CET em Cibersegurança · IEFP Alcoitão

Política de Conformidade com o RGPD e Segurança da Informação

Enquadramento legal e medidas técnicas de proteção de dados pessoais

1. Introdução

Cada vez mais organizações - independentemente da sua dimensão - tratam dados pessoais de clientes, colaboradores e parceiros no seu dia a dia: em sistemas de faturação, plataformas de gestão de recursos humanos, ferramentas de marketing ou simples folhas de cálculo partilhadas. O Regulamento Geral sobre a Proteção de Dados (RGPD), em vigor desde 25 de maio de 2018, veio estabelecer um quadro comum, diretamente aplicável em toda a União Europeia, que obriga estas organizações a tratar essa informação de forma lícita, transparente e segura.

A conformidade com o RGPD não se esgota, no entanto, numa leitura do texto legal. Sem medidas técnicas e organizativas concretas - cifra, controlo de acessos, cópias de segurança, gestão de incidentes - os princípios do Regulamento permanecem letra morta. É por isso que este trabalho junta deliberadamente as duas vertentes: a legal, que define o que é exigido e porquê, e a técnica, que define como esses requisitos se traduzem em prática de segurança da informação. O documento termina com uma proposta de estrutura para uma política interna de conformidade, pensada para ser adaptável a uma pequena ou média organização.

2. Enquadramento Legal do RGPD

2.1 Origem e Objetivos

O Regulamento (UE) 2016/679, conhecido como RGPD, substituiu a Diretiva 95/46/CE e passou a ser diretamente aplicável em todos os Estados-Membros, sem necessidade de transposição - ao contrário de uma diretiva, um regulamento tem aplicação direta e uniforme. Em Portugal, a Lei n.º 58/2019, de 8 de agosto, assegura a execução do RGPD na ordem jurídica nacional, definindo aspetos complementares e atribuindo à Comissão Nacional de Proteção de Dados (CNPD) o papel de autoridade de controlo. O objetivo central do RGPD é proteger os direitos e liberdades fundamentais das pessoas singulares, em particular o direito à proteção de dados pessoais consagrado no artigo 8.º da Carta dos Direitos Fundamentais da União Europeia.

2.2 Princípios Fundamentais (Artigo 5.º)

O artigo 5.º do RGPD condensa sete princípios que orientam qualquer tratamento de dados pessoais:

• Licitude, lealdade e transparência - os dados devem ser tratados de forma lícita, de boa-fé e de modo transparente para o titular.
• Limitação das finalidades - os dados só podem ser recolhidos para finalidades determinadas, explícitas e legítimas, não podendo ser posteriormente tratados de forma incompatível com essas finalidades.
• Minimização dos dados - apenas devem ser tratados os dados adequados, pertinentes e limitados ao necessário para a finalidade em causa.
• Exatidão - os dados devem ser exatos e atualizados, devendo ser corrigidos ou apagados sem demora quando inexatos.
• Limitação da conservação - os dados só devem ser conservados durante o período necessário às finalidades do tratamento.
• Integridade e confidencialidade - os dados devem ser tratados de forma a garantir a sua segurança, incluindo proteção contra tratamento não autorizado, perda ou destruição acidental.
• Responsabilidade (accountability) - o responsável pelo tratamento deve ser capaz de demonstrar o cumprimento de todos os princípios anteriores.

Este último princípio - a responsabilidade - é o que justifica, na prática, a existência de políticas escritas como a que se propõe na secção 4: não basta cumprir o RGPD, é preciso conseguir demonstrar esse cumprimento perante a CNPD, auditores ou os próprios titulares dos dados.

2.3 Bases de Licitude do Tratamento (Artigo 6.º)

Todo o tratamento de dados pessoais tem de assentar em, pelo menos, uma das seguintes bases de licitude:

• Consentimento - o titular deu o seu consentimento, livre, específico, informado e inequívoco, para uma ou mais finalidades específicas.
• Execução de contrato - o tratamento é necessário para a execução de um contrato em que o titular é parte, ou para diligências pré-contratuais.
• Obrigação legal - o tratamento é necessário para o cumprimento de uma obrigação jurídica a que o responsável esteja sujeito.
• Interesses vitais - o tratamento é necessário para proteger interesses vitais do titular ou de outra pessoa singular.
• Interesse público - o tratamento é necessário para o exercício de funções de interesse público ou de autoridade pública.
• Interesses legítimos - o tratamento é necessário para efeitos dos interesses legítimos prosseguidos pelo responsável, desde que não prevaleçam os interesses ou direitos fundamentais do titular.

Quando a base escolhida é o consentimento, o artigo 7.º exige que este seja demonstrável, apresentado de forma distinta de outros assuntos, em linguagem clara e simples, e que o titular possa retirá-lo a qualquer momento com a mesma facilidade com que o deu. Refira-se ainda que categorias especiais de dados - saúde, origem racial ou étnica, convicções religiosas, dados biométricos ou genéticos, entre outras - estão sujeitas a condições adicionais nos termos do artigo 9.º, exigindo, regra geral, consentimento explícito ou outra base reforçada.

2.4 Direitos dos Titulares dos Dados

Os artigos 12.º a 23.º do RGPD atribuem aos titulares um conjunto de direitos que qualquer organização deve estar preparada para atender, em regra no prazo de um mês, prorrogável em casos justificados:

• Direito de acesso - saber que dados são tratados, para que finalidade e por quanto tempo.
• Direito de retificação - corrigir dados incompletos ou inexatos.
• Direito ao apagamento - solicitar o apagamento dos dados, popularmente conhecido como "direito a ser esquecido", quando deixem de ser necessários ou o consentimento seja retirado.
• Direito à limitação - solicitar que o tratamento seja suspenso, mantendo-se os dados armazenados, em determinadas circunstâncias.
• Direito à portabilidade - receber os seus dados num formato estruturado e transmiti-los a outro responsável.
• Direito de oposição - opor-se ao tratamento, nomeadamente para fins de marketing direto.
• Direito a não ser sujeito a decisões automatizadas - não ficar sujeito a decisões tomadas exclusivamente com base em tratamento automatizado, incluindo definição de perfis, que produza efeitos jurídicos ou o afete significativamente.
• Direito de reclamação - apresentar queixa junto da CNPD caso considere que os seus direitos não estão a ser respeitados.

2.5 Responsável, Subcontratante e Encarregado de Proteção de Dados

O RGPD distingue claramente o responsável pelo tratamento (quem determina as finalidades e os meios do tratamento) do subcontratante (quem trata dados por conta do responsável, por exemplo um fornecedor de alojamento ou de software de faturação). Sempre que se recorre a um subcontratante, o artigo 28.º exige um contrato - o chamado acordo de tratamento de dados - que defina objeto, duração, natureza e finalidade do tratamento, tipo de dados, obrigações de segurança e condições de subcontratação em cadeia. O responsável deve ainda manter um registo das atividades de tratamento, nos termos do artigo 30.º, documentando finalidades, categorias de dados e destinatários.

O Encarregado de Proteção de Dados (Data Protection Officer, DPO) é obrigatório nos casos previstos no artigo 37.º: entidades públicas, organizações cuja atividade principal implique monitorização sistemática e em larga escala de titulares, ou tratamento em larga escala de categorias especiais de dados. As suas funções incluem informar e aconselhar o responsável e os colaboradores, monitorizar o cumprimento do RGPD, cooperar com a CNPD e servir de ponto de contacto para titulares e para a autoridade de controlo.

2.6 Transferências Internacionais de Dados

Sempre que dados pessoais são transferidos para fora do Espaço Económico Europeu - por exemplo, para um fornecedor de serviços na nuvem sediado nos Estados Unidos - os artigos 44.º a 49.º exigem garantias adicionais: uma decisão de adequação da Comissão Europeia relativa ao país de destino, cláusulas contratuais-tipo, regras vinculativas de empresa (binding corporate rules) ou, em casos limitados, derrogações específicas. Este ponto é particularmente relevante para qualquer organização que utilize serviços digitais alojados fora da UE, devendo ser verificado antes da contratação de qualquer fornecedor.

2.7 Violação de Dados Pessoais e Dever de Notificação

Uma violação de dados pessoais - acesso, divulgação, alteração ou perda acidental ou ilícita de dados - desencadeia obrigações de notificação com prazos apertados. O artigo 33.º exige que o responsável notifique a CNPD no prazo de 72 horas após ter tomado conhecimento da violação, salvo se for pouco provável que a violação resulte em risco para os direitos e liberdades das pessoas. Se o risco for elevado, o artigo 34.º exige ainda que os próprios titulares sejam informados, em linguagem clara, sobre a natureza da violação e as medidas tomadas. Mesmo quando a notificação à CNPD não é exigida, é boa prática manter um registo interno de todos os incidentes, incluindo os que não atingiram o limiar de notificação - este registo é, aliás, parte do princípio de responsabilidade referido em 2.2.

2.8 Sanções e Coimas (Artigo 83.º)

O RGPD prevê um regime sancionatório dissuasor, organizado em dois patamares: infrações menos graves podem ser sancionadas até 10 milhões de euros ou 2% do volume de negócios anual mundial do exercício anterior, consoante o valor mais elevado; infrações mais graves - como violação dos princípios base, das condições de consentimento ou dos direitos dos titulares - podem chegar aos 20 milhões de euros ou 4% do volume de negócios mundial. Além das coimas, a CNPD dispõe de outros poderes corretivos, como advertências, repreensões ou a limitação e até proibição temporária ou definitiva do tratamento. Mais importante do que o valor das coimas é, contudo, encarar a conformidade como um processo contínuo de gestão de risco, e não apenas como uma forma de evitar penalizações.

3. Segurança da Informação - Medidas Técnicas e Organizativas

3.1 O Artigo 32.º e a Ligação à Segurança da Informação

O RGPD não prescreve tecnologias específicas - opta antes por uma abordagem baseada em risco. O artigo 32.º exige que o responsável e o subcontratante apliquem "medidas técnicas e organizativas adequadas", tendo em conta o estado da arte, os custos de implementação, a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como os riscos para os direitos e liberdades das pessoas. O mesmo artigo nomeia explicitamente, a título de exemplo, a pseudonimização e a cifra dos dados pessoais, a capacidade de assegurar a confidencialidade, integridade, disponibilidade e resiliência dos sistemas, a capacidade de restaurar a disponibilidade e o acesso aos dados após incidente, e um processo de testagem e avaliação regular da eficácia das medidas implementadas.

3.2 Pseudonimização e Cifra de Dados

A pseudonimização substitui identificadores diretos por códigos, mantendo a informação que permite reverter essa substituição separada e protegida - ao contrário da anonimização, que é irreversível e retira os dados do âmbito de aplicação do RGPD, a pseudonimização mantém os dados como dados pessoais, mas reduz significativamente o risco em caso de acesso indevido. A cifra, por sua vez, deve ser aplicada tanto a dados em repouso (por exemplo, bases de dados e cópias de segurança, tipicamente com AES-256) como a dados em trânsito (ligações TLS entre sistemas e para o utilizador final). A gestão das chaves de cifra - quem as gera, onde são guardadas e como são rodadas periodicamente - é tão importante como o próprio algoritmo escolhido.

3.3 Controlo de Acessos e Autenticação

O princípio do menor privilégio determina que cada utilizador ou sistema deve ter apenas os acessos estritamente necessários às suas funções, tipicamente organizados através de controlo de acesso baseado em funções (RBAC). A autenticação multifator (MFA) deve ser exigida sempre que possível, em particular para acessos remotos e para contas com privilégios administrativos. Os acessos devem ser revistos periodicamente, e as contas de antigos colaboradores ou prestadores devem ser desativadas de imediato - um dos vetores de incidente mais comuns é, precisamente, a manutenção de acessos que já deveriam ter sido revogados. O registo (log) de acessos e a sua análise regular permitem detetar comportamentos anómalos antes de se tornarem incidentes.

3.4 Cópias de Segurança, Continuidade e Recuperação

A regra prática "3-2-1" - três cópias dos dados, em dois suportes diferentes, com pelo menos uma cópia fora das instalações - continua a ser uma referência simples e eficaz para o planeamento de cópias de segurança. Tão importante como fazer cópias é testar regularmente o processo de restauro: uma cópia de segurança nunca testada é, na prática, uma falsa garantia. Organizações com maior maturidade devem ainda documentar um Plano de Continuidade de Negócio (PCN) e um Plano de Recuperação de Desastre (DRP), definindo objetivos de tempo de recuperação (RTO) e de ponto de recuperação (RPO) para os sistemas críticos.

3.5 Privacy by Design e Privacy by Default (Artigo 25.º)

O artigo 25.º introduz duas ideias complementares. A proteção de dados desde a conceção (privacy by design) exige que a proteção de dados seja considerada logo na fase de desenho de qualquer sistema, produto ou processo - e não acrescentada a posteriori. A proteção de dados por defeito (privacy by default) exige que, sem qualquer ação do utilizador, apenas os dados necessários para cada finalidade específica sejam tratados. Na prática, isto traduz-se em decisões concretas: campos opcionais de um formulário não devem vir pré-selecionados, os prazos de conservação devem ser aplicados automaticamente pelos sistemas, e o acesso à informação numa base de dados deve ser compartimentado por defeito, e não aberto por omissão.

3.6 Avaliação de Impacto sobre a Proteção de Dados - DPIA (Artigo 35.º)

Uma Avaliação de Impacto sobre a Proteção de Dados (Data Protection Impact Assessment, DPIA) é obrigatória sempre que um tratamento, em particular o que recorre a novas tecnologias, seja suscetível de resultar num elevado risco para os direitos e liberdades das pessoas - por exemplo, tratamento em larga escala de categorias especiais de dados ou monitorização sistemática e em larga escala de zonas de acesso público. Uma DPIA típica descreve o tratamento e as suas finalidades, avalia a necessidade e proporcionalidade das operações, identifica os riscos para os titulares e define as medidas previstas para os mitigar. Quando, mesmo após a definição dessas medidas, subsista um risco residual elevado, o responsável deve consultar previamente a CNPD, nos termos do artigo 36.º.

3.7 Alinhamento com Normas Internacionais - ISO/IEC 27001 e 27701

Embora o RGPD não exija formalmente uma certificação, adotar um referencial normativo reconhecido facilita muito a conformidade. A norma ISO/IEC 27001:2022 define os requisitos de um Sistema de Gestão de Segurança da Informação (SGSI) certificável, apoiado num conjunto de controlos organizados no seu Anexo A - políticas, controlo de acessos, criptografia, segurança física, gestão de incidentes, entre outros. A norma ISO/IEC 27701 estende este sistema a um verdadeiro Sistema de Gestão de Informação de Privacidade (SGIP), com controlos que se mapeiam diretamente para requisitos concretos do RGPD. Para uma organização, adotar estes referenciais traz benefícios que vão além da conformidade legal: uma estrutura de governação mais robusta, maior facilidade em auditorias externas e um argumento de credibilidade perante clientes e parceiros de negócio.

4. Proposta de Política de Conformidade - Estrutura e Boas Práticas

4.1 Objetivo, Âmbito e Aplicabilidade

Uma política de conformidade com o RGPD e de segurança da informação deve começar por declarar, de forma simples, o seu objetivo - assegurar que todo o tratamento de dados pessoais realizado pela organização respeita o RGPD e a legislação nacional aplicável - e o seu âmbito de aplicação: colaboradores, estagiários, prestadores de serviços e qualquer subcontratante que trate dados em nome da organização. Deve ainda esclarecer a sua relação com outras políticas internas já existentes, como uma eventual política de segurança da informação, uma política de utilização aceitável de equipamentos informáticos, ou uma política de retenção documental, evitando sobreposições ou contradições entre documentos.

4.2 Papéis e Responsabilidades

A política deve atribuir claramente responsabilidades a diferentes níveis da organização:

• Direção / Administração - aprova a política, garante os recursos necessários à sua implementação e assume a responsabilidade final pela conformidade.
• Encarregado de Proteção de Dados - supervisiona a conformidade, aconselha sobre tratamentos de risco elevado e serve de ponto de contacto com a CNPD, quando aplicável.
• Responsáveis de área ou processo - aplicam a política nos tratamentos concretos de que são donos, mantendo atualizado o respetivo registo de atividades.
• Departamento de TI / Segurança - implementam e mantêm as medidas técnicas - cifra, controlo de acessos, cópias de segurança, deteção de incidentes.
• Todos os colaboradores - cumprem as regras definidas, reportam de imediato qualquer suspeita de incidente e participam nas ações de formação.

4.3 Gestão de Incidentes de Segurança

A política deve descrever um procedimento formal de resposta a incidentes, com fases claramente definidas: deteção do incidente; contenção imediata para limitar o impacto; avaliação de risco, envolvendo a equipa técnica e o Encarregado de Proteção de Dados; decisão fundamentada sobre a necessidade de notificação; erradicação da causa; recuperação dos sistemas e dos dados; e, por fim, registo do incidente e extração de lições aprendidas que alimentem a revisão periódica da própria política. O prazo de 72 horas para notificação à CNPD, referido em 2.7, torna esta cadeia de decisão especialmente sensível ao tempo - por isso, a política deve identificar antecipadamente quem tem autoridade para decidir notificar, evitando perdas de tempo em momentos de crise.

4.4 Formação e Sensibilização dos Colaboradores

Grande parte dos incidentes de segurança tem origem em erro humano, e não em falhas puramente técnicas. Por isso, a política deve prever ações de formação obrigatórias no acesso à organização (onboarding) e ações de reforço periódicas, idealmente anuais, complementadas por simulações práticas - por exemplo, campanhas simuladas de phishing - e por comunicação clara e recorrente de boas práticas: gestão de palavras-passe, bloqueio automático de ecrã, cuidado com anexos e ligações de origem desconhecida, e o dever de reportar de imediato qualquer suspeita de incidente, mesmo que pareça de menor gravidade. A proteção de dados deve ser entendida como responsabilidade de todos, e não apenas do departamento de TI ou do Encarregado de Proteção de Dados.

4.5 Monitorização, Auditoria e Revisão Periódica

Por fim, a política deve prever a sua própria monitorização: auditorias internas regulares e, quando possível, auditorias externas independentes; indicadores simples mas úteis, como o número de incidentes reportados, o tempo médio de resposta ou a taxa de conclusão das ações de formação; e uma revisão formal da política pelo menos uma vez por ano, ou sempre que ocorram alterações legislativas relevantes, mudanças significativas na organização ou lições aprendidas de incidentes anteriores. O registo de atividades de tratamento, previsto no artigo 30.º do RGPD, deve ser atualizado com a mesma periodicidade, de forma a refletir com rigor a realidade da organização.

6. Referências

• Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016 (Regulamento Geral sobre a Proteção de Dados).
• Lei n.º 58/2019, de 8 de agosto - assegura a execução, na ordem jurídica nacional, do Regulamento (UE) 2016/679.
• Comissão Nacional de Proteção de Dados (CNPD) - www.cnpd.pt
• ISO/IEC 27001:2022 - Information security, cybersecurity and privacy protection - Information security management systems.
• ISO/IEC 27701:2019 - Security techniques - Extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy information management.
• ENISA - European Union Agency for Cybersecurity, publicações sobre gestão de risco e resposta a incidentes.
• European Data Protection Board (EDPB) - orientações e diretrizes interpretativas do RGPD.