Modelos e registos · ISO 27701 · Cláusula A.1
Modelo de registo de pedidos de exercício de direitos ISO 27701
Sempre que alguém pede para ver, corrigir ou apagar os seus dados começa a correr um prazo. O registo demonstra que o pedido foi tratado a tempo e com a resposta certa.
Numa frase
O registo de pedidos de exercício de direitos inclui cada pedido de acesso, retificação, apagamento, limitação, portabilidade ou oposição com a data de entrada, a verificação da identidade, as ações tomadas e a data da resposta, porque o artigo 12.º, n.º 3, do RGPD dá um mês para responder, prorrogável por mais dois meses, e a ISO/IEC 27701 inclui a resposta a estes pedidos entre os controlos do responsável pelo tratamento da tabela A.1.
- Onde a norma o exige
- ISO 27701 · Cláusula A.1 Cita-se a edição de 2025: os números de 4 a 10 são capítulos; A.1, A.2 e A.3 são as tabelas do Anexo A com os controlos do responsável pelo tratamento, do subcontratante e comuns a ambos.
- Tipo de informação
- Registo obrigatório Registo a conservar como evidência do controlo (tabela A.1; arts. 12.º e 15.º a 22.º do RGPD)
- Quem o preenche
- Quem recebe o pedido e o responsável do PIMS O apoio ao cliente ou os RH registam-no; o encarregado revê os casos duvidosos
- Quando
- No próprio dia em que chega O prazo conta a partir da receção, não de quando alguém o lê
- Durante quanto tempo se conserva
- Fixado pela organização Nem a norma nem o RGPD estabelecem um prazo para o registo em si; o princípio da limitação da conservação (art. 5.º, n.º 1, alínea e), do RGPD) obriga a justificar o prazo escolhido.
O que a norma exige
O que o referencial ISO 27701 exige e o que fica ao seu critério
A norma pede ao responsável pelo tratamento que tenha definidas e documentadas as suas obrigações para com os titulares e a forma de responder aos seus pedidos: acesso, retificação, apagamento, oposição e os restantes. O subcontratante, por seu lado, deve ajudar o cliente a responder-lhes (tabela A.2 e art. 28.º, n.º 3, alínea e), do RGPD).
O RGPD fixa um mês a contar da receção, prorrogável por mais dois meses se a complexidade ou o número de pedidos o justificarem, informando o titular da prorrogação no decurso do primeiro mês (art. 12.º, n.º 3). Se não se der seguimento ao pedido, é preciso explicar porquê e informar da possibilidade de reclamar junto da autoridade (art. 12.º, n.º 4).
Nem a norma nem o Regulamento exigem um registo com este nome, mas sem ele é impossível demonstrar os prazos, e o auditor pedirá uma amostra.
Estrutura
Campos que o modelo deve ter
- Número, data de receção e canal
- Direito exercido
- Titular e verificação da sua identidade
- Tratamentos e sistemas afetados
- Data-limite e, se for o caso, prorrogação comunicada
- Ações tomadas, incluindo a comunicação aos destinatários (art. 19.º do RGPD)
- Resposta enviada e data
- Recusa fundamentada, se a houver
- Subcontratante envolvido e a sua resposta
Exemplo
Exemplo: pedido de apagamento num ginásio fictício
Empresa, pessoas e números fictícios: o exemplo serve apenas para mostrar como fica um registo bem preenchido.
| Campo | Conteúdo |
|---|---|
| Número e data | SD-2026-019 · 2 de junho de 2026 · E-mail para privacidade@ |
| Direito | Apagamento após cancelar a inscrição como sócio |
| Verificação | Correspondência com o e-mail registado e o número de sócio |
| Sistemas | Programa de sócios, aplicação de reservas, plataforma de newsletters |
| Data-limite | 2 de julho de 2026 |
| Ações | Eliminação nas reservas e nas newsletters; no programa de sócios, os dados de faturação ficam bloqueados por obrigação fiscal |
| Resposta | 18 de junho de 2026 · Explica o que foi apagado e o que ficou bloqueado, com o fundamento legal · Clube Alameda (fictício) |
Na auditoria
Erros que os auditores costumam apontar
- Os pedidos chegam a caixas de correio diferentes e ninguém controla o prazo.
- Pede-se documentação de identificação desproporcionada para um direito simples.
- Apaga-se no sistema principal e esquecem-se cópias, newsletters e subcontratantes.
- A recusa não explica o motivo nem informa do direito de reclamar.
No Kimobox
Como se gere este registo no Kimobox
- 1Cada pedido é registado num formulário com a data de entrada e o prazo calculado.
- 2O sistema avisa antes do vencimento e escala se ninguém responder.
- 3A localização dos dados por titular indica os sistemas onde é preciso atuar.
- 4A resposta fica guardada com o pedido e as respetivas evidências.
Perguntas frequentes
O que nos perguntam antes de começar
Qual é o prazo para responder?
Um mês a contar da receção, prorrogável por mais dois se a complexidade ou o número de pedidos o justificarem, avisando o titular no decurso do primeiro mês (art. 12.º, n.º 3, do RGPD).
Pode cobrar-se?
Em regra, não. Só é possível exigir uma taxa razoável ou recusar perante pedidos manifestamente infundados ou excessivos, e o ónus de o demonstrar cabe ao responsável pelo tratamento (art. 12.º, n.º 5, do RGPD).
Faça a gestão dos registos do referencial ISO 27701 sem modelos avulsos
Mostramos-lhe o módulo a funcionar com dados semelhantes aos seus.
Continue a explorar
Páginas relacionadas
Direitos dos titulares
O RGPD reconhece aos titulares o direito de aceder, retificar, apagar, opor-se e limitar o tratamento dos…
Controlos para responsáveis e subcontratantes
O Anexo A reúne os controlos de referência do PIMS para responsáveis pelo tratamento e subcontratantes; o…
Modelo de registo das atividades de tratamento ISO 27701
O que deve conter o registo das atividades de tratamento num PIMS ISO 27701 e no art. 30.º do RGPD: campos…
Modelo de inventário de dados pessoais ISO 27701
Como montar um inventário de dados pessoais para um PIMS ISO 27701: onde estão os dados, em que sistemas…
Fontes
De onde vem cada dado
Referências ao texto oficial em vigor. Se uma norma for revista, esta página é atualizada e a data de revisão reflete-o.
- Regulamento (UE) 2016/679, Regulamento Geral sobre a Proteção de Dados EUR-Lex · 27 de abril de 2016; aplicável desde 25 de maio de 2018
- ISO/IEC 27701:2025 — Sistemas de gestão da informação de privacidade. Requisitos e orientações ISO/IEC · Segunda edição, outubro de 2025