Não conformidade e ação corretiva (10.2)
A norma pede que se reaja, se analise a causa, se atue se for necessário e se reveja a eficácia, conservando evidência de tudo isso. Uma violação de dados é um incidente; se revelar que um controlo não funcionava, é também uma não conformidade.
Melhoria contínua (10.1)
A melhoria demonstra-se com tendências: menos pedidos fora do prazo, menos tempo até decidir se uma violação se notifica, mais subcontratantes revistos a tempo.
Exemplo
Um gabinete de contabilidade fictício deteta numa auditoria interna que três pedidos de acesso foram respondidos ao fim de 40 dias. A causa: chegavam a uma caixa de correio genérica sem responsável. A ação: um formulário único com prazo e aviso. Seis meses depois, todos dentro do prazo.
O que o auditor costuma pedir
- Registo de não conformidades com causa e ação
- Verificação da eficácia datada
- Ligação entre violações de dados, constatações e ações
- Tendências dos indicadores na revisão pela gestão
Como tratar a melhoria no Kimobox
- 1Abra a não conformidade a partir da violação de dados, da auditoria ou do pedido fora do prazo.
- 2Exija a causa raiz antes de passar à ação corretiva.
- 3Programe a verificação da eficácia para uma data posterior.
A causa raiz é obrigatória: uma não conformidade não se fecha apenas com a correção.
De onde vem cada dado
Referências ao texto oficial em vigor. Se uma norma for revista, esta página é atualizada e a data de revisão reflete-o.
- ISO/IEC 27701:2025 — Sistemas de gestão da informação de privacidade. Requisitos e orientações ISO/IEC · Segunda edição, outubro de 2025
- ISO/IEC 27701:2019 — Extensão da ISO/IEC 27001 e da ISO/IEC 27002 para a gestão da informação de privacidade ISO/IEC · Primeira edição, agosto de 2019; anulada em outubro de 2025
- Regulamento (UE) 2016/679, Regulamento Geral sobre a Proteção de Dados EUR-Lex · 27 de abril de 2016; aplicável desde 25 de maio de 2018
- ISO/IEC 27001:2022 — Sistemas de gestão da segurança da informação ISO/IEC · 25 de outubro de 2022