RGPD na prática para a informática da PME: 10 passos

7 min de leitura · DataRoad

O RGPD na informática da PME traduz-se em dez passos técnicos e organizativos que qualquer empresa com mais de 10 postos consegue pôr em prática: saber onde estão os dados, controlar quem lhes acede, cifrar, fazer e testar backups, manter registos, ter contratos certos com os fornecedores e saber o que fazer nas primeiras 72 horas de um incidente. Este artigo trata só desse lado — o que a informática tem de garantir. Não é aconselhamento jurídico: para a base legal dos tratamentos, consentimentos e direitos dos titulares, fale com o seu advogado ou encarregado de proteção de dados.

O que o RGPD pede à informática

O Regulamento Geral sobre a Proteção de Dados (Regulamento (UE) 2016/679) não diz que firewall comprar. Diz que a segurança tem de ser adequada ao risco, e dá exemplos no artigo 32.º, n.º 1:

• a pseudonimização e a cifragem dos dados pessoais;
• a capacidade de assegurar a confidencialidade, integridade, disponibilidade e resiliência permanentes dos sistemas;
• a capacidade de restabelecer a disponibilidade e o acesso aos dados de forma atempada após um incidente;
• um processo para testar e avaliar regularmente a eficácia das medidas.

Os 10 passos

1. Saber onde estão os dados pessoais

Servidor, Microsoft 365, programa de faturação, software de recursos humanos, discos externos, emails antigos. Não se protege o que não se sabe que existe. O resultado deste passo é um mapa simples: que dados, em que sistema, quem é o responsável.

2. Dar acesso só a quem precisa

O comercial não precisa de ver os recibos de vencimento; a receção não precisa da pasta da administração. Permissões por função, revistas sempre que alguém muda de funções.

3. Proteger as contas com MFA

A maioria dos acessos indevidos começa numa palavra-passe roubada. A autenticação multifator (o segundo passo de confirmação, normalmente no telemóvel) deve estar ativa no email, na cloud e no acesso remoto.

4. Cifrar portáteis, telemóveis e cópias

A cifragem é um dos dois exemplos que o próprio artigo 32.º nomeia. Na prática: disco cifrado em todos os portáteis, telemóveis com bloqueio e gestão, backups cifrados.

5. Fazer backups e testá-los

O artigo 32.º fala em restabelecer o acesso “de forma atempada”. Um backup que nunca foi reposto não prova nada. Recomendamos um teste de reposição pelo menos uma vez por trimestre — veja o teste de backup em 30 minutos e as nossas soluções de backup.

6. Manter os sistemas atualizados

Sistemas sem correções de segurança são a forma mais comum de perder a “integridade e resiliência” que o regulamento exige. Atualizações com prazo definido e equipamentos sem suporte do fabricante substituídos.

7. Guardar registos de quem acedeu a quê

Registos de início de sessão, de acessos a pastas sensíveis e de alterações de permissões. São eles que permitem responder, num incidente, à pergunta que a CNPD vai fazer: que dados foram afetados?

8. Ter contratos certos com os subcontratantes

Quem trata dados por conta da sua empresa — a empresa de informática, o fornecedor de cloud, o software de salários — é um subcontratante. O artigo 28.º exige que só se recorra a subcontratantes que deem garantias suficientes e que a relação esteja num contrato escrito, com instruções documentadas, confidencialidade, medidas de segurança, regras para subcontratar terceiros, apoio em caso de violação e devolução ou eliminação dos dados no fim do serviço. Explicamos o que verificar em contrato de informática: cláusulas de saída e dados.

9. Ter um plano para as primeiras 72 horas

Ver a secção seguinte. O plano deve dizer quem decide, quem recolhe a informação técnica e quem preenche a notificação.

10. Testar e rever todos os anos

O último ponto do artigo 32.º é o mais esquecido: avaliar regularmente se as medidas funcionam. Uma revisão anual, documentada, com as correções feitas, é também a melhor prova de diligência.

Violação de dados: o relógio das 72 horas

Segundo o artigo 33.º do RGPD e a CNPD, a notificação de uma violação de dados pessoais deve ser feita no prazo de 72 horas após a empresa ter tido conhecimento dela, salvo se a violação não for suscetível de resultar num risco para os direitos das pessoas. A CNPD disponibiliza um formulário específico para o efeito. Quando o risco for elevado, o artigo 34.º obriga também a informar as pessoas afetadas.

Dois pontos que surpreendem muitos gestores. Primeiro, a obrigação de documentar existe mesmo quando não há notificação: a CNPD lembra que o responsável está obrigado a documentar quaisquer violações. Segundo, o subcontratante — incluindo a empresa de informática — tem de avisar o cliente sem demora injustificada quando tem conhecimento de uma violação. Um portátil perdido sem cifra pode ser uma violação de dados; com cifra, a avaliação de risco é muito diferente.

Um caso real: servidor, UPS e backups numa entidade pública

Na União de Freguesias de Massamá e Monte Abraão, a DataRoad foi escolhida por contrato público para instalar e configurar um novo servidor, implementar um sistema de UPS (a bateria que mantém os equipamentos ligados num corte de energia), montar backups locais e na cloud e migrar os dados e configurações para a nova infraestrutura. É, na prática, o que o artigo 32.º pede quanto à disponibilidade: os dados existem em mais do que um sítio e podem ser repostos. Leia o caso em contrato público 2022 em Massamá e Monte Abraão.

A DataRoad implementa as medidas técnicas — acessos, cifra, backups, atualizações, registos, firewall — e documenta-as. Não presta aconselhamento jurídico. A segurança está incluída nos planos IT Unlimited; o plano Premium junta a assistência no local, útil quando é preciso intervir num servidor ou num posto. Veja também a nossa abordagem à cibersegurança para empresas e as 7 políticas internas de cibersegurança.

Perguntas frequentes

O RGPD obriga a cifrar todos os dados?

Não obriga a cifrar tudo, mas nomeia a cifragem como exemplo de medida adequada no artigo 32.º. Em portáteis, telemóveis e backups, é a forma mais simples e barata de reduzir o risco de uma perda se transformar numa violação grave.

Temos de notificar a CNPD se perdermos um portátil?

Depende do risco para as pessoas cujos dados estavam no equipamento. Um portátil com o disco cifrado e apagado à distância tem um risco muito menor do que um portátil sem proteção. Em qualquer caso, o incidente deve ser documentado. A decisão final cabe ao responsável pelo tratamento, com apoio jurídico se necessário.

A empresa de informática é subcontratante?

Em regra, sim, quando tem acesso a sistemas com dados pessoais. Por isso o contrato deve cumprir o artigo 28.º do RGPD: instruções, confidencialidade, segurança, apoio em incidentes e devolução ou eliminação dos dados no fim.

Quanto tempo temos para notificar uma violação?

Em regra, 72 horas após ter conhecimento da violação, através do formulário da CNPD. Se a notificação não for feita nesse prazo, deve ser acompanhada dos motivos do atraso.

Diagnóstico técnico RGPD em 10 dias úteis

Verificamos os 10 passos na sua infraestrutura — acessos, MFA, cifra, backups, atualizações, registos e plano de incidentes — e entregamos um relatório com as medidas técnicas em falta. Para empresas com mais de 10 postos · contrato de assistência · suporte remoto, local e telefónico.

Fontes

• EUR-Lex — Regulamento (UE) 2016/679 (RGPD), artigos 28.º, 32.º, 33.º e 34.º
• CNPD — Violação de dados ou data breach
• CNPD — Formulário de notificação de violação de dados pessoais