Privacidade, RGPD e ISO/IEC 27701 em Portugal

Uma política publicada não demonstra, por si só, como os dados pessoais são tratados no dia a dia. O trabalho começa pelos processos: que informação é recolhida, para que finalidade, quem acede, com quem é partilhada e durante quanto tempo é conservada.

• Precisa de conhecer as lacunas do programa de privacidade.
• Está a lançar um serviço, contratar fornecedores ou alterar um tratamento.
• Pretende melhorar a resposta a pedidos de titulares e a incidentes.
• Quer estruturar ou avaliar um sistema de gestão da privacidade.

O âmbito é definido em função dos tratamentos, riscos e objetivos da organização. Os critérios podem incluir o RGPD, os requisitos nacionais aplicáveis e, quando contratado, a ISO/IEC 27701:2025.

• Inventário de tratamentos, finalidades e responsabilidades.
• Informação aos titulares e processos para exercício de direitos.
• Conservação, acessos, partilhas e relações com subcontratantes.
• Medidas organizativas, resposta a violações de dados e registos de decisões.
• Privacidade na conceção de serviços e avaliação da necessidade de AIPD.

A avaliação de impacto sobre a proteção de dados é analisada em função do risco e dos requisitos aplicáveis ao tratamento. Não é um documento obrigatório indistintamente para qualquer projeto.

A ISO/IEC 27701:2025 estabelece um sistema de gestão da privacidade e pode ser utilizada de forma autónoma. O trabalho pode apoiar a sua estruturação, a integração com a segurança da informação ou a avaliação por auditoria interna.

Um sistema de gestão ajuda a organizar processos e evidências, mas a conformidade com o RGPD exige avaliar os tratamentos concretos. A certificação de um sistema de gestão não substitui essa análise.

1. Delimitação: identificar processos, equipas, sistemas e critérios.
2. Diagnóstico ou auditoria: analisar documentação, entrevistar responsáveis e verificar evidências por amostragem.
3. Plano de ação: apresentar lacunas, prioridades e propostas de melhoria.
4. Apoio à implementação: trabalhar procedimentos, documentação e capacitação das equipas, quando incluído.

Os entregáveis podem incluir um relatório de diagnóstico ou auditoria, uma matriz de ações, procedimentos e apoio à preparação de uma AIPD. O conteúdo exato é definido na proposta, com condições de acesso e confidencialidade.

Um projeto de consultoria ou auditoria tem um âmbito definido. O exercício da função de encarregado de proteção de dados exige um enquadramento próprio e salvaguardas de independência e ausência de conflito de interesses. Conheça também o serviço de DPO as a Service.

Esta página descreve serviços profissionais de privacidade. A política de privacidade deste site explica o tratamento dos dados enviados através do site.

Uma auditoria RGPD garante conformidade permanente?

A auditoria identifica resultados face ao âmbito, à amostragem e aos critérios definidos. A organização deve manter os processos, corrigir as lacunas e acompanhar alterações nos tratamentos e nos requisitos.

O serviço inclui uma AIPD?

Pode incluir apoio à avaliação da necessidade e à realização de uma AIPD, mediante definição do tratamento e contratação desse âmbito. A organização mantém a responsabilidade pelas decisões sobre o tratamento.

A ISO/IEC 27701 exige sempre uma certificação ISO 27001?

A edição de 2025 é uma norma de sistema de gestão autónoma. A integração com a ISO/IEC 27001 pode ser útil, mas não deve ser confundida com um requisito geral de certificação prévia nessa norma.

Como pedir uma proposta sem partilhar dados pessoais de clientes?

Envie apenas o setor, dimensão aproximada, tipos de processos e objetivo do projeto. Os documentos e acessos necessários são acordados numa fase posterior.