Evidência PIMS ISO 27701:2025 para auditorias do RGPD da UE

São 08:40 de uma quinta-feira, e Ava, Responsável de Conformidade da FinScale, acaba de abrir a mensagem que todas as empresas B2B SaaS em rápido crescimento acabam por receber.

Um grande cliente empresarial alemão enviou um questionário de diligência prévia no âmbito do RGPD da UE, com prazo de 48 horas. Não pede uma política de privacidade. Não se satisfaz com um certificado. Pede evidência.

Forneçam o vosso Registo de Atividades de Tratamento relativo aos nossos dados. Apresentem evidência da diligência prévia na integração de subcontratantes subsequentes. Expliquem como evidenciam as vossas obrigações do Article 28 do RGPD da UE. Identifiquem se a vossa plataforma atua como responsável pelo tratamento de PII, subcontratante, responsável conjunto pelo tratamento ou subcontratante subsequente em cada fluxo de trabalho. Provem que o fundamento de licitude foi validado para a funcionalidade de suporte assistida por IA. Apresentem obrigações de eliminação, direitos de auditoria, apoio a incidentes e controlos contratuais.

Ava sabe que a FinScale tem os elementos necessários. O Jurídico tem o Acordo de Tratamento de Dados. A Segurança tem a Declaração de Aplicabilidade ISO/IEC 27001:2022. O Produto tem listas de verificação de lançamento. Compras tem contratos com fornecedores. A Conformidade tem um registo de tratamento, embora algumas entradas estejam desatualizadas. O problema não é a inexistência de evidência. O problema é a evidência estar dispersa, a ambiguidade dos papéis não estar resolvida e ninguém conseguir rastrear rapidamente uma atividade de tratamento desde a finalidade até ao fundamento de licitude, à decisão de risco, ao controlo de fornecedor, ao controlo de segurança, ao registo de auditoria e à revisão pela gestão.

Essa é a verdadeira lacuna de responsabilização.

A ISO 27701:2025 torna-se poderosa quando fecha essa lacuna. Um Sistema de Gestão da Informação de Privacidade, ou PIMS, não é apenas um dossiê de políticas para certificação de privacidade. É um modelo operacional para produzir evidência fiável. Para CISOs, responsáveis de conformidade, responsáveis de privacidade, auditores e proprietários do negócio, o objetivo é simples: construir um PIMS que comprove a responsabilização no âmbito do RGPD da UE para responsáveis pelo tratamento de PII e subcontratantes, ao mesmo tempo que suporta as expetativas da ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 e COBIT 2019.

A responsabilização no RGPD da UE é um problema de evidência

A responsabilização no âmbito do RGPD da UE é muitas vezes entendida, de forma errada, como um requisito documental. É mais exigente do que isso.

O Article 5 do RGPD da UE define os princípios essenciais do tratamento de dados pessoais, incluindo licitude, lealdade, transparência, limitação das finalidades, minimização dos dados, exatidão, limitação da conservação, integridade e confidencialidade. O Article 5(2) torna o responsável pelo tratamento responsável por conseguir demonstrar a conformidade. O Article 4 define a terminologia de dados pessoais, tratamento, responsável pelo tratamento, subcontratante, pseudonimização e violação de dados pessoais. O Article 6 exige um fundamento de licitude para cada atividade de tratamento realizada pelo responsável pelo tratamento. O Article 9 acrescenta condições mais rigorosas para categorias especiais de dados pessoais. O Article 28 regula as obrigações dos subcontratantes e os termos contratuais.

Estas obrigações não são satisfeitas apenas por um aviso de privacidade público. Exigem evidência ao nível da atividade de tratamento.

Um modelo prático de evidência PIMS ISO 27701:2025 deve responder a estas perguntas:

• Que PII é tratada?
• Porque é tratada?
• A organização atua como responsável pelo tratamento, subcontratante, responsável conjunto pelo tratamento ou subcontratante subsequente?
• Que fundamento de licitude se aplica quando a organização atua como responsável pelo tratamento?
• Que instrução documentada se aplica quando a organização atua como subcontratante?
• Que sistemas, fornecedores, subcontratantes subsequentes e localizações estão envolvidos?
• Que triagem de riscos de privacidade ou decisão de AIPD foi realizada?
• Que controlos de segurança protegem a PII?
• Que evidência demonstra que o controlo operou?
• Quem aprovou o risco residual, as exceções e as ações corretivas?

A abordagem da Clarysec transforma estas perguntas em obrigações de políticas, registos e objetos de evidência rastreáveis. O resultado é um PIMS capaz de resistir à diligência prévia de clientes, à revisão por autoridades de controlo, à auditoria interna, à auditoria ISO, à avaliação DORA e ao escrutínio do conselho de administração.

Comece pela clareza dos papéis: responsável pelo tratamento, subcontratante ou ambos

A forma mais rápida de falhar uma auditoria PIMS é tratar todas as atividades de tratamento da mesma maneira.

Nos termos do RGPD da UE, um responsável pelo tratamento determina as finalidades e os meios do tratamento. Um subcontratante trata dados pessoais por conta de um responsável pelo tratamento. Muitas empresas SaaS e tecnológicas fazem ambas as coisas. A FinScale é subcontratante quando aloja dados de utilizadores finais de clientes segundo instruções do cliente. É responsável pelo tratamento de registos de trabalhadores, leads comerciais, contactos de faturação, dados de recrutamento e algumas analíticas de produto.

Esta distinção determina os requisitos de evidência.

A Política do Sistema de Gestão da Informação de Privacidade da Clarysec torna a classificação de papéis um requisito operacional:

[Ambos] O Proprietário do processo / Proprietário do negócio DEVE classificar o papel PIMS da organização para cada atividade de tratamento de PII no REG02 antes de a atividade de tratamento começar.

Esta obrigação altera o modelo operacional de privacidade. A revisão jurídica deixa de ser uma reflexão tardia no lançamento. Cada proprietário de processo deve classificar o papel PIMS antes de o tratamento começar. Essa classificação determina a cadeia de evidência subsequente.

Para atividades de responsável pelo tratamento, a Política de Inventário de Tratamento de PII e Fundamento de Licitude da Clarysec exige a validação do fundamento de licitude:

[Responsável pelo tratamento] O Responsável de Privacidade / Gestor do PIMS DEVE validar o fundamento de licitude registado no REG02 antes de o tratamento pelo responsável pelo tratamento começar e antes de qualquer alteração de finalidade produzir efeitos.

Da secção “Registos de finalidade e fundamento de licitude do responsável pelo tratamento”, cláusula 4.2.2 da política.

Para atividades de subcontratante, o foco da evidência passa para instruções documentadas, controlos contratuais, governação de subcontratantes subsequentes, medidas de segurança, obrigações de assistência, apoio a incidentes e devolução ou eliminação no termo do contrato. É aqui que o REG08 se torna crítico.

A Política de Gestão de Privacidade de Subcontratantes, Subcontratantes Subsequentes e Terceiros da Clarysec exige:

[Responsável pelo tratamento] O Responsável de Privacidade / Gestor do PIMS DEVE verificar que os campos de controlo contratual do subcontratante no REG08 abrangem âmbito do tratamento, duração, finalidade, categorias de PII, categorias de titulares dos dados, confidencialidade, segurança, autorização de subcontratantes subsequentes, assistência, auditoria ou garantia, devolução, eliminação e cessação antes da aprovação.

Da secção “Controlos contratuais e instruções documentadas”, cláusula 4.3.2 da política.

O REG02 estabelece a atividade de tratamento e o papel. O REG04 faz a triagem de riscos de privacidade. O REG08 valida controlos de subcontratantes, subcontratantes subsequentes e fornecedores. O REG12 indexa a evidência. Em conjunto, criam a cadeia de evidência PIMS.

A cadeia de evidência PIMS que os auditores esperam

Um PIMS robusto não obriga as equipas a manter folhas de cálculo desligadas entre si. Define objetos de evidência, proprietários, prazos, ciclos de revisão e trilhos de auditoria.

A Política de Gestão de Informação Documentada e Evidência do PIMS da Clarysec estabelece:

[Todos] O Responsável de Privacidade / Gestor do PIMS DEVE manter um índice de informação documentada do PIMS no REG12 antes da publicação inicial do PIMS e, posteriormente, trimestralmente.

O REG12 impede que o programa de privacidade se transforme numa pasta de PDF desatualizados. Indica ao auditor que evidência existe, onde está armazenada, quem é o seu proprietário, quando foi revista pela última vez e que atividades de tratamento, riscos, obrigações ou controlos suporta.

Esta cadeia de evidência alinha-se naturalmente com os requisitos da ISO/IEC 27001:2022 relativos a contexto, partes interessadas, planeamento do risco, controlo operacional, informação documentada, avaliação de desempenho, auditoria interna, revisão pela gestão e melhoria contínua. Liga-se também a controlos da ISO/IEC 27002:2022, como 5.2 Papéis e responsabilidades de segurança da informação, 5.20 Tratamento da segurança da informação em acordos com fornecedores, 5.21 Gestão da segurança da informação na cadeia de fornecimento de TIC, 5.34 Privacidade e proteção de PII, e 8.10 Eliminação da informação.

A evidência de responsável pelo tratamento e de subcontratante não é igual

O cliente alemão de Ava não está apenas a perguntar se a FinScale tem políticas de privacidade. O cliente quer prova de que a FinScale compreende que papel desempenha em cada fluxo de dados.

Quando atua como responsável pelo tratamento, a FinScale deve justificar por que trata dados. Por exemplo, o processamento salarial dos trabalhadores pode basear-se na necessidade contratual e em obrigação legal. O marketing pode basear-se em consentimento ou em interesses legítimos, consoante o contexto e a jurisdição. O recrutamento pode exigir limites de retenção, transparência e controlos de acesso. A evidência não é apenas o fundamento de licitude selecionado. É o registo validado, o aviso, a regra de retenção, o procedimento de direitos e a decisão de risco.

Quando atua como subcontratante, a FinScale deve provar que atua segundo instruções documentadas do cliente. A evidência inclui o Acordo de Tratamento de Dados, a configuração do produto, registos do sistema, controlos de segurança, autorizações de subcontratantes subsequentes, procedimentos de assistência, processo de apoio em caso de violação de dados, direitos de auditoria e evidência de eliminação ou devolução.

A P17 Política de proteção de dados e privacidade da Clarysec reforça que a privacidade deve estar integrada no SGSI:

A organização deve manter um Quadro formal de Governação da Privacidade integrado no Sistema de Gestão de Segurança da Informação (SGSI) para aplicar esta política.

Da secção “Requisitos de governação”, cláusula 5.1 da política.

A versão PME, Data Protection and Privacy Policy-sme, mantém a mesma disciplina de evidência:

O Coordenador de Privacidade deve manter um registo de todas as atividades de tratamento de dados pessoais, incluindo categorias de dados, finalidade, fundamento de licitude e prazos de retenção

Também exige:

O fundamento de licitude (por exemplo, consentimento, contrato, obrigação legal) deve ser documentado no registo de tratamento

Para programas empresariais, a P17 Política de proteção de dados e privacidade acrescenta propriedade:

O Departamento Jurídico deve manter e atualizar o Registo de Fundamentos de Licitude.

Percurso prático: lançamento de analíticas de produto

Considere uma funcionalidade de analíticas de produto que acompanha a navegação dos utilizadores, adoção de funcionalidades, metadados de sessão, ID da organização, função do utilizador e informação do dispositivo. O Produto quer obter métricas de utilização. A área Comercial quer métricas de adoção. O Sucesso do Cliente quer sinais de churn. O Jurídico pergunta se a FinScale é responsável pelo tratamento ou subcontratante. A Segurança pergunta se os registos contêm dados pessoais. Compras assinala que o fornecedor de analíticas utiliza subcontratantes subsequentes.

Um PIMS robusto transforma isto num fluxo de trabalho repetível.

1. Criar ou atualizar o REG02 antes de o tratamento começar

O proprietário do negócio regista a atividade no REG02. O registo deve incluir finalidade, categorias de PII, categorias de titulares dos dados, sistemas, prazo de retenção, transferências, medidas de segurança, classificação de papéis e fundamento de licitude ou instrução documentada.

Se as analíticas forem utilizadas para finalidades próprias de melhoria de produto da FinScale, a FinScale pode ser responsável pelo tratamento dessa atividade. Se as analíticas forem realizadas apenas segundo definições configuradas pelo cliente e por conta do cliente, a FinScale pode ser subcontratante. Em muitos ambientes SaaS, ambos os papéis podem existir numa única funcionalidade, dependendo do fluxo de dados e da finalidade.

2. Validar o fundamento de licitude ou a instrução documentada

Se a FinScale for o responsável pelo tratamento, o Responsável de Privacidade ou o Jurídico valida o fundamento de licitude no REG02 antes de o tratamento começar. Se estiverem envolvidas categorias especiais de dados, a equipa deve também identificar a condição relevante do Article 9 do RGPD da UE e salvaguardas adicionais.

Se a FinScale for o subcontratante, a evidência deve apontar para a instrução documentada do cliente. A pergunta passa a ser: onde está a instrução, que tratamento é permitido e como prova a FinScale que seguiu a instrução?

3. Acionar a triagem de riscos de privacidade no REG04

A Política de Avaliação de Riscos de Privacidade e AIPD da Clarysec exige:

[Ambos] O Proprietário do processo / Proprietário do negócio DEVE iniciar a triagem de riscos de privacidade no REG04 antes de começar qualquer tratamento novo ou materialmente alterado de PII registado no REG02.

Da secção “Triagem de riscos de privacidade”, cláusula 4.1.1 da política.

A triagem deve avaliar sensibilidade, escala, implicações de monitorização, expetativas dos titulares dos dados, definição de perfis, decisões automatizadas, transferências transfronteiriças, acesso de fornecedores, retenção e eficácia dos controlos. Se o risco for elevado, o PIMS deve desencadear uma AIPD e registar a decisão.

4. Atualizar o REG08 para fornecedores e subcontratantes subsequentes

Se um fornecedor terceiro de analíticas receber PII, Compras, Jurídico e Privacidade atualizam o REG08. Os campos contratuais devem abranger âmbito, duração, finalidade, categorias de PII, confidencialidade, segurança, autorização de subcontratantes subsequentes, assistência, auditoria ou garantia, devolução, eliminação e cessação.

A Third-Party and Supplier Security Policy-sme suporta esta disciplina operacional ao exigir:

Verificação das práticas de tratamento de dados ou da conformidade em matéria de privacidade de dados quando estiverem envolvidas informações pessoais identificáveis (PII)

A P17 Política de proteção de dados e privacidade também exige:

As equipas de Compras, Jurídico e Conformidade devem verificar o cumprimento do Article 28 do RGPD da UE e exigir reavaliação anual de todos os fornecedores de alto risco.

5. Indexar a evidência no REG12

Por fim, o Gestor do PIMS atualiza o REG12 com ligações para o REG02, validação do fundamento de licitude, instrução documentada, triagem REG04, AIPD se exigida, registo de fornecedor REG08, Acordo de Tratamento de Dados, revisão de segurança, decisão de retenção, aprovação do produto e evidência de monitorização.

É isto que transforma a privacidade desde a conceção em evidência pronta para auditoria.

Utilizar o Zenith Blueprint para construir rastreabilidade

Saber que evidência recolher é apenas metade do desafio. A parte mais difícil é construir um sistema que a produza de forma fiável.

O Zenith Blueprint: roteiro de 30 passos para auditores enquadra isto na fase de Fundação e Liderança do SGSI, Passo 2: necessidades das partes interessadas e âmbito do SGSI. O guia mostra como as expetativas das partes interessadas se transformam em controlos planeados:

Clientes
(B2B SaaS)
Confidencialidade dos dados, disponibilidade conforme
SLA, notificação de violação no prazo de
24 h
Implementar controlos de acesso, cifragem;
o plano de resposta a incidentes inclui
procedimentos de notificação.

Também inclui:

Item de ação 4.2: Compilar uma lista de todas as partes interessadas significativas e registar os seus requisitos relacionados com a segurança da informação.

Para a ISO 27701:2025, estenda esse item de ação à privacidade. As partes interessadas incluem clientes, titulares dos dados, reguladores, subcontratantes, subcontratantes subsequentes, trabalhadores, equipas de produto, auditoria interna, gestão, clientes do setor financeiro e reguladores setoriais quando a NIS2 ou o DORA se aplicam.

Na fase de Gestão de Riscos, Passo 13: planeamento do tratamento de riscos e Declaração de Aplicabilidade, o Zenith Blueprint recomenda rastreabilidade:

Referenciar regulamentos de forma cruzada: se determinados controlos forem implementados especificamente para cumprir o RGPD da UE, NIS2 ou DORA, pode assinalá-lo no Registo de Riscos (como parte da justificação do impacto do risco) ou nas notas da SoA.

Isto cria o fio condutor que os auditores procuram: requisito, risco, controlo, proprietário, evidência, resultado de teste e ação de melhoria.

Onde se enquadra o Zenith Controls no modelo PIMS

O Zenith Controls: guia de conformidade transversal da Clarysec ajuda as equipas a evitar programas de conformidade duplicados através do mapeamento dos temas de controlo da ISO/IEC 27001:2022 e da ISO/IEC 27002:2022 para outras normas, expetativas de auditoria e padrões de evidência.

Para evidência PIMS ISO 27701:2025, quatro controlos da ISO/IEC 27002:2022 são especialmente importantes:

• 5.2 Papéis e responsabilidades de segurança da informação
• 5.20 Tratamento da segurança da informação em acordos com fornecedores
• 5.21 Gestão da segurança da informação na cadeia de fornecimento de TIC
• 5.34 Privacidade e proteção de PII

O controlo 5.2 suporta a clareza de papéis. Um PIMS precisa de responsabilidades definidas para o Gestor do PIMS, Responsável de Privacidade, Proprietário do processo, Proprietário do negócio, Jurídico, Compras, Segurança, Auditoria Interna e alta direção.

O controlo 5.34 suporta a obrigação central de privacidade. O Zenith Blueprint, na fase Controlos em Ação, Passo 23, explica a expetativa de auditoria:

Do ponto de vista de auditoria, este controlo está cada vez mais em foco. Auditores, reguladores e clientes querem ver:

✓ Onde reside a PII,
✓ Que fundamento de licitude rege o seu tratamento,
✓ Como o acesso é restringido,
✓ Como os incidentes são reportados,
✓ E como a organização respeita direitos e mantém a transparência.

O Zenith Blueprint prossegue:

O controlo 5.34 não é apenas uma caixa para assinalar. É uma declaração de custódia ética.

Os controlos 5.20 e 5.21 ligam a evidência PIMS à governação de fornecedores e da cadeia de fornecimento de TIC. O Zenith Blueprint, na fase Controlos em Ação, Passo 23, lista temas de acordos com fornecedores:

As principais áreas normalmente abordadas em acordos com fornecedores incluem:

✓ Obrigações de confidencialidade, incluindo âmbito, duração e restrições de divulgação a terceiros;
✓ Responsabilidades de controlo de acesso, como quem pode aceder aos seus dados, como as credenciais são geridas e que monitorização existe;
✓ Medidas técnicas e organizativas para proteção de dados, cifragem, transmissão segura, cópia de segurança e compromissos de disponibilidade;
✓ Prazos e protocolos de reporte de incidentes, frequentemente com prazos definidos (por exemplo, “notificar no prazo de 24 horas”);
✓ Direito de auditoria, incluindo frequência, âmbito e acesso a evidência relevante (por exemplo, relatórios de testes de intrusão, SoA, certificações);
✓ Controlos de subcontratantes, exigindo que o fornecedor transmita obrigações de segurança equivalentes aos seus parceiros a jusante;
✓ Disposições de fim de contrato, como devolução ou destruição de dados, recuperação de ativos e desativação de contas.

Esta é a ponte entre a responsabilização no RGPD da UE e a evidência do SGSI.

Mapeamento da evidência PIMS entre RGPD da UE, NIS2, DORA, NIST e COBIT 2019

A evidência de privacidade raramente serve apenas um referencial. Um objeto de evidência PIMS bem concebido pode satisfazer várias perguntas de auditoria.

O RGPD da UE ancora a responsabilização em matéria de privacidade através de fundamento de licitude, clareza de papéis, contratos com subcontratantes, direitos, tratamento de violações e cumprimento demonstrável.

A NIS2 é relevante para entidades essenciais e importantes, incluindo determinados prestadores de serviços cloud, prestadores de serviços geridos, prestadores de serviços de segurança geridos, prestadores de centros de dados e organizações de infraestrutura digital. O Article 20 da NIS2 atribui aos órgãos de administração responsabilidade pela governação da cibersegurança. O Article 21 exige medidas técnicas, operacionais e organizativas adequadas, incluindo análise de riscos, tratamento de incidentes, continuidade de negócio, segurança da cadeia de fornecimento, desenvolvimento seguro, avaliação da eficácia, formação, criptografia, segurança de recursos humanos, controlo de acesso, gestão de ativos e MFA ou autenticação contínua quando adequado. O Article 23 introduz expetativas de reporte de incidentes significativos, incluindo alerta precoce no prazo de 24 horas e notificação de incidente no prazo de 72 horas.

O DORA é relevante para entidades financeiras e prestadores terceiros de serviços de TIC em ecossistemas financeiros. Os Articles 5 e 6 do DORA exigem governação do risco das TIC, políticas, estratégia, testes e melhoria contínua. Os Articles 17 a 19 abrangem deteção, classificação, escalonamento e reporte de incidentes de TIC, análise de causa raiz e lições aprendidas. Os Articles 28 a 30 exigem estratégia de risco de terceiros de TIC, registos, diligência prévia, disposições contratuais, direitos de auditoria, assistência em incidentes, proteção de dados, planeamento de saída e revisão do risco de concentração.

O NIST CSF 2.0 fornece uma linguagem de governação e risco através de GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND e RECOVER. O COBIT 2019 acrescenta objetivos de governação, práticas de gestão, propriedade, métricas, garantia e capacidade de processo.

A vantagem de conformidade é clara. Uma única cadeia de evidência PIMS controlada pode suportar RGPD da UE, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0, COBIT 2019 e diligência prévia de clientes.

Como os auditores vão testar o seu PIMS

Uma auditoria PIMS não é uma revisão documental. É um exercício de rastreabilidade de evidência.

A P33 Política de Auditoria e Monitorização da Conformidade da Clarysec suporta o modelo de auditoria:

A organização deve manter um Registo de Auditoria contendo:

O equivalente PME, Audit and Compliance Monitoring Policy-sme, acrescenta um requisito importante de qualidade da evidência:

Os metadados (por exemplo, quem recolheu, quando e a partir de que sistema) devem ser documentados.

Esse requisito de metadados é pequeno, mas poderoso. Capturas de ecrã sem fonte, data, responsável pela recolha e contexto do sistema são evidência fraca. Evidência de auditoria controlada comprova autenticidade, atualidade e rastreabilidade.

Como é uma boa evidência PIMS

Suponha que um auditor seleciona uma atividade: análise de tickets de suporte ao cliente.

Uma resposta fraca é: “Temos uma política de privacidade e o nosso Acordo de Tratamento de Dados cobre isso.”

Uma resposta PIMS robusta é:

1. O REG02 identifica a atividade, sistemas, categorias de PII, titulares dos dados, finalidade, classificação de papéis, retenção, transferências, controlos de segurança e proprietário.
2. A classificação de papéis mostra se a organização é responsável pelo tratamento, subcontratante ou ambos em partes específicas do fluxo de trabalho.
3. Se for responsável pelo tratamento, o fundamento de licitude está validado e registado no Registo de Fundamentos de Licitude.
4. Se for subcontratante, a instrução do cliente e a cláusula do Acordo de Tratamento de Dados estão ligadas.
5. O REG04 mostra a triagem de riscos de privacidade antes do lançamento ou de alteração material.
6. O REG08 identifica a plataforma de tickets, o fornecedor de síntese por IA, subcontratantes subsequentes, controlos contratuais, direitos de auditoria, garantias de segurança, termos de eliminação e assistência em incidentes.
7. A evidência de controlo de acesso mostra que o acesso do pessoal de suporte é baseado em funções e revisto.
8. A evidência de registo e monitorização mostra que o acesso aos tickets de suporte é monitorizado.
9. A evidência de retenção e eliminação mostra que os tickets são eliminados ou anonimizados de acordo com o prazo de retenção aprovado.
10. O REG12 indexa toda a evidência de suporte com proprietário e data de revisão.
11. O Registo de Auditoria mostra se a atividade foi testada, que constatações foram levantadas e se as ações corretivas foram encerradas.

É assim que a ISO 27701:2025 se torna operacional. Cria uma cadeia repetível de responsabilização.

Falhas comuns na evidência PIMS

Em ambientes SaaS, fintech, serviços geridos e tecnologia B2B, surgem repetidamente as mesmas lacunas.

Primeiro, as organizações mantêm um RoPA ou registo de tratamento, mas não classificam os papéis de responsável pelo tratamento e subcontratante por atividade. Isso cria confusão sobre fundamento de licitude, instruções documentadas e obrigações de subcontratantes subsequentes.

Segundo, o fundamento de licitude é registado uma vez e não é revalidado quando a finalidade muda. O Article 6 do RGPD da UE exige disciplina de finalidade e fundamento de licitude. O tratamento ulterior pode exigir avaliação de compatibilidade e salvaguardas.

Terceiro, os inventários de fornecedores listam fornecedores, mas não mostram campos de controlo contratual. Uma lista de fornecedores não equivale a governação de subcontratantes.

Quarto, as decisões de AIPD são informais. As equipas dizem “não é alto risco”, mas não conseguem apresentar critérios de triagem, aprovador, data ou evidência.

Quinto, a evidência de auditoria existe, mas não é controlada. As capturas de ecrã não têm metadados. As políticas estão atualizadas, mas os registos estão desatualizados. Os contratos existem, mas as reavaliações na renovação são esquecidas.

Sexto, os processos de incidentes focam-se em eventos de cibersegurança, mas não classificam claramente violações de dados pessoais. A análise de violação de dados pessoais no RGPD da UE, o reporte de incidentes significativos na NIS2 e o reporte de incidentes de TIC no DORA devem ser coordenados, não duplicados.

A Clarysec resolve estas falhas tratando a evidência PIMS como um sistema de gestão controlado, não como uma corrida de última hora para a auditoria.

Lista de verificação de preparação da evidência PIMS ISO 27701:2025

Utilize esta lista de verificação na sua próxima revisão interna de preparação.

• Definir o âmbito do PIMS e as partes interessadas, incluindo clientes, reguladores, titulares dos dados, fornecedores, auditoria interna e gestão.
• Atribuir papéis e responsabilidades PIMS, incluindo Gestor do PIMS, Responsável de Privacidade, Proprietário do processo, Jurídico, Compras, Segurança e Auditoria Interna.
• Criar entradas REG02 para cada atividade de tratamento de PII.
• Classificar o papel de responsável pelo tratamento, subcontratante, responsável conjunto pelo tratamento ou subcontratante subsequente para cada atividade.
• Validar o fundamento de licitude para tratamento pelo responsável pelo tratamento antes de o tratamento começar e antes de alteração de finalidade.
• Registar instruções documentadas para atividades de subcontratante.
• Acionar triagem de riscos de privacidade REG04 antes de tratamento novo ou materialmente alterado.
• Concluir uma AIPD quando a triagem de riscos indicar risco de privacidade elevado.
• Manter o REG08 para subcontratantes, subcontratantes subsequentes, fornecedores de TIC e fornecedores relevantes para a privacidade.
• Verificar campos contratuais relativos a âmbito, duração, finalidade, categorias de PII, confidencialidade, segurança, assistência, direitos de auditoria, devolução, eliminação e cessação.
• Manter o REG12 como índice de informação documentada do PIMS.
• Mapear a evidência PIMS para o tratamento de riscos da ISO/IEC 27001:2022 e para as notas da SoA.
• Referenciar de forma cruzada obrigações do RGPD da UE, NIS2, DORA, NIST CSF 2.0 e COBIT 2019 quando relevante.
• Realizar auditorias internas anuais de conformidade em matéria de privacidade e atualizar o Registo de Auditoria.
• Rever trimestralmente constatações abertas, ações corretivas, decisões de risco e reporte à gestão.

A P17 Política de proteção de dados e privacidade reforça o ciclo de auditoria:

Deve ser realizada uma auditoria interna anual de conformidade em matéria de privacidade ou sempre que ocorram alterações organizacionais ou regulamentares relevantes. O âmbito da auditoria deve incluir:

A mensagem é simples. A conformidade em matéria de privacidade é monitorizada, não presumida.

Construa o seu modelo de evidência PIMS com a Clarysec

A ISO 27701:2025 tem maior valor quando é integrada com a ISO/IEC 27001:2022 e concebida para produzir evidência por defeito. É assim que a privacidade se torna um modelo operacional defensável, e não um projeto de certificação.

Quando um cliente pede garantia de privacidade, pode apresentar evidência. Quando um regulador pergunta por que tratou dados, pode apresentar papel, finalidade, fundamento de licitude, salvaguardas e aprovações. Quando um auditor pergunta como governa subcontratantes subsequentes, pode apresentar o REG08, controlos contratuais, reavaliações e direitos de auditoria. Quando o Conselho de Administração pergunta se o risco de privacidade está sob controlo, pode apresentar métricas, ações abertas, resultados de auditoria e revisão pela gestão.

Se o seu PIMS ainda é pesado em políticas e leve em evidência, comece pela cadeia que os auditores seguirão:

Inventário de tratamento REG02, triagem de riscos de privacidade REG04, governação de subcontratantes e subcontratantes subsequentes REG08, índice de evidência REG12, Registo de Fundamentos de Licitude, Registo de Auditoria e mapeamento da SoA.

A Clarysec pode ajudar a operacionalizar essa cadeia através de:

• Zenith Blueprint: roteiro de 30 passos para auditores, especialmente o Passo 2 para requisitos das partes interessadas, o Passo 13 para tratamento de riscos e rastreabilidade da SoA, e o Passo 23 para controlos de privacidade, fornecedores e organizacionais.
• Zenith Controls: guia de conformidade transversal, utilizando os controlos ISO/IEC 27002:2022 5.2, 5.20, 5.21 e 5.34 como âncoras práticas de responsabilização em matéria de privacidade.
• O conjunto de políticas PIMS ISO 27701 da Clarysec, incluindo Política do Sistema de Gestão da Informação de Privacidade, Política de Inventário de Tratamento de PII e Fundamento de Licitude, Política de Avaliação de Riscos de Privacidade e AIPD, Política de Gestão de Privacidade de Subcontratantes, Subcontratantes Subsequentes e Terceiros e Política de Gestão de Informação Documentada e Evidência do PIMS.
• Suporte empresarial e PME através da P17 Política de proteção de dados e privacidade, Data Protection and Privacy Policy-sme, Third-Party and Supplier Security Policy-sme, P33 Política de Auditoria e Monitorização da Conformidade e Audit and Compliance Monitoring Policy-sme.

A sua próxima ação é simples: escolha uma atividade de tratamento de PII de alto risco e percorra a cadeia de evidência do REG02 ao REG12. Se a cadeia quebrar, esse é o seu primeiro projeto de melhoria. Se se mantiver, expanda o modelo a todo o seu inventário de tratamento.

É assim que a ISO 27701:2025 se torna mais do que um certificado. Torna-se prova de responsabilização no âmbito do RGPD da UE.