O que é o RGPD?
O Regulamento Geral sobre a Proteção de Dados (Regulamento (UE) 2016/679) define as regras de tratamento de dados pessoais de pessoas na UE. Aplica-se desde 25 de maio de 2018 e, em Portugal, é complementado pela Lei n.º 58/2019; a autoridade de controlo é a CNPD.
As infrações mais graves podem ser punidas com coimas até 20 milhões de euros ou 4% do volume de negócios anual a nível mundial, consoante o montante mais elevado. Na prática, as empresas encontram o RGPD sobretudo em contratos com clientes, acordos de subcontratação e questionários de segurança.
Quem tem de cumprir o RGPD?
- Qualquer organização estabelecida na UE que trate dados pessoais
- Empresas fora da UE que oferecem bens ou serviços a pessoas na UE ou controlam o seu comportamento (art. 3.º, n.º 2)
- Fornecedores SaaS e empresas de TI que tratam dados por conta de clientes como subcontratantes
- Áreas de RH, marketing, comércio eletrónico e saúde que tratam dados de clientes ou colaboradores
O que verifica a autoavaliação gratuita do RGPD
- Fundamentos de licitude do tratamento e validade do consentimento
- Registo das atividades de tratamento (art. 30.º)
- Informação aos titulares e exercício de direitos: acesso, apagamento, portabilidade, oposição
- Subcontratantes e respetivos contratos (art. 28.º) e transferências internacionais
- Segurança do tratamento (art. 32.º): controlo de acessos, cifragem, cópias de segurança
- Gestão de violações de dados e notificação em 72 horas (arts. 33.º–34.º)
- Avaliação de impacto (art. 35.º) e encarregado da proteção de dados (art. 37.º)
Lacunas típicas na conformidade com o RGPD
A autoavaliação mostra quais se aplicam a si antes que um cliente ou a CNPD pergunte.
- Não existe um registo de atividades de tratamento atualizado
- Faltam contratos com alguns subcontratantes, sobretudo ferramentas SaaS
- Não há procedimento documentado para pedidos dos titulares nem para notificação de violações
- O consentimento não é livre, específico ou demonstrável
- Os prazos de conservação não estão definidos e os dados ficam guardados indefinidamente
Avaliação, não certificação
Não existe um certificado RGPD obrigatório. Clientes e autoridades procuram evidências de que os requisitos são cumpridos. A autoavaliação dá-lhe uma visão estruturada dessas evidências e das lacunas.
Para a parte de segurança da informação, muitas empresas usam também a ISO/IEC 27001 e a ISO/IEC 27701. O baltum.ai é um software independente, não um organismo de certificação nem um escritório de advogados; a avaliação não constitui aconselhamento jurídico.