Kit Documental de Gestão de Violações

Problema a que responde

No momento de uma violação, não há tempo para redigir procedimentos, discutir critérios de risco ou procurar minutas. A falta de instrumentos preparados é uma das principais causas de notificações tardias, incompletas ou mal fundamentadas.

Destinatários

• Responsáveis pelo tratamento que ainda não dispõem de procedimento formal;
• EPD que pretendem normalizar a resposta em várias entidades;
• Subcontratantes que necessitam de procedimento de alerta ao responsável.

Entregáveis

• Procedimento de gestão de violações de dados pessoais, com fluxograma e matriz de responsabilidades;
• Registo de violações que cumpre o n.º 5 do artigo 33.º do RGPD;
• Matriz de avaliação de risco e de elevado risco com fundamentação da decisão;
• Minutas de notificação à CNPD e de comunicação aos titulares em linguagem clara;
• Cláusulas contratuais para subcontratantes sobre alerta e assistência.

Metodologia

1. 01

   Levantamento

   Identificação dos tratamentos críticos, dos subcontratantes e dos papéis existentes.

2. 02

   Adaptação

   Personalização dos modelos à estrutura, ao setor e aos sistemas da organização.

3. 03

   Validação

   Revisão conjunta com o EPD e a direção.

4. 04

   Entrega e formação

   Sessão de apresentação e integração nos procedimentos internos.

Fundamento normativo

• Artigos 33.º e 34.º do RGPD;
• Alínea f) do n.º 3 do artigo 28.º do RGPD, sobre a assistência do subcontratante;
• Orientações 9/2022 do Comité Europeu para a Proteção de Dados.

Resultados esperados

• Decisões de notificação mais rápidas e fundamentadas;
• Registo completo, incluindo as violações não notificadas;
• Relações contratuais com subcontratantes alinhadas com os prazos.

Articulação ecossistémica