RGPD - Regulamento de proteção de dados pessoais

O Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho de 27 de abril de 2016,  Regulamento Geral de Proteção de dados (RGPD), entrou em vigor a 25 de maio de 2018 e substitui a atual diretiva e lei de proteção de dados pessoais.
As organizações devem implementar o RGPD, garantindo a sua correta aplicação. Para isso, é essencial conhecer as novas regras, analisar obrigações e verificar a conformidade. As medidas a adotar, devem ser estabelecidas em plano de ações e a sua concretização e eficácia, avaliada.

---

O nosso método:

---

Informação aos titulares dos dados:
O RGPD obriga a prestar informações aos titulares dos dados, designadamente a base legal para o tratamento de dados, o prazo de conservação dos dados, informações detalhadas sobre transferência de dados e possibilidade de apresentação de queixa à entidade reguladora. As informações devem ser prestadas de forma concisa, inteligível e de fácil acesso, utilizando uma linguagem clara e simples.

Exercício dos direitos dos titulares dos dados:
A organização deverá rever procedimentos internos de garantia do exercício dos direitos dos titulares dos dados. O titular dos dados tem direito de acesso aos seus dados pessoais, retificação, apagamento, portabilidade, limitação de tratamento e oposição. 

Consentimento dos titulares dos dados:
O regulamento define de que forma as organizações devem obter o consentimento do titular dos dados. A organização deve verificar em que circunstâncias obteve consentimento e se necessário alterar o processo de acordo com os requisitos do RGPD.

Dados sensíveis:
A organização deve avaliar a natureza dos dados que trata, de modo a verificar se se enquadram na categoria de dados sensíveis, aplicando quando necessário, condições específicas para o tratamento dos mesmos.
A organização deve verificar a necessidade de designar um Encarregado de Proteção de Dados, consoante a natureza dos dados que trata, o seu contexto e escala.

Documentação e registo das atividades de tratamento:
As atividades relacionadas com o tratamento de dados pessoais, tanto as que resultam diretamente da obrigação de manter um registo como as relativas a outros procedimentos internos, devem ser documentadas de forma detalhada.

Contratos de subcontratação:
A organização deve rever os contratos de subcontratação de serviços realizados no âmbito de tratamento de dados pessoais, para verificar se contêm todos os elementos exigidos pelo regulamento.

Encarregado de proteção de dados:
A organização deve avaliar a necessidade de designar um Encarregado de proteção de dados. Embora não seja obrigatório para todas as empresas, a existência do mesmo ou de um serviço externo que garanta essa função pode acrescentar muito valor aos processos de cumprimento das obrigações.

Medidas técnicas e organizativas de segurança do tratamento:
A organização deve rever as suas políticas e práticas de modo a demonstrar cumprimento com o RGPD. Deverá considerar a natureza, âmbito, contexto e finalidades dos tratamentos de dados, bem como os riscos que deles podem decorrer para os direitos e liberdades dos titulares dos dados. Esta apreciação permite o desencadear de medidas preventivas e de melhoria.

Proteção de dados desde a conceção e avaliação de impacto:
A organização deve avaliar rigorosamente o tipo de dados que tenha projetado tratar num futuro próximo, nomeadamente em termos da natureza, contexto e potenciais riscos que possam afetar os direitos e liberdades dos titulares dos dados. Se o tratamento de dados, for suscetível de resultar num elevado risco para os direitos dos cidadãos, deve ser realizada uma avaliação de impacto sobre a proteção de dados, de modo a adotar medidas para a mitigação dos riscos.

Notificação de violação da segurança:
A organização deve adotar procedimentos internos e ao nível da subcontratação (quando aplicável), que determinem a forma de lidar com casos de violação de dados pessoais, designadamente deteção, identificação e investigação, medidas de mitigação, circuitos de informação, envolvimento do encarregado de proteção de dados e notificação à entidade reguladora, cumprindo os prazos definidos no regulamento.

---

Peça a sua proposta!

Contacte-nos!