Prazo RGPD · Regulamento Geral de Proteção de Dados europeu
Sua conformidade com o RGPD europeu, medida artigo por artigo e traduzida em plano de ação detalhado.
10 temas, undefined perguntas, uma escala de 5 níveis. E a ação que faz cada nível avançar para o seguinte.
Os 10 temas do referencial, já redigidos de N1 a N5. Uma empresa, uma unidade de negócio, ou 300 ao mesmo tempo.
Prazo RGPD · Regulamento Geral de Proteção de Dados europeu
10 temas, undefined perguntas, escala de 5 níveis.
Nordhavn Industries
53 / 100
Eles medem sua maturidade com a Datamensio
Um exemplo
Essa situação poderia ser a sua.
Vamos pegar o exemplo de uma empresa: três unidades, três planilhas, nenhuma resposta em comum.
Ninguém sabe consolidar.
A Nordhavn Industries, 2.400 pessoas em Hamburgo, Lyon e Porto. Um cliente pergunta como está o grupo. Cada unidade responde na sua própria planilha, com suas próprias escalas.
Três semanas, uma única base.
Um diagnóstico Regulamento (UE) 2016/679, aplicável desde 25 de maio de 2018 iniciado nas três unidades ao mesmo tempo, a partir das anotações de entrevista dos responsáveis. O referencial já estava escrito, os 10 temas e os níveis N1 a N5 também.
Dois gastos evitados antes de serem assumidos.
Um score de 53 em 100, um desvio concentrado em três temas. O assistente de IA identificou que duas ações do plano se repetiam com as de outra auditoria. A apresentação dos resultados ao comitê foi solicitada em uma frase.
O que isso evitou para eles
- 3unidades medidas na mesma base, em vez de três questionários para retrabalhar
- 2ações duplicadas detectadas antes do gasto
- 1apresentação dos resultados ao comitê, sem retrabalho manual
Esses números são de um exemplo. Eles poderiam ser os seus.
A norma impõe processos. A Datamensio mostra onde você está.
01
O referencial já está escrito
Temas, perguntas e níveis N1 a N5 redigidos. Você não começa de uma planilha vazia.
02
O score sai no mesmo dia
On-line, por link de autoavaliação ou em entrevista. Tema por tema, comparável ao longo do tempo.
03
O desvio vira um plano com custos definidos
Cada passagem de nível traz sua ação. A IA prioriza pelo efeito esperado, não pela ordem da norma.
04
A evolução se comprova
Campanha após campanha, contra sua meta e contra seu histórico. É o que sua diretoria pede.
A escala de maturidade
Um nível, o seguinte, e a ação que liga os dois.
É esse mecanismo (um nível, um nível superior e a ação que conecta os dois) que transforma um diagnóstico em trajetória.
Os prazos de retenção definidos são realmente aplicados nos sistemas?
- N1
Nenhum prazo é definido. Os dados são mantidos sem limite de tempo e nenhuma exclusão é documentada.
- N2
Os prazos constam do registro, mas nenhum mecanismo de exclusão está em funcionamento. A eliminação continua manual e excepcional.
- N3
Os prazos são aplicados nos principais tratamentos, por exclusão ou arquivamento automatizado. Alguns sistemas periféricos ainda ficam fora do escopo.
- N4
A aplicação dos prazos é sistemática em todos os tratamentos, com evidências de execução preservadas e lacunas tratadas.
- N5
Os prazos são revisados periodicamente conforme os usos e as obrigações legais, com acompanhamento documentado das revisões e um controle interno planejado.
Ação para passar de N2 a N3
Selecionar os tratamentos com maior volume de dados pessoais, definir junto aos responsáveis pelos sistemas uma regra de exclusão ou arquivamento executável, programá-la nos sistemas e verificar sua execução no comitê trimestral de conformidade.
« Graças à Datamensio, cumprimos nossas metas com muito mais eficiência. Os serviços de inspeção do FEDER e do nosso ministério supervisor apreciaram especialmente essa abordagem, que lhes traz dados confiáveis. »
Diretora da CCI 94CCI Île-de-France
« Acreditamos que essa é a solução mais adequada para levar nosso projeto de transformação em escala e medir o impacto de acordo com nossas necessidades. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente sozinho
Um referencial se combina. Associe vários para cobrir sua atividade, ou peça para a IA escrever o seu.
Faça sua primeira mediçãoem RGPD.
Do que trata esse referencial
O Regulamento (UE) 2016/679 é aplicável desde 25 de maio de 2018. Ele não se limita a proibir ou autorizar: exige uma demonstração. O responsável pelo tratamento precisa comprovar a qualquer momento o respeito aos princípios do artigo 5º, manter o registro previsto no artigo 30, documentar a base legal de cada tratamento, informar os titulares, responder às solicitações deles dentro dos prazos, notificar violações em até 72 horas e conduzir uma avaliação de impacto quando o tratamento apresentar risco elevado. A obrigação recai tanto sobre a prática quanto sobre a prova dessa prática.
É essa exigência de prova que torna o RGPD europeu difícil de gerenciar no dia a dia, especialmente para organizações sediadas fora da União Europeia que precisam demonstrar conformidade para acessar esse mercado. O registro reflete os tratamentos realmente em produção, ou o levantamento feito na época do projeto de adequação? Os prazos de retenção são aplicados nos sistemas, ou apenas constam de uma coluna em planilha? Uma solicitação de exclusão enviada a um serviço de atendimento é registrada, qualificada e tratada dentro do prazo de um mês? Muitas organizações têm documentação sólida e execução desigual entre unidades e áreas de negócio.
Duas mudanças deslocam o esforço. O contencioso sobre transferências internacionais de dados para fora da União Europeia tornou o mapeamento de subcontratados e de hospedagens muito mais estruturante do que em 2018, e isso vale diretamente para empresas brasileiras que processam dados de clientes europeus ou mantêm operações na Europa. E o avanço dos usos de inteligência artificial recoloca a proteção de dados no centro: treinamento de modelos, dados de entrada, minimização, informação aos titulares. A confusão mais comum ainda é tratar o RGPD como um projeto encerrado, quando o regulamento descreve um dispositivo permanente que precisa acompanhar cada novo tratamento.
O diagnóstico de maturidade responde a uma pergunta diferente da auditoria de conformidade. A auditoria conclui por lacuna ou conformidade em cada exigência. O diagnóstico posiciona cada prática em uma escala progressiva e indica a ação precisa que leva ao nível seguinte. O RGPD não admite certificação de conformidade global: a maturidade é, portanto, a única linguagem que permite comparar unidades, acompanhar a evolução ao longo do tempo e decidir um orçamento de adequação.
No Datamensio, o referencial já vem pronto para uso. Você pode adaptá-lo ao seu contexto: a IA ajusta os temas, as perguntas e os níveis, ou constrói uma versão personalizada a partir de suas próprias políticas, registros e procedimentos internos.
Norma de referência: Regulamento (UE) 2016/679, aplicável desde 25 de maio de 2018
Os temas avaliados
Governança e papéis
Designação e posicionamento do DPO, recursos alocados, rede de correspondentes, articulação com o jurídico e a segurança, reporte à diretoria.
Registro das atividades de tratamento
Abrangência e atualização do registro, qualificação como controlador ou operador, finalidades, categorias de dados e titulares, processo de atualização.
Licitude e bases legais
Base legal documentada por tratamento, gestão do consentimento e de sua revogação, testes de ponderação para o legítimo interesse, tratamentos de dados sensíveis.
Informação e direitos dos titulares
Avisos de privacidade e políticas de privacidade, canais de recebimento de solicitações, qualificação, rastreabilidade, cumprimento do prazo de um mês, taxa de solicitações concluídas.
Minimização e prazos de retenção
Política de retenção por tratamento, aplicação efetiva das exclusões e arquivamentos nos sistemas, pseudonimização, controle dos conjuntos de dados de teste.
Segurança dos tratamentos
Medidas técnicas e organizacionais do artigo 32, gestão de acessos, criptografia, registro de logs, testes e revisões periódicas.
Violações de dados
Procedimento de detecção e qualificação, registro de violações, decisão de notificação à autoridade em até 72 horas, informação aos titulares, lições aprendidas.
Avaliações de impacto e privacidade desde a concepção
Critérios de disparo de uma AIPD, metodologia e validação, integração do privacy by design nos projetos e comitês de arquitetura.
Subcontratados e transferências internacionais
Mapeamento de operadores e suboperadores, cláusulas do artigo 28, auditorias, localização das hospedagens, controle das transferências para fora da União Europeia.
Conscientização e melhoria contínua
Treinamento das áreas expostas, controles internos planejados, indicadores, acompanhamento do plano de ação e comparação ao longo do tempo.
Uma versão curta do referencial, com undefined perguntas, está disponível para autoavaliação on-line. A versão completa tem 10 temas e undefined perguntas.
Perguntas frequentes
O RGPD europeu é certificável?
Não. O regulamento prevê mecanismos de certificação para escopos específicos, mas não existe um certificado de conformidade global ao RGPD. O Datamensio mede a maturidade do seu dispositivo e prepara sua organização para fiscalizações, mas não emite nenhum atestado.
Qual a diferença entre esse diagnóstico e uma auditoria de conformidade?
A auditoria se pronuncia exigência por exigência e conclui por lacuna ou conformidade. O diagnóstico posiciona cada prática em uma escala de maturidade e indica a ação que leva ao próximo nível. Os dois são complementares: o diagnóstico prepara e prioriza, a auditoria valida.
Quanto tempo leva a avaliação?
A versão curta é preenchida em uma única sessão de trabalho. A versão completa, no modo colaborativo com o DPO, o jurídico, a segurança e as áreas de negócio, costuma levar de uma a duas semanas, com a maior parte do tempo dedicada à coleta de evidências.
É possível adaptar o referencial à nossa organização?
Sim. Os temas, as perguntas e os níveis podem ser modificados, e você pode incluir suas próprias exigências internas ou setoriais. A IA também pode gerar uma versão personalizada a partir das suas políticas e do seu registro já existentes.
Como comparar várias filiais ou unidades de negócio?
O mesmo referencial é aplicado a cada unidade, o que torna as pontuações comparáveis por tema. O benchmark posiciona cada unidade de negócio em relação às demais e em relação à sua própria avaliação anterior. Um roteiro transversal consolida depois as ações comuns.
O diagnóstico cobre nossos usos de inteligência artificial?
Os temas de licitude, minimização e avaliações de impacto incluem os tratamentos que alimentam modelos. As perguntas podem ser enriquecidas para cobrir um caso de uso específico, treinamento, dados de entrada ou informação aos titulares.
É preciso ter formação jurídica para responder?
As perguntas tratam de práticas e de sua rastreabilidade, não da interpretação do texto legal. Um DPO ou um responsável por compliance responde sem dificuldade. O modo colaborativo permite direcionar as perguntas técnicas ao correspondente competente.
Onde os dados são hospedados?
Na França, na OVH, com backup na Scaleway. Nenhuma transferência para fora da União Europeia. Os modelos de IA utilizados podem ser selecionados, inclusive entre soluções europeias.