Riscos de privacidade e planeamento

Avaliação de riscos de privacidade (6.1.2)

O risco mede-se sobre as pessoas cujos dados são tratados, e não apenas sobre a empresa: uma fuga de dados de saúde pesa de forma diferente da de um diretório comercial. O método é livre, mas deve produzir resultados coerentes e comparáveis quando se repete.

Tratamento e declaração de aplicabilidade (6.1.3)

Para cada risco escolhem-se controlos, confrontando-os com o Anexo A, e regista-se numa declaração de aplicabilidade quais se aplicam e porque se excluem os restantes. Um subcontratante que nunca recolhe dados junto dos titulares pode justificar a exclusão dos controlos pensados para o responsável.

Objetivos e alterações (6.2 e 6.3)

Os objetivos de privacidade devem ser mensuráveis —por exemplo, a percentagem de pedidos respondidos dentro do prazo— e ter plano, responsável e data. As alterações ao sistema planeiam-se, não se improvisam.

O que o auditor costuma pedir

• Metodologia de avaliação de riscos de privacidade documentada
• Resultado da avaliação com o proprietário de cada risco
• Declaração de aplicabilidade com justificação das exclusões
• Objetivos de privacidade com indicador e plano

Como tratar o planeamento no Kimobox

1. 1Faça a avaliação de riscos na matriz de riscos, com proprietário e tratamento.
2. 2Mantenha a declaração de aplicabilidade como documento controlado ligado aos riscos.
3. 3Meça os objetivos com indicadores que saem dos próprios registos.

Modelos e registos deste capítulo (ISO 27701)

• Modelo de avaliação de riscos de privacidade ISO 27701 · Registo obrigatório
• Modelo de declaração de aplicabilidade ISO 27701 · Documento obrigatório