Modelos e registos · ISO 27701 · Cláusula A.3

Modelo de registo de violações de dados pessoais ISO 27701

Toda a violação de dados pessoais é documentada, seja ou não notificada. O registo é o que demonstra que foi avaliada a tempo e que a decisão foi fundamentada.

Numa frase

O registo de violações de dados pessoais documenta cada violação de segurança que afete dados pessoais, com os factos, os efeitos e as medidas de reparação, e a decisão fundamentada de notificar ou não a autoridade em 72 horas, porque o artigo 33.º, n.º 5, do RGPD obriga a documentá-las todas e a ISO/IEC 27701 integra a sua gestão nos controlos comuns da tabela A.3.

Conteúdo revisto em 17 de outubro de 2026

Onde a norma o exige: ISO 27701 · Cláusula A.3 Cita-se a edição de 2025: os números de 4 a 10 são capítulos; A.1, A.2 e A.3 são as tabelas do Anexo A com os controlos do responsável pelo tratamento, do subcontratante e comuns a ambos.
Tipo de informação: Registo obrigatório Registo a conservar (art. 33.º, n.º 5, do RGPD; controlos de gestão de incidentes da tabela A.3)
Quem o preenche: Responsável do PIMS, com a informática e o encarregado Quem deteta a violação comunica-a de imediato pelo canal estabelecido
Quando: Desde o primeiro aviso A contagem das 72 horas começa quando se tem conhecimento da violação
Durante quanto tempo se conserva: Fixado pela organização Nem a norma nem o RGPD estabelecem um prazo para o registo em si; o princípio da limitação da conservação (art. 5.º, n.º 1, alínea e), do RGPD) obriga a justificar o prazo escolhido.

O que a norma exige

O que o referencial ISO 27701 exige e o que fica ao seu critério

A norma pede que os incidentes de segurança sejam geridos também na sua dimensão de privacidade: detetar se afetam dados pessoais, avaliar as consequências para as pessoas e cumprir as obrigações de notificação. O subcontratante deve avisar o cliente sem demora injustificada (art. 33.º, n.º 2, do RGPD).

O responsável pelo tratamento notifica a autoridade de controlo sem demora injustificada e, sempre que possível, até 72 horas depois de ter tido conhecimento da violação, salvo se for improvável que resulte num risco para os direitos e liberdades (art. 33.º, n.º 1). Se o risco for elevado, comunica-a também aos titulares (art. 34.º).

O artigo 33.º, n.º 5, exige que se documente qualquer violação —factos, efeitos e medidas—, incluindo as que não são notificadas. É essa documentação que permite à autoridade verificar o cumprimento.

Leia-o em contexto: Controlos para responsáveis e subcontratantes, na Academia (ISO 27701)

Estrutura

Campos que o modelo deve ter

Número, data e hora de deteção e de conhecimento
Descrição do ocorrido e tipo: confidencialidade, integridade ou disponibilidade
Categorias e número aproximado de titulares e de registos
Consequências prováveis para as pessoas
Medidas adotadas e propostas para atenuar os efeitos
Avaliação do risco e decisão de notificar, com o respetivo motivo
Data da notificação à autoridade e referência
Comunicação aos titulares, quando aplicável
Não conformidade ou ação corretiva aberta

Exemplo

Exemplo: e-mail enviado com os destinatários à vista numa escola de formação fictícia

Empresa, pessoas e números fictícios: o exemplo serve apenas para mostrar como fica um registo bem preenchido.

Campo	Conteúdo
Número e data	BR-2026-004 · 10 de março de 2026, 11:20 (conhecimento às 11:45)
Descrição	Envio a 312 formandos com os endereços no campo «Para» · Confidencialidade
Dados afetados	Endereços de e-mail de 312 formandos adultos
Consequências	Exposição dos endereços entre formandos; sem dados sensíveis
Medidas	Mensagem de desculpas a pedir que o e-mail seja apagado; envios em massa só a partir da plataforma de newsletters
Decisão	Não se notifica: risco improvável para os direitos e liberdades · Fundamentação do EPD arquivada
Ação	NC-2026-011 aberta para bloquear envios para mais de 20 destinatários a partir do e-mail pessoal · Academia Lumen (fictícia)

Na auditoria

Erros que os auditores costumam apontar

Só se registam as violações notificadas.
Não consta a hora a que se teve conhecimento, pelo que não é possível demonstrar o prazo.
A decisão de não notificar não tem motivo escrito.
O contrato com o subcontratante não define como e quando deve avisar.
A violação é encerrada sem ação corretiva, embora revele um controlo que não funcionava.

No Kimobox

Como se gere este registo no Kimobox

1As violações são registadas como incidentes, com a sua classificação e a hora de conhecimento.
2O sistema mostra o tempo que falta até às 72 horas e avisa os responsáveis.
3A decisão de notificar fica no mesmo registo, com a sua justificação.
4A partir da violação abre-se a não conformidade, com causa raiz obrigatória.

Perguntas frequentes

O que nos perguntam antes de começar

É preciso notificar todas as violações?

Não. Notificam-se as que são suscetíveis de resultar num risco para os direitos e liberdades; mas todas são documentadas (art. 33.º, n.º 5, do RGPD).

O que acontece se não se cumprirem as 72 horas?

Notifica-se na mesma, explicando os motivos do atraso (art. 33.º, n.º 1). A informação pode ser fornecida por fases se não estiver completa (art. 33.º, n.º 4).

Faça a gestão dos registos do referencial ISO 27701 sem modelos avulsos

Mostramos-lhe o módulo a funcionar com dados semelhantes aos seus.

Pedir uma demonstração

Continue a explorar