a Autoridade para a Proteção de Dados vem inspecionar — o que preciso mostrar

O registo de atividades de tratamento é central numa inspeção

Numa inspeção da Autoridade para a Proteção de Dados, na maioria dos casos tudo gira em torno de um documento como ponto de partida: o registo de atividades de tratamento. Nele constam quais dados pessoais são tratados, com que finalidade, quem tem acesso, quanto tempo são conservados e se são partilhados com terceiros. Este registo não é facultativo — o artigo 30.º do RGPD descreve o que deve conter e para quem a obrigação se aplica. Para além do registo, uma autoridade de controlo costuma perguntar também sobre os contratos de processamento com os fornecedores que tratam dados em nome da empresa, e sobre a forma como a segurança desses dados foi implementada.

O que uma inspeção revela mais, depende da área em que a empresa se centra. Assim, pode ser pedida informação sobre a declaração de privacidade que vai para clientes ou visitantes do website, sobre a comprovação de que uma violação de dados foi avaliada atempadamente na altura, ou sobre a análise que foi feita relativamente a um tratamento de alto risco. Para quem precisa de determinar exatamente o que deve constar no registo, o que deve constar num registo de atividades de tratamento? fornece uma visão geral dos componentes. E como uma inspeção também se estende aos acordos com fornecedores de SaaS ou outras partes que tratam dados, o que deve constar num contrato de processamento? é relevante para o que tem de poder ser demonstrado.

Onde isto decorre: artigos 30.º e 32.º do RGPD

A obrigação de manter um registo está prevista no artigo 30.º do RGPD, e esse registo é, na prática, o primeiro documento que aparece numa inspeção. O artigo 32.º do RGPD descreve a obrigação de aplicar medidas técnicas e organizacionais apropriadas para proteger os dados, e uma autoridade de controlo pode questionar como essas medidas foram implementadas. Estes dois artigos aplicam-se diretamente em toda a União Europeia, portanto o essencial do que tem de poder ser demonstrado é igual em todo o lado. Quem efetua a inspeção e onde é solicitada ou tratada, varia por país: nos Países Baixos é a Autoridade para a Proteção de Dados, noutros Estados-membros é outra autoridade nacional de controlo com os seus próprios procedimentos. Mais informações sobre o papel da autoridade de controlo holandesa estão no website da Autoridade para a Proteção de Dados.