IN DEEP

PASSOS PARA PREPARAR O NOVO

14 REGULAMENTO GERAL DE PROTEO
DE DADOS DA UE
Propomos uma abordagem em 14 passos para preparar a sua organizao, ao
longo dos prximos 20 meses, para o cumprimentos do RGPD

DESTE MODO, AS ORGANIZAES ficam em 2 PRIVACY BY DESIGN

condies de reportar ao regulador, demonstrar de O RGPD torna o Privacy by Design um requisito

forma expedita o cumprimento das normas, e dar legal explcito e um auxiliar precioso para abordar
resposta a auditorias de conformidade, protegendo o desafio, pelo que deve familiarizar-se com a meto-
assim os seus clientes e o seu negcio. dologia e implement-la na sua organizao.
- Renato Pao -
Management and Digital
1 CONHECIMENTO & PROGRAMA DE 3 AWARENESS Consultant, Claranet

TRANSFORMAO Coloque a privacidade na agenda da sua organiza-

A gesto de topo deve inteirar-se das implica-
es. Crie um programa de transformao para
o cumprimento do RGPD. Envolva as vrias
reas do negcio, em particular IT, Risco, Legal e
Auditoria.
o, at que entre na cultura.
Crie um programa de comunicao mobilizador,
que informe a organizao sobre a privacidade, as
alteraes em curso devidas ao RGPD e os riscos de
incumprimento.
ITInsight 28
 IN DEEP

4 ENCARREGADOS DE PROTEO DE
DADOS
Determinar se a organizao necessita de nomear
um Encarregado de Proteo de Dados (Data
Protection Officer), como figura responsvel
pelas obrigaes de conformidade de proteo
de dados, e decidir onde ancorar esta funo na
estrutura e governana da organizao.

5 POLTICA DE PRIVACIDADE
Atualize a Poltica de Privacidade de Dados,
contemplando os aspetos que so novos ou al-
terados no Regulamento. Defina uma escala de
classificao e o tratamento a dar aos dados
pessoais. Envolva o departamento jurdico.
6 ESTABELEA A BASE LEGAL PARA O
TRATAMENTO DOS DADOS
Identifique os vrios tipos de recolha e processa-
mento de dados que realiza, identifique a base ju-
rdica para cada um deles (ex: consentimento), e
documente-os para cumprir com os requi-
sitos de accountability do Regulamento.
7 INVENTARIE OS DADOS PESSOAIS
GUARDA DA ORGANIZAO
Documente que dados pessoais a empre-
sa guarda, onde guarda, durante quan-
to tempo, qual a sua origem, quem tem
acesso, e com quem so partilhados.
Elabore o ciclo de vida de cada item de
informao.
Deve ser necessria uma auditoria in-
formao. Preveja ativos informticos
no documentados e shadow IT.
ITInsight 29
 IN DEEP

8 SUPORTE AOS DIREITOS DOS TITULARES 11 PREPARAR OS CANAIS DE ATENDIMENTO

Reveja os procedimentos para confirmar que cobrem todos os di-
reitos dos titulares dos dados, tais como o direito de serem infor-
mados (exige notificaes de privacidade), o direito de ter os seus
dados apagados e da portabilidade dos dados.
Estes novos requisitos devem ser adicionados a cada novo sistema
de informao.
9 REVEJA A UTILIZAO DE ENCRIPTAO E DE
PSEUDONIZAO
A encriptao considerada pelo RGPD como uma medida de se-
gurana tcnica e organizacional. A pseudonizao, que substitui
os registos identificveis por pseudnimos, permite processar da-
dos para fins para os quais a organizao no obteve consentimen-
to explcito.
Atualize os procedimentos de atendimento a clientes, preparando
os canais de atendimento para lidar com os pedidos relacionados
com privacidade.
12 ATUALIZE O PORTFLIO APLICACIONAL
Avalie o parque atual de aplicaes que processam dados pessoais,
para determinar o gap de conformidade com o Regulamento, e crie
um plano para a atualizao. A segurana deve cobrir todo o ciclo
de vida dos dados, desde o primeiro momento at sua destruio.
13 DATA BREACHES
A sua organizao deve confirmar que tem os processos adequados
para detetar, mitigar, reportar (ao supervisor e aos titulares) e in-
vestigar a violao de dados pessoais.

10 DATA PROTECTION IMPACT ASSESSMENTS 14 ASSEGURAR CUMPRIMENTO DA CADEIA DE

O RGPD torna obrigatria a realizao de Avaliaes de Impacto
de Proteo de Dados (DPIAs), nas situaes consideradas de pro-
cessamento de alto-risco, pelo que deve adotar uma metodologia
que permita agilizar a realizao das DPIA.
FORNECEDORES
Se a organizao delega em fornecedores o processamento e arma-
zenamento de dados pessoais (por exemplo, cloud), deve exigir aos
fornecedores o cumprimento das exigncias do Regulamento.
ITInsight 30