O GDPR Activity HUB é um projeto gratuito de código aberto que a Microsoft disponibiliza como um kit inicial para a criação de um ponto central de gestão do RGPD. O objetivo é dar aos clientes e parceiros algo para começar a jornada da conformidade com o fim de acompanhar todos os eventos fundamentais, solicitações, tarefas e atividades necessárias para que a organização seja compatível com o Regulamento Geral da Proteção de Dados.
Obtido no github em https://github.com/SharePoint/sp-dev-gdpr-activity-hub, esta solução consiste num modelo de site sharepoint onde podemos encontrar as seguintes secções:
- Home Page e Dashboard
- Acompanhamento de Eventos e Incidentes
- Acompanhamento de pedidos dos titulares dos dados
- Atribuição de tarefas e gestão dos processos
- Hierarchy of GDPR roles in the company
Home Page e Dashboard
O ponto de entrada da solução, como vemos em baixo, contém um dashboard onde podemos medir e monitorizar a performance da Organização relativamente aos pedidos e eventos do GDPR
Este dashboard é atualizado periodicamente e mostra os dados carregados pelos utilizadores de uma forma gráfica, recorrendo ao Power BI.
Acompanhamento de Eventos e Incidentes
Esta é a área onde podemos manter o registo de eventos e incidentes.
Existem seis tipos de eventos que podemos inserir:
- Data Breach: sempre que existe uma violação de dados pessoais, deve ser notificada em 72 horas a entidade responsável (CNPD). Ao inserir o registo de um Data Breach, um workflow associado cria automaticamente uma tarefa atribuída ao elemento responsável pela notificação.
- Identity Risk: um tipo de incidente utilizado quando uma identidade está em risco (roubo ou abuso de credenciais por exemplo).
- Data Consent: sempre que um titular dos dados dá o seu consentimento para recolha e tratamento de dados pessoais.
- Data Consent Withdrawal: sempre que um titular dos dados retira o seu consentimento para recolha e tratamento de dados pessoais.
- Data Processing: registo a efetuar sempre que existe um tratamento de dados envolvendo dados pessoais.
- Data Archived: Registo de eventos de arquivo de dados pessoais.
Acompanhamento de pedidos dos titulares dos dados
Tal como na lista de Eventos, podemos também gerir e registar pedidos.
Existem 5 tipos de pedidos que podemos requisitar:
- Data Access: pedidos de acesso a dados pessoais pelo titular dos dados
- Data Correct: pedidos de correção de dados pessoais pelo titular dos dados
- Data Export: pedidos de exportação de dados pessoais pelo titular dos dados
- Data Objection: pedidos de objeção ao acesso de dados pessoais pelo titular dos dados.
- Data Erase: permite o registo de pedidos de remoção de dados pessoais pelo titular dos dados.
Atribuição de tarefas e gestão dos processos
Alguns eventos ou pedidos podem após serem registados despoletar os seguintes workflows:
- Data Breach Management: atribui uma tarefa ao responsável pelos eventos de violação de dados, a fim de lembrar a notificação dentro de 72 horas após o acontecimento da violação de dados.
- External Data Processing: atribui uma tarefa à pessoa identificada como “assignee” do evento para relembrá-lo do respetivo tratamento
- Request to Access Personal Data Management: atribui uma tarefa à pessoa identificada como “assignee” do evento, de forma à mesma poder gerir a sua lista de tarefas.
Existe também uma área no GDPR Activity Hub para monitorizar o estado das tarefas de cada utilizador ou de todos utilizadores.
Hierarquia RGPD
Outra funcionalidade interessante é a “GDPR Hierarchy” que podemos usar para identificar as pessoas envolvidas na gestão da conformidade com o GDPR. As funções suportadas são:
- Data Protection Officer
- GDPR Controller
- GDPR Processor
Apesar de identificada apenas como um ponto de partida, esta solução, totalmente gratuita e adaptável, servirá, com mais ou menos customizações, para gerir a conformidade com o RGPD em muitas empresas.
O que nós dizemos
Numa altura em que todas as organizações se preparam para o regulamento geral de proteção de dados. Só temos de agradecer à Microsoft a disponibilização deste template, totalmente funcional e adaptável. Para nós esta é sem dúvida uma ferramenta útil e está incluída no conjunto de ferramentas que normalmente apresentamos nos projetos associados à conformidade com o RGPD
|