Modelos e registos · ISO 27701 · Cláusula 6.1.2 y 8.2

Modelo de avaliação de riscos de privacidade ISO 27701

A análise que decide que controlos são necessários: o que pode correr mal com os dados pessoais, que dano causaria às pessoas e quem se ocupa de cada risco.

Numa frase

A avaliação de riscos de privacidade identifica os riscos associados ao tratamento de dados pessoais, estima a sua probabilidade e as suas consequências para as pessoas e para a organização, compara-os com os critérios de aceitação e atribui um proprietário a cada um, porque as secções 6.1.2 e 8.2 da ISO/IEC 27701:2025 pedem que se defina o processo, se aplique a intervalos planeados e se conservem os resultados.

Conteúdo revisto em 17 de outubro de 2026

Onde a norma o exige: ISO 27701 · Cláusula 6.1.2 y 8.2 Cita-se a edição de 2025: os números de 4 a 10 são capítulos; A.1, A.2 e A.3 são as tabelas do Anexo A com os controlos do responsável pelo tratamento, do subcontratante e comuns a ambos.
Tipo de informação: Registo obrigatório Informação documentada a conservar (6.1.2 e 8.2)
Quem o preenche: Responsável do PIMS, com os proprietários dos tratamentos O encarregado da proteção de dados aconselha; o proprietário aceita o risco residual
Quando: A intervalos planeados e perante alterações significativas Habitualmente uma revisão anual e outra sempre que entra um tratamento ou um sistema novo
Durante quanto tempo se conserva: Fixado pela organização Nem a norma nem o RGPD estabelecem um prazo para o registo em si; o princípio da limitação da conservação (art. 5.º, n.º 1, alínea e), do RGPD) obriga a justificar o prazo escolhido.

O que a norma exige

O que o referencial ISO 27701 exige e o que fica ao seu critério

A norma pede que se defina um processo de avaliação de riscos de privacidade com critérios de aceitação e de avaliação, que produza resultados coerentes e comparáveis, e que se aplique para identificar, analisar e avaliar os riscos com o respetivo proprietário. O método —qualitativo, por matriz, por cenários— é escolhido pela organização.

A avaliação repete-se a intervalos planeados e sempre que há alterações significativas (8.2), e é preciso conservar tanto a descrição do processo como os resultados de cada avaliação.

O que é próprio da privacidade é olhar para o dano às pessoas, e não apenas à empresa. O RGPD aponta no mesmo sentido quando exige medidas adequadas ao risco para os direitos e liberdades (arts. 24.º e 32.º).

Leia-o em contexto: Riscos de privacidade e planeamento, na Academia (ISO 27701)

Estrutura

Campos que o modelo deve ter

Tratamento ou ativo avaliado
Cenário de risco: o que pode acontecer e porquê
Consequências para os titulares e para a organização
Probabilidade e nível de impacto segundo os critérios
Nível de risco resultante e comparação com o critério de aceitação
Proprietário do risco
Opção de tratamento e controlos do Anexo A associados
Risco residual e aceitação pelo proprietário
Data da avaliação e próxima revisão

Exemplo

Exemplo: risco no portal de doentes de uma clínica fictícia

Empresa, pessoas e números fictícios: o exemplo serve apenas para mostrar como fica um registo bem preenchido.

Campo	Conteúdo
Tratamento	RAT-02 · Marcações e resultados no portal de doentes · Clínica Mondego (fictícia)
Cenário	Acesso de um terceiro a resultados de análises por reutilização de palavras-passe
Consequências	Divulgação de dados de saúde: dano elevado para o doente; notificação da violação e perda de confiança
Avaliação	Probabilidade média × impacto elevado = risco elevado (critério de aceitação: médio)
Proprietário	Direção clínica
Tratamento	Mitigar: autenticação de duplo fator obrigatória e aviso de acesso por e-mail
Risco residual	Baixo · Aceite pela direção clínica a 9 de abril de 2026
Revisão	Abril de 2027, ou antes se o portal mudar

Na auditoria

Erros que os auditores costumam apontar

Reutiliza-se a avaliação de segurança da ISO 27001 sem avaliar o impacto sobre as pessoas.
Os critérios de aceitação não estão escritos e cada avaliador pontua à sua maneira.
Nenhum risco tem proprietário fora do departamento de informática.
A avaliação não foi repetida depois de se contratar um fornecedor de nuvem que trata dados de saúde.
O risco residual não foi aceite por ninguém com autoridade.

No Kimobox

Como se gere este registo no Kimobox

1Os riscos são registados na matriz de riscos com proprietário, avaliação e tratamento.
2Cada risco fica ligado ao tratamento do registo das atividades e aos controlos da declaração de aplicabilidade.
3A revisão periódica fica programada com aviso de vencimento.
4As violações de dados e as não conformidades relacionadas alimentam o mapa de riscos.

Perguntas frequentes

O que nos perguntam antes de começar

É o mesmo que a avaliação de impacto do RGPD?

Não. A avaliação de riscos abrange todos os tratamentos do âmbito e alimenta o sistema; a avaliação de impacto do artigo 35.º é uma análise aprofundada, obrigatória apenas quando um tratamento é suscetível de implicar um elevado risco. A primeira costuma indicar quando é necessária a segunda.

Pode combinar-se com a da ISO 27001?

Sim, com a mesma metodologia e critérios alargados para avaliar o dano às pessoas. O que não vale é presumir que um risco de segurança baixo para a empresa é baixo para o titular.

Faça a gestão dos registos do referencial ISO 27701 sem modelos avulsos

Mostramos-lhe o módulo a funcionar com dados semelhantes aos seus.

Pedir uma demonstração

Continue a explorar