Independência do DPO na ISO 27701 e no RGPD da UE
Sarah, CISO de uma FinTech em rápido crescimento, percebeu o problema antes mesmo de a reunião do comité de risco começar. Um bucket de armazenamento na nuvem mal configurado tinha exposto brevemente uma base de dados de staging com dados de teste de clientes. A equipa de engenharia corrigiu rapidamente a configuração. Nenhum sistema de produção foi afetado. O relatório de incidente descrevia o evento como menor.
Mas a pessoa que apresentava o relatório era Mark, o responsável de TI.
Mark era também o Encarregado da Proteção de Dados designado da empresa.
Enquanto responsável de TI, Mark destacou a rapidez da remediação, o impacto operacional limitado e a razão pela qual a notificação à autoridade de controlo não era necessária. Enquanto DPO, deveria ter colocado perguntas mais exigentes: porque existiam dados de staging naquele formato, se o conjunto de dados continha pessoas identificáveis, se a segregação de ambientes tinha falhado, se o incidente expunha uma fragilidade sistémica de privacidade e se os titulares dos dados poderiam enfrentar risco mesmo que os dados não fossem “dados pessoais de produção”.
Este é o problema da independência do DPO na sua forma mais prática. A questão não é saber se Mark atuou de má-fé. A questão é estrutural. Uma pessoa não consegue monitorizar, contestar e aconselhar objetivamente sobre decisões que também detém, aprova ou defende.
O mesmo problema surge em empresas SaaS que se preparam para avaliações de prontidão do PIMS ISO/IEC 27701:2025, em fornecedores de saúde que respondem a auditorias de clientes, em entidades financeiras sujeitas ao escrutínio do DORA e em PME que tentam manter uma governação da privacidade leve. A organização tem um DPO ou assessor de privacidade no papel. O aviso de privacidade está atualizado. O modelo de AIPD existe. O registo de violações de dados pessoais está pronto. Depois, o auditor faz uma pergunta simples:
“Quem é o vosso DPO ou assessor de privacidade, e que outras funções desempenha?”
Se a resposta for “responsável de TI”, “CISO”, “diretor jurídico”, “COO”, “responsável de RH”, “responsável de marketing” ou “a pessoa que aprova acessos, lidera incidentes, assina AIPD e revê os mesmos controlos”, a organização não tem apenas um problema de recursos. Tem um problema de governação.
Para a ISO/IEC 27701:2025 e a responsabilização no RGPD da UE, a independência do DPO não é cerimonial. É um controlo. Liga a conceção de funções, a segregação de funções, a revisão pela gestão, o tratamento do risco, os registos de evidência, a auditoria interna e as vias de escalonamento.
É aqui que a Clarysec ajuda as organizações a transformar a independência, de uma expressão jurídica vaga, num modelo operacional repetível e auditável, utilizando a [P02] Política de Funções e Responsabilidades de Governação, a [P02S] Política de Funções e Responsabilidades de Governação - PME, a [PIMS] Política de Funções, Responsabilidades e Responsabilização em Privacidade, a [DP] Política de Proteção de Dados e Privacidade, o Zenith Blueprint: Roteiro de 30 passos para auditores e o Zenith Controls: Guia de conformidade cruzada.
O risco real do DPO com dupla função
O RGPD da UE permite que um DPO desempenhe outras tarefas, mas não quando essas tarefas criam um conflito de interesses. O Article 38 exige que o DPO não receba instruções quanto ao exercício das suas funções, não seja penalizado pelo desempenho dessas funções e não acumule deveres adicionais que comprometam a sua independência.
O conflito surge normalmente quando o DPO ocupa uma posição que determina as finalidades ou os meios do tratamento de dados pessoais. Combinações comuns de alto risco incluem:
- DPO e responsável de TI ou CIO
- DPO e CISO ou responsável pela segurança da informação
- DPO e responsável de marketing
- DPO e responsável de RH
- DPO e COO
- DPO e responsável pela auditoria interna
- DPO e proprietário do produto para tratamento de dados de alto risco
Algumas combinações não são automaticamente proibidas, mas todas devem ser avaliadas. A assessoria jurídica, os gestores de conformidade, os responsáveis de segurança e os gestores de programas de privacidade podem conhecer profundamente a proteção de dados, mas a questão é saber se conseguem monitorizar de forma independente, contestar decisões e escalar preocupações sem reverem o seu próprio trabalho.
| Cenário | Porque a independência é relevante | Sinal de conflito |
|---|---|---|
| Aprovação de AIPD para uma nova funcionalidade de análise por IA | O DPO deve contestar a necessidade, a proporcionalidade, o fundamento de licitude, a transparência e as salvaguardas | O DPO também é responsável por prazos de lançamento do produto ou metas de receita |
| Avaliação da violação de dados pessoais após acesso não autorizado a logs | O DPO deve aconselhar sobre a classificação da violação de dados pessoais e a notificação | O DPO gere a equipa cuja falha de controlo causou o incidente |
| Integração de subcontratante para análise na nuvem | O DPO deve contestar riscos de transferência, retenção, subcontratantes subsequentes e acesso | O DPO negociou o contrato e quer concluir a aprovação |
| Aprovação de acesso a dados sensíveis de clientes | O DPO deve monitorizar o princípio do menor privilégio e a responsabilização | A mesma pessoa aprova, provisiona e revê o acesso |
| Auditoria interna de controlos de privacidade | O auditor deve testar objetivamente a governação da privacidade | O DPO redigiu o processo, executou o controlo e revê a evidência |
O risco não é teórico. Um DPO em conflito pode minimizar riscos de privacidade para proteger orçamentos, evitar recomendações que criem fricção operacional, hesitar em comunicar uma violação que prejudique a imagem do seu departamento ou não ter independência para contestar a alta direção.
A responsabilização no RGPD da UE torna esta questão crítica em termos de evidência. O Article 5(2) exige que o responsável pelo tratamento seja responsável pelo cumprimento dos princípios do tratamento lícito, leal, transparente, limitado à finalidade, minimizado, exato, com retenção controlada, seguro e responsável, e que seja capaz de o demonstrar. Um conflito do DPO que não seja avaliado, aprovado, mitigado e evidenciado enfraquece essa demonstração.
O que significa independência dentro de um PIMS
Num Sistema de Gestão da Informação de Privacidade, a independência nem sempre significa que o DPO tenha de ser externo. Significa que o DPO ou assessor de privacidade consegue executar funções de monitorização e aconselhamento sem bloqueios estruturais, conflitos operacionais ou pressão para aprovar decisões que deveria contestar.
A Clarysec separa três conceitos que as organizações frequentemente confundem:
- Independência, a capacidade de aconselhar, monitorizar e escalar sem interferência.
- Segregação de funções, a separação de responsabilidades incompatíveis, como aprovar e executar ações de alto risco.
- Governação de conflitos de interesses, o fluxo de trabalho documentado para identificar, avaliar, aprovar, mitigar e rever combinações de funções inevitáveis.
Isto começa pela liderança e pela atribuição de funções. A cláusula 5.3 da ISO/IEC 27001:2022 exige que a alta direção assegure que as responsabilidades e autoridades para funções relevantes para a segurança da informação são atribuídas e comunicadas. Num PIMS assente num SGSI, essa disciplina de governação estende-se naturalmente às funções de privacidade.
A [P02] Política de Funções e Responsabilidades de Governação define o seu objetivo:
“Manter um modelo de governação que aplique a segregação de funções, elimine conflitos de interesses e permita o escalonamento de questões de segurança não resolvidas.”
Esta citação provém da Política Empresarial de Funções e Responsabilidades de Governação, secção “Objetivos”, cláusula 3.2 da política.
A mesma política explicita a expectativa de evidência:
“A segregação de funções é aplicada e documentada”
Esta citação provém da Política Empresarial de Funções e Responsabilidades de Governação, secção “Requisitos de governação”, cláusula 5.4.3 da política.
Para PME, a Clarysec reconhece que a separação perfeita nem sempre é possível. A [P02S] Política de Funções e Responsabilidades de Governação - PME estabelece:
“O tratamento do risco deve incluir a identificação de quaisquer casos em que indivíduos possam ter deveres conflituantes (por exemplo, aprovação e monitorização de acessos). As medidas de mitigação podem incluir a atribuição da autoridade de revisão a uma pessoa diferente ou a implementação de controlos compensatórios (por exemplo, logs ou verificações por amostragem).”
Esta citação provém da Política de Funções e Responsabilidades de Governação para PME, secção “Tratamento do risco e exceções”, cláusula 7.2.1 da política.
Esse é o padrão prático para organizações mais pequenas. Não finja que não existe conflito. Identifique-o, aprove-o, mitigue-o, registe-o e reveja-o.
REG01 e REG12: o fluxo de trabalho de evidência da Clarysec
Em muitas organizações, os conflitos de funções são tratados informalmente. Alguém diz: “Somos demasiado pequenos para ter um DPO separado”, e a decisão nunca chega a um registo. Meses depois, um auditor pede evidência, e a organização tem apenas um organograma.
A [PIMS] Política de Funções, Responsabilidades e Responsabilização em Privacidade transforma isto num fluxo de trabalho controlado. Exige aprovação da alta direção antes de serem atribuídas combinações de funções sensíveis:
“[Todos] A alta direção DEVE aprovar no REG01, antes da atribuição, combinações de funções que envolvam o Responsável de Privacidade / Gestor do PIMS, Encarregado da Proteção de Dados / Assessor de Privacidade, Responsável de Segurança da Informação, Coordenador de Resposta a Incidentes ou Revisor de Auditoria Interna / Conformidade.”
Esta citação provém da Política de Funções, Responsabilidades e Responsabilização em Privacidade, secção “Combinação de funções, segregação e independência”, cláusula 4.2.2 da política.
Também exige controlos compensatórios para conflitos inevitáveis:
“[Todos] O Responsável de Privacidade / Gestor do PIMS DEVE registar no REG12 os controlos compensatórios para conflitos de segregação inevitáveis antes de aprovar uma combinação de funções.”
Esta citação provém da Política de Funções, Responsabilidades e Responsabilização em Privacidade, secção “Combinação de funções, segregação e independência”, cláusula 4.2.4 da política.
E exige o registo rápido de preocupações de independência:
“[Todos] O Encarregado da Proteção de Dados / Assessor de Privacidade DEVE registar no REG12 preocupações relativas à independência da função ou a conflitos de interesses no prazo de cinco dias úteis após a sua identificação.”
Esta citação provém da Política de Funções, Responsabilidades e Responsabilização em Privacidade, secção “Combinação de funções, segregação e independência”, cláusula 4.2.5 da política.
Esta é a diferença entre documentação de privacidade e governação da privacidade. A política não se limita a dizer que “o DPO deve ser independente”. Define quem aprova combinações de funções, onde os conflitos são registados, a rapidez com que as preocupações de independência devem ser registadas e como são associados os controlos compensatórios.
A [DP] Política de Proteção de Dados e Privacidade reforça o requisito de independência:
“Atua de forma independente para supervisionar o cumprimento dos regulamentos de proteção de dados.”
Esta citação provém da Política Empresarial de Proteção de Dados e Privacidade, secção “Funções e responsabilidades”, cláusula 4.2.1 da política.
Uma matriz prática de conflitos de interesses do DPO
Uma matriz simples de conflitos ajuda a gestão a decidir que combinações de funções são aceitáveis, quais necessitam de mitigação e quais devem ser proibidas.
| Função 1 | Função 2 | Nível de conflito | Ação recomendada ou controlos compensatórios |
|---|---|---|---|
| Responsável de TI ou CIO | Encarregado da Proteção de Dados | Alto | Evitar sempre que possível. O DPO não deve supervisionar a mesma função de infraestrutura que gere |
| CISO ou responsável pela segurança da informação | Encarregado da Proteção de Dados | Alto | Documentar no REG01 apenas se inevitável; usar revisão externa de privacidade para violações de dados pessoais e AIPD |
| Responsável de marketing | Encarregado da Proteção de Dados | Alto | Evitar. O marketing determina frequentemente as finalidades e os meios de utilização de dados de clientes |
| Responsável de RH | Encarregado da Proteção de Dados | Alto | Evitar. Os RH gerem dados sensíveis de trabalhadores e políticas relacionadas |
| Pessoal de auditoria interna | Encarregado da Proteção de Dados | Alto | Evitar. A auditoria interna deve poder rever de forma independente a função do DPO |
| Assessoria jurídica | Encarregado da Proteção de Dados | Médio | Avaliar cuidadosamente, documentar no REG01 e separar, quando necessário, o aconselhamento do DPO do privilégio jurídico |
| Responsável de conformidade | Encarregado da Proteção de Dados | Médio | Avaliar cuidadosamente, definir mandato, linha de reporte e controlos de revisão independente |
| Consultor externo | Encarregado da Proteção de Dados | Baixo | Frequentemente eficaz se o contrato garantir independência, acesso, recursos e direitos de escalonamento |
A matriz não substitui a governação. É uma ferramenta de triagem que alimenta aprovações no REG01, preocupações no REG12, revisão pela gestão e planeamento de auditoria interna.
Cinco passos para gerir conflitos do DPO antes de os auditores os encontrarem
Quando um cliente pergunta: “O nosso DPO também é o nosso responsável de segurança. Isso é aceitável?”, a resposta depende da evidência.
Passo 1: Registar a combinação de funções no REG01
Comece pelo registo de atribuição de funções. Registe a pessoa, a função formal, a linha de reporte, as autoridades delegadas, as responsabilidades operacionais relevantes para a privacidade, o estado da aprovação e a data de revisão.
| Campo REG01 | Conteúdo de exemplo |
|---|---|
| Pessoa | Jane Smith |
| Função 1 | Encarregado da Proteção de Dados / Assessor de Privacidade |
| Função 2 | Responsável de Segurança da Informação |
| Função 3 | Coordenador de Resposta a Incidentes |
| Aprovação necessária | Aprovação da alta direção necessária antes da atribuição |
| Classificação inicial do conflito | Alta para avaliação da violação de dados pessoais e monitorização de acessos; média para revisão de AIPD |
| Decisão de aprovação | Aprovado com controlos compensatórios por 12 meses |
| Data de revisão | Trimestralmente e após qualquer violação de dados pessoais |
Isto implementa o requisito da [PIMS] Política de Funções, Responsabilidades e Responsabilização em Privacidade relativo à aprovação da alta direção antes da atribuição.
Passo 2: Realizar uma avaliação do conflito
Pergunte onde o DPO poderia estar a rever o seu próprio trabalho.
| Pergunta | Se sim, existe conflito |
|---|---|
| O DPO aprova a atividade de tratamento que posteriormente monitoriza? | Sim |
| O DPO gere a equipa cuja falha poderá ter de contestar? | Sim |
| O DPO decide a severidade da violação de dados pessoais e também é responsável por métricas de remediação? | Sim |
| O DPO tem indicadores comerciais ou operacionais associados à aprovação? | Sim |
| O DPO consegue escalar diretamente à alta direção sem filtragem? | Se não, existe preocupação de independência |
O objetivo não é criar um organograma perfeito. O objetivo é prevenir a autoaprovação, a influência oculta e o escalonamento fraco.
Passo 3: Registar controlos compensatórios no REG12
Se a organização não puder separar imediatamente as funções, registe os controlos no REG12.
| Conflito | Controlo compensatório |
|---|---|
| O DPO também é Coordenador de Resposta a Incidentes | A assessoria jurídica ou um assessor de privacidade externo revê as decisões de notificação de violação de dados pessoais |
| O DPO também é Responsável de Segurança da Informação | A auditoria interna testa de forma independente, todos os trimestres, a evidência de monitorização da privacidade |
| O DPO aprova acesso a logs de privacidade | Outro gestor realiza a revisão de acessos com base em logs imutáveis |
| O DPO facilita AIPD | A aprovação da AIPD exige aprovação formal do proprietário do produto, do jurídico, da privacidade e da alta direção |
| O DPO participa na seleção de fornecedores | A área de compras ou o comité de risco realiza de forma independente a devida diligência de privacidade de fornecedores |
Isto está alinhado com a [SME-ISP] Política de Segurança da Informação - PME:
“Nenhuma tarefa pode ser delegada de forma que elimine a supervisão ou viole a segregação de funções (por exemplo, uma pessoa não deve aprovar e executar sozinha a mesma ação de alto risco).”
Esta citação provém da Política de Segurança da Informação para PME, secção “Funções e responsabilidades”, cláusula 4.5.3 da política.
Também está alinhado com a [P02S] Política de Funções e Responsabilidades de Governação - PME:
“A delegação não deve eliminar a supervisão nem permitir autoaprovação não autorizada.”
Esta citação provém da Política de Funções e Responsabilidades de Governação para PME, secção “Funções e responsabilidades”, cláusula 4.5.2 da política.
Passo 4: Documentar o aconselhamento do DPO e as preocupações de independência
Uma falha frequente em auditoria é o aconselhamento do DPO ocorrer em reuniões, conversas de chat ou chamadas informais, sem que nada fique registado. A [PIMS] Política de Funções, Responsabilidades e Responsabilização em Privacidade exige:
“[Todos] O Encarregado da Proteção de Dados / Assessor de Privacidade DEVE registar no REG12 aconselhamento de privacidade, observações de monitorização ou preocupações de independência quando solicitado para decisões materiais de privacidade ou preocupações de conformidade.”
Esta citação provém da Política de Funções, Responsabilidades e Responsabilização em Privacidade, secção “Funções e responsabilidades”, cláusula 5.1.3 da política.
Também exige a revisão tempestiva dos conflitos encaminhados:
“[Todos] O Encarregado da Proteção de Dados / Assessor de Privacidade DEVE rever conflitos materiais de funções encaminhados e registar o aconselhamento no REG12 no prazo de 10 dias úteis após o encaminhamento.”
Esta citação provém da Política de Funções, Responsabilidades e Responsabilização em Privacidade, secção “Governação e supervisão”, cláusula 6.1.3 da política.
| Campo REG12 | Conteúdo de exemplo |
|---|---|
| Decisão | Lançar funcionalidade de análise do comportamento de clientes |
| Aconselhamento do DPO | Prosseguir apenas após conclusão da AIPD, atualização do aviso de privacidade, limite de retenção, mecanismo de opt-out e restrição de acesso |
| Preocupação de independência | O proprietário do produto solicitou aprovação de lançamento antes da conclusão da AIPD |
| Escalonamento | Escalado para o Gestor do PIMS e o CEO |
| Resultado | Lançamento adiado até à implementação das salvaguardas |
| Ligações para evidência | AIPD, atualização do aviso de privacidade, revisão de acessos, aprovação da gestão |
Este registo protege a organização, mas também protege o DPO. Demonstra que foi prestado aconselhamento independente, mesmo quando o negócio preferia uma via mais rápida.
Passo 5: Integrar os conflitos na revisão pela gestão e na auditoria interna
A independência do DPO não é uma verificação pontual no momento da nomeação. Deve ser revista através da revisão pela gestão, da auditoria interna e do acompanhamento de ações corretivas.
A [P02] Política de Funções e Responsabilidades de Governação inclui a revisão de conformidade de:
“Revisão de quaisquer conflitos de interesses ou delegações não autorizadas”
Esta citação provém da Política Empresarial de Funções e Responsabilidades de Governação, secção “Aplicação e cumprimento”, cláusula 8.2.1.3 da política.
A [DP] Política de Proteção de Dados e Privacidade também mantém a alta direção envolvida nas exceções:
“As exceções devem ser aprovadas pelo Encarregado da Proteção de Dados (DPO) e pela alta direção antes da implementação.”
Esta citação provém da Política Empresarial de Proteção de Dados e Privacidade, secção “Tratamento do risco e exceções”, cláusula 7.3.1 da política.
Essa dupla aprovação é relevante. O DPO aconselha e monitoriza. A alta direção é proprietária da decisão e do risco residual.
Como o Zenith Blueprint e o Zenith Controls mapeiam a questão
O Zenith Blueprint enquadra a atribuição de funções numa fase inicial da Fundação e Liderança do SGSI, Passo 4: Funções e responsabilidades no SGSI. Observa:
“Se aplicável (especialmente se trata dados pessoais, poderá ter um Encarregado da Proteção de Dados por imposição legal). Este assegura que o SGSI está alinhado com as leis de privacidade e poderá coordenar auditorias.”
O Passo 4 também salienta que o Gestor do SGSI ou o responsável de segurança coordena frequentemente a implementação, avaliações de risco, auditorias e programas de sensibilização, e “deve ter acesso direto à alta direção para escalar questões”. O mesmo princípio aplica-se ao DPO. Um assessor de privacidade que não consegue chegar à alta direção quando uma equipa de produto rejeita recomendações de AIPD não é materialmente independente.
Na fase Controlos em Ação, Passo 22: Controlos organizacionais, o Zenith Blueprint explica a segregação de funções:
“A segregação de funções (SoD) é um princípio fundamental de controlo concebido para reduzir o risco de fraude, erro ou abuso, assegurando que nenhum indivíduo tem autoridade ou acesso excessivo que possa ser explorado sem deteção.”
Também apresenta a realidade das PME:
“Quando a dimensão da equipa limita a segregação funcional, as organizações podem implementar controlos compensatórios. Estes podem incluir aprovações em várias etapas, revisões automatizadas de fluxos de trabalho ou registos para trilho de auditoria com revisão regular. O ponto não é a perfeição; é a consciência do risco.”
O Passo 23 liga os responsáveis de privacidade, assessores jurídicos e DPOs às operações de privacidade:
“Responsáveis de privacidade, assessores jurídicos ou encarregados da proteção de dados (DPOs) devem estar envolvidos na definição da forma como os dados pessoais são tratados, especialmente no que respeita a transferências internacionais, tratamento transfronteiriço ou direitos dos titulares dos dados, como acesso, retificação e apagamento.”
Continua com a evidência que os auditores esperam:
“De uma perspetiva de auditoria, este controlo está cada vez mais em foco. Auditores, reguladores e clientes querem ver:
✓ Onde residem as informações de identificação pessoal (PII),
✓ Que fundamento de licitude rege o seu tratamento,
✓ Como o acesso é restringido,
✓ Como os incidentes são comunicados,
✓ E como a organização respeita os direitos e mantém a transparência.”
O Zenith Blueprint também explica a revisão independente como um controlo de objetividade:
“Exige que a abordagem da organização à gestão da segurança da informação seja sujeita a revisão independente em intervalos planeados, para que pontos cegos possam ser revelados, pressupostos possam ser contestados e a confiança possa ser validada por um olhar novo.”
E clarifica:
“Independente”, neste contexto, nem sempre significa externo. Significa funcionalmente separado da propriedade operacional do SGSI."
Para a independência do DPO, isto significa que a auditoria interna da governação da privacidade não deve ser realizada pela pessoa cuja função de DPO está sob revisão. Se a organização for demasiado pequena, utilize um revisor externo ou revisão por pares aprovada pela alta direção.
O Zenith Controls identifica os controlos relacionados da ISO/IEC 27002:2022 como “Funções e responsabilidades de segurança da informação” 5.2, “Segregação de funções” 5.3 e “Revisão independente da segurança da informação” 5.35. Esse mapeamento é relevante porque a independência em privacidade não está isolada da governação do SGSI. Faz parte da mesma lógica de auditoria: definir responsabilidades, separar deveres incompatíveis e rever de forma independente o sistema de gestão.
Mapeamento entre referenciais para ISO 27701, RGPD da UE, NIS2, DORA, NIST CSF e COBIT 19
A independência do DPO é normalmente discutida como uma questão do RGPD da UE, mas auditores e reguladores observam a mesma fragilidade através de múltiplos referenciais.
| Perspetiva do referencial | O que pergunta na prática | Evidência de governação de conflitos do DPO |
|---|---|---|
| PIMS ISO/IEC 27701:2025 | As funções, responsabilidades, monitorização e responsabilização de privacidade estão definidas e operacionais? | Nomeação do DPO, atribuição de funções no REG01, preocupações de independência no REG12, atas de revisão pela gestão do PIMS |
| RGPD da UE | O responsável pelo tratamento consegue demonstrar responsabilização, governação da privacidade e salvaguardas adequadas? | Registos de aconselhamento do DPO, avaliação de conflitos, evidência de contestação em AIPD, logs de aconselhamento sobre violações de dados pessoais |
| ISO/IEC 27001:2022 e ISO/IEC 27002:2022 | As responsabilidades estão atribuídas, os deveres segregados e as revisões independentes realizadas? | Matriz RACI, avaliação SoD, independência da auditoria interna, lista de proprietários dos controlos |
| NIS2 | O órgão de administração aprova e supervisiona medidas de risco, formação, tratamento de incidentes, continuidade e controlos da cadeia de fornecimento? | Decisões do órgão de administração, registos de escalonamento, atas de governação de cibersegurança e privacidade |
| DORA | O órgão de administração supervisiona o risco das TIC, o risco de terceiros, a auditoria interna, a resiliência e a comunicação de incidentes? | Mapa de funções de TIC, revisão de conflitos de terceiros, plano de auditoria interna, acompanhamento de ações corretivas |
| NIST CSF 2.0 | A governação, as obrigações legais, o apetite ao risco, as funções e a supervisão estão integrados na gestão de riscos empresarial? | Perfis atual e alvo, registo de lacunas de governação, POA&M, evidência de revisão da política |
| COBIT 19 e perspetiva de auditoria ISACA | Os direitos de decisão, a independência da garantia, a propriedade do risco e as responsabilidades de monitorização estão separados? | Matriz de direitos de decisão, plano de garantia, registos de conflitos, acompanhamento de remediação |
O NIS2 Article 20 atribui aos órgãos de administração a responsabilidade de aprovar e supervisionar medidas de gestão de riscos de cibersegurança e formação. O Article 21 exige medidas técnicas, operacionais e organizacionais adequadas, incluindo análise de riscos, tratamento de incidentes, continuidade, segurança da cadeia de fornecimento, avaliação da eficácia, formação, criptografia, segurança de RH, controlo de acesso, gestão de ativos, MFA quando adequado e comunicações seguras. Se o DPO também for proprietário operacional de segurança, a supervisão da privacidade deve continuar preservada.
O DORA Article 5 exige que as entidades financeiras mantenham um quadro interno de governação e controlo para a gestão do risco das TIC, sendo o órgão de administração o responsável último. O Article 28 exige gestão do risco das TIC de terceiros, diligência prévia, salvaguardas contratuais, avaliação de risco de concentração e consideração de conflitos de interesses. Um DPO que também seja proprietário do risco das TIC ou da aprovação de terceiros cria uma questão de governação que deve ser controlada.
O NIST CSF 2.0 enquadra estas questões na função GOVERN: as obrigações legais, regulamentares, contratuais, de privacidade e de liberdades civis devem ser compreendidas e geridas, as funções devem estar claras, deve existir supervisão e o risco de cibersegurança deve estar alinhado com a gestão de riscos empresarial. Um conflito do DPO pode ser tratado como uma lacuna de governação, atribuído a um proprietário, documentado num plano de ação e monitorizado.
Como os auditores testam a independência do DPO
Diferentes auditores utilizam linguagem diferente, mas as suas perguntas convergem.
| Perfil do auditor | Pergunta provável de auditoria | Evidência preparada pela Clarysec |
|---|---|---|
| Auditor PIMS ISO/IEC 27701:2025 | As responsabilidades de privacidade estão atribuídas, os conflitos identificados e a monitorização é independente? | Mapa de funções do PIMS, aprovações REG01, registos de conflitos REG12, registos de aconselhamento de privacidade |
| Auditor ISO/IEC 27001:2022 | As funções de segurança da informação estão definidas, os deveres incompatíveis segregados e a revisão independente realizada? | RACI, matriz SoD, plano de auditoria interna, ações de revisão pela gestão |
| Auditor ou regulador focado no RGPD da UE | A organização consegue demonstrar responsabilização e aconselhamento independente do DPO? | Nomeação do DPO, registos de escalonamento, aconselhamento sobre AIPD, aconselhamento sobre violações de dados pessoais, supervisão da formação |
| Avaliador NIST CSF | As funções de governação, obrigações legais, tolerância ao risco e supervisão estão integradas na gestão de riscos empresarial? | Perfis atuais e alvo do CSF, plano de lacunas de governação, registo de riscos |
| Revisor DORA | A gestão supervisiona o risco das TIC e os conflitos na governação de terceiros e incidentes? | Quadro de governação das TIC, plano de auditoria interna, funções de comunicação de incidentes, revisão de conflitos de fornecedores |
| Revisor NIS2 | O órgão de administração aprova e supervisiona medidas de risco, formação e tratamento de incidentes? | Atas do Conselho de Administração, registos de formação, medidas de risco, evidência de escalonamento |
| Auditor COBIT 19 ou ISACA | Os direitos de decisão, a independência da garantia e as responsabilidades de monitorização estão devidamente separados? | Carta de governação, mapa de garantia, registo de conflitos, acompanhamento de remediação |
Um auditor não aceitará “o nosso DPO é independente” como resposta suficiente. A resposta deve basear-se em evidência: aqui está a nomeação, aqui está o mapa de funções, aqui está a avaliação de conflitos, aqui está a aprovação, aqui estão os controlos compensatórios, aqui está o registo de aconselhamento, aqui está o trilho de escalonamento e aqui está o registo de revisão pela gestão.
Formação: a independência falha quando as pessoas contornam o DPO
Um DPO não consegue manter-se independente se a organização não souber quando o envolver. Gestores de produto, engenheiros de segurança, RH, operações de vendas, compras, suporte e equipas de resposta a incidentes precisam de desencadeadores práticos.
A [DPS] Política de Proteção de Dados e Privacidade - PME descreve o DPO ou a função de privacidade como suporte a:
“Apoia avaliações de risco, formação e implementação da política”
Esta citação provém da Política de Proteção de Dados e Privacidade para PME, secção “Funções e responsabilidades”, cláusula 4.2.3 da política.
A [AT-SME] Política de Sensibilização e Formação em Segurança da Informação - PME liga isto às expectativas de formação do RGPD da UE:
“Article 39 – Exige que os Encarregados da Proteção de Dados supervisionem a sensibilização e a formação quando aplicável”
Esta citação provém da Política de Sensibilização e Formação em Segurança da Informação para PME, secção “Normas e referenciais de referência”, cláusula 11.4.2 da política.
A formação deve ensinar o pessoal a envolver o DPO antes de:
- Lançar uma nova finalidade de tratamento
- Utilizar dados de categorias especiais, biométricos, de saúde, de fraude ou relacionados com infrações
- Integrar um subcontratante para dados de clientes
- Realizar AIPD, avaliações de transferência, alterações de retenção ou atualizações de avisos de privacidade
- Encerrar um incidente em que possa ter ocorrido acesso não autorizado a dados pessoais
- Tomar uma decisão de negócio que rejeite ou modifique aconselhamento de privacidade
O último ponto é importante. A responsabilização não exige que o negócio concorde com todas as recomendações do DPO. Exige que a organização registe o aconselhamento, documente as decisões e demonstre quem aceitou o risco residual.
Criar um pacote de evidências da independência do DPO
Para a preparação para ISO/IEC 27701:2025 e RGPD da UE, a Clarysec recomenda um pacote de evidências da independência do DPO. Deve ser suficientemente leve para PME, mas suficientemente robusto para auditorias empresariais.
| Elemento de evidência | Finalidade |
|---|---|
| Registo de nomeação do DPO ou assessor de privacidade | Demonstra a atribuição formal da função, o âmbito, a autoridade e a linha de reporte |
| Aprovação de combinação de funções no REG01 | Demonstra que a alta direção aprovou combinações de funções sensíveis antes da atribuição |
| Avaliação de conflitos de funções | Demonstra que deveres incompatíveis foram identificados e classificados |
| Registo REG12 de conflitos e preocupações de independência | Demonstra preocupações, aconselhamento, controlos compensatórios e resolução |
| Registo de aconselhamento do DPO | Demonstra contributos de privacidade sobre AIPD, incidentes, transferências, direitos, retenção e subcontratantes |
| Via de escalonamento | Demonstra que o DPO consegue chegar à alta direção sem interferência |
| Verificação da independência da auditoria interna | Demonstra que a governação da privacidade não é revista apenas por proprietários operacionais |
| Atas de revisão pela gestão | Demonstra que a liderança reviu conflitos, exceções, incidentes e ações de melhoria |
| Registos de formação | Demonstra que o pessoal sabe quando envolver o DPO |
| Ferramenta de acompanhamento de ações corretivas | Demonstra que conflitos não resolvidos são tratados e acompanhados |
Este pacote de evidências mapeia diretamente para a abordagem de 30 passos do Zenith Blueprint. O Passo 4 estabelece funções e responsabilidades. Os Passos 8 a 16 constroem o motor de risco e atribuem proprietários do risco. O Passo 22 operacionaliza a segregação de funções. O Passo 23 aborda interfaces jurídicas e de privacidade, incluindo o envolvimento do DPO e a revisão independente.
Transformar a independência do DPO em evidência, não intenção
Se o seu DPO, assessor de privacidade, responsável de segurança, assessoria jurídica, gestor de conformidade ou auditor interno acumula mais do que uma função, não espere que uma auditoria ou um incidente exponha o conflito.
Comece esta semana com três ações:
- Mapeie todas as funções de governação da privacidade e funções operacionais no REG01.
- Identifique onde o DPO ou assessor de privacidade pode aprovar, executar, monitorizar ou auditar a mesma atividade.
- Registe os conflitos inevitáveis e os controlos compensatórios no REG12 e integre-os depois na revisão pela gestão.
A Clarysec pode ajudá-lo a operacionalizar isto com a Política de Funções, Responsabilidades e Responsabilização em Privacidade, a Política de Funções e Responsabilidades de Governação, a Política de Funções e Responsabilidades de Governação - PME, a Política de Proteção de Dados e Privacidade, o Zenith Blueprint: Roteiro de 30 passos para auditores e o Zenith Controls: Guia de conformidade cruzada.
A independência do DPO não tem a ver com burocracia. Tem a ver com assegurar que o aconselhamento de privacidade é ouvido, que os conflitos podem ser contestados e que a responsabilização pode ser demonstrada quando mais importa.
Descarregue o conjunto de políticas da Clarysec, utilize o Zenith Blueprint para construir o seu fluxo de trabalho de evidência ou solicite uma avaliação de prontidão para testar se o seu modelo de independência do DPO resistiria ao escrutínio da ISO/IEC 27701:2025, do RGPD da UE, da NIS2, do DORA, do NIST CSF 2.0 e do COBIT 19.
About the Author
Igor Petreski
Compliance Systems Architect, Clarysec LLC
Igor Petreski is a cybersecurity leader with over 30 years of experience in information technology and a dedicated decade specializing in global Governance, Risk, and Compliance (GRC).Core Credentials & Qualifications:• MSc in Cyber Security from Royal Holloway, University of London• PECB-Certified ISO/IEC 27001 Lead Auditor & Trainer• Certified Information Systems Auditor (CISA) from ISACA• Certified Information Security Manager (CISM) from ISACA • Certified Ethical Hacker from EC-Council