Controlo interno do tratamento de dados pessoais

Na era digital, a proteção de dados pessoais está a tornar-se numa das principais tarefas para as empresas que lidam com inúmeros particulares e com os dados pessoais de candidatos a emprego e colaboradores. O controlo interno do tratamento de dados pessoais refere-se às funções críticas do Encarregado da Proteção de Dados (DPO). Neste artigo, analisamos como o DPO exerce o controlo interno sobre o tratamento de dados pessoais e destacamos as principais etapas que o auxiliam nesta função crucial.

Atribuições do DPO relacionadas com o controlo interno do tratamento de dados pessoais

É impossível ao DPO desempenhar a sua missão primordial de controlo interno do tratamento de dados pessoais sem assegurar outras funções conexas, destacando-se, em particular:

1. A análise dos processos de tratamento de dados pessoais e a identificação dos riscos inerentes a tais fluxos.
2. A elaboração da documentação relativa ao tratamento de dados pessoais e a respetiva atualização tempestiva.
3. A prestação de consultas em matéria de dados pessoais a dirigentes e a articulação com pessoas autorizadas.
4. A sensibilização dos colaboradores da empresa para os requisitos de proteção de dados pessoais e a divulgação dos documentos internos relativos ao tratamento de dados.
5. A organização de ações de formação para os colaboradores que efetuem o tratamento de dados pessoais, bem como a verificação dos conhecimentos adquiridos.
6. A participação na análise de reclamações apresentadas por particulares relativas ao tratamento dos seus dados.
7. A articulação institucional com o Centro Nacional de Proteção de Dados Pessoais.

Ações do DPO após a tomada de posse

Após assumir funções, o DPO enceta habitualmente o controlo interno sobre o tratamento de dados pessoais na empresa. Para o efeito, pode atuar de forma metódica segundo um plano estruturado (sequência passo a passo), por exemplo:

Passo 1. Avaliar a eficácia do método escolhido para o tratamento de dados pessoais.
O DPO pode definir um período (por exemplo, um ano civil ou outro) durante o qual monitorizará o tratamento de dados pessoais em todos os departamentos da empresa.
Passo 2. Analisar os processos de negócio relacionados com o tratamento de dados pessoais.
Nesta fase, poderá revelar-se necessário estabelecer o procedimento de articulação com os departamentos da empresa em matéria de tratamento de dados (o registo de tratamentos de dados pessoais). Neste documento, podem definir-se, em particular, os processos de tratamento e as unidades orgânicas responsáveis, bem como a finalidade, as categorias de dados pessoais tratados, a fonte de recolha e o prazo de conservação de cada processo.
Passo 3. Preparar minutas de documentos ou verificar os existentes
Nesta etapa, o DPO elabora projetos de documentos que definem a política da empresa operadora (ou de um subcontratante/pessoa autorizada) para o tratamento de dados pessoais, ou audita os documentos já existentes quanto à conformidade legal. O DPO verifica igualmente se é garantido o acesso livre e indeterminado à política por parte de terceiros.
Podem ser necessárias políticas autónomas para diferentes processos de negócio de tratamento de dados. Por exemplo, podem aprovar-se políticas específicas para o tratamento de dados de colaboradores, videovigilância e cookies. 
Na(s) política(s), deve indicar-se de forma clara (por exemplo, sob a forma de tabela) a articulação entre as finalidades e os fundamentos do tratamento, os titulares dos dados, a lista de dados pessoais e os prazos de conservação.
O acesso livre e universal à política justifica-se quando esta diz respeito ao tratamento de dados de visitantes do site, utilizadores de serviços, etc., sendo publicada no website da empresa.
A política de tratamento de dados dos colaboradores da empresa não carece de publicação no site, bastando assegurar a sua divulgação interna em locais acessíveis, incluindo por via eletrónica.
Passo 4. Verificar se os colaboradores e demais pessoas que tratam dados pessoais conhecem os requisitos de proteção, as políticas e se receberam formação
Promove-se a sensibilização para os requisitos de proteção de dados, políticas e regime de responsabilidade aplicável a infrações no tratamento de dados, abrangendo colaboradores, estagiários e prestadores de serviços.
Os colaboradores que tratam dados pessoais recebem habitualmente formação ministrada na própria empresa, podendo a mesma ser efetuada em entidades especializadas como o Centro Nacional de Proteção de Dados Pessoais.
Concluída a formação, a empresa realiza habitualmente uma avaliação de conhecimentos (por exemplo, através de testes ou entrevistas).
Passo 5. Verificar se as funções oficiais dos intervenientes no tratamento incluem disposições sobre proteção de dados e responsabilidade disciplinar
Confere-se se os descritivos de funções do pessoal que efetua diretamente o tratamento contêm obrigações expressas de cumprimento das normas de proteção de dados estipuladas ao nível estatal e interno.
Passo 6. Definir o procedimento de acesso aos dados pessoais
O procedimento de acesso pode constar de um documento único ou de vários, caso a empresa adote processos de negócio autónomos e estanques. Por exemplo, no tratamento de dados em sistemas de informação de videovigilância, podem coexistir múltiplos regulamentos de acesso.
Passo 7. Assegurar a proteção técnica e criptográfica da informação
Caso a empresa possua recursos informáticos que contenham dados pessoais, é obrigatório manter atualizado o inventário de tais recursos e das respetivas categorias de dados.
Passo 8. Estabelecer e atualizar a lista de pessoas autorizadas
A lista de pessoas autorizadas é frequentemente gerida em formato matricial (tabela), indicando as entidades, os dados tratados e as respetivas finalidades.
Passo 9. Verificar a obrigatoriedade de inscrição no Registo de Operadores de Dados Pessoais
As empresas detentoras de recursos e sistemas com dados pessoais nem sempre estão obrigadas ao registo. A inscrição no Registo apenas é obrigatória em situações específicas:

• Em caso de transferência transfronteiriça de dados pessoais para países que não garantam um nível adequado de proteção.
• No tratamento de dados pessoais biométricos e genéticos.
• No tratamento de dados pessoais de mais de 100 mil pessoas singulares.
• No tratamento de dados pessoais de mais de 10 mil menores de 16 anos.

Passo 10. Registar a transmissão de dados pessoais a terceiros.
O registo destas operações assegura a capacidade de prestar informações aos titulares. Utilizam-se habitualmente tabelas eletrónicas ou registos automáticos (logs) em plataformas digitais, permitindo apurar a quem, quando e com que fundamento foram transmitidos os dados.
Passo 11. Definir o procedimento de resposta a incidentes de violação de segurança e notificação ao Centro Nacional de Proteção de Dados Pessoais
O operador deve notificar o Centro Nacional de Proteção de Dados Pessoais sobre violações dos sistemas de proteção de dados de imediato, no prazo máximo de três dias úteis a contar do conhecimento da infração.
Se da violação não tiver decorrido difusão ilícita, alteração ou destruição de dados pessoais, dispensa-se a notificação.
Passo 12. Estipular os procedimentos de conservação, eliminação e bloqueio de dados pessoais
A eliminação de dados compreende a destruição de suportes físicos ou a execução de operações informáticas que impossibilitem a recuperação dos dados num recurso (sistema). O procedimento depende do suporte utilizado. Na definição dos prazos de retenção, devem observar-se os prazos normativos de conservação documental estabelecidos pelo Estado.

Como avaliar se foram tomadas medidas suficientes para a proteção de dados pessoais

O cumprimento de todas as etapas indicadas sugere que o tratamento de dados pessoais na empresa se enquadra, em termos gerais, nos requisitos legais. Contudo, não existe um modelo único aplicável a todas as empresas. Cada organização apresenta riscos específicos; por conseguinte, no âmbito do controlo interno, é indispensável correlacionar as medidas de proteção adotadas com os riscos inerentes a essa atividade concreta (abordagem baseada no risco). 

No exercício do controlo interno, o DPO pode detetar vulnerabilidades em processos específicos, as quais podem igualmente ser evidenciadas em inspeções do Centro Nacional de Proteção de Dados Pessoais ou reclamações de titulares.

Com base nestes elementos, o DPO reporta à gestão da empresa os riscos identificados e propõe medidas adicionais para a respetiva mitigação, complementando o quadro de segurança existente.

Como podemos ajudar na organização do controlo interno do tratamento de dados pessoais?

Os nossos advogados e especialistas em segurança da informação possuem vasta experiência em controlo interno do tratamento de dados pessoais e proteção da informação.

Podemos: 

1. Aconselhá-lo na implementação do controlo interno do tratamento de dados pessoais.
2. Conduzir uma auditoria interna dos processos de negócio relacionados com o tratamento de dados e emitir recomendações para estruturar a proteção de dados na empresa.
3. Analisar os fluxos de tratamento de dados e propor a arquitetura ótima de controlo interno.
4. Elaborar perfis de funções e descritivos para o pessoal afeto ao tratamento de dados e para o DPO.
5. Desenvolver o dossier documental completo relativo ao controlo interno do tratamento de dados pessoais.
6. Representar os seus interesses perante os órgãos estatais.

Contacte-nos

Se tiver alguma dúvida ou litígio relacionado com o controlo interno do tratamento de dados pessoais, teremos todo o gosto em ajudar! A nossa vasta experiência nesta área ajudá-lo-á a resolver qualquer litígio.

• +375 29 505 10 51 (WhatsApp, Viber, Telegram);
• info@ambylegal.by.