Avaliação de riscos de privacidade (6.1.2)
O risco mede-se sobre as pessoas cujos dados são tratados, e não apenas sobre a empresa: uma fuga de dados de saúde pesa de forma diferente da de um diretório comercial. O método é livre, mas deve produzir resultados coerentes e comparáveis quando se repete.
Tratamento e declaração de aplicabilidade (6.1.3)
Para cada risco escolhem-se controlos, confrontando-os com o Anexo A, e regista-se numa declaração de aplicabilidade quais se aplicam e porque se excluem os restantes. Um subcontratante que nunca recolhe dados junto dos titulares pode justificar a exclusão dos controlos pensados para o responsável.
Objetivos e alterações (6.2 e 6.3)
Os objetivos de privacidade devem ser mensuráveis —por exemplo, a percentagem de pedidos respondidos dentro do prazo— e ter plano, responsável e data. As alterações ao sistema planeiam-se, não se improvisam.
O que o auditor costuma pedir
- Metodologia de avaliação de riscos de privacidade documentada
- Resultado da avaliação com o proprietário de cada risco
- Declaração de aplicabilidade com justificação das exclusões
- Objetivos de privacidade com indicador e plano
Como tratar o planeamento no Kimobox
- 1Faça a avaliação de riscos na matriz de riscos, com proprietário e tratamento.
- 2Mantenha a declaração de aplicabilidade como documento controlado ligado aos riscos.
- 3Meça os objetivos com indicadores que saem dos próprios registos.
A declaração de aplicabilidade pode ser partilhada com a da ISO 27001 quando os dois sistemas coexistem.
Modelos e registos deste capítulo (ISO 27701)
- Modelo de avaliação de riscos de privacidade ISO 27701 · Registo obrigatório
- Modelo de declaração de aplicabilidade ISO 27701 · Documento obrigatório
De onde vem cada dado
Referências ao texto oficial em vigor. Se uma norma for revista, esta página é atualizada e a data de revisão reflete-o.
- ISO/IEC 27701:2025 — Sistemas de gestão da informação de privacidade. Requisitos e orientações ISO/IEC · Segunda edição, outubro de 2025
- ISO/IEC 27701:2019 — Extensão da ISO/IEC 27001 e da ISO/IEC 27002 para a gestão da informação de privacidade ISO/IEC · Primeira edição, agosto de 2019; anulada em outubro de 2025
- Regulamento (UE) 2016/679, Regulamento Geral sobre a Proteção de Dados EUR-Lex · 27 de abril de 2016; aplicável desde 25 de maio de 2018
- ISO/IEC 27001:2022 — Sistemas de gestão da segurança da informação ISO/IEC · 25 de outubro de 2022