Problema a que responde
Quando uma violação ocorre fora de horas ou em período de férias, a organização raramente dispõe de quem conheça em simultâneo o RGPD, os critérios de risco e os canais de notificação. O relógio das 72 horas não suspende.
Destinatários
- Entidades públicas e privadas de média dimensão;
- Organizações cujo EPD acumula outras funções;
- Grupos com várias entidades e tratamentos distribuídos.
Entregáveis
- Linha de ativação com tempo de resposta contratualizado;
- Triagem regulatória e decisão fundamentada por escrito;
- Preparação assistida da notificação à CNPD e da comunicação aos titulares;
- Atualização do registo de violações;
- Revisão anual do procedimento e relatório de atividade.
Metodologia
- 01
Integração
Conhecimento prévio dos tratamentos, sistemas, contactos e procedimentos do cliente.
- 02
Ativação
Receção do alerta e abertura do registo do incidente.
- 03
Decisão
Avaliação de risco, fundamentação e apoio à decisão do responsável.
- 04
Notificação e fecho
Notificação, comunicação, registo e lições aprendidas.
Fundamento normativo
- Artigos 33.º, 34.º e 39.º do RGPD;
- Contraordenações graves das alíneas i) a k) do n.º 1 do artigo 38.º da Lei n.º 58/2019.
Resultados esperados
- Cumprimento dos prazos em qualquer altura do ano;
- Decisões consistentes e documentadas;
- Redução da exposição sancionatória.
A decisão de notificar pertence sempre ao responsável pelo tratamento. Quando o prestador exerce igualmente a função de EPD na mesma entidade, a articulação das funções é analisada previamente para prevenir conflitos de interesses, nos termos do n.º 6 do artigo 38.º do RGPD.