Contexto e partes interessadas (4.1 e 4.2)
Além dos fatores habituais, a norma pede que se tenham em conta a legislação de privacidade aplicável, as decisões das autoridades de controlo e os compromissos contratuais com clientes que impõem condições sobre os dados. Os próprios titulares —clientes, trabalhadores, doentes— são partes interessadas, não apenas os reguladores.
A qualidade em cada tratamento
A mesma empresa é muitas vezes responsável pelo processamento salarial dos seus trabalhadores e subcontratante dos dados que os clientes lhe confiam. Essa distinção determina que controlos do Anexo A se aplicam e deve ficar clara antes de se avaliarem riscos.
Âmbito do sistema (4.3)
O âmbito delimita os tratamentos, instalações, sistemas e processos incluídos, com as respetivas interfaces com terceiros. Um âmbito que deixa de fora precisamente o tratamento de maior risco tira credibilidade ao certificado.
O que o auditor costuma pedir
- Inventário de tratamentos com a qualidade da organização em cada um
- Lista de leis, decisões de autoridades e contratos que afetam os dados
- Partes interessadas com as suas expectativas de privacidade
- Declaração de âmbito do PIMS documentada
Como tratar o contexto no Kimobox
- 1Documente o contexto do sistema de privacidade como mais um registo com controlo de versões.
- 2Registe as partes interessadas e os seus requisitos numa tabela com revisão anual.
- 3Parta do registo das atividades de tratamento para delimitar o âmbito.
O âmbito assenta no registo das atividades, não numa lista à parte que envelhece sozinha.
Modelos e registos deste capítulo (ISO 27701)
- Modelo de inventário de dados pessoais ISO 27701 · Boa prática