O risco avalia-se dentro do registo, e cada funcionalidade está a uma palavra de distância

Quatro funcionalidades em falta, três das quais existiam

Uma EPD usou a plataforma durante alguns dias e enviou uma lista de coisas que, na sua opinião, não existiam: o registo de violações, a avaliação do risco, o carregamento de documentos e os preços. Três dessas quatro estavam lá há meses. Os preços estão numa página acessível a partir do menu; as violações e os documentos estão dentro da ficha do cliente, que é o lugar certo, porque uma violação diz respeito a um responsável pelo tratamento e não ao escritório.

Podia responder-se explicando onde estão. Teria sido a resposta errada. Se uma profissional experiente procura e não encontra, o problema não é a profissional: é que as secções aninhadas dentro de um cliente não aparecem em lado nenhum enquanto não se abrir um cliente. Saíram daí duas coisas: a funcionalidade que faltava mesmo, e uma forma de encontrar todas as outras.

O risco do art. 32.º, no registo onde faz falta

O art. 32.º, n.º 1, exige medidas adequadas «tendo em conta» o risco «de probabilidade e gravidade variáveis», e o n.º 2 nomeia os eventos a considerar: destruição, perda, alteração, divulgação ou acesso não autorizados. Até ontem o registo recolhia medidas sem dizer contra o quê protegiam. Agora cada tratamento tem três linhas — acesso ilegítimo aos dados, modificação indesejada, perda ou indisponibilidade — e para cada uma indica-se a probabilidade e a gravidade, em quatro graus: insignificante, limitado, significativo, máximo.

• A síntese toma o grau mais alto das três dimensões, não a média: um risco máximo de perda de dados não se compensa com um risco insignificante de modificação, e uma média esconde-lo-ia.
• O risco residual — o que fica depois das medidas — preenche-se apenas se quiser: está atrás de uma caixa, porque declará-lo sem o ter estimado a sério é pior do que deixá-lo vazio.
• Se o risco sair alto e no tratamento não tiver indicado nenhuma medida, o formulário assinala-o. Não o bloqueia: di-lo.
• Quando o risco é significativo ou máximo surge uma remissão para a avaliação de impacto do art. 35.º, e a avaliação já feita é retomada pelo módulo AIPD em vez de ser preenchida de novo.

Uma palavra, e chega lá

Ctrl K, ou Cmd K no Mac, abre uma janela de pesquisa por cima de qualquer página; há também um botão no topo do menu, e outro na barra superior no telemóvel. Escreve-se uma palavra qualquer e aparecem as entradas correspondentes, ordenadas, com uma linha por baixo a dizer onde estão. Os destinos são 29: 19 secções do menu e 10 temas que ficam dentro da ficha do cliente. Ao escolher um desses dez, a pesquisa pergunta para que cliente e leva-o lá; se o cliente for um só, não pergunta nada.

• Procura a etiqueta nas nove línguas, não apenas na ativa: quem aprendeu o ofício em textos ingleses escreve «breach» e encontra as violações mesmo com a interface em português.
• Percebe números de artigo e siglas: «art. 30.º», «art. 33.º», «72», «AIPD», «DSAR», «SCC», «RoPA», «Schrems».
• Não se ofende com o singular nem com o plural: «violação» encontra «Violações de dados».
• Encontra também os clientes por nome e por setor.
• Não acrescenta uma única leitura à base de dados: a lista de clientes é aquela que o menu já mantém em memória para contar os prazos.

Ambos os acrescentos nasceram de um período de experiência gratuito e de uma pessoa que se deu ao trabalho de escrever o que não funcionava. Se algo o atrasa enquanto trabalha, dizê-lo ajuda mesmo.