Que documentos você precisa para demonstrar conformidade com proteção de dados em uma licitação ou seguradora?
Quando um órgão adjudicante ou uma seguradora lhe pede para demonstrar que trata os dados pessoais com cuidado, isso geralmente se resume a um pacote fixo: um registro de atividades de tratamento, os contratos de tratamento de dados com seus próprios fornecedores, uma declaração de privacidade, um resumo das medidas de segurança que implementa e uma breve descrição de como lida com uma violação de dados ou um pedido de um titular de dados. Em caso de adjudicação, isto é frequentemente acompanhado por um questionário preenchido ou uma declaração; no caso de uma seguradora, é mais um formulário de adesão para uma apólice de ciberseguro.
A razão pela qual este pacote continua a reaparecer é que o RGPD estabelece uma obrigação de prestação de contas: uma organização não apenas deve tratar os dados pessoais com cuidado, mas também deve ser capaz de o demonstrar. Um órgão adjudicante ou uma seguradora não avalia se você "faz algo sobre privacidade", mas se consegue mostrá-lo no papel. Este é precisamente o detalhe que importa neste momento de compra: não a intenção, mas a prova.
O registro de atividades de tratamento como espinha dorsal
O registro de atividades de tratamento é geralmente a primeira documentação solicitada e também aquela sobre a qual o resto se baseia. Nele consta quais dados pessoais trata, para que fim, quem os recebe e por quanto tempo os conserva. Um órgão adjudicante reconhece rapidamente nele se uma organização refletiu estruturalmente sobre seus fluxos de dados, ou se o registro foi elaborado especialmente para o pedido. O que exatamente deve constar e qual o nível de detalhe necessário, pode ler na base de conhecimento com explicação por tema.
Contratos de tratamento de dados com seus próprios fornecedores
A segunda documentação que é quase sempre solicitada é o resumo dos contratos de tratamento de dados: os contratos que celebrou com as ferramentas SaaS e prestadores de serviços que tratam dados pessoais em seu nome. Pense num pacote de administração salarial, num sistema CRM ou num serviço de nuvem para ficheiros. Um órgão adjudicante ou uma seguradora não só quer ver que esses contratos existem, mas também que estão atualizados e alinhados com as ferramentas realmente utilizadas. Um registro que menciona três fornecedores quando, na prática, oito estão ativos, é rapidamente notado numa avaliação minuciosa.
Segurança e tratamento de incidentes
Para além do registro e dos contratos, é frequentemente solicitado um resumo das medidas organizacionais e técnicas implementadas: quem tem acesso a que sistemas, como são encriptados os dados, existe uma estratégia de cópia de segurança. As seguradoras frequentemente solicitam isto explicitamente num questionário para o cálculo do prémio. Um resumo das medidas implementadas encontra-se na página sobre proteção de dados pessoais. Além disso, é frequentemente perguntado como uma organização identifica e trata uma violação de dados: existe um procedimento, alguém sabe quem avisa e dentro de que prazo. A árvore de decisão que determina se um incidente está sujeito a obrigação de notificação pode ser percorrida em algumas perguntas para ver aproximadamente onde se encontra.
O que uma lista não resolve
É tentador ver estes documentos como uma lista de verificação que se faz numa única tarde. Isso não funciona bem e é imediatamente a armadilha neste momento de compra. Um registro de atividades de tratamento que não se alinha com as ferramentas reais, ou um contrato de tratamento de dados que nunca foi revisto, não resiste a uma avaliação minuciosa. Os supervisores e também os órgãos adjudicantes procuram coerência: os documentos estão alinhados uns com os outros e é plausível que sejam mantidos vivos em vez de apenas elaborados uma única vez.
Por isso é mais útil ver estes documentos como um todo contínuo que se move com as ferramentas e processos que utiliza, em vez de como um conjunto único de papéis para um pedido. Como essa estrutura se parece e de onde vêm as informações, está explicado na página como o sistema está estruturado.
Quando deve envolver um jurista
Uma condição de contratação ou uma cláusula de apólice pode estabelecer requisitos específicos que vão além do RGPD, por exemplo, uma certificação ISO obrigatória ou uma cláusula de responsabilidade. A conformidade dos seus documentos com esses requisitos é uma avaliação jurídica que faz parte da encomenda ou apólice em questão, e seria melhor que a submetesse a um jurista ou, em caso de dúvida sobre o próprio RGPD, consultasse a Autoridade da Proteção de Dados.
Quer saber quais documentos já estão em ordem para a sua situação e quais ainda faltam? Faça a verificação rápida gratuita ou leia os outros tópicos da base de conhecimento para determinar onde se encontra agora.