RGPD: inventário de dispositivos e dados pessoais
Há dados pessoais num dispositivo sempre que são armazenados, guardados em cache ou sincronizados nele: portáteis, telemóveis, pens USB e scanners, não apenas servidores. Um inventário de dispositivos RGPD lista cada dispositivo que pode conter dados pessoais, quem o tem, se está cifrado e como é apagado, para demonstrar segurança adequada nos termos do artigo 32.º e, se um desaparecer, decidir dentro do prazo de 72 horas do artigo 33.º se tem de notificar a autoridade. O RGPD não usa as palavras «inventário de dispositivos», mas não se protege nem se reporta o que não se consegue listar.
- O RGPD não pede um inventário de dispositivos pelo nome, mas os artigos 32.º e 33.º são difíceis de cumprir sem um.
- Os dados pessoais estão em transferências, caches de correio, exportações e cópias, não só nos seus sistemas principais.
- Registe o responsável, o estado de cifragem, o local e o abate de cada dispositivo.
- O prazo de notificação de 72 horas começa quando toma conhecimento da violação, por isso os factos têm de estar à mão.
- Os dispositivos retirados e as saídas de pessoal são onde os dados pessoais mais escapam.
Porque é que o RGPD se interessa por dispositivos?
O regulamento exige que os dados pessoais sejam tratados de forma segura (artigo 5.º, n.º 1, alínea f), e o artigo 32.º pede aos responsáveis e subcontratantes medidas técnicas e organizativas adequadas ao risco, citando a cifragem como exemplo. Um portátil com uma exportação de clientes faz parte desse risco. O artigo 33.º exige depois notificar a autoridade de controlo de uma violação de dados pessoais sem demora injustificada e, sempre que possível, até 72 horas após ter tido conhecimento dela, a menos que seja improvável que resulte num risco para as pessoas. O artigo 33.º, n.º 5, pede ainda que documente todas as violações, incluindo as que decida não notificar.
O artigo 30.º exige um registo das atividades de tratamento, que descreve categorias de dados e sistemas e não dispositivos individuais. O inventário de dispositivos liga esse registo à realidade física.
O texto do regulamento, incluindo os artigos 5.º, 30.º, 32.º e 33.º, está publicado em eur-lex.europa.eu. Isto é orientação prática, não aconselhamento jurídico.
Onde estão realmente os dados pessoais nos dispositivos?
As equipas pensam nos sistemas principais e esquecem as cópias. Percorra estes locais ao delimitar o inventário.
| Dispositivo ou local | Dados pessoais típicos | Pergunta a fazer |
|---|---|---|
| Portátil | Relatórios transferidos, listas de clientes exportadas, cache de correio | O disco está cifrado e quem o tem? |
| Telemóvel e tablet | Correio, mensagens, contactos, fotos de documentos | Está inscrito e pode ser apagado à distância? |
| USB e disco externo | Cópias de segurança, exportações pontuais | Está registado, cifrado e é apagado na devolução? |
| Impressora ou scanner com armazenamento | Contratos e documentos de identificação digitalizados | Guarda um disco e o que acontece no fim de vida? |
| Dispositivo pessoal usado no trabalho | Correio de trabalho e ficheiros sincronizados | A política permite e como se retiram os dados à saída? |
O que deve registar um inventário de dispositivos RGPD?
Mantenha-o curto o suficiente para o conseguir manter. Estes campos respondem ao que um regulador ou um cliente vai perguntar após um incidente.
- Dispositivo e número de série: para que um aviso de perda nomeie um objeto concreto.
- Responsável: a pessoa que responde, com datas de início e fim da atribuição.
- Estado de cifragem: cifrado ou não, e como o sabe, por exemplo uma referência à sua gestão de dispositivos.
- Dados que pode conter: uma nota de uma linha, como «exportações do apoio a clientes».
- Local: escritório, casa ou armazém.
- Fim de vida: data de abate e certificado de apagamento.
O que fazer quando se perde um dispositivo com dados pessoais?
Dispare o relógio assim que souber. Registe quando tomou conhecimento, que dispositivo era, quem o tinha e se estava cifrado, e avalie o risco para as pessoas afetadas. Os factos de que precisa são exatamente os campos do inventário acima, por isso uma perda é o melhor teste do registo. A rotina passo a passo, do bloqueio remoto à comunicação, está em o procedimento para portátil perdido ou roubado.
Se tem de notificar depende da avaliação do risco. Um dispositivo cifrado com bloqueio forte pode reduzir o risco, mas continua a documentar a decisão como pede o artigo 33.º, n.º 5.
E os dispositivos retirados, as saídas e o pessoal remoto?
É aqui que os dados pessoais mais escapam. Alguém que sai e fica com um telemóvel, um portátil devolvido sem apagamento, uma gaveta de discos antigos: nada disto aparece num sistema principal e tudo pode conter dados. Ligue o inventário ao seu processo de abate para que cada dispositivo retirado tenha um apagamento registado, e às práticas de equipamento de colaboradores remotos para que envios e devoluções fiquem registados.
Onde encaixa o InventorIA?
O InventorIA mantém o registo de hardware com atribuição, estado, garantia, local e estados do ciclo de vida, liga cada pessoa aos dispositivos que detém através das funções de pessoas e saída, e exporta para CSV ou Excel. Assim tem o responsável, o local e o rasto de fim de vida de cada dispositivo num só sítio. Não analisa dispositivos nem verifica se um disco está cifrado: registe-o a partir da sua ferramenta de gestão de dispositivos. Também não o torna conforme com o RGPD por si só.
Para ver o registo com dados de exemplo, abra a demo ao vivo ou crie um espaço gratuito até 10 ativos.
Perguntas frequentes
O RGPD exige um inventário de dispositivos?
Não com esse nome. Os artigos 32.º e 33.º exigem segurança adequada e notificação de violações, e ambos são difíceis de cumprir se não conseguir listar os dispositivos que guardam dados pessoais.
Os dispositivos pessoais usados no trabalho têm de ser listados?
Se guardarem dados pessoais da empresa, tem de o saber. Ou a sua política os proíbe, ou os regista e define como os dados são retirados à saída.
A cifragem é obrigatória no RGPD?
O artigo 32.º cita a cifragem como exemplo de medida adequada. Ser exigida depende do risco, mas em dispositivos portáteis é a base habitual.
É preciso notificar a perda de um portátil cifrado?
Depende da sua avaliação do risco. A cifragem pode tornar improvável um risco para as pessoas, mas documenta a violação e o seu raciocínio segundo o artigo 33.º, n.º 5.
Uma folha de cálculo chega?
Sim, se estiver completa, com responsáveis e datas, e atualizada. Uma ferramenta ajuda sobretudo com o rasto de saídas e abates.
Saiba que dispositivos guardam dados pessoais antes de precisar.
O espaço de demonstração mostra atribuição, estado e local do hardware junto das pessoas que o detêm.
Experimentar a demo ao vivo →