Perguntas frequentes
Reunimos as questões que nos são colocadas com maior regularidade, organizadas por tema. As respostas têm finalidade informativa e não substituem aconselhamento aplicado ao caso concreto.
A quem se aplicam as obrigações
A determinação depende de quatro factores: o sector de actividade, a dimensão da organização, a natureza dos serviços prestados e os tipos de dados e sistemas utilizados. Uma pequena empresa de comércio electrónico está sujeita ao RGPD, ao regime do comércio electrónico e, provavelmente, a obrigações do Regulamento dos Serviços Digitais; se utilizar ferramentas de inteligência artificial, acrescem obrigações do respectivo Regulamento. O diagnóstico de âmbito é a primeira intervenção que recomendamos, precisamente porque delimita o universo aplicável.
Raramente há isenção total. O RGPD aplica-se independentemente da dimensão. O Regulamento dos Serviços Digitais prevê isenções para micro e pequenas empresas quanto a determinadas obrigações das plataformas, mas mantém as obrigações gerais. O Regime Jurídico da Cibersegurança utiliza limiares de dimensão, mas abrange certas entidades independentemente da dimensão. O Regulamento da Inteligência Artificial não isenta em função da dimensão.
Em regra, sim, se oferecerem bens ou serviços a pessoas na União ou se controlarem o comportamento de pessoas na União. Vários instrumentos exigem, nessa situação, a designação de representante legal ou de representante para efeitos de protecção de dados num Estado-Membro.
Não integralmente. O recurso a um fornecedor não transfere a responsabilidade da organização. No RGPD, o responsável pelo tratamento mantém o dever de escolher subcontratantes que ofereçam garantias suficientes e de o fiscalizar. No Regulamento da Inteligência Artificial, o responsável pela implantação tem obrigações próprias, distintas das do fornecedor. No regime da cibersegurança, a segurança da cadeia de abastecimento é uma das nove áreas de medidas obrigatórias.
Obrigações com prazo determinado
Os principais são: 24 horas para o alerta precoce de incidente significativo ao abrigo do regime da cibersegurança; 72 horas para a notificação de violação de dados pessoais à autoridade de controlo e para a notificação do incidente ao abrigo do mesmo regime; um mês para o relatório final do incidente; e um mês, prorrogável por dois, para a resposta a pedidos de titulares de dados. Todos se contam do conhecimento do facto e não da sua resolução.
Cumprir parcialmente e justificar. Uma notificação submetida no prazo com informação incompleta, acompanhada da indicação de que será complementada, é juridicamente muito preferível a uma notificação tardia completa. A justificação do atraso deve, em qualquer caso, ser reduzida a escrito e arquivada.
Como regra prática: anualmente para políticas e procedimentos; semestralmente para o registo das actividades de tratamento e o inventário de sistemas; e sempre que ocorra alteração regulatória relevante, alteração organizativa significativa ou incidente que revele deficiência. A ausência de registo da revisão é, em auditoria, equivalente à ausência de revisão.
Encarregados, responsáveis e pontos de contacto
Em função dos regimes aplicáveis: encarregado de proteção de dados, ao abrigo do artigo 37.º do RGPD; responsável de cibersegurança, ao abrigo do Regime Jurídico da Cibersegurança; ponto de contacto único e, quando aplicável, representante legal, ao abrigo do Regulamento dos Serviços Digitais; e responsável de conformidade, no caso das plataformas de muito grande dimensão.
Em princípio sim, com uma reserva importante: o encarregado de proteção de dados não pode exercer funções que gerem conflito de interesses, o que exclui, em regra, a acumulação com funções de decisão sobre as finalidades e os meios do tratamento. A acumulação com a função de responsável de cibersegurança é possível em organizações de menor dimensão, desde que documentada a inexistência de conflito.
Sim, em todos os casos referidos, desde que sejam asseguradas as condições de independência, disponibilidade, competência e conhecimento da organização. A designação deve ser formal, comunicada à autoridade quando exigível, e a responsabilidade última pela conformidade permanece no órgão de gestão.
Como trabalhamos
Por uma reunião preliminar de cerca de quarenta e cinco minutos, sem custo, destinada a delimitar o problema, identificar os regimes em causa e verificar a adequação da intervenção. Segue-se a apresentação de proposta com objecto, entregáveis, esforço estimado, calendário e condições económicas.
Em regra, no prazo de cinco dias úteis a contar da reunião preliminar ou da recepção do formulário de pedido de proposta devidamente preenchido. Em situações de urgência devidamente justificada, o prazo pode ser reduzido.
Três: projecto delimitado, com âmbito e preço fechados; avença de acompanhamento, com bolsa mensal de horas e níveis de serviço; e assunção de função externa designada, para o exercício de uma função regulatória determinada. Os modelos podem combinar-se.
Sim. Todos os entregáveis são fornecidos em formato editável e a titularidade pertence ao cliente, sem dependência de plataformas proprietárias nossas. Exceptuam-se os nossos instrumentos metodológicos internos, que são disponibilizados para utilização mas permanecem na nossa titularidade.
Sim. Os pareceres são emitidos por escrito, datados, assinados e fundamentados nas fontes aplicáveis, com estrutura adequada à apresentação a órgãos de gestão, auditores externos ou autoridades de controlo.
Sim, em matérias de direito da União Europeia e em articulação com correspondentes locais quando a questão envolva direito nacional de outro Estado-Membro.
A sua questão não consta desta página?
Utilize o formulário de pedido de informações. Respondemos no prazo de dois dias úteis, com indicação de se a questão exige aconselhamento aplicado.