TL;DR
No registo das atividades: catálogo de 35 medidas do art. 32.º para assinalar e completar, 26 tipos de dados sob as seis categorias jurídicas, e país de destino escolhido numa lista que declara a sua situação face ao Capítulo V. Nenhuma das três decide por si.
O problema: a mesma frase, em cada tratamento
Quem mantém um registo do art. 30.º para vários responsáveis conhece a cena: o campo das medidas de segurança é uma caixa vazia, e lá dentro reescreve-se sempre o mesmo. Controlo de acessos, cópias de segurança, antivírus. Depois o tratamento seguinte, e recomeça-se. Não é só uma questão de tempo: uma medida escrita à pressa fica mal escrita, e numa verificação uma lista desigual entre tratamentos do mesmo responsável é a primeira coisa que salta à vista.
Um catálogo que propõe, e que não fecha nada
As 35 medidas estão em nove grupos ancorados ao artigo que as nomeia: controlo de acessos, cifragem e pseudonimização, cópias de segurança, continuidade, proteção de rede, dispositivos, medidas organizativas, registo, verificação e apagamento. Assinalam-se, tornam-se etiquetas na ficha, e o campo de texto permanece ao lado para o que no caso concreto é diferente. Nenhum registo já preenchido perde uma linha.
- As sugestões no topo nascem do próprio tratamento: as categorias especiais fazem subir a cifragem em repouso, o registo de acessos e a autenticação forte; uma transferência para fora da UE convoca as medidas suplementares discutidas depois de Schrems II.
- Entre as entradas está a verificação periódica da eficácia, exigida pelo art. 32.º, n.º 1, alínea d), e que quase nenhum registo contempla.
- A exportação CSV junta as medidas assinaladas e o texto livre: quem abre o ficheiro vê o que está no ecrã.
Categorias de dados: as seis jurídicas ficam, o detalhe chega por baixo
As seis caixas — dados comuns, categorias especiais, condenações, menores, biométricos, genéticos — dizem a que título os dados são tratados, e servem para ligar o fundamento do art. 6.º e a condição do art. 9.º, n.º 2. Não dizem que dados. Agora sob cada uma há 26 tipos descritivos, mais um campo para os próprios. Acelera o preenchimento, mas sobretudo ajuda a responder ao titular que pergunta que dados lhe dizem respeito, como exige o art. 15.º, n.º 1, alínea b).
«Os Estados Unidos são adequados» é a frase que mais estragos faz
Na ficha da transferência — e na do subcontratante — o país já não é uma caixa de texto. Escolhe-se numa lista agrupada por situação, e por baixo aparece o que implica. O caso que conta é a adequação parcial: a decisão sobre os Estados Unidos abrange apenas as organizações certificadas no Data Privacy Framework, para os tratamentos declarados na certificação; a do Canadá apenas as organizações comerciais sujeitas à PIPEDA. Fora disso é necessário um instrumento do art. 46.º com avaliação de impacto da transferência.
O que o programa não faz
Não determina se as medidas são adequadas: a adequação depende do risco, do estado da técnica e dos custos (art. 32.º, n.º 1), e essa avaliação pertence a quem assina. Não deduz a qualificação jurídica dos dados: se indicar dados de saúde sem ter assinalado «categorias especiais», o formulário sinaliza-o e fica por aí. E não substitui a lista da Comissão sobre decisões de adequação, que continua a ser a fonte a consultar: os casos em movimento — Reino Unido e Estados Unidos — levam uma marca que o recorda.
As três alterações nascem de um reparo recebido durante um período de experiência gratuito. Se algo o atrasa ao usar a plataforma, dizê-lo serve: é assim que as coisas se movem.
Looking for a workspace for your DPO work?
DPO Workspace is built by a certified DPO. 30-day free trial.
Start free
