ISO 27701: ligue a gestão da privacidade e a segurança

A gestão da privacidade funciona melhor quando as decisões de tratamento, as salvaguardas, a gestão dos direitos e as responsabilidades dos fornecedores se encaixam. A ISO/IEC 27701 proporciona uma abordagem de sistema de gestão para esse trabalho: um sistema de gestão da informação de privacidade, ou SGIP (PIMS, na sigla inglesa).

Para um CTO, o desafio é ligar as obrigações documentadas ao comportamento dos sistemas. Uma política de conservação tem de se tornar um processo de eliminação; um compromisso de subcontratante tem de restringir o acesso e a reutilização; uma revisão de privacidade tem de influenciar os lançamentos. Os controlos de segurança apoiam estes resultados, mas não conseguem determinar se o tratamento é justificado.

Escolha a edição correta e a relação com o seu SGSI

A ISO/IEC 27701:2025 é a segunda edição e estabelece os requisitos do SGIP como uma norma autónoma. A edição anterior, de 2019, era uma extensão da ISO 27001 e da ISO 27002. Não construa uma nova implementação partindo do pressuposto de que a certificação ISO 27001 é sempre um pré-requisito. Confirme com o seu organismo de certificação a edição aplicável e as disposições de transição.

Um SGSI ISO 27001 existente continua a ser útil. A governação, os processos de risco, o controlo de documentos, as auditorias internas e a revisão pela gestão podem apoiar ambos os sistemas. A ISO 27002 fornece orientações sobre controlos de segurança da informação.

Mantenha os objetivos distintos. A segurança examina a confidencialidade, a integridade e a disponibilidade. A privacidade examina também as finalidades, a proporcionalidade, a transparência e as consequências para as pessoas. Uma base de dados cifrada pode, ainda assim, conter informação recolhida desnecessariamente. Reutilizar evidências de segurança é sensato; tratá-las como prova de conformidade em matéria de privacidade não é.

Defina o âmbito através do tratamento, e não apenas da infraestrutura

Comece pelos serviços e atividades abrangidos pelo SGIP. Inclua os sistemas, equipas, fornecedores e interfaces de suporte. Uma fronteira como “ambiente cloud de produção” é insuficiente se o apoio ao cliente exportar dados pessoais para um sistema de tickets separado.

Para cada atividade, documente:

• A finalidade, as categorias de dados pessoais e os grupos de pessoas afetados.
• O papel de responsável pelo tratamento ou de subcontratante, incluindo as atividades em que os papéis diferem.
• As fontes de recolha, os destinatários, os locais de armazenamento e as vias de transferência.
• As regras de conservação, o comportamento de eliminação, os responsáveis e as obrigações aplicáveis.

Os papéis dependem da atividade de tratamento, e não simplesmente da identidade da empresa. Um fornecedor de software pode tratar dados carregados por clientes segundo as instruções destes e, ao mesmo tempo, atuar como responsável pelo tratamento dos seus próprios registos de faturação. Estas atividades precisam de percursos de decisão diferentes.

Atribua explicitamente as responsabilidades de engenharia, produto, privacidade, compras e operações. Quando um EPD for obrigatório ou tiver sido designado, preserve o seu papel independente de aconselhamento e controlo, em vez de o tornar responsável pela escolha das finalidades do tratamento. O RGPD estabelece as obrigações relevantes do responsável pelo tratamento, do subcontratante e do EPD.

Avalie os riscos de privacidade a par dos riscos de segurança

Utilize o inventário de tratamentos para identificar os danos para as pessoas, além da exposição da organização. O acesso não autorizado é importante, mas também o são a recolha excessiva, a reutilização inesperada, os registos inexatos, os procedimentos de exercício de direitos inacessíveis e a conservação para além de uma necessidade estabelecida.

Uma avaliação prática deve ligar cada risco a uma atividade, a uma consequência, a uma salvaguarda existente, a um tratamento, a um responsável e a um fator que desencadeia revisão. Registe por que razão o risco remanescente é aceite ou por que razão é necessário trabalho adicional.

Considere uma funcionalidade de relatórios que exporta dados de desempenho de colaboradores. A autenticação e o registo de acessos respondem às preocupações de segurança. A análise de privacidade tem também de considerar se a exportação inclui campos desnecessários, expõe inferências sensíveis ou permite utilizações incompatíveis com a finalidade declarada.

Uma avaliação no âmbito do SGIP pode apoiar o trabalho de avaliação jurídica, mas não satisfaz automaticamente os requisitos de todas as jurisdições. Nos termos do artigo 35.º do RGPD, o tratamento suscetível de resultar num elevado risco exige uma avaliação de impacto sobre a proteção de dados. Avalie esse limiar separadamente e conserve a decisão e qualquer avaliação exigida.

Traduza as obrigações em controlos testáveis

Evite uma política de privacidade que a engenharia não consiga implementar. Para cada obrigação, especifique o comportamento esperado do sistema e as evidências que o demonstram. Os exemplos seguintes são exemplos práticos de implementação, não um conjunto universal de controlos obrigatórios.

A cifragem, o privilégio mínimo, o registo de eventos e a recuperação continuam a ser salvaguardas partilhadas importantes. Selecione as medidas em função do risco: o artigo 32.º do RGPD não impõe a cifragem generalizada em todas as situações. Documente as limitações de acesso às chaves, de recuperação e de eliminação quando afetem os resultados em matéria de privacidade. Consulte cifragem e gestão de chaves para considerações de implementação.

Construa procedimentos operacionais que resistam a casos reais

A gestão dos direitos precisa de uma via de entrada, de responsáveis, de uma verificação de identidade proporcionada, de pesquisas nos sistemas, da revisão de informação de terceiros e de uma entrega segura. Nos termos do RGPD, as respostas são normalmente devidas no prazo de um mês; as prorrogações permitidas exigem uma comunicação dentro desse primeiro mês. Mantenha registos dos casos que expliquem as decisões, e não apenas contagens de tickets encerrados. Um fluxo de trabalho para pedidos de acesso dos titulares deve abranger também os sistemas manuais e a assistência dos fornecedores.

A gestão de incidentes tem de distinguir a contenção técnica das decisões de notificação em matéria de privacidade. Nos termos do RGPD, os subcontratantes notificam os responsáveis pelo tratamento sem demora injustificada. Os responsáveis pelo tratamento avaliam a notificação à autoridade de controlo sem demora injustificada e, sempre que possível, até 72 horas após terem tido conhecimento, a menos que a violação não seja suscetível de resultar num risco para os direitos e liberdades das pessoas. Registe a fundamentação da não notificação e avalie se um risco elevado exige a comunicação às pessoas.

Os procedimentos relativos a fornecedores devem examinar as instruções, os subcontratantes ulteriores, a assistência com pedidos e incidentes, a devolução ou eliminação e o acesso às evidências. Quando o RGPD se aplica, os contratos do artigo 28.º têm elementos obrigatórios específicos. Um certificado do fornecedor é uma garantia de suporte, não um substituto dessas cláusulas.

As transferências internacionais exigem uma avaliação jurídica separada. A certificação ISO 27701 não as autoriza nem neutraliza os riscos de vigilância. Documente o mecanismo aplicável, avalie as suas condições e aplique medidas suplementares quando necessário. A localização dos dados, por si só, não estabelece a conformidade.

Exemplo prático: um serviço de apoio ao cliente

Suponha, a título ilustrativo, que um fornecedor de SaaS trata mensagens de apoio ao cliente segundo as instruções dos clientes e controla os seus próprios registos de contactos das contas. Ambas as atividades utilizam a mesma plataforma de apoio.

A equipa mapeia o conteúdo das mensagens, os anexos, os identificadores de conta, o acesso dos fornecedores e os destinos das exportações. Descobre que uma exportação para depuração copia mensagens completas para um espaço de trabalho de engenharia com uma conservação mais longa.

O tratamento é específico: substituir as exportações de mensagens completas por campos de diagnóstico minimizados, restringir o acesso excecional, aplicar um prazo de conservação aprovado e registar quem autoriza as exceções. Teste que as exportações de rotina omitem o corpo das mensagens e que os registos de diagnóstico expirados são removidos.

O pacote de evidências contém o registo do tratamento, a avaliação dos papéis, as cláusulas do fornecedor, a decisão de risco, a configuração, os resultados dos testes e o histórico de aprovações. A revisão partilhada do controlo de acessos apoia tanto a segurança como a privacidade, enquanto a decisão sobre a finalidade da exportação continua a ser específica da privacidade.

Prepare a certificação com evidências operacionais

A certificação é realizada por um organismo de certificação independente, não pela ISO. Antes de agendar a avaliação, confirme o âmbito, a edição, a abordagem de auditoria e as expectativas quanto às evidências. Um processo típico de certificação inicial inclui a avaliação da preparação e a revisão da documentação, seguidas da avaliação da implementação; confirme as condições com o organismo selecionado.

Realize uma auditoria interna face aos requisitos aplicáveis e aos seus próprios procedimentos. Analise por amostragem atividades de tratamento, casos de exercício de direitos, decisões sobre fornecedores, a execução da conservação e alterações de produto. Separe um documento em falta de um controlo que existe mas falha no funcionamento.

A revisão pela gestão deve considerar as constatações, os riscos por resolver, as alterações, o desempenho e os recursos. As ações corretivas precisam de responsáveis, de evidências de conclusão e de verificações de eficácia. A certificação pode proporcionar garantia sobre o sistema de gestão com âmbito definido, mas não estabelece a conformidade com o RGPD, não cria um fundamento jurídico nem abrange atividades fora desse âmbito.

Comece com uma atividade de tratamento rastreável

Escolha uma atividade, siga os seus dados através dos sistemas e fornecedores ligados e associe cada obrigação material a um responsável, a uma salvaguarda e a um histórico de decisões. Reveja-a após alterações relevantes, em vez de esperar pela próxima auditoria.

A Secani apoia este fluxo de evidências ligando requisitos, controlos, sistemas, evidências e decisões de revisão. As equipas podem manter as evidências partilhadas do SGSI a par das decisões específicas de privacidade, transformar lacunas em tarefas atribuídas e preservar a aprovação humana das sugestões assistidas por IA. O primeiro resultado útil é uma cadeia revista desde a finalidade do tratamento até à salvaguarda implementada e às evidências de suporte.