Embora seja uma dúvida que se tem colocado, nos termos do RGPD é claro que uma das competências do DPO está relacionada com gestão TI, infraestrutura de TI e auditorias de SI, e só um profissional experiente nestas matérias poderá estar em posição de desempenhar as funções de DPO, baseada obrigatoriamente numa ampla experiência nesta área de especialização.
Abordando o tema risco / TI, o considerando 77 e os artigos 39º-2 e 35º-2 exigem que o DPO forneça orientações sobre avaliações de risco, contramedidas e avaliações de impacto de proteção de dados. Assim, o DPO deve ter experiência significativa em avaliação de riscos de privacidade de dados, segurança da informação e mitigação, incluindo experiência prática significativa em avaliações de privacidade, certificações de privacidade e certificações de padrões de segurança de informação.
O artigo 32 do RGPD define os requisitos para a segurança do processamento. Em contraste com o quadro legal em vigor até 25 de maio de 2018, o sistema para determinar as condições técnicas e medidas organizacionais é agora explicitamente baseada numa avaliação dos riscos identificados. Uma avaliação e a adoção de medidas baseadas nos riscos não é novidade para as empresas, por exemplo, muitas já possuem um sistema de gestão de risco para mapear riscos de segurança da informação.
O n.º 1 do artigo 32.º do RGPD exige que o responsável pelo tratamento e o processador assegurem que são tomadas as salvaguardas para proteger os dados pessoais.
Em princípio, os processos relacionados ao risco são muito semelhantes. Um procedimento de risco de proteção de dados pode ser o seguinte:
- “Criar o contexto” ou “definir o âmbito”
- Identificar riscos
- Analisar riscos
- Avaliação de riscos
- Gestão de riscos
- Monitorização de riscos
Estes seis passos da gestão de risco podem ser implementados de forma muito diferente na prática, dependendo no âmbito e método utilizado. O RGPD não prescreve um método para análise de risco e serão métodos quantitativos, qualitativos ou mesmo formas mistas que devem ser usados para determinar as medidas para garantir um nível adequado de segurança da informação.
Esta é uma das etapas do processo Risk Assessment & Data Protection Impact Assessment relacionada com a segurança dos sistemas de informação e é um tema que em breve irei desenvolver com mais detalhe nas minhas ações de formação.
Neste artigo e no capítulo da segurança, destaco um dos focos do DPO, que deve estar voltado para o “elo mais fraco” na cadeia da proteção de dados: os colaboradores das organizações.
Um dos fatores com maior peso na proteção da infraestrutura e na segurança da informação passa por criar uma cultura de segurança na organização. E neste aspeto de alteração de comportamentos, o DPO tem igualmente um papel fundamental ao ser responsável pela formação dos colaboradores em boas práticas de modo que estes estejam cientes das responsabilidades na confidencialidade, integridade e segurança dos dados.
O estado da cibersegurança das organizações é tudo menos estático e as novas tecnologias alcançam todos os colaboradores. Por ausência ou desconhecimento de normativos internos ou por má aplicação dos mesmos, o erro humano representa uma percentagem muito significativa nos incidentes e nas violações de dados ocorridos nas organizações. A forma de endereçar este aspeto, é o DPO definir programas de sensibilização e formação para a generalidade dos colaboradores, de forma a adequar comportamentos, fomentar a consciência e aumentar o conhecimento de todos os colaboradores nas matérias relacionadas com proteção de dados pessoais.
Para terminar, um bom principio para todos: ligue-se a sítios com URL https://