Roteiro de

data governance
Conformidade com o RGPD e Melhores
Práticas

Sensibilização,
Formação
e
Comunicação

Mapeamento de Dados e
Análise de Lacunas
Analise os dados que trata e
identifique o fundamento jurídico, a
eventual existência de transferências
internacionais e as vulnerabilidades.

1 AVALIAÇÃO DE
MAPEAMENTO DE
DADOS
Defina que dados serão tratados,
classificando-os por categorias e
estabelecendo as finalidades do seu
tratamento.
Defina quem terá acesso aos dados.
RISCOS E LACUNAS
2
Avalie a existência de potenciais riscos,
incluindo lacunas na proteção dos
dados e na segurança da informação,
e as suas consequências.
Aplique medidas que assegurem um
nível de segurança adequado ao risco,
garantindo a confidencialidade,
integridade e disponibilidade dos
dados.

Políticas e Contratos
Implemente políticas de privacidade e de
cibersegurança a nível interno e externo,
e celebre contratos adequados com
terceiros que processem dados pessoais.

POLÍTICA/AVISO DE
PRIVACIDADE
Documento que reflete como a sua
organização aplica (e cumpre) o disposto
no RGPD em matéria de proteção de dados
pessoais.
Estes documentos podem ser de aplicação
externa (por ex. dirigidos a clientes) ou
interna (dirigidos aos colaboradores da
empresa) e informam o titular dos dados
sobre a forma como os seus dados são
tratados pelo responsável pelo tratamento
(quais as finalidades do tratamento, o
fundamento jurídico, os destinatários dos
dados, os prazos de conservação, os
direitos dos titulares, entre outros).
3
ACORDO DE
4
TRATAMENTO DE DADOS
Acordo entre o responsável pelo tratamento
de dados (por ex. a sua empresa) e o
subcontratante (um terceiro a quem o
responsável/empresa contrata serviços que
implicam o tratamento de dados pessoais),
com o objetivo de estabelecer os termos em
que os dados pessoais serão tratados (por
ex., o objeto e a duração do tratamento, a
natureza e finalidade do tratamento, o tipo
de dados pessoais).

6 TRANSFERÊNCIAS
INTERNACIONAIS DE
DADOS
Salvo se existir alguma decisão de
adequação da Comissão aplicável ao
país terceiro em questão, o responsável
pelo tratamento ou o subcontratante
só poderão transferir dados pessoais
para um país terceiro (fora do Espaço
Económico Europeu) se estiverem
implementadas garantias adequadas,
tais como standard contractual
clauses adotadas pela Comissão.
5
RESPONSÁVEIS
CONJUNTOS
Acordo para quando dois ou mais
responsáveis pelo tratamento determinem,
em conjunto, as finalidades e os meios do
tratamento de dados pessoais.
Enquanto que o Acordo de Tratamento de
Dados regula a relação entre o
responsável pelo tratamento e o
subcontratante, este Acordo determina as
responsabilidades de cada um dos
responsáveis conjuntos.
 7 CIBERSEGURANÇA E POLÍTICA DE RESPOSTA A
INCIDENTES
Certifique-se de que tem implementado um procedimento que regule a prevenção e os
meios de reação a incidentes de privacidade e cibersegurança.

A política poderá incluir estes pontos:

Deteção e análise
Funções e responsabilidades
Ações de mitigação e recuperação
Comunicação de incidentes

Gestão e avaliação de risco

Realize avaliações regularmente e implemente
processos adequados de modo a identificar
lacunas e mitigar os riscos.

AVALIAÇÃO DE IMPACTO
SOBRE A PROTEÇÃO DE
8
DADOS (DPIA)
Processo concebido para avaliar o impacto
das operações de tratamento de dados
pessoais e identificar os riscos daí decorrentes,
com vista a minimizar esses riscos (é AVALIAÇÃO DE 9
obrigatório quando o tratamento é suscetível IMPACTO
de implicar um elevado risco para os direitos e ALGORÍTMICO
liberdades das pessoas singulares).
Ferramenta de avaliação de risco que
determina o nível de impacto de um
sistema de decisão automatizada
(para os tratamentos que envolvem
inteligência artificial)

Direitos do Titular dos

Dados e Auditorias
Certifique-se de que dispõe de
mecanismos eficientes para
fornecer assistência aos titulares
dos dados e à autoridade de
controlo.

AUDITORIAS INTERNAS E EXTERNAS

10
As auditorias internas e/ou externas são consideradas boas práticas para avaliar a
implementação interna do RGPD e podem servir como prova de conformidade a
apresentar à autoridade de controlo.
As auditorias podem também revelar erros e deficiências na implementação interna
do RGPD, representando um "reality check" útil para garantir o pleno cumprimento.

Este documento foi preparado com fins meramente informativos e a informação nele contida é geral, podendo não
aplicar-se ao seu tipo de negócio, dependendo, designadamente, da dimensão e de outros critérios relevantes.

Esta informação não substitui nenhum aconselhamento jurídico para a resolução de casos específicos.