Com o novo Regulamento Geral de Protecção de Dados (GDPR), as empresas que processam dados terão de garantir que têm registos detalhados do que estão a fazer com os dados.
O Artigo 30 diz: "Cada responsável pelo tratamento e, quando aplicável, o seu representante, manterá um registo das actividades de tratamento sob a sua responsabilidade".
O GDPR verá o fim de qualquer distinção entre registos internos e externos. Existe agora apenas um tipo de registo - o registo interno - que tem de ser disponibilizado às autoridades de supervisão a pedido destas.
Em casos extremos, o não cumprimento dos requisitos do GDPR poderá ver a sua organização enfrentar uma multa de até 20 milhões de euros ou 4% ou um volume de negócios global anual - o que for mais elevado.
Controlador ou Processador
Se é a sua organização que decide para que finalidade os dados estão a ser recolhidos, ou como estão a ser recolhidos, então é o seu controlador de dados.
No entanto, se estiver a fazer o processamento em nome de outra organização, então é um processador de dados. É provável que a sua organização seja simultaneamente um controlador e um processador.
O novo regulamento GDPR tem um conjunto rigoroso de requisitos a seguir tanto para os controladores de dados como para os processadores de dados. Afirma que deve registar:
1) Os seus dados organizacionais, e os dados de contacto do seu responsável pela protecção de dados. Além disso, se a sua empresa não estiver dentro da UE, deve fornecer os detalhes do seu representante designado na UE
2) Uma descrição das medidas de segurança que tem em vigor para proteger os dados. Isto inclui tanto as medidas técnicas de segurança, tais como a cifragem, como a segurança organizacional, por exemplo, restrições internas sobre quem tem acesso a que partes da rede
3) Para transferências de dados fora do EEE, as organizações terão de documentar para onde os dados estão a ser transferidos e as salvaguardas em vigor para proteger esses dados.
Artigo 30 - O que significa para o Controlador?
Se o seu papel é agir como responsável pelo tratamento, então cabe-lhe a si determinar a finalidade do tratamento dos dados.
Terá também de registar os tipos de pessoas cujos dados está a trabalhar, e os tipos de dados com os quais está a trabalhar, que inevitavelmente serão diferentes dependendo da natureza do seu negócio.
Se for um controlador, também terá de registar os tipos de destinatários a quem vai divulgar dados. É também da responsabilidade do responsável pelo tratamento documentar o período de tempo que planeia manter cada categoria de dados antes de estes serem apagados.
Artigo 30 - O que é que significa para o Processador?
Se for o processador, terá de lidar com a documentação dos dados. Terá de registar:
- Os nomes e dados de contacto do responsável pelo tratamento de dados
- Os dados do RPD do responsável pelo tratamento de dados (se o tiver) e do seu representante, se não estiver estabelecido na UE.
Isto pode não parecer muito tributário, mas é preciso ter em conta que o processador médio, por exemplo, uma agência de marketing, estaria a processar dados em nome de numerosos clientes. Estes dados devem também ser registados para cada controlador em nome de quem o processador está a processar dados.
Além disso, os processadores precisam de documentar as diferentes categorias de processamento que estão a ser realizadas em nome de cada controlador. A GDPR define processamento como: "qualquer operação ou conjunto de operações que seja efectuado sobre dados pessoais ou sobre conjuntos de dados pessoais, seja ou não por meios automatizados, tais como recolha, registo, organização, estruturação, armazenamento, adaptação ou alteração, recuperação, consulta, utilização, divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, alinhamento ou combinação, restrição, apagamento ou destruição".
Com tantas variáveis, pode-se ver como isto pode tornar-se um problema complexo muito rapidamente.
O que mais precisa de saber sobre o Artigo 30?
Muitos não estão preparados para este nível de conformidade de protecção de dados. Precisarão rapidamente de adoptar directrizes de privacidade maduras que possam auditar actividades de processamento de dados em múltiplos departamentos, empresas e mercados.
Deve ter um registo de todo o processamento de dados, quer os dados estejam ou não em formato escrito ou electrónico, e deve estar disponível para a sua autoridade de controlo local quando esta o solicite.
Preparação para o Artigo 30
É necessário identificar a função empresarial relevante e as actividades de processamento de dados de terceiros, devendo ser criado um Registo de Dados Pessoais. As suas políticas e avisos de privacidade devem ser actualizados e o pessoal interno deve ser posto ao corrente da GDPR no que diz respeito ao seu cargo específico.
Num contexto mais amplo, o núcleo do GDPR reside na sua ênfase na responsabilização. Deve ser estabelecida uma cadeia de responsabilização a nível de departamento, empresa e organização, a fim de manter um tratamento consistente de incidentes, processos operacionais e actividades de informação. Pode ler mais sobre a importância da prestação de contas no nosso blog anterior aqui.
Se desejar ajuda adicional com o seu projecto GDPR, pode visitar-nos numa das nossas paragens como parte da nossa exposição itinerante GDPR para a Dummies, que em breve estará a chegar a uma cidade perto de si. Registe-se aqui para os briefings gratuitos do pequeno-almoço.
Também criámos MetaPrivacy - uma solução GDPR que foi especificamente concebida para ajudar o seu negócio a lidar com o Artigo 30. Para mais informações sobre MetaPrivacy e os nossos outros recursos GDPR, visite aqui.
