre comunicações eletrónicas de marketing. A empresa não presume que uma análise de interesses legítimos do RGPD resolve, por si só, esses requisitos distintos.

O primeiro resultado é uma decisão sobre finalidades e fundamentos, com as questões por resolver atribuídas. O marketing não pode iniciar a utilização alargada apenas porque a integração passou numa verificação técnica de segurança.

2. Reduzir o fluxo de dados proposto

As notas de suporte são convenientes para a personalização, mas desnecessárias para a mensagem de integração inicial aprovada. Podem também conter informação que os clientes não esperavam ver reutilizada para marketing. A conceção remove-as.

O responsável técnico limita os eventos de produto aos necessários para o fluxo de trabalho aprovado e exclui históricos detalhados de utilizadores quando dados agregados ou eventos mais simples forem suficientes. Isto reduz a exposição antes de se acrescentar outro controlo.

O registo de tratamento descreve agora os campos efetivos, os utilizadores afetados, o destinatário, as finalidades e a abordagem de conservação. O aviso de privacidade é revisto face à atividade aprovada e não face ao pedido amplo original.

3. Verificar as disposições relativas ao fornecedor e às transferências

As compras determinam o papel da plataforma na execução das campanhas e verificam se existem finalidades próprias do fornecedor. A equipa revê o acordo nos termos do artigo 28.º, as disposições sobre subcontratantes ulteriores, os termos de apagamento, o acesso de suporte e o mecanismo de transferência aplicável.

Uma opção de alojamento na UE é registada como um facto relevante e não tratada como o fim da análise das transferências. Se faltar informação necessária, a tarefa mantém-se aberta e a condição de lançamento identifica o que tem de ser resolvido.

4. Reutilizar a evidência de segurança com cuidado

A integração pode reutilizar os controlos de identidade corporativos e um processo de gestão de acessos existente. A evidência desses controlos é associada em vez de recriada. Contudo, a nova plataforma de campanhas tem as suas próprias permissões, exportações e definições de conservação.

O responsável pela segurança avalia o comprometimento de contas, a exportação em massa não autorizada, o mapeamento incorreto de eventos e a perda de preferências de exclusão. A equipa limita o acesso, aprova as permissões de integração necessárias, testa o mapeamento com dados de teste adequados e verifica como os registos são apagados ou excluídos.

O exercício de recuperação existente do serviço de produção não prova que as preferências das campanhas podem ser restauradas corretamente. O responsável verifica separadamente o comportamento de recuperação relevante para este fluxo de trabalho.

5. Concluir a avaliação e a aprovação

O revisor de privacidade faz a triagem de AIPD com base na atividade efetiva e regista o raciocínio. A equipa verifica também como os pedidos de acesso, de oposição e de apagamento chegam à plataforma. Em particular, uma oposição ao marketing não pode ser anulada pela próxima sincronização da base de dados.

A gestão revê um dossiê de decisão conciso: finalidades aprovadas, dados removidos, conclusões sobre fornecedor e transferências, salvaguardas, condições em aberto, tratamento de direitos e responsáveis designados. Qualquer requisito obrigatório por resolver bloqueia o tratamento afetado, em vez de ser convertido numa exceção comercial aceite.

6. Preservar o próximo gatilho

A aprovação está associada à configuração avaliada. Acrescentar pontuação comportamental, carregar notas de suporte, alterar os termos de treino do fornecedor ou introduzir um novo destinatário desencadeia uma revisão. A equipa pode reutilizar a evidência de segurança inalterada enquanto reavalia as novas questões de privacidade.

Esta é a distinção central: as salvaguardas comuns podem continuar válidas enquanto a finalidade, o destinatário ou o efeito sobre as pessoas se alteram materialmente.

Pôr a abordagem em prática com um primeiro âmbito focado

Escolha uma atividade de tratamento com uma responsabilidade de negócio visível e dependências geríveis. O suporte a clientes, a integração de novos colaboradores ou um fluxo de produto representativo podem revelar lacunas sem exigir primeiro uma reformulação de toda a organização.

Como recomendação prática, comece com quatro resultados:

• Uma descrição do tratamento e uma avaliação de papéis acordadas.
• Uma lista de decisões de privacidade, incluindo fundamento, aviso, conservação, direitos e triagem de AIPD.
• Uma avaliação de salvaguardas baseada em cenários, ligada à evidência de segurança existente.
• Um registo de aprovação com responsáveis, ações em aberto e gatilhos de alteração.

Na Secani, as equipas podem começar com um âmbito focado, modelar as aplicações, sistemas, serviços e fornecedores de suporte e ligar as evidências a requisitos, controlos e decisões. As evidências em falta e as questões de revisão por resolver podem transformar-se em tarefas atribuídas. As sugestões assistidas por IA permanecem trabalho em rascunho, com rastreabilidade das fontes e aprovação humana explícita. Isto dá aos revisores de segurança e de privacidade um contexto de evidências partilhado, mantendo visíveis as suas conclusões distintas; não substitui os registos de tratamento, o cumprimento dos direitos nem a análise jurídica.

Alargue o âmbito apenas depois de o primeiro fluxo de trabalho ter sido posto à prova. Teste com ele uma mudança de fornecedor, um pedido de direitos e um cenário de incidente relevante. Quando a equipa não conseguir identificar o responsável, recuperar a evidência ou explicar a decisão, corrija o processo operacional antes de acrescentar mais atividades.

Para a revisão pela gestão, faça três perguntas: o registo corresponde ao tratamento atual, as salvaguardas respondem às consequências para as pessoas e uma alteração material voltará a abrir a decisão de forma fiável? Estas perguntas constituem um próximo passo prático para ligar a garantia de segurança à responsabilidade nos termos do RGPD.

Questões que a gestão de topo deve resolver explicitamente

Um CEO pode aprovar uma exceção ao RGPD?

A gestão pode escolher entre opções lícitas e afetar recursos para fazer face ao risco. Não pode dispensar requisitos legais, autorizar tratamentos sem um fundamento aplicável nem substituir a consulta prévia obrigatória por uma aprovação interna.

Cada alteração ao tratamento precisa de uma nova AIPD?

Não. Avalie a alteração face ao limiar de risco elevado e reveja as avaliações existentes quando a operação ou o risco se alterarem. Uma decisão de triagem documentada é mais útil do que produzir automaticamente uma AIPD completa ou presumir que o resultado antigo se aplica sempre.

O que deve ser revisto primeiro quando os recursos são limitados?

Dê prioridade ao tratamento com consequências potencialmente graves para as pessoas, a questões de licitude ou contratuais por resolver e a prazos operacionais, como os pedidos de direitos e a resposta a violações. Use as lacunas de evidência para orientar a investigação, mas não presuma que a atividade com mais documentos em falta apresenta necessariamente o maior risco.

Que autoridade aplica o RGPD e quanto podem custar as infrações?

Identifique a autoridade de controlo competente para o tratamento. No caso de tratamentos transfronteiriços elegíveis, o mecanismo da autoridade de controlo principal depende geralmente do estabelecimento principal ou único na UE do responsável pelo tratamento ou do subcontratante, com o envolvimento das outras autoridades interessadas. Um representante nos termos do artigo 27.º não cria um estabelecimento na UE nem dá acesso a esse mecanismo.

O artigo 83.º prevê dois escalões principais de coimas máximas: até 10 milhões de euros ou 2 % do volume de negócios anual a nível mundial da empresa correspondente ao exercício financeiro anterior, e até 20 milhões de euros ou 4 %, consoante o montante que for mais elevado em cada escalão. O escalão aplicável depende da infração; trata-se de limites máximos e não de sanções automáticas. As autoridades consideram as circunstâncias e podem também ordenar medidas corretivas ou limitar o tratamento. O artigo 82.º prevê, separadamente, a indemnização quando uma infração cause danos materiais ou imateriais.