i. A pseudonimização e a cifragem dos dados pessoais;
ii. A implementação de medidas e ferramentas que permitam assegurar a confidencialidade, integridade, disponibilidade e resiliência dos sistemas e dos serviços de tratamento;
iii. A capacidade de restabelecer a disponibilidade e o acesso aos dados pessoais de forma atempada no caso de um incidente físico ou técnico;
iv. A implementação de processos para testar, apreciar e avaliar regularmente a eficácia das medidas técnicas e organizativas para garantir a segurança do tratamento.
c. Avaliação de impacto sobre a proteção de dados
A Maxmat - Distribuição de Materiais de Construção, Unipessoal Lda. deve considerar a necessidade de serem realizadas avaliações de impacto sobre a proteção de dados pessoais, no desenvolvimento e/ou alteração de/a processos de negócio e sistemas de informação que envolvam dados pessoais, em função do nível de risco para o exercício dos direitos dos titulares, de forma a serem identificados os riscos e respetivos controlos de mitigação.
Todos os gestores do tratamento de dados pessoais devem contactar o Data Protection Officer anteriormente à adoção de novos processos ou sistemas de informação, para confirmar a necessidade de serem realizadas estas avaliações. A responsabilidade por efetuar a avaliação de impacto sobre a proteção de dados pessoais é do responsável pelo tratamento dos dados pessoais.
d. Segregação de funções (Need to know)
Com o objetivo de garantir que os dados pessoais não são acedidos por colaboradores sem legitimidade para as finalidades para os quais foram recolhidos, a Maxmat - Distribuição de Materiais de Construção, Unipessoal Lda. deve estabelecer e seguir um processo de atribuição de acessos à informação (em formato físico ou lógico) e aos dados pessoais baseado no princípio “need to know”. Este princípio dita que apenas deve ser atribuído o acesso estritamente necessário para o desempenho das funções dos utilizadores.
Os perfis de acesso aos sistemas de informação deverão ser configurados de forma a garantir que apenas os utilizadores autorizados possam aceder aos dados pessoais em função da especificidade de cada finalidade.
Este princípio deve ser aplicado enquanto o utilizador trata dados pessoais, desde o pedido inicial de acesso, e aquando da alteração posterior do perfil funcional (e.g. transferência para outro departamento/área de negócio, saída da empresa).
e. Eliminação de dados pessoais
A Maxmat - Distribuição de Materiais de Construção, Unipessoal Lda. deve aplicar mecanismos seguros para a eliminação ou destruição de dados pessoais desnecessários, cujo tratamento é incompatível com as finalidades determinadas, explícitas e legítimas.
Não obstante, o gestor do tratamento dos dados pessoais poderá seguir um processo a fim de verificar se o tratamento para outros fins é compatível com a finalidade para a qual os dados pessoais foram inicialmente recolhidos. Os resultados desta verificação devem ser comunicados ao Data Protection Officer, que por sua vez avaliará a legitimidade dos tratamentos para outras finalidades.
Alternativamente à eliminação, em circunstâncias particulares validadas com o Data Protection Officer, pode ser considerada a conservação dos dados pessoais de uma forma que não permita a identificação dos titulares de dados, nomeadamente através de técnicas de anonimização.
A Maxmat - Distribuição de Materiais de Construção, Unipessoal Lda. deve aplicar um processo periódico de revisão e eliminação de dados pessoais sob a sua responsabilidade.
f. Relação com subcontratados
Para o controlo da exposição ao risco na proteção e tratamento de dados pessoais efetuado por subcontratados, devem ser criados e mantidos mecanismos ativos de monitorização e revisão dos serviços prestados, nomeadamente as condições e termos de segurança estabelecidos nos contratos ou outros atos normativos.
Para a externalização do tratamento e proteção de dados pessoais o responsável pelo seu tratamento deve recorrer preferencialmente a subcontratados que ofereçam garantias suficientes, como por exemplo o cumprimento de códigos de conduta e/ou demonstração de certificações aprovadas pela autoridade de controlo competente em matéria de proteção de dados, quanto à execução de medidas técnicas e organizativas adequadas, de tal forma que a prestação de serviços de tratamento de dados pessoais atenda e cumpra os requisitos definidos no Regulamento Geral sobre a Proteção de Dados Pessoais, nomeadamente no que se refere à segurança do tratamento e ao exercício dos direitos do titular dos dados.
O tratamento em subcontratação deve ser regulado por contrato escrito ou outro ato normativo que vincule o subcontratado ao responsável pelo tratamento, estabeleça o objeto e a duração do tratamento, a natureza e finalidade do tratamento, o tipo de dados pessoais e as categorias dos titulares dos dados, e as obrigações e direitos do responsável pelo tratamento. O contrato escrito ou ato normativo estabelecido entre o responsável pelo tratamento e o subcontratado
pode permitir que este contrate outro subcontratado, caso haja necessidade, e deve definir os requisitos que regulem esta relação.
A disponibilização ou o acesso aos dados pessoais apenas deverá ser concedido às entidades externas caso se verifique que se encontrem implementados e operacionais os controlos necessários que garantam segurança no tratamento dos dados pessoais, nomeadamente para assegurar que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas a adequadas obrigações legais de confidencialidade e que apenas são tratados dados pessoais mediante instruções documentadas do responsável pelo seu tratamento.
O contrato escrito ou ato normativo estabelecido deve ainda determinar se, após a conclusão da prestação de serviços, o subcontratado apaga ou devolve ao responsável pelo tratamento todos os dados pessoais, apagando as cópias existentes.
Os subcontratados devem estar conscientes das suas obrigações e aceitar as responsabilidades e consequências envolvidas no tratamento de dados pessoais, estando assim cientes de que a responsabilidade legal ou contratual de proteger os dados pessoais também é sua. Os subcontratados devem ter conhecimento e atuar em conformidade com a presente política na prestação de serviços relativos ao tratamento de dados pessoais.
g. Disponibilização de dados pessoais a terceiros
Os dados pessoais por cujo tratamento é responsável a Maxmat - Distribuição de Materiais de Construção, Unipessoal Lda. poderão ser disponibilizados a terceiros sempre que exista necessidade ou interesse e essa disponibilização tenha cobertura legal.
h. Transferência de dados pessoais para países terceiros ou organizações internacionais No caso de transferência de dados pessoais para fora da União Europeia (ou seja, para países terceiros ou organizações internacionais fora da União Europeia), a Maxmat - Distribuição de Materiais de Construção, Unipessoal Lda. cumprirá com o disposto no Regulamento Geral sobre a Proteção de Dados Pessoais, nomeadamente: (i) assegurando previamente que o país terceiro, um território ou um ou mais sectores específicos desse país terceiro, ou a organização internacional em causa, foi objeto de decisão de adequação por parte da Comissão Europeia e que a mesma se mantém em vigor à data da pretendida transferência de dados pessoais, ou, caso não tenha sido tomada qualquer decisão nesse âmbito (ii) desde que seja possível apresentar garantias adequadas e na condição dos titulares de dados gozarem de direitos oponíveis e de medidas jurídicas corretivas eficazes.
Se a transferência de dados pessoas se inscrever no âmbito de relação contratual ou outro ato normativo, a Maxmat -Distribuição de Materiais de Construção, Unipessoal Lda. deverá assegurar que a entidade recetora situada no país terceiro está vinculada, nomeadamente, aos termos estipulados em cláusulas-tipo de proteção de dados adotadas pela Comissão Europeia e/ou adotadas pela autoridade de controlo competente e aprovadas pela Comissão Europeia, que estejam em vigor à data da transferência de dados em causa, ou a regras vinculativas aplicáveis às empresas aprovadas pela autoridade de controlo competente.
i. Tratamento de dados pessoais enquanto subcontratadaNo caso de tratamento de dados por parte da Maxmat - Distribuição de Materiais de Construção, Unipessoal Lda., enquanto subcontratada, deve esta assegurar que o contrato ou outro ato normativo que regule a relação entre as partes cumpre com o disposto no Regulamento Geral sobre a Proteção de Dados Pessoais, nomeadamente, no que se refere aos elementos mínimos essenciais ali descritos, bem como, em grau tão elevado quanto possível, à presente Política de Proteção de Dados Pessoais e subsequentes normas e procedimentos aplicáveis.
O contrato ou outro ato normativo que regule a relação entre as partes deve identificar com clareza o objeto, a duração, a natureza, as finalidades e as fontes de licitude do tratamento a realizar, bem como que tais fontes de licitude se verificam efetivamente. A responsabilidade da [inserir nome da empresa] deverá cingir-se ao tratamento relacionado com o referido objeto e para as finalidades expressamente previstas no contrato ou respetivo ato normativo.
Em momento prévio à celebração do contrato ou outro ato normativo por parte da [inserir nome da empresa], na qualidade de subcontratada, deve esta avaliar os meios próprios e capacidade de cumprimento quanto aos meios técnicos e organizativos que lhe sejam exigidos, no caso concreto, pelo responsável pelo tratamento, executando as medidas técnicas e organizativas que se demonstrem adequadas para assegurar o cumprimento das obrigações assumidas, e, pelo menos, um nível de segurança adequado ao risco do tratamento.
A Maxmat - Distribuição de Materiais de Construção, Unipessoal Lda. deve assegurar enquanto subcontratada, nomeadamente:
i) A implementação de mecanismos de segurança que garantam a proteção adequada no tratamento dos dados pessoais em questão;
ii) A implementação de mecanismos eficazes e céleres de deteção e comunicação/reporte de qualquer violação de dados pessoais (data breach) cujo tratamento seja da responsabilidade da subcontratada;
iii) A designação do contato para matérias relacionadas com o tratamento de dados pessoais objeto do contrato;
iv) A implementação de mecanismos de registo de atividades de tratamento de dados no âmbito da relação contratual;
v) A confidencialidade dos dados pessoais objeto de tratamento por parte dos seus colaboradores ou quaisquer terceiros por si contratados.
j. Violação de dados pessoais (Data breach)
No contexto da gestão de violações de dados pessoais devem ser criados mecanismos de monitorização dos dados pessoais que visem minorar o impacto de vulnerabilidades nos processos e sistemas de informação e devem ser estabelecidos e formalizados procedimentos de avaliação, reporte interno, decisão, resposta e comunicação de violações de dados pessoais.
Adicionalmente, deve ser estabelecida e operacionalizada uma estrutura organizacional, suportada por uma infraestrutura tecnológica, capaz de gerir e responder de forma efetiva à ocorrência de violações de dados pessoais.
Em caso de violação de dados pessoais, o gestor do seu tratamento deve comunicar a ocorrência ao Data Protection Officer e em conjunto avaliarem o impacto para os direitos e liberdades do titular dos dados. Quando a violação dos dados pessoais for suscetível de implicar um elevado risco para os direitos e liberdades dos titulares dos dados, o responsável pelo tratamento deve comunicar a ocorrência ao titular dos dados sem demora injustificada, em conformidade com os procedimentos de violação de dados pessoais definidos pela Maxmat - Distribuição de Materiais de Construção, Unipessoal Lda.
O responsável pelo tratamento dos dados pessoais deve comunicar as violações de dados pessoais à autoridade de controlo competente, desde que estas sejam suscetíveis de resultar num risco para os direitos e liberdades dos titulares dos dados pessoais, até 72 horas após ter tido conhecimento das mesmas. Caso não seja possível a notificação à autoridade de controlo no prazo de 72 horas, esta deve ser obrigatoriamente acompanhada dos motivos que causaram o atraso.
k. Gestão de evidências O responsável pelo tratamento dos dados pessoais deve garantir a criação e manutenção dos registos das atividades de tratamento realizadas para a demonstração do cumprimento do Regulamento Geral sobre a Proteção de Dados Pessoais. Adicionalmente, os sistemas de informação que tratem dados pessoais, tais como aplicações, bases de dados, sistemas operativos e sistemas de comunicações, devem estar configurados de modo a gerar logs de atividade com informação suficiente que permita demonstrar o cumprimento do regulamento.
O responsável pelo tratamento dos dados pessoais define a informação a registar nos logs de atividade, em coordenação com os responsáveis pela gestão e administração dos sistemas de informação. Os logs de atividade, bem como a informação neles contida, devem ser protegidos contra acessos não autorizados ou destruição indevida.
5. Corpo normativo para a proteção de dados pessoais
Com o objetivo de assegurar a proteção dos dados pessoais de forma consistente, nomeadamente a proteção face a ameaças que possam comprometer a confidencialidade, integridade e disponibilidade dos dados, é estabelecido um modelo de corpo normativo que reúne as orientações e regras a serem cumpridas no tratamento de dados pessoais. Este corpo normativo é composto pela seguinte estrutura:
- Política de Proteção de Dados Pessoais: Estabelece o enquadramento geral e o compromisso da organização para com a proteção de dados pessoais de acordo com a visão estratégica aprovada pelo Conselho de Administração. Constitui uma base comum promovendo a adoção de padrões de segurança organizacional transversais e homogéneos e de práticas eficazes na gestão da proteção de dados pessoais, com o intuito de transmitir confiança a todos os stakeholders;
- Normas: Estabelecem a orientação para os domínios de tratamento, segurança e proteção de dados pessoais através de regras a serem adotadas de forma transversal;
- Procedimentos: Estabelecem as atividades necessárias à operacionalização dos tratamentos, segurança e proteção de dados pessoais, num determinado processo de negócio/suporte, de acordo com a Política de Proteção de Dados Pessoais e as normas definidas.
6. Responsabilidades na proteção de dados pessoais
Para a agilização da gestão e operacionalização da proteção nos tratamentos de dados pessoais é definida a estrutura organizacional interna (modelo de governo), incluindo os processos de proteção de dados pessoais, a gestão da privacidade, a gestão de risco e o reporte interno para que o Conselho de Administração disponha da informação necessária para colocar em prática uma governação alinhada com a realidade da Maxmat - Distribuição de Materiais de Construção, Unipessoal Lda. e que as áreas de negócio consigam operar em conformidade com o Regulamento Geral sobre a Proteção de Dados Pessoais.
Na estrutura organizacional devem estar definidas as responsabilidades de todos os intervenientes internos envolvidos na proteção e tratamento dos dados pessoais, nomeadamente do Conselho de Administração, da Comissão Executiva, do Data Protection Officer e dos gestores do tratamento de dados pessoais.
O Conselho de Administração tem como principais responsabilidades a aprovação da Política de Proteção de Dados Pessoais, a aprovação do modelo de governo, a nomeação do(s) Data Protection Officer(s), a revisão independente do sistema de gestão de proteção de dados pessoais e a definição do nível de conformidade face ao Regulamento Geral de Proteção de Dados Pessoais.
A Comissão Executiva é responsável pela revisão da Política de Proteção de Dados Pessoais, pela promoção e demonstração de compromisso para com a proteção de dados pessoais, pela supervisão e garantia do alinhamento entre os objetivos de proteção de dados pessoais e a visão estratégica da Maxmat -Distribuição de Materiais de Construção, Unipessoal Lda., pela disponibilização dos recursos necessários à implementação e manutenção das medidas adequadas de tratamento e proteção de dados pessoais, pela promoção da melhoria contínua, pela promoção da formação e sensibilização dos colaboradores da Maxmat - Distribuição de Materiais de Construção, Unipessoal Lda. os temas de proteção de dados e privacidade, e por assegurar a efetividade operacional das medidas e controlos de proteção de dados pessoais.
A Maxmat - Distribuição de Materiais de Construção, Unipessoal Lda. enquanto responsável pelo tratamento dos dados pessoais, deve assegurar que as atividades de tratamento e proteção de dados pessoais são definidas e aplicadas em conformidade com os requisitos do Regulamento Geral sobre a Proteção de Dados Pessoais. A Maxmat - Distribuição de Materiais de Construção, Unipessoal Lda. deve também ser capaz de demonstrar o cumprimento da atuais políticas e restantes normas e procedimentos, nomeadamente dos princípios relativos ao tratamento de dados pessoais e da licitude dos tratamentos realizados. A Maxmat - Distribuição de Materiais de Construção, Unipessoal Lda. deve designar por escrito os seus gestores, no que se refere às suas obrigações nos termos do Regulamento Geral sobre a Proteção de Dados Pessoais.
Os gestores da Maxmat - Distribuição de Materiais de Construção, Unipessoal Lda., enquanto Responsável pelo Tratamento de dados pessoais, serão nomeados pela Comissão Executiva tendo em consideração as finalidades de tratamento de dados pessoais.
