Mapear os tratamentos reais
O primeiro passo é perceber que dados são usados, para que finalidades, quem lhes acede e onde são conservados. A análise distingue as funções assumidas pela empresa em cada relação e identifica fornecedores que tratam informação por sua conta.
A documentação deve refletir a atividade efetiva. Copiar uma política de outra empresa pode ocultar tratamentos relevantes ou declarar medidas que não existem. O trabalho deve ser proporcional ao contexto, ao volume e à natureza dos dados.
Articular informação e contratos
As pessoas devem receber informação adequada sobre os tratamentos aplicáveis. Importa identificar os fundamentos jurídicos de cada utilização e evitar recolher consentimento como solução automática para todas as situações.
Os contratos com prestadores podem necessitar de cláusulas sobre instruções, confidencialidade, segurança, subcontratação e destino dos dados no final da relação. As transferências internacionais exigem avaliação própria quando existam.
Preparar pedidos e incidentes
Um pedido de acesso ou apagamento deve ser encaminhado para quem tem competência e informação para responder. É útil definir um circuito interno que registe a receção, confirme a identidade quando necessário e permita avaliar o pedido.
Perante um incidente, a empresa deve preservar elementos, conter a exposição e avaliar as obrigações aplicáveis. Nem todos os incidentes têm a mesma natureza; a necessidade de notificar depende da apreciação das circunstâncias e do risco.
Manter a organização ao longo do tempo
A adoção de uma nova aplicação, a contratação de um fornecedor ou uma mudança no processo comercial pode alterar os tratamentos. A revisão deve acompanhar estas decisões.
O apoio jurídico articula-se com as medidas técnicas de segurança e com os responsáveis internos. A designação de encarregado de proteção de dados e outras obrigações específicas dependem dos pressupostos legais, não apenas da dimensão comercial da empresa.
O que preparar para a primeira análise
- Sistemas e fornecedores que utilizam dados pessoais
- Políticas e informações disponibilizadas
- Contratos de tratamento de dados e regras de acesso
- Pedidos de titulares ou incidentes já identificados
Perguntas frequentes
Todas as empresas precisam de encarregado de proteção de dados?
A obrigação depende das situações previstas no regime aplicável. Deve ser avaliada em função dos tratamentos e da atividade.
Uma política de privacidade basta?
Não. A informação pública deve corresponder a procedimentos, contratos e medidas efetivamente adotados.
O apoio inclui segurança informática?
O enquadramento jurídico deve ser articulado com profissionais técnicos. Não substitui uma auditoria ou implementação de cibersegurança.
Informação e enquadramento
Conteúdo informativo da António Pina Moreira Advogados. O enquadramento depende dos factos, dos documentos e do regime aplicável. A leitura não substitui consulta nem confirma a aceitação de um mandato.