Modelos e registos · ISO 27701 · Cláusula A.1 y A.2

Modelo de registo das atividades de tratamento ISO 27701

A peça central do sistema de privacidade: que dados se tratam, para quê, de quem, com quem se partilham e durante quanto tempo se guardam, tratamento a tratamento.

Numa frase

O registo das atividades de tratamento descreve, para cada tratamento, a finalidade, as categorias de titulares e de dados, os destinatários, as transferências internacionais, os prazos de apagamento e as medidas de segurança, porque o artigo 30.º do RGPD o exige ao responsável pelo tratamento e ao subcontratante e a ISO/IEC 27701 o inclui entre os controlos das tabelas A.1 e A.2.

Conteúdo revisto em 17 de outubro de 2026

Onde a norma o exige: ISO 27701 · Cláusula A.1 y A.2 Cita-se a edição de 2025: os números de 4 a 10 são capítulos; A.1, A.2 e A.3 são as tabelas do Anexo A com os controlos do responsável pelo tratamento, do subcontratante e comuns a ambos.
Tipo de informação: Documento obrigatório Documento a manter atualizado (art. 30.º do RGPD; controlos das tabelas A.1 e A.2)
Quem o preenche: O responsável de cada tratamento, com o encarregado da proteção de dados Quem conhece o processo descreve-o; o encarregado ou o responsável do PIMS verifica se está completo
Quando: Antes de iniciar um tratamento e a cada alteração Uma ferramenta nova, um fornecedor novo ou uma finalidade nova obrigam a revê-lo
Durante quanto tempo se conserva: Enquanto existir o tratamento É um documento vivo: atualiza-se e guarda-se a versão anterior para poder mostrar como era em cada momento.

O que a norma exige

O que o referencial ISO 27701 exige e o que fica ao seu critério

A norma pede ao responsável pelo tratamento e ao subcontratante que mantenham um registo dos tratamentos que realizam, com o detalhe suficiente para os gerir e o demonstrar. Não fixa o modelo: o que exige é que o registo esteja completo, atualizado e seja conhecido por quem decide sobre cada tratamento.

O RGPD concretiza o conteúdo mínimo: o artigo 30.º, n.º 1, para o responsável e o n.º 2 para o subcontratante, que regista as categorias de tratamentos que efetua por conta de cada cliente. Deve ser feito por escrito, incluindo em formato eletrónico, e disponibilizado à autoridade de controlo se esta o solicitar.

O artigo 30.º, n.º 5, isenta as organizações com menos de 250 trabalhadores, salvo se o tratamento implicar risco, não for ocasional ou abranger categorias especiais de dados. Na prática, quase nenhuma empresa com trabalhadores próprios fica isenta, porque o processamento salarial não é ocasional.

Leia-o em contexto: Controlos para responsáveis e subcontratantes, na Academia (ISO 27701)

Estrutura

Campos que o modelo deve ter

Nome e contactos do responsável pelo tratamento e, se for o caso, do encarregado da proteção de dados
Qualidade da organização: responsável, responsável conjunto ou subcontratante
Finalidade do tratamento e fundamento jurídico
Categorias de titulares e de dados pessoais
Categorias de destinatários, incluindo subcontratantes
Transferências internacionais e garantias aplicadas
Prazos previstos de apagamento
Descrição geral das medidas de segurança
Sistemas ou aplicações que suportam o tratamento
Data da última revisão e quem a fez

Exemplo

Exemplo: processamento salarial numa empresa fictícia

Empresa, pessoas e números fictícios: o exemplo serve apenas para mostrar como fica um registo bem preenchido.

Campo	Conteúdo
Tratamento	RAT-04 · Processamento salarial · Oficinas Douro Norte, Lda. (fictícia)
Qualidade	Responsável pelo tratamento
Finalidade e fundamento jurídico	Pagamento de salários e cumprimento das obrigações fiscais e de Segurança Social · Execução do contrato de trabalho e obrigação jurídica
Titulares e dados	86 trabalhadores · Dados de identificação, bancários, remuneratórios e situação familiar para efeitos fiscais
Destinatários	Gabinete externo de processamento salarial (subcontratante, contrato EN-2026-03), Segurança Social, Autoridade Tributária, banco
Transferências	Não há
Apagamento	Durante a relação laboral e, depois, enquanto durarem os prazos de prescrição aplicáveis
Medidas	Acesso restrito a duas pessoas da área administrativa, autenticação de duplo fator, cifragem do envio ao gabinete
Revisão	12 de março de 2026 · Responsável do PIMS

Na auditoria

Erros que os auditores costumam apontar

O registo foi feito uma vez e não inclui as ferramentas adotadas depois.
O fundamento jurídico é descrito como «consentimento» em tratamentos laborais que assentam no contrato ou na lei.
O subcontratante copia o registo do responsável e não distingue os tratamentos que efetua por conta de cada cliente.
Os prazos de apagamento dizem «os legalmente estabelecidos» sem concretizar nenhum.
Os subcontratantes que constam do registo não têm contrato em vigor.

No Kimobox

Como se gere este registo no Kimobox

1Cada tratamento é uma ficha do registo das atividades, com o seu responsável e a sua data de revisão.
2A entrada de uma ferramenta ou de um fornecedor novos lança um fluxo que obriga a rever os tratamentos afetados.
3Os destinatários ficam ligados aos fornecedores e ao respetivo contrato de subcontratação.
4O histórico de versões permite mostrar como era o registo em qualquer data.

Perguntas frequentes

O que nos perguntam antes de começar

O registo das atividades é o mesmo que o inventário de dados?

Não exatamente. O registo descreve tratamentos —para que se usam os dados— com o conteúdo fixado no artigo 30.º. O inventário desce ao nível de onde estão os dados: sistemas, ficheiros, cópias. O primeiro é obrigatório; o segundo é uma boa prática que alimenta a avaliação de riscos.

É preciso publicá-lo?

O RGPD não o exige: basta disponibilizá-lo à autoridade de controlo quando esta o pedir. Algumas leis nacionais impõem a sua publicação a organismos públicos.

Com que frequência se revê?

Sempre que um tratamento muda e, além disso, numa revisão periódica planeada, normalmente anual, que o auditor da norma verificará na sua amostra.

Faça a gestão dos registos do referencial ISO 27701 sem modelos avulsos

Mostramos-lhe o módulo a funcionar com dados semelhantes aos seus.

Pedir uma demonstração

Continue a explorar