Conformidade digital nas entidades da Administração Pública
A transformação digital do sector público desenvolve-se sob um duplo constrangimento: o dever de prestar serviços acessíveis e eficientes e o dever de o fazer em estrito cumprimento de um quadro regulatório que, em várias matérias, é mais exigente para as entidades públicas do que para as privadas.
Por que razão o sector público exige tratamento próprio
As entidades públicas cumulam obrigações que raramente coexistem no sector privado. São, em simultâneo, responsáveis pelo tratamento de dados pessoais em larga escala, frequentemente com fundamento em disposição legal e não em consentimento; estão sujeitas ao regime da cibersegurança na qualidade de entidades públicas relevantes; utilizam sistemas de inteligência artificial em contextos que o Regulamento (UE) 2024/1689 qualifica como de risco elevado; e respondem perante o cidadão pelo dever de transparência administrativa.
A esta acumulação acresce a obrigatoriedade de designar encarregado de proteção de dados, o regime da acessibilidade digital dos sítios e aplicações e o enquadramento próprio da contratação pública de soluções tecnológicas.
Obrigações agravadas
Designação obrigatória de encarregado de proteção de dados, avaliações de impacto em tratamentos de larga escala e limites à invocação do consentimento como fundamento de licitude.
Escrutínio público
A actividade está sujeita a controlo pelo Tribunal de Contas, pelas inspecções sectoriais e pelo direito de acesso à informação administrativa.
Seis intervenções desenhadas para entidades públicas
Diagnóstico de conformidade digital
Avaliação integrada da maturidade da entidade face aos regimes europeus e nacionais aplicáveis ao sector público.
- Mapeamento dos processos e sistemas digitais;
- análise de lacunas por regime e por unidade orgânica;
- matriz de risco regulatório com priorização;
- relatório para aprovação em órgão dirigente.
Proteção de dados no sector público
Implementação e gestão do sistema de protecção de dados, incluindo o exercício da função de encarregado em regime externo.
- Registo das actividades de tratamento;
- avaliações de impacto sobre a protecção de dados;
- regulamento interno e políticas de conservação;
- gestão dos pedidos dos titulares e das violações.
Regime Jurídico da Cibersegurança
Qualificação da entidade, implementação das medidas obrigatórias e preparação para a supervisão do Centro Nacional de Cibersegurança.
- Qualificação como entidade pública relevante;
- comunicação do responsável de cibersegurança;
- as nove áreas de medidas do artigo 27.º;
- plano de resposta e notificação de incidentes.
Governança de inteligência artificial
Estruturação da governação do uso de IA em serviços públicos, com especial atenção aos casos de utilização de risco elevado.
- Inventário dos sistemas de IA em uso ou em aquisição;
- classificação de risco e obrigações associadas;
- avaliação de impacto sobre os direitos fundamentais;
- política de supervisão humana e transparência algorítmica.
Planos de resposta a incidentes
Desenho e teste dos protocolos de resposta a incidentes de segurança e a violações de dados pessoais, com garantia de continuidade do serviço público.
- Procedimento de classificação e escalamento;
- cumprimento dos prazos de notificação;
- plano de comunicação de crise;
- simulacros e exercícios de mesa.
Serviços digitais transfronteiriços
Adaptação dos serviços em linha às regras da identidade digital europeia e do portal digital único.
- Integração da carteira europeia de identidade digital;
- requisitos de multilinguismo e de acessibilidade;
- interoperabilidade técnica e semântica;
- princípio da declaração única de dados.
Como se desenvolve um mandato no sector público
Reunião de enquadramento com o dirigente máximo
Delimitação do âmbito, identificação dos interlocutores e definição do calendário, com atenção às regras de contratação pública aplicáveis.
Levantamento documental e entrevistas
Recolha da documentação existente e realização de entrevistas com os responsáveis das unidades orgânicas envolvidas.
Relatório de diagnóstico e plano de acção
Apresentação das constatações, da matriz de risco e do plano priorizado, para aprovação em despacho ou deliberação.
Implementação assistida e formação
Produção dos instrumentos, configuração dos procedimentos e capacitação das equipas, com transferência de competências.
Auditoria de verificação e relatório final
Verificação independente do grau de execução e emissão do relatório de conformidade destinado ao órgão dirigente e às autoridades de controlo.
Serviços adaptados ao enquadramento legal da Administração Pública portuguesa
Todos os entregáveis são produzidos com referência ao direito nacional e europeu aplicável ao sector público e em formato adequado à sua tramitação administrativa.