Conteúdo obrigatório nos termos do art. 30.º, n.º 1
- Finalidades do tratamento
- Categorias de titulares e de dados
- Categorias de destinatários
- Transferências para fora da UE e garantias
- Prazos de apagamento dos dados
- Medidas técnicas e organizativas de segurança (descrição geral)
O subcontratante mantém um registo espelhado para as atividades realizadas por conta de cada responsável (art. 30.º, n.º 2 do RGPD).
Folha de cálculo ou software dedicado
Um registo por cliente, com os prazos certos
No DPO Workspace, cada cliente tem o seu próprio registo nos termos do art. 30.º, ligado aos documentos, à avaliação de impacto e às violações de dados -- cada prazo de revisão com o seu fundamento jurídico, não um número ao acaso. 30 dias grátis, sem cartão de crédito.
Experimentar grátisPerguntas frequentes
O registo de atividades de tratamento é obrigatório também para pequenas empresas?
O art. 30.º, n.º 5 do RGPD isenta formalmente as organizações com menos de 250 trabalhadores, mas as exceções a essa isenção (tratamento não ocasional, dados de categorias especiais, tratamento suscetível de implicar um risco para os direitos e liberdades) cobrem, na prática, quase todas as atividades: trabalhadores, clientes e fornecedores são tratamento não ocasional. Para a generalidade das empresas em Portugal, o registo é, na prática, obrigatório, independentemente da dimensão.
O que deve conter o registo do responsável pelo tratamento?
Para cada atividade de tratamento (art. 30.º, n.º 1): as finalidades do tratamento; as categorias de titulares e de dados; as categorias de destinatários; eventuais transferências para fora da UE e as respetivas garantias; os prazos previstos para o apagamento dos dados; uma descrição geral das medidas técnicas e organizativas de segurança. A isto somam-se os dados de contacto do responsável, dos corresponsáveis, do representante e do Encarregado de Proteção de Dados.
Uma folha de cálculo chega para manter o registo?
Formalmente sim -- o RGPD exige forma escrita, incluindo eletrónica. Na prática, a folha de cálculo funciona enquanto as atividades de tratamento são poucas e há um único responsável. Quando se somam vários clientes, revisões periódicas e ligações à avaliação de impacto e às violações de dados, a folha de cálculo torna-se o ponto fraco da conformidade: as versões desalinham-se, os prazos passam despercebidos, e não há rasto documental para uma inspeção da autoridade de controlo. Um software dedicado acrescenta prazos, histórico de alterações e coerência entre documentos.
Qual a diferença entre o registo do responsável e o do subcontratante?
O responsável pelo tratamento documenta as SUAS PRÓPRIAS atividades de tratamento (art. 30.º, n.º 1); o subcontratante documenta as categorias de atividades realizadas POR CONTA de cada responsável (art. 30.º, n.º 2). Uma mesma empresa pode ter de manter os dois registos: responsável quanto aos seus trabalhadores e clientes, subcontratante quanto aos serviços prestados a terceiros.
Quem fiscaliza o registo de atividades de tratamento em Portugal?
A Comissão Nacional de Proteção de Dados (CNPD). O registo é habitualmente o primeiro documento pedido quando a CNPD abre um processo de inspeção, por isso tem de estar atualizado, e não preparado à pressa quando o pedido chega.
Um registo vivo, não uma folha esquecida
Registo do art. 30.º, avaliação de impacto, violações, documentos e prazos de cada cliente, numa só plataforma.
Começar grátis