Software conforme à KVKK: começar pelo inventário de dados

As organizações chegam muitas vezes até nós a dizer que querem um software conforme à KVKK. Para ver onde começa essa conformidade no código, é preciso olhar primeiro para o inventário, porque sem saber que dados estão guardados e onde, não se consegue definir corretamente nem as regras de acesso nem os prazos de conservação.

Quando se vai a uma organização para um trabalho de conformidade com a KVKK, encontra-se geralmente o seguinte. Um aviso de proteção de dados, um formulário de consentimento expresso, uma política de conservação e destruição. Os três estão preparados, assinados, arquivados.

Depois faz-se uma única pergunta. De onde vieram as categorias de dados indicadas nestes textos?

A resposta é normalmente esta. Foi tirado um modelo encontrado na internet, escreveu-se o nome da organização, acrescentaram-se alguns pontos. Ou seja, a declaração não resultou da verificação da realidade, mas de um modelo. Este é o erro de ordem mais frequente e mais dispendioso que vejo nos trabalhos de conformidade.

Por que razão a ordem é tão importante

O aviso de proteção de dados é uma declaração. O artigo 10.º da Lei exige que o responsável pelo tratamento comunique as categorias de dados tratados, as finalidades, os destinatários a quem serão transferidos e a base jurídica. Se se faz uma declaração, essa declaração tem de ser exata.

Um texto redigido sem elaborar o inventário não pode ser exato. Na melhor das hipóteses, será incompleto. Quando numa auditoria se deteta uma atividade de tratamento que não consta do texto, não existe apenas uma lacuna técnica, existe um incumprimento do dever de informar de forma adequada.

O inverso também é verdade. Uma organização que já dispõe do inventário redige o aviso de proteção de dados num dia, porque tudo o que há a escrever já está determinado.

O que se procura realmente no inventário

A tabela de inventário costuma elaborar-se com as colunas categoria de dados, finalidade e prazo de conservação. Estas três colunas não bastam.

A coluna em falta é esta. Onde está este dado fisicamente? Em que base de dados, em que tabela, em que campo? Existe também nas cópias de segurança? Existe uma cópia no sistema de um fornecedor terceiro?

Quando esta pergunta não é feita, o inventário reflete a opinião que a organização tem de si própria, não a realidade. Quando ocorre uma violação de dados, a primeira pergunta será "que dados pessoais existiam nesse servidor". Um inventário que não indica a localização física é inútil nesse momento.

A escolha da base jurídica é uma decisão arquitetónica

O artigo 5.º da Lei enumera as condições de tratamento. Na prática, este artigo é muitas vezes tratado como uma formalidade, mas a base jurídica escolhida determina diretamente como o sistema deve ser construído.

Numa atividade de tratamento baseada no consentimento expresso, o consentimento pode ser retirado a qualquer momento. No momento em que é retirado, o tratamento tem de cessar. Isto exige três coisas no sistema. Um registo da versão do texto a que o consentimento foi dado, uma interface que dê ao utilizador a possibilidade de o retirar, e um controlo que interrompa o tratamento correspondente quando o consentimento é retirado. Faltando qualquer uma destas três, basear-se no consentimento coloca a organização numa posição indefensável.

Em contrapartida, um tratamento necessário para a execução de um contrato não exige estes mecanismos. O mesmo dado, tratado com base jurídica diferente, gera um encargo técnico completamente distinto. Por isso, a escolha da base jurídica não deve ser feita pelo advogado sozinho, à margem da arquitetura.

O prazo de conservação e o componente que o aplica

Fixar um prazo de conservação é a parte mais fácil do trabalho de conformidade. Garantir a sua aplicação é a parte mais difícil.

Uma conceção que funciona tem este aspeto. Cada registo transporta o seu próprio prazo de conservação, por exemplo um campo fim_conservacao. Um processo percorre periodicamente os registos cujo prazo expirou. Esse processo apaga, destrói ou anonimiza o registo e regista a operação feita numa tabela à parte. O que se apresenta numa auditoria não é o texto da política, é essa tabela.

As organizações que não constroem esta estrutura fazem geralmente o seguinte. Escrevem o prazo na política, adiam a aplicação para uma data posterior, e essa data nunca chega. Passados dois anos, encontram-se dados não apagados e um documento que diz que deveriam ter sido apagados. A coexistência destas duas coisas é pior do que nunca ter escrito política nenhuma.

VERBİS e a questão do âmbito

A obrigação de registo no Registo dos Responsáveis pelo Tratamento está sujeita a critérios fixados pelo Conselho. O número anual de trabalhadores, a dimensão do balanço financeiro e a natureza dos dados tratados são determinantes.

Aqui é preciso um alerta. O âmbito da isenção mudou ao longo do tempo por via de decisões do Conselho e pode continuar a mudar. Uma organização isenta hoje fica obrigada quando o número de trabalhadores aumenta. Por isso, a isenção não é algo que se determina uma vez e se esquece, deve ser verificada anualmente. Para os limiares atuais é preciso consultar os comunicados publicados pela Autoridade.

O plano de violação é redigido antecipadamente

O parágrafo quinto do artigo 12.º da Lei exige que a violação seja notificada ao Conselho o mais rapidamente possível. As decisões do Conselho concretizaram esse prazo em setenta e duas horas.

Setenta e duas horas é o tempo total atribuído, depois de detetado o incidente, para determinar o seu âmbito, identificar as pessoas afetadas e preparar a notificação. Mesmo o primeiro destes passos demora dias na maioria das organizações, porque não está escrito onde cada dado é guardado.

Ou seja, a preparação para uma violação começa muito antes de esta ocorrer, e desemboca de novo no mesmo ponto. O inventário.

O que acontece quando a conformidade termina

Não termina. Uma nova funcionalidade gera um novo campo de dados. Um novo fornecedor gera uma nova transferência. As decisões do Conselho estreitam o quadro.

Por isso, em vez de conceber a conformidade como um projeto, é preciso incorporá-la no próprio processo de desenvolvimento do produto. Se a atualização do inventário ao acrescentar um novo campo passar a fazer parte da revisão de código, o processo sustenta-se a si próprio. Caso contrário, recomeça-se do zero todos os anos e repete-se sempre o mesmo erro de ordem.