FTN8

U

Casos Práticos RGPD

U

Um cliente necessita de receber uma folha de Excel com um resumo dos salários dos trabalhadores da sua empresa. Este documento tem campos como:» Nome do trabalhador » Número de Segurança Social » Salário e descontos

Caso Prático 1

U

1. Indique quais os riscos inerentes a este tratamento: » Se o ficheiro for enviado para o cliente errado este poderá ter acesso a dados sensíveis. » Se o ficheiro for capturado por “hackers” os dados poderão ser utilizados de forma maliciosa. 2. Que medidas devem ser adotadas para cumprir o RGPD? » Estamos a utilizar uma ferramenta apropriada para o envio » Em caso de interceção dos dados somente o destinatário poderá abri-los » Apenas os dados necessários de facto estão a ser transmitidos

U

Princípios básicos: » Antes de proceder ao envio do ficheiro este deverá ser protegido por password usando o próprio Excel ou mesmo adicionando-o a um ficheiro ZIP encriptado e protegido por password longa e complexa.» Esta password deve ser enviada ao cliente separadamente e por método distinto. Caso o ficheiro seja enviado por email, por exemplo, a password deverá ser transmitida por telefone.» Caso o ficheiro tenha um tamanho superior ao permitido para um envio por email, este poderá ser colocado num serviço de download ou Cloud. Porém é necessário garantir que APENAS o destinatário terá acesso ao download. Um serviço protegido por password ou identidade (Partilha por OneDrive ou Goole Drive) é aceitável. Serviços gratuitos como “Wetransfer” não garantem que o link não possa ser partilhado e utilizado por outras pessoas.

U

Exemplo de execução: » Exportar o ficheiro Excel a partir do software de salários para uma localização segura, na rede, para garantir a centralização dos dados e remoção simplificada em caso de necessidade.» Usar o Excel para configurar uma password ou usar uma ferramenta ZIP que permita a encriptação.» Adicionar o ficheiro protegido ao email e enviá-lo. » Garantir através de recibos de leitura ou envio que o email foi bem recebido. » Transmitir a password por telefone ao cliente » Apagar o ficheiro da localização de rede para prevenir acessos não controlados. » Para garantir que de facto não há qualquer cópia adicional dos dados para além das necessárias (no software de salários e do lado do cliente), podemos adicionalmente apagar o email dos itens enviados. Caso seja necessário um comprovativo de envio os emails de entrega e de leitura são geralmente validos, mas poderá ser solicitado uma resposta do cliente para validar a entrega.

Caso Prático 2

Um cliente pede-nos para ser esquecido. Legalmente não existe qualquer problema, logo podemos cumprir com o direito.

1. Indique quais os riscos inerentes a este tratamento: » Não conseguir cumprir com o pedido » Caso algum dado do cliente não for apagado e houver fuga de informação o cliente pode processar-nos por danos e podemos ser multados.2. Que medidas devem ser adotadas para cumprir o RGPD?Na medida do possível e do legal devemos aceder ao pedido. Caso não seja possível devemos fazer um esforço para pseudonimizar os dados. Devemos de seguida informar o titular

Considerações: Esta execução depende de como os processos estão implementados na aquisição e armazenamento dos dados. Caso existam dados do cliente guardados nos computadores dos trabalhadores da nossa empresa muito dificilmente teremos capacidade de cumprir com este direito. Princípio:A remoção do cliente da base de dados deverá ser executada quanto antes será necessário fazer prova não apenas da remoção dos dados da base de dados bem como de dados pessoais constantes em documentação interna da rede, salvaguardando as disposições legais que se sobreponham ao direito ao esquecimento.

Execução: » No software de CRM, ERP ou base de dados de clientes será necessário aceder ao registo do cliente e proceder à remoção do registo.» No sistema de ficheiros de rede é necessário verificar se existem documentos com dados do cliente em questão e apagar, na medida do possível e do legal, estes documentos (Word, Excel, CSV, XML, etc…)» No sistema de email, é necessário assegurar, na medida do possível e do legal, que não há emails enviados ou recebidos com dados pessoais (daí a necessidade de apagar os emails enviados com dados pessoais como no exemplo anterior).