Soluções · Proteção de dados
Como encarregado ou coordenador da proteção de dados, deve aconselhar e controlar, mas no fim a documentação acaba sempre nas suas mãos. O Sightadel organiza o registo das atividades de tratamento, a subcontratação, as medidas técnicas, as avaliações de impacto e as violações de dados de forma a que as áreas de negócio contribuam e possa mostrar o ponto da situação a qualquer momento.
Ponto de partida
O RGPD não exige apenas que os dados sejam tratados de forma lícita. Segundo o art. 5.º, n.º 2, o responsável pelo tratamento tem também de conseguir comprovar o cumprimento. Na prática, isto significa: um registo atualizado das atividades de tratamento, acordos com todos os subcontratantes, medidas técnicas e organizativas comprovadas, avaliações de impacto documentadas e um registo de todas as violações de dados, incluindo as não notificadas.
Normalmente, muito disto já existe, mas não num só lugar. O registo está numa folha de cálculo numa unidade de rede, os contratos estão nas compras, as medidas técnicas são descritas pela equipa de TI num documento próprio e, para o SGSI, existe uma segunda versão das mesmas medidas. Quando a autoridade de controlo pede informações ou um cliente envia um questionário, começa a procura.
A isto junta-se a sua posição especial. Como encarregado da proteção de dados, aconselha e controla; a responsabilidade pela implementação cabe à gestão e às áreas de negócio. O Sightadel reflete exatamente isso: as áreas de negócio tratam das suas partes, e o encarregado verifica e vê onde falta alguma coisa. Como encarregado externo da proteção de dados, trabalha com uma função própria na conta do seu cliente.
Porquê agora
Depois de uma reclamação ou de uma violação de dados, a autoridade de controlo pede o registo, as medidas e os contratos. O prazo de resposta é curto. Quem tem o ponto da situação organizado responde em dias, e não em semanas.
Um envio para o destinatário errado, um portátil perdido, um ataque a uma caixa de correio. As violações sujeitas a notificação têm, em princípio, de ser comunicadas à autoridade de controlo no prazo de 72 horas. Para isso, a avaliação, os responsáveis e o canal de notificação têm de estar definidos antecipadamente.
Uma área de negócio quer introduzir uma ferramenta cloud. Antes de entrar em funcionamento, precisa de uma entrada no registo, de um acordo de subcontratação, de uma verificação dos subcontratantes ulteriores e, em caso de risco elevado, de uma avaliação de impacto.
Os colaboradores usam ferramentas de inteligência artificial, muitas vezes sem aprovação. Colocam-se questões sobre o fundamento de licitude, as transferências para países terceiros e a avaliação de impacto. Uma aprovação organizada substitui a proliferação descontrolada.
Como subcontratante, responde continuamente a questionários sobre medidas técnicas e subcontratantes ulteriores. Um ponto da situação bem mantido e um Trust Center respondem de uma vez por todas às perguntas habituais.
A empresa implementa um SGSI segundo a ISO 27001 ou passa a estar abrangida pela NIS2. É o momento de manter as medidas técnicas em conjunto, em vez de em duplicado.
Frameworks relevantes
Resumido por palavras nossas, não constitui aconselhamento jurídico. Prevalece o texto original na versão em vigor.
Aplica-se a todas as organizações que tratam dados pessoais e é complementado, na Alemanha, pela lei federal alemã de proteção de dados (BDSG). O núcleo da documentação é o registo segundo o art. 30.º, os acordos segundo o art. 28.º, as medidas segundo o art. 32.º, as avaliações de impacto segundo o art. 35.º e a documentação das violações de dados segundo o art. 33.º. Não existe um certificado geral do RGPD; são as autoridades de controlo que verificam.
Ver framework →As medidas técnicas e organizativas do art. 32.º podem ser comprovadas com as mesmas evidências que muitos controlos do Anexo A, por exemplo sobre controlo de acessos, cifragem, cópias de segurança ou fornecedores. O Anexo A contém ainda uma medida própria para a proteção de dados pessoais. Os fundamentos de licitude e os direitos dos titulares não têm correspondência na norma.
Ver framework →Se a sua empresa estiver abrangida pela lei alemã do BSI (BSIG), o processo de incidentes, o controlo de acessos e a gestão de fornecedores servem ambos os quadros normativos. Um incidente de segurança pode desencadear ao mesmo tempo uma notificação ao Serviço Federal Alemão de Segurança da Informação (BSI) e à autoridade de proteção de dados, com prazos e destinatários diferentes.
Ver framework →Quem utiliza sistemas de IA com dados pessoais tem de considerar os requisitos de ambos os quadros normativos. A avaliação de impacto, a transparência perante os titulares dos dados e a avaliação dos fornecedores podem ser geridas em conjunto.
Ver framework →Ordem recomendada
Os registos existentes entram no Sightadel por importação de Excel. Para cada tratamento ficam definidos a finalidade, o fundamento de licitude, as categorias de dados e de titulares, os destinatários, as transferências e os prazos de eliminação. As áreas de negócio completam as suas entradas e o encarregado verifica.
Todos os prestadores de serviços que tratam dados por conta da organização entram na lista de fornecedores com contrato, subcontratantes ulteriores e evidências. Os contratos em falta ou desatualizados tornam-se medidas com prazo.
As medidas do art. 32.º são respondidas como perguntas e associadas a provas, por exemplo o conceito de autorizações, a cifragem, o teste de cópias de segurança ou o comprovativo de formação. Se existir um SGSI, associe as evidências existentes, em vez de criar novas.
As perguntas orientadoras mostram onde é necessária uma avaliação de impacto sobre a proteção de dados. As autoridades de controlo publicaram listas de tratamentos para esse efeito. A avaliação em si é feita pelo responsável pelo tratamento com o aconselhamento do encarregado; o Sightadel dá a estrutura e regista o resultado.
Quem avalia uma violação de dados, quem notifica, quem informa os titulares? Quem responde aos pedidos de acesso dentro do prazo? Os responsáveis, os substitutos e os modelos ficam registados e são testados uma vez.
Revisões periódicas do registo, dos contratos e das medidas. As evidências têm uma data de expiração. Os novos tratamentos e prestadores de serviços são incluídos antes de entrarem em funcionamento, e não apenas na auditoria seguinte.
A sua função
O RGPD atribui ao encarregado da proteção de dados o aconselhamento e o controlo. As obrigações em si recaem sobre o responsável pelo tratamento. Esta separação deve refletir-se também na forma de trabalhar.
Recursos humanos, vendas e TI conhecem melhor os seus tratamentos. Com a função Contributor, mantêm as suas entradas no registo e carregam as provas. O encarregado verifica e aprova.
Tratamentos sem prazo de eliminação, prestadores sem contrato, medidas sem prova. Os pontos em aberto aparecem como problemas e planos de ação com responsável, e não como uma nota no seu calendário.
Quando desaconselha um tratamento ou recomenda uma avaliação de impacto, isso fica registado com data no registo de atividade. Se a gestão decidir de outra forma, também fica rastreável.
Com a função «Consultant externo», trabalha na conta de cada cliente. Cada cliente tem o seu próprio ponto da situação, separado, e o registo indica que o acesso foi feito a partir do exterior.
Como o Sightadel ajuda
As obrigações do RGPD estão preparadas como perguntas guiadas, dos princípios aos direitos dos titulares e à obrigação de notificação. Cada pergunta tem explicação, resposta e prova. Assim vê num relance em que ponto está a documentação.
Saber mais →Os subcontratantes são geridos com país, contrato, subcontratantes ulteriores e evidências com data de validade. Regista que dados cada fornecedor trata. Daí resulta a sua avaliação de risco, e os contratos em falta ficam à vista.
Saber mais →Contratos, conceitos, comprovativos de formação e avaliações de impacto estão na biblioteca de evidências com versão e data de expiração. Uma prova sobre o controlo de acessos serve ao mesmo tempo as medidas do art. 32.º e os controlos correspondentes da ISO 27001.
Saber mais →Modelos para o registo das atividades de tratamento, avisos de privacidade, plano de eliminação e respostas a pedidos dos titulares, adaptados ao seu setor. A IA ajuda na redação. A avaliação jurídica de cada caso continua a ser sua.
Saber mais →Contratos em falta, prazos de eliminação por definir ou medidas após uma violação de dados tornam-se tarefas com responsável e prazo. A gestão vê os pontos em atraso no painel, sem que tenha de os comunicar um a um.
Saber mais →Os clientes encontram as suas medidas técnicas, a lista de subcontratantes ulteriores e os documentos aprovados num só lugar. Como subcontratante, poupa assim muitas perguntas.
Saber mais →Esforço e duração
Os intervalos são valores de experiência, não um compromisso. O que mais influencia é a colaboração das áreas de negócio e a existência de um SGSI cujas evidências possam ser reaproveitadas.
O que licencia · tipicamente Basic
Para a proteção de dados por si só, basta normalmente a edição Basic, com cinco utilizadores e dez fornecedores. Quem cria ao mesmo tempo um SGSI acrescenta a ISO 27001 e usa as evidências para ambos. Se a ISO 27001 estiver incluída, há um desconto permanente no RGPD. Com muitos subcontratantes, a edição Professional, com 25 fornecedores, é mais adequada.
Licença por framework, duração mínima de um ano, pagamento mensal ou anual. Todos os preços, descontos e uma calculadora estão na página de preços. Os custos de um organismo de certificação ou de auditoria acrescem à parte.
Perguntas e respostas
Mais nas nossas perguntas frequentes ou diretamente através do nosso formulário de contacto.
Na Alemanha, segundo o § 38 da lei federal alemã de proteção de dados (BDSG), em regra quando pelo menos 20 pessoas se ocupam permanentemente do tratamento automatizado de dados pessoais. Independentemente do número, a obrigação aplica-se, por exemplo, quando os tratamentos exigem uma avaliação de impacto, ou, segundo o art. 37.º do RGPD, em determinadas atividades principais, como o tratamento em grande escala de dados de saúde. A classificação de cada caso deve ser esclarecida com a sua assessoria jurídica.
As violações sujeitas a notificação são comunicadas à autoridade de controlo sem demora injustificada e, sempre que possível, no prazo de 72 horas após ter conhecimento delas. Não é necessária notificação se a violação não for suscetível de resultar num risco para os titulares. Em caso de risco elevado, os titulares também são informados. Todas as violações são documentadas, mesmo sem notificação.
Em princípio, um mês a contar da receção. Em caso de pedidos complexos ou numerosos, o prazo pode ser prorrogado por mais dois meses, mas o titular dos dados tem de ser informado disso no primeiro mês. No Sightadel, regista a receção, o tratamento e a resposta como evidência.
As medidas do art. 32.º do RGPD e muitos controlos do Anexo A tratam os mesmos temas, por exemplo acessos, cifragem, cópias de segurança e fornecedores. No Sightadel, pode associar uma evidência a ambos. Não indicamos deliberadamente um número para a sobreposição, porque depende do âmbito.
Sim. Cada cliente tem a sua própria conta e convida-o com a função «Consultant externo». Os pontos da situação ficam separados, e o registo de atividade indica que o acesso foi feito a partir do exterior.
Não. O Sightadel dá estrutura, modelos e um ponto da situação comprovável. As questões sobre fundamentos de licitude, ponderação de interesses ou transferências para países terceiros são avaliadas por si ou com a sua assessoria jurídica. Para casos difíceis, é possível contratar consultoria como pacote na aplicação.
Não existe um certificado geral que confirme o cumprimento do RGPD. O que pode apresentar é uma documentação organizada e comprovada, no sentido do princípio da responsabilidade. O Sightadel não emite certificações.
O Sightadel é desenvolvido e operado na Alemanha. Com cada cliente celebramos um acordo de subcontratação segundo o art. 28.º do RGPD. No Sightadel fica a documentação das suas medidas, não os dados pessoais dos seus clientes ou colaboradores.
14 dias, acesso completo, sem dados de pagamento. Tudo o que configurar mantém-se no plano pago.
