Software RGPD para a sua
gestão da proteção de dados

O Regulamento Geral sobre a Proteção de Dados (Regulamento (UE) 2016/679, em inglês GDPR) é o direito da proteção de dados da União Europeia. Aplica-se diretamente desde 25 de maio de 2018 em todos os Estados-Membros e regula em que condições os dados pessoais podem ser tratados, que direitos têm os titulares e que obrigações cabem aos responsáveis pelo tratamento e aos subcontratantes. Na Alemanha é complementado pela lei federal de proteção de dados (BDSG).

Um sistema de gestão da proteção de dados (DPMS, do inglês Data Protection Management System) é o conjunto das regras, processos, funções e evidências com que uma organização cumpre o RGPD e o consegue demonstrar. Abrange o registo das atividades de tratamento, os fundamentos jurídicos, as medidas técnicas e organizativas, o tratamento de pedidos e incidentes e a revisão regular.

Um software RGPD representa os requisitos do regulamento como catálogo e liga-os àquilo a que se referem — atividades de tratamento, sistemas, categorias de dados, prestadores de serviços, pessoas. As atividades recorrentes correm como processos com workflow e prazo, e o registo, o relatório AIPD e a documentação de incidentes nascem dos dados em vez de tabelas.

O Data Protection Kit é o conjunto inicial preparado do software DPMS da Complaica: estrutura organizacional típica, modelo de registo segundo o art. 30.º, avaliação e relatório AIPD e catálogos de ameaças e medidas. Esta página descreve as funções e os procedimentos do software RGPD; o conteúdo do kit é apresentado na página do software DPMS.

Dez tipos de processo com workflow próprio: atividade de tratamento (PA), pedido do titular dos dados (DSR), reclamação (CMP), incidente de proteção de dados (DPI), análise de limiar (TA), avaliação de impacto sobre a proteção de dados (DPIA), avaliação de impacto da transferência (TIA), consentimento (CR), ponderação de interesses legítimos (LIA) e compromisso de confidencialidade (CC). Além disso, verificação de subcontratantes, incidente de segurança e lição aprendida.

Segundo o art. 12.º, n.º 3, do RGPD, sem demora injustificada e, em todo o caso, no prazo de um mês a contar da receção do pedido. Quando for necessário, tendo em conta a complexidade e o número de pedidos, esse prazo pode ser prorrogado por mais dois meses; o titular dos dados deve ser informado dessa prorrogação e dos motivos da demora no prazo de um mês a contar da receção do pedido. Na Complaica, cada pedido tem o seu prazo, e o dashboard mostra o que está a vencer.

Segundo o art. 33.º, n.º 1, do RGPD, o responsável pelo tratamento notifica uma violação de dados pessoais à autoridade de controlo competente sem demora injustificada e, sempre que possível, até 72 horas após ter tido conhecimento da mesma — a menos que a violação não seja suscetível de resultar num risco para os direitos e liberdades das pessoas singulares. Se a notificação não for transmitida no prazo de 72 horas, é acompanhada dos motivos do atraso. Um subcontratante notifica o responsável pelo tratamento sem demora injustificada. Se a violação for suscetível de implicar um elevado risco, os titulares dos dados devem, segundo o art. 34.º, ser igualmente informados sem demora injustificada. Segundo o art. 33.º, n.º 5, documenta-se cada violação.

Segundo o art. 35.º do RGPD, quando um tratamento — em particular se utilizar novas tecnologias — for suscetível de implicar um elevado risco para os direitos e liberdades das pessoas singulares. O art. 35.º, n.º 3, refere em particular a avaliação sistemática e completa de aspetos pessoais, incluindo a definição de perfis, como base de decisões que produzem efeitos jurídicos, o tratamento em grande escala de categorias especiais de dados ou de dados relativos a condenações penais e infrações e o controlo sistemático de zonas acessíveis ao público em grande escala; as autoridades de controlo publicam listas segundo o art. 35.º, n.º 4. Se uma AIPD é necessária, esclarece-o na Complaica a análise de limiar por atividade de tratamento.

A verificação de se uma transferência de dados pessoais para um país terceiro é admissível: que instrumento do capítulo V se aplica — decisão de adequação, cláusulas contratuais-tipo, regras vinculativas aplicáveis às empresas —, se o direito do país de destino compromete a proteção e que medidas suplementares são necessárias. O Tribunal de Justiça da União Europeia exigiu esta verificação no acórdão Schrems II (C-311/18). Na Complaica, a TIA é um tipo de processo com data de reavaliação.

Segundo o art. 7.º, n.º 1, do RGPD, o responsável pelo tratamento tem de poder demonstrar que o titular dos dados deu o seu consentimento. Segundo o art. 7.º, n.º 3, o consentimento pode ser retirado a qualquer momento, e retirá-lo tem de ser tão fácil como dá-lo. A Complaica conduz os consentimentos como processos com os estados Ativo, Retirado e Expirado, ligados à atividade de tratamento que neles assenta.

A verificação de se um tratamento pode assentar no interesse legítimo segundo o art. 6.º, n.º 1, alínea f), do RGPD: existe um interesse legítimo, o tratamento é necessário para ele e não prevalecem os interesses ou os direitos fundamentais do titular? O resultado é documentado — na Complaica, como processo ligado à atividade de tratamento.

As pessoas que agem sob a autoridade do responsável pelo tratamento ou do subcontratante e têm acesso a dados pessoais só os podem tratar mediante instruções (art. 29.º, art. 32.º, n.º 4); as pessoas autorizadas pelo subcontratante a tratar os dados têm de ter assumido um compromisso de confidencialidade, segundo o art. 28.º, n.º 3, alínea b). O compromisso de confidencialidade escrito é a evidência habitual disso. A Complaica conduz o compromisso por pessoa: enviado, assinado, expirado ou recusado, com documento e data.

Um conceito de apagamento define quando são apagados que dados pessoais, e como. As categorias de dados são associadas a regras de apagamento — com momento de início e prazo, derivados da finalidade e das obrigações legais de conservação —, e as unidades de apagamento descrevem em que sistema e com que granularidade os dados são apagados. O método é descrito pela norma DIN EN ISO/IEC 27555:2025-09, que em setembro de 2025 substituiu a DIN 66398. No RGPD, assenta na limitação da conservação (art. 5.º, n.º 1, alínea e)), no direito ao apagamento dos dados (art. 17.º) e nos prazos previstos para o apagamento no registo (art. 30.º, n.º 1, alínea f)).

Segundo o art. 30.º do RGPD, cada responsável pelo tratamento e cada subcontratante. O art. 30.º, n.º 5, isenta as empresas e organizações com menos de 250 trabalhadores — mas não se o tratamento efetuado for suscetível de implicar um risco para os direitos e liberdades dos titulares dos dados, não for ocasional ou abranger as categorias especiais de dados a que se refere o art. 9.º, n.º 1, ou dados pessoais relativos a condenações penais e infrações referidos no art. 10.º. Na Complaica, o registo nasce das atividades de tratamento aprovadas como relatório.

A lei federal alemã de proteção de dados usa as cláusulas de abertura do RGPD. Entre outros, o § 38 BDSG obriga à designação de um encarregado de proteção de dados quando, em regra, pelo menos vinte pessoas estão permanentemente ocupadas com o tratamento automatizado de dados pessoais ou quando são efetuados tratamentos sujeitos a uma avaliação de impacto sobre a proteção de dados. Na Complaica, a BDSG é avaliada como catálogo de requisitos próprio, a par do RGPD.

Sim, como serviço adicional. Os nossos especialistas em proteção de dados assumem a função segundo o art. 37.º do RGPD e o § 38 BDSG — como interlocutor para a autoridade de controlo, os titulares e a direção, com a Complaica como ferramenta de trabalho. Além disso, prestamos consultoria em análise de lacunas, registo, AIPD, subcontratação e formação.