Regulamento da UE · Proteção de dados
O Sightadel guia-o pelas obrigações do RGPD – desde o registo das atividades de tratamento, passando pela subcontratação e pelas medidas técnicas, até à notificação de violações de dados pessoais. Com modelos setoriais baseados em longos anos de prática de consultoria, uma IA que ajuda a redigir e consultores reais para as partes difíceis.
Do que se trata
O Regulamento Geral sobre a Proteção de Dados (RGPD) é diretamente aplicável em toda a UE desde maio de 2018. Na Alemanha, é complementado pela lei federal alemã de proteção de dados (BDSG). Regula em que condições os dados pessoais podem ser tratados e que direitos têm os titulares dos dados.
No centro estão os princípios do artigo 5.º: licitude, transparência, limitação das finalidades, minimização dos dados, exatidão, limitação da conservação, bem como integridade e confidencialidade. A isto junta-se o princípio da responsabilidade. Não basta garantir o cumprimento – é preciso conseguir demonstrá-lo.
Por isso, a questão raramente é se o RGPD se aplica, mas sim em que medida. A maioria das organizações tem o registo, os contratos e as medidas guardados algures. O problema é o estado em que se encontram: dispersos, desatualizados e difíceis de reunir quando a autoridade de controlo faz um pedido.
O registo das atividades de tratamento é de 2018, a lista de prestadores de serviços já não está correta. O Sightadel transforma isso num estado bem mantido, com revisão periódica.
Enquanto subcontratante, responde constantemente a questionários sobre medidas técnicas e subcontratantes ulteriores. O Trust Center responde às perguntas habituais uma vez para todos.
As medidas técnicas e organizativas são mantidas em duplicado, uma vez para a proteção de dados e outra para o SGSI. Uma única evidência pode demonstrar ambas.
Requisitos
Resumido por palavras nossas. Prevalece sempre o texto original na versão em vigor.
Cada tratamento precisa de um fundamento de licitude e segue os princípios. O responsável pelo tratamento aplica medidas adequadas e consegue comprovar o seu cumprimento.
No SightadelPerguntas guiadas sobre princípios e fundamentos de licitude. A avaliação no caso concreto cabe à sua organização e ao seu encarregado da proteção de dados; o Sightadel regista-a com justificação.
Informação, acesso, retificação, apagamento, limitação do tratamento, portabilidade dos dados e oposição – dentro do prazo e de forma rastreável.
No SightadelPontos de controlo sobre avisos de privacidade, processo e prazos para pedidos. Há modelos de resposta disponíveis, e o tratamento de cada pedido é guardado como evidência.
A proteção de dados é tida em conta logo no planeamento e na seleção dos sistemas; as definições por defeito só recolhem o necessário.
No SightadelPontos de controlo para aquisição e desenvolvimento, ligados aos seus processos de aprovação. As decisões são documentadas com data e responsável.
Os prestadores de serviços que tratam dados por conta do responsável são escolhidos com cuidado e vinculados por contrato; os subcontratantes ulteriores são conhecidos.
No SightadelNo módulo Fornecedores, regista prestadores de serviços com contrato, subcontratantes ulteriores e evidências com data de validade. Os contratos em falta tornam-se pontos de ação.
Um registo de todos os tratamentos com finalidade, categorias de dados e de titulares, destinatários, transferências, prazos de apagamento e medidas.
No SightadelO modelo setorial propõe tratamentos típicos; a sua organização confirma, completa ou elimina. As revisões periódicas mantêm o registo atualizado.
Medidas técnicas e organizativas adequadas ao risco, com verificação regular da sua eficácia.
No SightadelMedidas como perguntas guiadas com ligação a evidências. Uma evidência de controlo de acessos ou de cópias de segurança demonstra ao mesmo tempo requisitos da ISO 27001 ou da NIS2.
As violações sujeitas a notificação são, em regra, comunicadas à autoridade de controlo no prazo de 72 horas. Em caso de risco elevado, os titulares dos dados também são informados. Cada violação é documentada.
No SightadelO canal de notificação, os responsáveis e os critérios de avaliação estão definidos previamente. As violações são registadas com momento, avaliação e medidas, mesmo quando não foi necessária qualquer notificação.
Para tratamentos suscetíveis de implicar um elevado risco, os riscos e as medidas para os atenuar são avaliados previamente.
No SightadelPerguntas orientadoras ajudam a identificar onde é necessária uma avaliação de impacto. A avaliação propriamente dita é conduzida pela sua organização; o Sightadel dá a estrutura e regista o resultado.
Quando necessário, é designado um encarregado da proteção de dados, comunicado à autoridade de controlo e envolvido desde cedo.
No SightadelA designação, a comunicação e o envolvimento são geridos como evidência. Os encarregados da proteção de dados internos ou externos colaboram no Sightadel com uma função própria.
Processo
Dois a quatro meses para uma documentação de base sólida, se alguém na casa levar o assunto por diante. Depois disso, a proteção de dados é um estado contínuo, não um projeto com fim.
Definir responsáveis, carregar os documentos existentes e associá-los aos 45 pontos de controlo. No fim, fica claro o que está demonstrado e o que falta.
Registar os tratamentos com finalidade, fundamento de licitude, destinatários e prazos de apagamento. As áreas de negócio fornecem os dados; a estrutura vem do modelo.
Registar os subcontratantes, verificar contratos e subcontratantes ulteriores, criar pontos de ação para as lacunas.
Demonstrar as medidas técnicas e organizativas, avaliar os tratamentos de risco e, quando necessário, realizar uma avaliação de impacto.
Definir os procedimentos para pedidos dos titulares e violações de dados pessoais, nomear responsáveis, fazer um ensaio.
Revisões periódicas do registo, dos contratos e das medidas. Novos tratamentos e prestadores de serviços são acrescentados antes de entrarem em funcionamento.
Pronto para começar
Quem esclarece estas questões cedo poupa semanas mais tarde. No Sightadel estão configuradas como as primeiras tarefas.
Divisão de tarefas
Se um software preenchesse tudo, a norma não cumpriria o seu objetivo – e o auditor notaria. Por isso está claramente definido o que fica a seu cargo.
Da prática
Da longa experiência em consultoria e certificação: estes são os pontos que mais tempo consomem ou que levam a não conformidades na auditoria.
Ao fim de pouco tempo, faltam novas ferramentas e processos. Defina uma revisão periódica e torne o registo uma etapa de cada aquisição.
Pequenas ferramentas e acessos de teste passam muitas vezes despercebidos. Compare regularmente a lista de prestadores de serviços com as compras e as TI.
O consentimento é revogável e muitas vezes não é o fundamento de licitude adequado. Verifique, por tratamento, que fundamento se aplica e documente-o.
Um conceito de apagamento que nunca é aplicado é uma constatação. Planeie ciclos de apagamento e registe que foram realizados.
Também as violações sem obrigação de notificação têm de ser documentadas. Registe cada uma com momento, avaliação e medidas.
Quem só no primeiro pedido esclarece onde estão os dados falha o prazo de um mês. Defina previamente a responsabilidade, a verificação da identidade e a aprovação.
Uma evidência, vários frameworks
Não indicamos propositadamente uma percentagem – depende do seu âmbito. Onde os requisitos coincidem, uma evidência fica associada a todos.
As medidas técnicas e organizativas previstas no artigo 32.º podem ser demonstradas com as mesmas evidências que muitos controlos do anexo A. Os fundamentos de licitude e os direitos dos titulares não têm aí correspondência.
NIS2O processo de incidentes, o controlo de acessos e a gestão de fornecedores servem ambos. Um incidente de segurança pode desencadear ao mesmo tempo obrigações de notificação ao BSI e à autoridade de controlo da proteção de dados.
SOC 2Os critérios de confidencialidade e privacidade recorrem às mesmas medidas e aos mesmos dados de prestadores de serviços. Útil se também fornecer clientes dos EUA.
ISO 42001Quem utiliza IA com dados pessoais avalia os riscos para os titulares em ambos os referenciais. A avaliação de impacto e a avaliação de riscos de IA podem ser conduzidas em conjunto.
Auditoria e evidências
Na Alemanha, são competentes as autoridades de controlo da proteção de dados dos estados federados e, para determinados domínios, o Comissário Federal. Investigam reclamações, pedem documentação e podem aplicar coimas. A isto juntam-se os clientes que auditam a sua organização enquanto subcontratante e os encarregados da proteção de dados internos ou externos. O Sightadel não certifica nem presta aconselhamento jurídico.
Quem audita recebe no Sightadel um acesso próprio, sem permissão para apagar. O registo de atividade mostra sem lacunas quem fez o quê e quando, e no Trust Center mostra aos clientes medidas, documentos e subcontratantes ulteriores. A ISO 27001 é uma base comprovada e estruturada para as medidas técnicas, mas não é obrigatória. Para auditorias externas, escolha um auditor da nossa rede de parceiros independente ou um da sua confiança. Pelas auditorias não é paga qualquer comissão – nem a nós, nem aos parceiros.
Ver a rede de auditores independentesA proteção de dados gera custos contínuos, não pontuais. Para a ferramenta, a licença Sightadel para o RGPD é faturada mensalmente por edição, com um período mínimo de um ano. Se a sua licença do Sightadel incluir a ISO 27001 ou a ISO 9001, recebe um desconto permanente no RGPD. Todos os preços e uma calculadora estão disponíveis na nossa página de preços.
A isto acresce o encarregado da proteção de dados, se tiver de designar um ou o pretender fazer. Pode ser interno ou externo. Um encarregado interno precisa de tempo, formação contínua e de uma proteção contra o despedimento que deve ser tida em conta no planeamento de pessoal. Um externo fatura segundo o seu próprio modelo. Ambos são independentes do Sightadel.
A maior rubrica é o esforço interno para a documentação de base: registo das atividades de tratamento, contratos com prestadores de serviços, medidas técnicas e organizativas, processos para pedidos dos titulares e violações de dados pessoais. Dois a quatro meses é realista, se uma pessoa trabalhar regularmente nisso e as áreas de negócio colaborarem. Depois, trata-se de manutenção: inscrever novos tratamentos, verificar contratos, aplicar os prazos de apagamento, dar formação aos colaboradores. Quem precisar de apoio em questões concretas contrata consultoria como pacote na aplicação. O Sightadel não substitui o aconselhamento jurídico.
O RGPD prevê dois limites de coimas: até 10 milhões de euros ou 2 % do volume de negócios anual a nível mundial, por exemplo por infrações às obrigações de segurança, de registo ou de subcontratação, e até 20 milhões de euros ou 4 % por infrações aos princípios, aos fundamentos de licitude ou aos direitos dos titulares, aplicando-se sempre o montante mais elevado. As autoridades de controlo determinam as coimas caso a caso e têm também em conta o grau de cooperação e de preparação da empresa.
No mínimo igualmente relevantes são os pedidos de indemnização dos titulares dos dados. Podem também ser apresentados por danos imateriais, por exemplo após uma violação de dados ou uma resposta tardia a um pedido de acesso. A isto juntam-se as ordens da autoridade de controlo, que podem limitar ou proibir um tratamento, e, na Alemanha, as interpelações extrajudiciais por concorrentes, cuja admissibilidade é controversa caso a caso.
O essencial é o princípio da responsabilidade. Não basta trabalhar em conformidade com a proteção de dados – é preciso conseguir demonstrá-lo. Perante uma reclamação, a autoridade de controlo pergunta pelo registo, pelo fundamento de licitude, pelos contratos e pelas medidas. Quem apresenta esta documentação de forma rápida e coerente fica numa posição muito melhor. É exatamente para isso que serve o nível de evidência no Sightadel.
Alguns documentos são expressamente exigidos pelo RGPD: o registo das atividades de tratamento, os contratos de subcontratação, a documentação das violações de dados pessoais, as avaliações de impacto sobre a proteção de dados para tratamentos suscetíveis de implicar um elevado risco e, quando necessário, a designação do encarregado da proteção de dados. Outros decorrem do princípio da responsabilidade: descrição das medidas técnicas e organizativas, avisos de privacidade, conceito de apagamento, comprovativos de consentimento, ponderações de interesses legítimos e comprovativos de formação.
O registo é a espinha dorsal. Descreve, por tratamento, a finalidade, as categorias de dados e de titulares, os destinatários, as transferências para países terceiros, os prazos de apagamento e as medidas. Se for bem mantido, os avisos de privacidade, o conceito de apagamento e as respostas a pedidos de acesso podem ser derivados dele. Se for criado uma vez e depois esquecido, ao fim de dois anos descreve outra organização.
No Sightadel, o modelo setorial propõe tratamentos típicos; a sua organização confirma, completa ou elimina. Os contratos e os subcontratantes ulteriores são mantidos no módulo Fornecedores, e as medidas como perguntas guiadas com evidência. As revisões periódicas garantem que o registo é verificado regularmente.
Há dois processos que decidem, no dia a dia, se a proteção de dados funciona: o tratamento dos pedidos dos titulares dos dados e o tratamento das violações de dados pessoais. A um pedido de acesso tem, em regra, de responder no prazo de um mês. Em caso de pedidos complexos ou numerosos, é possível uma prorrogação até dois meses adicionais, se o comunicar e justificar dentro do primeiro prazo. O acesso abrange os próprios dados, as finalidades, os destinatários, o prazo de conservação e a origem, bem como uma cópia.
Para que isto funcione, tem de estar claro quem recebe os pedidos, como é verificada a identidade, onde se encontram os dados e quem aprova a resposta. Os pedidos chegam muitas vezes por vias inesperadas: às vendas, através de um formulário de contacto, como parte de um litígio laboral.
Nas violações de dados pessoais, o prazo de 72 horas começa quando se toma conhecimento delas. Defina quem avalia se existe risco para os titulares, quem notifica e quem informa os titulares. Se se tratar simultaneamente de um incidente NIS2, os dois canais de notificação decorrem em paralelo. No Sightadel, os responsáveis e os modelos estão definidos, e os pedidos e as violações são registados como evidência, com momento e avaliação.
Quase nenhuma organização trata dados apenas por si própria. Processamento salarial, e-mail, CRM, sistema de tickets, análise web e alojamento estão em prestadores de serviços. Cada um deles que trate dados por sua conta precisa de um contrato de subcontratação, e tem de o ter escolhido com cuidado. Isso inclui conhecer as suas medidas e os seus subcontratantes ulteriores.
As transferências para países fora do Espaço Económico Europeu merecem atenção especial. Precisam de um fundamento, por exemplo uma decisão de adequação da Comissão Europeia ou cláusulas contratuais-tipo com uma avaliação da situação no país de destino. Mesmo que um fornecedor aloje os dados na UE, pode ser possível um acesso a partir de um país terceiro, por exemplo através do suporte ou da empresa-mãe.
No módulo Fornecedores, regista prestadores de serviços com contrato, subcontratantes ulteriores, transferências e evidências com data de validade. Os contratos em falta tornam-se pontos de ação. O próprio Sightadel é desenvolvido e alojado na Alemanha, e cada cliente recebe um acordo de subcontratação (art. 28.º do RGPD).
O RGPD exige a segurança do tratamento, mas não diz em pormenor como. Aqui ajuda um SGSI segundo a ISO 27001: o controlo de acessos, a cifragem, as cópias de segurança, o registo de eventos e o tratamento de incidentes estão aí regulados de forma sistemática. As medidas técnicas e organizativas previstas no artigo 32.º podem ser demonstradas com as mesmas evidências. O que a ISO 27001 não cobre são os fundamentos de licitude, a limitação das finalidades, os direitos dos titulares e o registo das atividades de tratamento.
As entidades abrangidas pela NIS2 utilizam o processo de incidentes, a gestão de fornecedores e as formações para ambos os referenciais. Quem utiliza IA com dados pessoais avalia os riscos para os titulares na avaliação de impacto sobre a proteção de dados e, se implementada, na avaliação de impacto segundo a ISO 42001. Ambas podem ser conduzidas em conjunto, mas não se substituem.
No Sightadel, associa uma evidência uma única vez a todos os requisitos aplicáveis. O seu encarregado da proteção de dados, interno ou externo, colabora com uma função própria. No Trust Center, mostra aos clientes medidas, documentos e subcontratantes ulteriores, em vez de preencher um novo questionário para cada pedido.
Quanto custa
Paga apenas os frameworks de que realmente precisa. As edições diferem na capacidade e no tempo de resposta, não no âmbito técnico. Quem gere vários frameworks poupa de forma permanente. Todos os preços, descontos e uma calculadora estão na página de preços.
Os custos do organismo de certificação ou de auditoria são faturados diretamente por este à sua empresa. Se precisar, pode contratar consultoria como pacote na aplicação.
Material de trabalho
Listas de verificação e modelos para outros frameworks estão disponíveis em Recursos.
Material de apoio, não constitui aconselhamento jurídico.
Termos
Perguntas e respostas
Mais nas nossas perguntas frequentes ou diretamente através do nosso formulário de contacto.
Quase sempre, assim que trata dados de clientes, colaboradores, candidatos, fornecedores ou visitantes do site – independentemente da dimensão. Só fica excluída a utilização puramente pessoal ou doméstica. Algumas obrigações, como a designação de um encarregado da proteção de dados, dependem de outros requisitos.
Consoante a infração, até 10 milhões de euros ou 2 % do volume de negócios anual a nível mundial e, em infrações graves, até 20 milhões de euros ou 4 %, aplicando-se sempre o montante mais elevado. A isto juntam-se os pedidos de indemnização dos titulares dos dados e as ordens da autoridade de controlo.
Não existe um geral. O RGPD prevê procedimentos de certificação, que têm de ser aprovados pela autoridade de controlo, mas um certificado não isenta da responsabilidade. O que conta é o seu nível de evidência documentado.
Uma violação sujeita a notificação é, em regra, comunicada à autoridade de controlo no prazo de 72 horas após se ter tido conhecimento dela. Se existir um risco elevado para os titulares dos dados, também estes têm de ser informados. Cada violação tem de ser documentada, mesmo que não seja notificada.
Não. O Sightadel fornece estrutura, modelos e gestão de evidências. A avaliação jurídica no caso concreto cabe ao seu encarregado da proteção de dados ou ao seu assessor jurídico. Ambos podem colaborar diretamente no Sightadel com uma função própria.
Em parte. As medidas técnicas e organizativas previstas no artigo 32.º sobrepõem-se fortemente ao anexo A. Os fundamentos de licitude, a limitação das finalidades, os direitos dos titulares, o registo das atividades de tratamento e a avaliação de impacto não têm correspondência na ISO 27001.
Apenas como rascunho. A IA propõe tratamentos típicos do seu setor e ajuda a redigir. As finalidades, os fundamentos de licitude e os prazos de apagamento são decididos pela sua organização – caso contrário, o registo descreve outra organização que não a sua.
Na Alemanha, regra geral, quando pelo menos 20 pessoas se ocupam de forma permanente do tratamento automatizado de dados pessoais. Independentemente do número, a obrigação aplica-se, por exemplo, no tratamento em grande escala de categorias especiais de dados, no controlo sistemático ou quando é necessária uma avaliação de impacto sobre a proteção de dados. O encarregado pode ser interno ou externo.
Em regra, um mês a contar da receção. Em caso de pedidos complexos ou numerosos, é possível uma prorrogação até dois meses adicionais. Tem de informar o titular dos dados desse facto, com justificação, dentro do primeiro mês.
A licença Sightadel para o RGPD é faturada mensalmente por edição; todos os preços estão na nossa página de preços. A isto acrescem, se for o caso, um encarregado da proteção de dados externo, que fatura de forma independente, e o seu esforço interno para a documentação de base e a manutenção. Se a sua licença incluir a ISO 27001 ou a ISO 9001, recebe um desconto permanente no RGPD.
14 dias, acesso completo, sem dados de pagamento. Tudo o que configurar mantém-se no plano pago.
