Modelos e registos · ISO 27701 · Cláusula 4.3 y 6.1.2
Modelo de inventário de dados pessoais ISO 27701
O mapa de onde vivem os dados pessoais: sistemas, ficheiros, cópias e fornecedores. Sem ele, a avaliação de riscos e a resposta a um pedido de apagamento fazem-se às cegas.
Numa frase
O inventário de dados pessoais relaciona cada categoria de dados com os sistemas, localizações, cópias e fornecedores onde está armazenada e com quem lhe pode aceder; não é um registo que a ISO/IEC 27701 nomeie como tal, mas é a base prática para delimitar o âmbito (4.3), avaliar riscos de privacidade (6.1.2) e localizar os dados de um titular quando este exerce um direito.
- Onde a norma o exige
- ISO 27701 · Cláusula 4.3 y 6.1.2 Cita-se a edição de 2025: os números de 4 a 10 são capítulos; A.1, A.2 e A.3 são as tabelas do Anexo A com os controlos do responsável pelo tratamento, do subcontratante e comuns a ambos.
- Tipo de informação
- Boa prática Boa prática que apoia as secções 4.3 e 6.1.2
- Quem o preenche
- A informática, com os responsáveis de cada tratamento A informática sabe onde estão os dados; o negócio sabe para quê
- Quando
- Ao delimitar o âmbito e a cada alteração de sistemas Revê-se em conjunto com a avaliação de riscos
- Durante quanto tempo se conserva
- Enquanto existir o tratamento É um documento vivo: atualiza-se e guarda-se a versão anterior para poder mostrar como era em cada momento.
O que a norma exige
O que o referencial ISO 27701 exige e o que fica ao seu critério
A norma pede que se conheçam os tratamentos e se avaliem os seus riscos, mas não exige um inventário de dados com esse nome. O que o auditor espera é que a organização saiba onde estão os dados pessoais que trata: é impossível justificar um controlo de acesso ou um prazo de apagamento sem o saber.
Muitas organizações integram-no no inventário de ativos da ISO/IEC 27001, acrescentando uma coluna de dados pessoais. É uma solução válida se distinguir categorias de dados e não apenas sistemas.
Convém incluir o que costuma ficar esquecido: cópias de segurança, exportações para folhas de cálculo, caixas de correio partilhadas e ambientes de testes com dados reais.
Estrutura
Campos que o modelo deve ter
- Categoria de dados pessoais
- Tratamentos do registo das atividades que a utilizam
- Sistema, aplicação ou suporte onde está armazenada
- Localização física ou região do fornecedor
- Cópias de segurança e réplicas
- Perfis com acesso
- Fornecedor ou subcontratante envolvido
- Prazo de apagamento e método de eliminação
- Proprietário do ativo
Exemplo
Exemplo: dados de candidatos numa consultora fictícia
Empresa, pessoas e números fictícios: o exemplo serve apenas para mostrar como fica um registo bem preenchido.
| Campo | Conteúdo |
|---|---|
| Categoria | Currículos e contactos de candidatos |
| Tratamento | RAT-07 · Recrutamento e seleção |
| Onde está | Portal de emprego contratado, caixa de correio recrutamento@ e pasta partilhada de RH |
| Cópias | Cópia diária da pasta partilhada, retida durante 30 dias |
| Acesso | Três técnicas de recrutamento e a direção de RH |
| Subcontratante | Fornecedor do portal de emprego, servidores na UE |
| Apagamento | Um ano após o fim do processo, salvo consentimento para futuras ofertas · Eliminação no portal e na pasta; a caixa de correio é limpa todos os trimestres |
| Proprietário | Direção de RH · Nubaria Consultores (fictícia) |
Na auditoria
Erros que os auditores costumam apontar
- O inventário lista servidores, mas não os dados pessoais que cada um contém.
- Esquecem-se as cópias de segurança e as exportações para folhas de cálculo.
- O ambiente de testes usa dados reais e não aparece em lado nenhum.
- Não há ligação entre o inventário e o registo das atividades: duas listas que não batem certo.
No Kimobox
Como se gere este registo no Kimobox
- 1As categorias de dados ficam ligadas ao inventário de ativos e ao registo das atividades.
- 2Cada ativo tem proprietário e classificação, e a sua revisão fica programada.
- 3A localização dos dados por titular permite responder a um pedido de exercício de direitos sem procurar à mão.
Perguntas frequentes
O que nos perguntam antes de começar
É obrigatório?
Não como documento com esse nome. É a forma prática de cumprir o que é obrigatório: delimitar o âmbito, avaliar riscos e localizar os dados para responder aos pedidos dos titulares e apagá-los a tempo.
Pode ser o mesmo inventário de ativos da ISO 27001?
Sim, desde que acrescente a dimensão da privacidade: que categorias de dados pessoais contém cada ativo e para que tratamentos.
Faça a gestão dos registos do referencial ISO 27701 sem modelos avulsos
Mostramos-lhe o módulo a funcionar com dados semelhantes aos seus.
Continue a explorar
Páginas relacionadas
Contexto e âmbito do PIMS
O sistema de privacidade começa por saber que dados pessoais se tratam, em que qualidade —responsável…
Modelo de registo das atividades de tratamento ISO 27701
O que deve conter o registo das atividades de tratamento num PIMS ISO 27701 e no art. 30.º do RGPD: campos…
Modelo de avaliação de riscos de privacidade ISO 27701
Como documentar a avaliação de riscos de privacidade da ISO 27701: critérios, risco para as pessoas…
Modelo de declaração de aplicabilidade ISO 27701
O que deve conter a declaração de aplicabilidade de um PIMS ISO 27701: controlos do Anexo A, justificação de…