Registo das atividades de tratamento, AIPD e conclusão da mudança

Módulo 9: Pessoas e regras · Tempo de leitura: 12 minutos

Objetivo de aprendizagem: Após esta lição, saberá atualizar o registo das atividades de tratamento e a declaração de privacidade após a mudança, determinar se é necessária uma AIPD, garantir que o serviço antigo elimina corretamente os dados e concluir formalmente a mudança com uma lista de verificação final.

Conceitos-chave: registo das atividades de tratamento (art. 30.º), exceção para menos de 250 trabalhadores, AIPD (art. 35.º), lista de tratamentos da CNPD, declaração de privacidade (art. 13.º e 14.º), destinatários, transferência, obrigação de notificação de violação de dados (art. 33.º), eliminação no serviço antigo, confirmação de eliminação, avaliação, lista de verificação final

A mudança só está concluída quando os documentos estiverem corretos

O correio eletrónico funciona, os ficheiros estão lá, todos trabalham no novo ambiente. Tecnicamente, está concluído. Mas, para o RGPD, ainda há trabalho a fazer: a sua documentação ainda descreve a situação antiga. Perante uma pergunta de um cliente, uma fiscalização ou uma violação de dados, vai querer mostrar como as coisas estão atualmente. Esta lição conclui a mudança.

Isto é uma explicação, não é aconselhamento jurídico.

O registo das atividades de tratamento

O artigo 30.º, n.º 1, do RGPD obriga o responsável pelo tratamento a manter um registo das atividades de tratamento. Nele consta, por cada tratamento (por exemplo, "encomendas de clientes", "gestão de pessoal", "boletim informativo"):

• nome e contactos do responsável pelo tratamento (e, eventualmente, do encarregado da proteção de dados);
• as finalidades do tratamento;
• as categorias de titulares de dados e de dados pessoais;
• os destinatários, incluindo os subcontratantes;
• transferências para países fora do EEE, com as respetivas garantias;
• os prazos de conservação, sempre que possível;
• uma descrição geral das medidas de segurança, sempre que possível.

Isto também se aplica a uma organização pequena?

O artigo 30.º, n.º 5, prevê uma exceção para organizações com menos de 250 trabalhadores. Mas essa exceção não se aplica se o tratamento implicar provavelmente um risco, se não for ocasional, ou se incluir dados pessoais sensíveis (como dados de saúde) ou dados relativos a infrações penais. A Comissão Nacional de Proteção de Dados (CNPD) neerlandesa explica que, na prática, os tratamentos raramente são ocasionais: assim que existem trabalhadores ou clientes fixos, o tratamento é estrutural. Para a Padaria De Korrel, com gestão de salários, encomendas de clientes e participações de doença, a exceção não se aplica, portanto.

Existe uma proposta europeia para aliviar a obrigação de registo para organizações mais pequenas (o chamado pacote Omnibus IV; em junho de 2026, o Conselho e o Parlamento chegaram a um acordo provisório). Enquanto essa alteração não entrar em vigor, aplica-se o atual artigo 30.º. E, mesmo depois, um registo continua a ser útil: precisa dele para poder cumprir o resto das suas obrigações.

O que ajustar após a mudança?

Percorra cada linha do seu registo e ajuste:

Uma mudança é uma boa oportunidade para finalmente regularizar os prazos de conservação. Na Holanda, a administração fiscal está, em regra, sujeita a uma obrigação de conservação de sete anos; para dados de candidaturas a emprego, a CNPD neerlandesa aconselha, em princípio, quatro semanas após o processo. Tenha em atenção que esta obrigação e este prazo dizem respeito à legislação neerlandesa: no seu país podem aplicar-se prazos diferentes. Verifique quais os prazos aplicáveis ao seu setor.

É necessário fazer uma AIPD?

Uma AIPD (avaliação de impacto sobre a proteção de dados, "data protection impact assessment"; no RGPD, "avaliação de impacto sobre a proteção de dados") é uma análise de risco estruturada feita previamente. O artigo 35.º exige uma AIPD quando um tratamento é suscetível de implicar um elevado risco para os titulares dos dados, sobretudo em caso de nova tecnologia.

Como saber se é esse o caso?

1. A lista da AP. A Autoridade de Proteção de Dados neerlandesa (Autoriteit Persoonsgegevens) publicou em 2019 uma lista de dezassete tipos de tratamentos para os quais a AIPD é sempre obrigatória. Trata-se de uma publicação da autoridade neerlandesa; cada autoridade de controlo da UE elabora a sua própria lista (art. 35.º, n.º 4). Nessa lista neerlandesa constam, entre outros, o tratamento em grande escala de dados de saúde, a videovigilância, a monitorização de trabalhadores, os dados de comunicações, os dados de localização, a definição de perfis e a biometria.
2. Os critérios europeus. As autoridades de controlo europeias estabeleceram nove critérios (como dados sensíveis, grande escala, titulares vulneráveis, monitorização sistemática, nova tecnologia). Se um tratamento preencher dois ou mais critérios, é, em regra, necessária uma AIPD.

Para uma padaria que está a transferir correio eletrónico e ficheiros, uma AIPD normalmente não é obrigatória. Para um consultório médico que transfere a comunicação com pacientes para um novo serviço, ou uma escola com dados de alunos, a situação é diferente. Mesmo que não seja obrigatória, uma breve análise de risco pode ser útil. A ponderação da lição 1.5 é um bom ponto de partida para isso. Se já tiver uma AIPD para o serviço antigo, atualize-a.

A declaração de privacidade

Na sua declaração de privacidade, informa os titulares dos dados (clientes, candidatos, visitantes do sítio web) sobre como trata os seus dados (art. 13.º e 14.º). Nela constam, entre outros, os destinatários ou categorias de destinatários e eventuais transferências fora do EEE. Se constava "utilizamos serviços de empresas situadas nos Estados Unidos com base no Data Privacy Framework", ajuste esse texto. Não altere nada que não corresponda à realidade: mencione apenas aquilo que sabe com certeza, com base no contrato de subcontratação e na lista de subcontratantes.

Violações de dados: saiba a quem ligar

Após a mudança, o seu fornecedor mudou e, por isso, também o procedimento em caso de violação de dados. Inclua no seu procedimento:

• o contacto do novo fornecedor para incidentes de segurança;
• o prazo dentro do qual o fornecedor o informa, segundo o contrato de subcontratação;
• quem decide, na sua organização, se é necessário notificar, uma vez que a notificação à autoridade de controlo deve ocorrer no prazo de 72 horas após a deteção (art. 33.º);
• onde mantém o registo de violações de dados: mesmo as violações que não necessita de notificar devem ser registadas internamente (art. 33.º, n.º 5).

Concluir com o serviço antigo

Só cancele o serviço antigo quando tudo estiver a funcionar corretamente durante algumas semanas (lição 3.3). Depois:

1. Verificação final: tudo foi transferido? Existem pastas partilhadas, formulários ou ligações que ainda apontam para o serviço antigo?
2. Exporte um último arquivo para a sua própria administração, se pretender conservá-lo (por exemplo, correio eletrónico sujeito à obrigação de conservação). Guarde-o encriptado.
3. Elimine as contas e os dados no serviço antigo, ou peça que sejam eliminados. O artigo 28.º, n.º 3, alínea g), obriga o antigo subcontratante a eliminar ou devolver os dados após o termo do contrato, à sua escolha. Peça uma confirmação de eliminação e guarde-a junto do seu registo.
4. Elimine as ligações: ligações de "iniciar sessão com" noutros serviços, aplicações com acesso e registos de verificação no seu DNS (lição 4.3).
5. Atualize o seu registo, a sua declaração de privacidade e o seu procedimento de violação de dados (ver acima).

Avaliar

Planeie uma breve avaliação um mês após a mudança, com os embaixadores (lição 9.1). O que correu bem, o que não correu bem, o que faria de forma diferente da próxima vez? Registe também o seu plano de saída para o novo serviço (lição 8.2) e marque na agenda uma data para o testar anualmente.

Na prática: como isto se apresenta num fornecedor

Muitos fornecedores têm uma funcionalidade para transferir os seus dados ou eliminar a sua conta. No WebOké, o manual do WebOké explica como transferir os seus dados ou pedir a sua eliminação. Nos grandes serviços norte-americanos, isso costuma chamar-se "exportar dados" e "eliminar conta", e o administrador de uma conta de organização dispõe de funções de exportação próprias. Verifique previamente durante quanto tempo o serviço continua a conservar dados em cópias de segurança após a eliminação; essa informação consta frequentemente da declaração de privacidade ou do contrato de subcontratação.

Lista de verificação final

• [ ] Todos os elementos do inventário (lição 3.1) estão presentes no novo ambiente e foram verificados
• [ ] Contrato(s) de subcontratação com o(s) novo(s) fornecedor(es) celebrado(s) e conservado(s) (lição 9.2)
• [ ] Registo das atividades de tratamento atualizado: destinatários, transferências, segurança, prazos de conservação
• [ ] AIPD avaliada (necessária ou não, e motivo registado)
• [ ] Declaração de privacidade atualizada
• [ ] Procedimento de violação de dados com novos contactos
• [ ] Serviço antigo cancelado, dados eliminados, confirmação conservada
• [ ] Ligações e registos DNS antigos eliminados
• [ ] Cópia de segurança do novo ambiente configurada e testada (lição 8.1)
• [ ] Plano de saída para o novo serviço registado (lição 8.2)
• [ ] Avaliação realizada

Resumo

• Após a mudança, atualize o registo das atividades de tratamento: destinatários, transferências, segurança e prazos de conservação.
• A exceção para menos de 250 trabalhadores raramente se aplica na prática; uma proposta para a aliviar ainda não entrou em vigor (situação em novembro de 2026).
• Uma AIPD é obrigatória em caso de elevado risco (lista da CNPD, critérios europeus); para dados de escritório comuns, normalmente não é.
• Atualize a sua declaração de privacidade e o seu procedimento de violação de dados.
• Peça ao serviço antigo que elimine os seus dados e solicite uma confirmação.

Quiz

Exercício

Exercício E9.3: Conclua a sua mudança. Para três tratamentos da sua organização, atualize as linhas correspondentes no registo das atividades de tratamento (destinatários, transferência, segurança, prazo de conservação), avalie, com base na lista da CNPD e nos critérios europeus, se é necessária uma AIPD, e preencha a lista de verificação final.

Para saber mais

Os passos descritos nestes artigos aplicam-se aos serviços do WebOké; noutros fornecedores, o funcionamento é semelhante.

• Manual do WebOké 11.7: Privacidade: transferir ou eliminar os seus dados
• Manual do Nextcloud 16.7: Colega sai da empresa: receber ficheiros, calendário e pastas partilhadas em segurança
• Manual do Nextcloud 15.13: Perguntas frequentes sobre segurança e privacidade
• Regulamento (UE) 2016/679 (RGPD), artigos 13.º, 14.º, 28.º, 30.º, 33.º e 35.º, em EUR-Lex
• Decisão relativa à lista de tratamentos de dados pessoais para os quais é obrigatória uma AIPD (Autoriteit Persoonsgegevens neerlandesa, Stcrt. 2019), em wetten.overheid.nl (BWBR0042812)
• Autoriteit Persoonsgegevens (autoridade de controlo neerlandesa), temas "Register van verwerkingsactiviteiten" e "DPIA": https://www.autoriteitpersoonsgegevens.nl