Soluções · Proteção de dados
Como encarregado ou coordenador de proteção de dados, você deve orientar e monitorar, mas no fim a documentação sempre acaba nas suas mãos. O Sightadel organiza o registro das atividades de tratamento, os operadores, as medidas técnicas, as avaliações de impacto e as violações de dados de forma que as áreas de negócio contribuam e você possa mostrar a situação a qualquer momento.
Ponto de partida
O GDPR (Regulamento Geral sobre a Proteção de Dados da UE) não exige apenas que os dados sejam tratados de forma lícita. Segundo o art. 5º, nº 2, o controlador também precisa conseguir comprovar o cumprimento. Na prática, isso significa: um registro atualizado das atividades de tratamento, contratos com todos os operadores, medidas técnicas e organizacionais comprovadas, avaliações de impacto documentadas e um registro de todas as violações de dados, inclusive as não notificadas.
Normalmente, boa parte disso já existe, mas não em um só lugar. O registro está em uma planilha em uma unidade de rede, os contratos estão no setor de compras, as medidas técnicas são descritas pela equipe de TI em um documento próprio e, para o SGSI, existe uma segunda versão das mesmas medidas. Quando a autoridade supervisora pede informações ou um cliente envia um questionário, começa a busca.
Soma-se a isso a sua posição especial. Como encarregado de proteção de dados, você orienta e monitora; a responsabilidade pela implementação é da direção e das áreas de negócio. O Sightadel reflete exatamente isso: as áreas de negócio cuidam das suas partes, e o encarregado verifica e vê onde falta algo. Como encarregado externo de proteção de dados, você trabalha com uma função própria na conta do seu cliente.
Por que agora
Depois de uma reclamação ou de uma violação de dados, a autoridade supervisora pede o registro, as medidas e os contratos. O prazo de resposta é curto. Quem tem a situação organizada responde em dias, e não em semanas.
Um envio para o destinatário errado, um notebook perdido, um ataque a uma caixa de e-mail. As violações sujeitas a notificação precisam, em princípio, ser comunicadas à autoridade supervisora em até 72 horas. Para isso, a avaliação, os responsáveis e o canal de notificação precisam estar definidos com antecedência.
Uma área de negócio quer implantar uma ferramenta em nuvem. Antes de entrar em operação, ela precisa de uma entrada no registro, de um contrato de operador de dados, de uma verificação dos suboperadores e, em caso de alto risco, de uma avaliação de impacto.
Os funcionários usam ferramentas de inteligência artificial, muitas vezes sem aprovação. Surgem questões sobre a base legal, as transferências para países terceiros e a avaliação de impacto. Uma aprovação organizada substitui a proliferação descontrolada.
Como operador, você responde continuamente a questionários sobre medidas técnicas e suboperadores. Uma situação bem mantida e um Trust Center respondem de uma vez por todas às perguntas de sempre.
A empresa implanta um SGSI segundo a ISO 27001 ou passa a ser abrangida pela NIS2. É o momento de manter as medidas técnicas em conjunto, em vez de em duplicidade.
Frameworks relevantes
Resumido com nossas próprias palavras, não constitui consultoria jurídica. Vale o texto original na versão em vigor.
Vale para todas as organizações que tratam dados pessoais e é complementado, na Alemanha, pela lei federal alemã de proteção de dados (BDSG). O núcleo da documentação é o registro segundo o art. 30, os contratos segundo o art. 28, as medidas segundo o art. 32, as avaliações de impacto segundo o art. 35 e a documentação das violações de dados segundo o art. 33. Não existe um certificado geral do GDPR; quem verifica são as autoridades supervisoras.
Ver framework →As medidas técnicas e organizacionais do art. 32 podem ser comprovadas com as mesmas evidências de muitos controles do Anexo A, por exemplo sobre controle de acesso, criptografia, backups ou fornecedores. O Anexo A contém ainda uma medida própria para a proteção de dados pessoais. As bases legais e os direitos dos titulares não têm correspondência na norma.
Ver framework →Se a sua empresa estiver abrangida pela lei alemã do BSI (BSIG), o processo de incidentes, o controle de acesso e a gestão de fornecedores atendem aos dois marcos regulatórios. Um incidente de segurança pode gerar ao mesmo tempo uma notificação ao Serviço Federal Alemão de Segurança da Informação (BSI) e à autoridade de proteção de dados, com prazos e destinatários diferentes.
Ver framework →Quem usa sistemas de IA com dados pessoais precisa considerar os requisitos dos dois marcos regulatórios. A avaliação de impacto, a transparência perante os titulares dos dados e a avaliação dos fornecedores podem ser gerenciadas em conjunto.
Ver framework →Ordem recomendada
Os registros existentes entram no Sightadel por importação do Excel. Para cada tratamento ficam definidos a finalidade, a base legal, as categorias de dados e de titulares, os destinatários, as transferências e os prazos de eliminação. As áreas de negócio complementam suas entradas e o encarregado verifica.
Todos os prestadores de serviços que tratam dados em nome da organização entram na lista de fornecedores com contrato, suboperadores e evidências. Contratos ausentes ou desatualizados viram medidas com prazo.
As medidas do art. 32 são respondidas como perguntas e vinculadas a provas, por exemplo o conceito de permissões, a criptografia, o teste de backup ou o comprovante de treinamento. Se existir um SGSI, vincule as evidências existentes, em vez de criar novas.
As perguntas orientadoras mostram onde é necessária uma avaliação de impacto sobre a proteção de dados. As autoridades supervisoras publicaram listas de tratamentos para isso. A avaliação em si é feita pelo controlador com a orientação do encarregado; o Sightadel dá a estrutura e registra o resultado.
Quem avalia uma violação de dados, quem notifica, quem informa os titulares? Quem responde às solicitações de acesso dentro do prazo? Os responsáveis, os substitutos e os modelos ficam registrados e são testados uma vez.
Revisões periódicas do registro, dos contratos e das medidas. As evidências têm uma data de vencimento. Novos tratamentos e prestadores de serviços são incluídos antes de entrarem em operação, e não só na auditoria seguinte.
A sua função
O GDPR atribui ao encarregado de proteção de dados a orientação e o monitoramento. As obrigações em si cabem ao controlador. Essa separação também deve se refletir na forma de trabalhar.
Recursos humanos, vendas e TI conhecem melhor os próprios tratamentos. Com a função Contributor, elas mantêm suas entradas no registro e enviam as provas. O encarregado verifica e aprova.
Tratamentos sem prazo de eliminação, prestadores sem contrato, medidas sem prova. Os pontos em aberto aparecem como problemas e planos de ação com responsável, e não como uma anotação na sua agenda.
Quando você desaconselha um tratamento ou recomenda uma avaliação de impacto, isso fica registrado com data no registro de atividades. Se a direção decidir de outra forma, isso também fica rastreável.
Com a função “Consultant externo”, você trabalha na conta de cada cliente. Cada cliente tem sua própria situação, separada, e o registro indica que o acesso foi feito de fora.
Como o Sightadel ajuda
As obrigações do GDPR estão preparadas como perguntas guiadas, dos princípios aos direitos dos titulares e à obrigação de notificação. Cada pergunta tem explicação, resposta e prova. Assim você vê em um relance em que ponto está a documentação.
Saiba mais →Os operadores são gerenciados com país, contrato, suboperadores e evidências com data de validade. Você registra quais dados cada fornecedor trata. Disso resulta a avaliação de risco dele, e os contratos ausentes ficam à vista.
Saiba mais →Contratos, conceitos, comprovantes de treinamento e avaliações de impacto ficam na biblioteca de evidências com versão e data de vencimento. Uma prova sobre o controle de acesso atende ao mesmo tempo as medidas do art. 32 e os controles correspondentes da ISO 27001.
Saiba mais →Modelos para o registro das atividades de tratamento, avisos de privacidade, plano de eliminação e respostas a solicitações dos titulares, adaptados ao seu setor. A IA ajuda na redação. A avaliação jurídica de cada caso continua sendo sua.
Saiba mais →Contratos ausentes, prazos de eliminação ainda não definidos ou medidas após uma violação de dados viram tarefas com responsável e prazo. A direção vê os pontos em atraso no painel, sem que você precise informá-los um a um.
Saiba mais →Os clientes encontram suas medidas técnicas, a lista de suboperadores e os documentos aprovados em um só lugar. Como operador, você economiza assim muitas perguntas.
Saiba mais →Esforço e duração
Os intervalos são valores de experiência, não um compromisso. O que mais influencia é a colaboração das áreas de negócio e a existência de um SGSI cujas evidências possam ser reaproveitadas.
O que você licencia · normalmente Basic
Para a proteção de dados isoladamente, a edição Basic, com cinco usuários e dez fornecedores, normalmente basta. Quem monta um SGSI ao mesmo tempo acrescenta a ISO 27001 e usa as evidências para os dois. Se a ISO 27001 estiver incluída, há um desconto permanente no GDPR. Com muitos operadores, a edição Professional, com 25 fornecedores, é mais adequada.
Licença por framework, prazo mínimo de um ano, pagamento mensal ou anual. Todos os preços, descontos e uma calculadora estão na página de preços. Os custos de um organismo de certificação ou de auditoria são cobrados à parte.
Perguntas e respostas
Mais em nossas perguntas frequentes ou diretamente pelo nosso formulário de contato.
Na Alemanha, segundo o § 38 da lei federal alemã de proteção de dados (BDSG), em geral quando pelo menos 20 pessoas se ocupam de forma permanente do tratamento automatizado de dados pessoais. Independentemente do número, a obrigação vale, por exemplo, quando os tratamentos exigem uma avaliação de impacto, ou, segundo o art. 37 do GDPR, em determinadas atividades principais, como o tratamento em grande escala de dados de saúde. A classificação de cada caso deve ser esclarecida com a sua assessoria jurídica.
As violações sujeitas a notificação são comunicadas à autoridade supervisora sem demora injustificada e, sempre que possível, em até 72 horas após se tomar conhecimento delas. A notificação não é necessária se a violação provavelmente não resultar em risco para os titulares. Em caso de alto risco, os titulares também são informados. Todas as violações são documentadas, mesmo sem notificação.
Em princípio, um mês a partir do recebimento. Em caso de solicitações complexas ou numerosas, o prazo pode ser prorrogado por mais dois meses, mas o titular dos dados precisa ser informado disso no primeiro mês. No Sightadel, você registra o recebimento, o tratamento e a resposta como evidência.
As medidas do art. 32 do GDPR e muitos controles do Anexo A tratam dos mesmos temas, por exemplo acessos, criptografia, backups e fornecedores. No Sightadel, você pode vincular uma evidência aos dois. Propositalmente não indicamos um número para a sobreposição, porque ela depende do escopo.
Sim. Cada cliente tem sua própria conta e convida você com a função “Consultant externo”. As situações ficam separadas, e o registro de atividades indica que o acesso foi feito de fora.
Não. O Sightadel oferece estrutura, modelos e uma situação comprovável. Questões sobre bases legais, ponderação de interesses ou transferências para países terceiros são avaliadas por você ou com a sua assessoria jurídica. Para casos difíceis, é possível contratar consultoria como pacote no aplicativo.
Não existe um certificado geral que confirme o cumprimento do GDPR. O que você pode apresentar é uma documentação organizada e comprovada, no sentido do princípio da responsabilidade. O Sightadel não emite certificações.
O Sightadel é desenvolvido na Alemanha e operado na Alemanha. Com cada cliente firmamos um contrato de operador de dados segundo o art. 28 do GDPR. No Sightadel fica a documentação das suas medidas, não os dados pessoais dos seus clientes ou funcionários.
14 dias, acesso completo, sem dados de pagamento. Tudo o que você configurar continua valendo no plano pago.
