DIAGNÓSTICO NACIONAL SOBRE PROTECÇÃO DE DADOS E PRIVACIDADE

QUESTIONÁRIO PARA INSTITUIÇÕES PÚBLICAS E PRIVADAS

1. Objectivo

A presente inquirição tem por objectivo avaliar o nível de maturidade das instituições públicas e privadas em matéria de protecção de dados pessoais e privacidade, identificando práticas de tratamento dados de existentes antes da entrada da Lei de Protecção de Dados e Privacidade.

2. Público-alvo

Instituições públicas e privadas que recolhem, utilizam, armazenam, partilham dados pessoais, incluindo bancos, seguradoras, operadoras de telecomunicações, instituições de saúde e educação, plataformas digitais, empresas de comércio electrónico, entidades públicas, organizações não-governamentais e outras

3. Confidencialidade

As respostas devem reflectir a realidade institucional. A informação recolhida será tratada de forma confidencial e os resultados deverão ser apresentados, preferencialmente, de forma agregada.

4. Definições básicas

Dados pessoais: informação relativa a uma pessoa singular identificada ou identificável.
Dados pessoais sensíveis: dados que, pela sua natureza, podem gerar riscos acrescidos para o titular, como dados de saúde, biométricos, genéticos sobre convicções religiosas ou políticas e vida sexual.
Titular dos dados: pessoa a quem os dados pessoais dizem respeito.
Incidente de dados pessoais: situação que provoque destruição, perda, alteração, divulgação ou acesso não autorizado a dados pessoais.

ESCALA DE MATURIDADE

Nas perguntas que utilizam a “Escala de Maturidade”, seleccione uma das seguintes opções:

4 — Implementado e consolidado: existe, está documentado, é aplicado e revisto regularmente.

3 — Implementado: existe e é aplicado, mas ainda apresenta algumas lacunas.
2 — Em implementação: está parcialmente implementado.
1 — Planeado: está previsto, mas ainda não foi implementado.
0 — Inexistente: não existe.
NS — Não sabe.
NA — Não aplicável.

SECÇÃO I — CARACTERIZAÇÃO DA INSTITUIÇÃO

1. Qual é a natureza da instituição? *

Administração Pública Central
Administração Pública Provincial ou Local
Instituto ou entidade pública
Empresa pública ou participada pelo Estado
Empresa privada
Organização não-governamental
Organização internacional
Instituição académica ou de investigação
Outra

Especifique: *

5. Aproximadamente quantas pessoas distintas estão registadas nas bases de dados da instituição? *

Especifique:

8. Qual é a função principal da pessoa que responde ao questionário? *

Dirigente ou gestor
Responsável pela protecção de dados
Responsável jurídico ou de conformidade
Responsável por tecnologias de informação
Responsável por segurança da informação
Responsável por auditoria ou gestão de riscos
Responsável por recursos humanos
Outra

Especifique:

BLOCO A — GOVERNAÇÃO E RESPONSABILIDADE

9. A instituição possui uma política escrita de privacidade e protecção de dados pessoais? Utilize a Escala de Maturidade. Nas perguntas que utilizam a “Escala de Maturidade”, seleccione uma das seguintes opções: *

4 — Implementado e consolidado: existe, está documentado, é aplicado e revisto regularmente.
3 — Implementado: existe e é aplicado, mas ainda apresenta algumas lacunas
2 — Em implementação: está parcialmente implementado
1 — Planeado: está previsto, mas ainda não foi implementado
0 — Inexistente: não existe
NS — Não sabe
NA — Não aplicável

10. Existe uma pessoa ou unidade formalmente responsável pela protecção de dados pessoais? *

Sim, existe um Encarregado de Protecção de Dados ou função equivalente, formalmente designado
Sim, a responsabilidade foi formalmente atribuída a outro trabalhador
Sim, existe uma comissão ou equipa multidisciplinar
Existe apenas uma responsabilidade informal
Não existe
Não sabe

11. A função responsável pela protecção de dados possui autonomia, recursos e acesso à direcção da instituição? Utilize a Escala de Maturidade. A função responsável pela protecção de dados possui autonomia, recursos e acesso à direcção da instituição? Seleccione a opção que melhor descreve a situação actual da instituição. *

0 - Inexistente: não existe uma função responsável pela protecção de dados ou, quando existe informalmente, não possui autonomia, recursos nem acesso à direcção.
1 - Incipiente: a responsabilidade é exercida informalmente ou acumulada com outras funções. Não existem recursos específicos e o acesso à direcção ocorre apenas em situações excepcionais.
2 - Em desenvolvimento: a função está formalmente atribuída, mas possui autonomia limitada, recursos insuficientes e acesso ocasional ou indirecto à direcção
3 - Implementado: a função está formalmente estabelecida, possui autonomia operacional, recursos mínimos para realizar as suas actividades e acesso regular à direcção, embora ainda existam algumas limitações
4 - Consolidado: a função está formalmente estabelecida, actua com independência e sem interferência indevida, dispõe de recursos humanos, técnicos e financeiros adequados e possui acesso directo e regular à direcção, à qual apresenta relatórios e recomendações
NS - não sabe: o respondente não possui informação suficiente para avaliar

12. A instituição mantém um inventário actualizado dos dados pessoais e das actividades de tratamento? O inventário deve identificar, entre outros elementos, os tipos de dados, as finalidades do tratamento, as categorias de titulares, os sistemas utilizados, os responsáveis, os destinatários, a localização dos dados e os prazos de conservação. Seleccione a opção que melhor descreve a situação actual da instituição. *

0 - Inexistente: a instituição não possui um inventário dos dados pessoais nem das actividades de tratamento e desconhece, total ou parcialmente, os dados tratados e a sua localização.
1 - Incipiente: existem listas ou registos informais, dispersos pelos diferentes departamentos, mas são incompletos, não seguem um modelo comum e não são actualizados regularmente
2 - Em desenvolvimento: a função está formalmente atribuída, mas possui autonomia limitada, recursos insuficientes e acesso ocasional ou indirecto à direcção
3 - Implementado: a instituição possui um inventário formal e documentado, que abrange a maioria das actividades de tratamento e identifica os principais elementos exigidos. Existem responsáveis e procedimentos definidos para a sua actualização periódica, embora persistam algumas lacunas
4 - Consolidado: a instituição mantém um inventário completo, centralizado, validado e permanentemente actualizado, abrangendo todas as unidades, sistemas e actividades de tratamento. O inventário identifica os dados, finalidades, titulares, responsáveis, destinatários, localização, medidas de segurança e prazos de conservação, sendo utilizado na gestão de riscos, avaliações de impacto, resposta a incidentes e atendimento dos direitos dos titulares
NS - Não sabe: o respondente não possui informação suficiente para avaliar a existência ou o nível de actualização do inventário

Orientação para resposta: caso o inventário exista apenas em algumas unidades ou contenha níveis diferentes de informação, deverá ser seleccionada a pontuação que represente a situação predominante ou o nível menos desenvolvido.

13. A direcção recebe e analisa periodicamente informação sobre riscos, incidentes e medidas de protecção de dados? Seleccione a opção que melhor descreve a situação actual da instituição. *

0 - Inexistente: a direcção não recebe informação sobre riscos, incidentes ou medidas de protecção de dados. Estes assuntos não são analisados ao nível da gestão institucional
1 - Incipiente: a direcção recebe informação apenas de forma informal ou quando ocorre um incidente grave. Não existem relatórios, periodicidade ou procedimentos definidos para análise e acompanhamento
2 - Em desenvolvimento: a direcção recebe informação ocasional ou incompleta sobre alguns riscos, incidentes e medidas adoptadas. A análise não é sistemática e as decisões ou acções correctivas nem sempre são documentadas e acompanhadas
3 - Implementado: a direcção recebe relatórios periódicos e estruturados, analisa os principais riscos, incidentes e medidas de protecção de dados e determina acções correctivas. Contudo, ainda existem limitações na qualidade da informação ou no acompanhamento das decisões
4 - Consolidado: a direcção recebe e analisa regularmente informação completa, actualizada e baseada em indicadores sobre riscos, incidentes, reclamações e medidas de protecção de dados. As decisões são documentadas, são atribuídas responsabilidades e prazos, e a execução das medidas correctivas é monitorizada. A protecção de dados encontra-se integrada na gestão de riscos e no planeamento estratégico da instituição
NS - Não sabe: o respondente não possui informação suficiente para avaliar

Orientação para resposta: a mera recepção de informação não é suficiente para os níveis mais elevados. Deve existir análise pela direcção, tomada de decisões e acompanhamento das medidas determinadas.

14. A instituição realiza avaliações de risco ou de impacto sobre a protecção de dados antes de iniciar tratamentos que possam apresentar riscos elevados? Exemplos: biometria, inteligência artificial, videovigilância, tratamento de dados de saúde, monitoria sistemática ou tratamento de dados de crianças. Seleccione a opção que melhor descreve a situação actual da instituição. *

0 - Inexistente: a instituição não realiza avaliações de risco ou de impacto sobre a protecção de dados antes de iniciar tratamentos de risco elevado
1 - Incipiente: os riscos são analisados apenas informalmente ou depois da implementação do tratamento ou da ocorrência de um incidente. Não existe metodologia, documentação ou procedimento definido
2 - Em desenvolvimento: a direcção recebe informação ocasional ou incompleta sobre alguns riscos, incidentes e medidas adoptadas. A análise não é sistemática e as decisões ou acções correctivas nem sempre são documentadas e acompanhadas
3 - Implementado: existe um procedimento documentado para identificar tratamentos de risco elevado e realizar avaliações antes da sua implementação. A avaliação identifica os dados, finalidades, riscos para os titulares e medidas de mitigação, envolvendo as áreas relevantes da instituição. Contudo, ainda existem algumas limitações na cobertura ou no acompanhamento dos riscos identificados.
4 - Consolidado: a avaliação de risco ou de impacto está integrada na aprovação de novos projectos, tecnologias e tratamentos de risco elevado. É realizada antes do início do tratamento e sempre que ocorram alterações significativas, seguindo uma metodologia formal. Os riscos residuais são avaliados, as medidas de mitigação são aprovadas e monitorizadas e o tratamento apenas avança depois da validação pelas funções competentes, incluindo o responsável pela protecção de dados
NS - Não sabe: O respondente não possui informação suficiente para avaliar
NA - Não aplicável: a instituição não realiza nem prevê realizar tratamentos susceptíveis de apresentar riscos elevados

Orientação para resposta: a existência de uma avaliação genérica de segurança não deve, por si só, justificar os níveis mais elevados. A avaliação deve considerar especificamente os riscos do tratamento para os direitos, as liberdades e a privacidade dos titulares dos dados.

15. A protecção de dados é considerada desde a concepção de novos sistemas, serviços, projectos e processos de contratação? Seleccione a opção que melhor descreve a situação actual da instituição. *

0 - Inexistente: a protecção de dados não é considerada na concepção de novos sistemas, serviços, projectos ou processos de contratação
1 - Incipiente: as questões de protecção de dados são consideradas informalmente ou apenas depois de o sistema, serviço ou projecto ter sido desenvolvido, contratado ou colocado em funcionamento
2 - Em desenvolvimento: a protecção de dados é considerada em alguns projectos ou contratações, mas não existe um procedimento obrigatório e uniforme. A função responsável pela protecção de dados é envolvida tardiamente ou apenas em iniciativas consideradas sensíveis
3 - Implementado: existem procedimentos para considerar a protecção de dados desde as fases iniciais dos projectos e contratações. São avaliados aspectos como finalidade, minimização dos dados, controlo de acesso, segurança, conservação, direitos dos titulares e requisitos aplicáveis aos fornecedores. Contudo, ainda existem algumas limitações na aplicação a todas as áreas da instituição
4 - Consolidado: a protecção de dados desde a concepção e por defeito está formalmente integrada em todo o ciclo de vida dos sistemas, serviços, projectos e contratações. Existem critérios de aprovação, avaliações de risco ou de impacto, requisitos obrigatórios para fornecedores, testes antes da entrada em funcionamento e revisões posteriores. Por defeito, apenas são tratados os dados necessários para cada finalidade, com acesso, conservação e divulgação limitados ao estritamente necessário
NS - Não sabe: o respondente não possui informação suficiente para avaliar.
NA - a instituição não iniciou novos sistemas, serviços, projectos ou processos de contratação durante o período avaliado

Orientação para resposta: para alcançar os níveis mais elevados, a protecção de dados deve ser considerada antes da tomada das principais decisões técnicas e contratuais, e não apenas depois de o sistema, serviço ou projecto estar concluído.

BLOCO B — RECOLHA E UTILIZAÇÃO DE DADOS PESSOAIS

16. A instituição identifica e documenta a finalidade e o fundamento aplicável antes de iniciar o tratamento de dados pessoais? Exemplos de fundamento: consentimento, execução de contrato, obrigação legal, interesse público ou outro fundamento aplicável. Seleccione a opção que melhor descreve a situação actual da instituição *

0 - Inexistente: a instituição não identifica nem documenta previamente as finalidades e os fundamentos aplicáveis ao tratamento de dados pessoais
1 - Incipiente: as finalidades e os fundamentos são definidos de maneira informal, genérica ou apenas depois do início do tratamento. A instituição tende a utilizar o consentimento de forma automática, sem verificar se é o fundamento mais adequado
2 - Em desenvolvimento: a instituição identifica e documenta as finalidades e os fundamentos em algumas actividades de tratamento, mas o procedimento não é uniforme, não abrange todas as áreas ou apresenta documentação incompleta
3 - Implementado: existe um procedimento formal para identificar e documentar, antes do início do tratamento, a finalidade específica e o fundamento aplicável. Estas informações constam do inventário das actividades de tratamento e dos avisos de privacidade, embora ainda existam algumas lacunas na revisão e actualização
4 - Consolidado: todas as actividades de tratamento são previamente avaliadas e apenas iniciadas depois da definição, validação e documentação das respectivas finalidades e fundamentos. As informações são coerentes com os avisos de privacidade, contractos, sistemas e inventários institucionais. Qualquer alteração da finalidade ou do fundamento é submetida a nova avaliação, aprovação e actualização da documentação
NS - Não sabe: o respondente não possui informação suficiente para avaliar

Orientação para resposta: a simples existência de um formulário de consentimento não corresponde, por si só, aos níveis mais elevados. A instituição deve determinar, para cada actividade de tratamento, a finalidade específica e o fundamento mais adequado antes de recolher ou utilizar os dados pessoais.

17. Antes ou no momento da recolha, os titulares recebem informação clara sobre o tratamento dos seus dados? A informação deve incluir, quando aplicável, a identidade e os contactos da entidade responsável, as finalidades e o fundamento do tratamento, as categorias de dados recolhidos, os destinatários, o prazo de conservação, os direitos dos titulares e os canais para pedidos ou reclamações. Seleccione a opção que melhor descreve a situação actual da instituição. *

0 - Inexistente: os titulares não recebem informação sobre o tratamento dos seus dados pessoais antes ou no momento da recolha
1 - Incipiente: a informação é prestada de forma informal, genérica, incompleta ou apenas depois da recolha. Não existe um aviso de privacidade padronizado e facilmente acessível
2 - Em desenvolvimento: existem avisos de privacidade ou informações em alguns formulários, serviços ou canais de recolha, mas não abrangem todas as actividades. A informação pode ser excessivamente técnica, pouco clara, desactualizada ou omitir elementos importantes
3 - Implementado: a instituição fornece, antes ou no momento da recolha, avisos de privacidade claros e acessíveis na maioria dos serviços e canais. Os avisos contêm os principais elementos sobre o tratamento, embora ainda existam algumas lacunas de cobertura, acessibilidade ou actualização
4 - Consolidado: a instituição fornece informação completa, clara, específica, acessível e adaptada aos diferentes titulares e canais de recolha. Os avisos utilizam linguagem simples, são apresentados no momento adequado, possuem controlo de versões e são revistos sempre que o tratamento é alterado. Existem mecanismos para demonstrar quando e como a informação foi disponibilizada aos titulares
NS - Não sabe: o respondente não possui informação suficiente para avaliar

Orientação para resposta: a simples publicação de uma política geral no website não corresponde, por si só, aos níveis mais elevados. A informação deve ser disponibilizada de forma visível e adequada em cada canal de recolha, incluindo formulários físicos, plataformas digitais, aplicações, atendimento presencial e outros meios utilizados pela instituição.

18. Quando o tratamento se baseia no consentimento, como é obtido e registado? *

Consentimento escrito e devidamente registado
Consentimento electrónico e devidamente registado
Consentimento verbal documentado
Consentimento incluído em termos gerais, sem opção específica
O consentimento é solicitado, mas não é registado
A instituição não utiliza o consentimento como fundamento
Não existe procedimento definido
Não sabe

19. Quando utiliza o consentimento, a instituição permite que o titular o retire com facilidade? Seleccione a opção que melhor descreve a situação actual da instituição. *

0 - Inexistente: a instituição não permite a retirada do consentimento ou continua a tratar os dados mesmo depois de o titular manifestar a sua vontade de o retirar
1 - Incipiente: a retirada é possível apenas informalmente ou através de procedimentos difíceis, demorados ou pouco claros. Os titulares não recebem informação adequada sobre como retirar o consentimento
2 - Em desenvolvimento: existe um canal ou procedimento para retirar o consentimento, mas apresenta limitações. O processo pode exigir formalidades desnecessárias, ter prazos indefinidos ou não produzir efeitos em todos os sistemas e destinatários
3 - Implementado: a instituição possui um procedimento claro e acessível para a retirada do consentimento. Os pedidos são registados e atendidos dentro de prazo razoável, e o tratamento baseado no consentimento é interrompido. Contudo, persistem algumas limitações na automatização, confirmação ou comunicação aos prestadores de serviços
4 - Consolidado: a retirada do consentimento é tão simples quanto a sua concessão. O titular pode utilizar canais adequados e facilmente acessíveis, recebe confirmação do pedido e os sistemas interrompem prontamente o tratamento baseado no consentimento. A retirada é comunicada às áreas internas e aos prestadores de serviços envolvidos, sendo a eficácia do processo monitorizada e revista regularmente
NS - Não sabe: o respondente não possui informação suficiente para avaliar
NA - Não aplicável: a instituição não utiliza o consentimento como fundamento para o tratamento de dados pessoais

Orientação para resposta: a retirada do consentimento não afecta a legitimidade do tratamento realizado antes da sua retirada. Se a instituição pretender continuar o tratamento com base noutro fundamento aplicável, deverá informar claramente o titular.

20. A instituição recolhe apenas os dados estritamente necessários para finalidades previamente definidas? Seleccione a opção que melhor descreve a situação actual da instituição *

0 - Inexistente: a instituição recolhe dados pessoais sem avaliar previamente a sua necessidade ou relação com as finalidades do tratamento. Podem ser recolhidos dados excessivos ou sem finalidade definida
1 - Incipiente: a necessidade dos dados é avaliada apenas informalmente. Os formulários e sistemas solicitam informações com base em práticas anteriores, sem uma justificação documentada para cada categoria de dados
2 - Em desenvolvimento: a instituição aplica critérios de minimização em algumas actividades e já eliminou determinados campos ou dados desnecessários. Contudo, a avaliação não é uniforme e alguns formulários, sistemas ou departamentos continuam a recolher dados excessivos
3 - Implementado: existem procedimentos para verificar, antes da recolha, se cada categoria de dados é adequada, pertinente e necessária para uma finalidade específica. A maioria dos formulários, sistemas e serviços segue estes critérios, embora persistam algumas lacunas na revisão periódica
4 - Consolidado: a minimização dos dados está integrada na concepção e revisão de todos os formulários, sistemas, serviços e processos. A necessidade de cada dado recolhido é documentada, as configurações predefinidas limitam a recolha ao mínimo necessário e são realizadas revisões periódicas para eliminar campos, cópias ou dados excessivos. Sempre que possível, são utilizados dados anónimos ou pseudonimizados
NS - Não sabe: o respondente não possui informação suficiente para avaliar

Orientação para resposta: a avaliação deve considerar não apenas as categorias de dados, mas também a quantidade, o nível de detalhe, a frequência da recolha e o número de pessoas com acesso. Um dado útil ou potencialmente interessante não é necessariamente indispensável para a finalidade definida.

21. Existem procedimentos para verificar e actualizar a exactidão dos dados pessoais? Seleccione a opção que melhor descreve a situação actual da instituição. *

0 - Inexistente: a instituição não possui procedimentos para verificar, corrigir ou actualizar os dados pessoais. Os dados podem permanecer incorrectos, incompletos ou desactualizados
1 - Incipiente: a verificação e a actualização ocorrem informalmente, geralmente quando o titular apresenta uma reclamação ou quando um erro afecta a prestação do serviço. Não existem responsabilidades ou prazos definidos
2 - Em desenvolvimento: a instituição aplica critérios de minimização em algumas actividades e já eliminou determinados campos ou dados desnecessários. Contudo, a avaliação não é uniforme e alguns formulários, sistemas ou departamentos continuam a recolher dados excessivos
3 - Implementado: existem procedimentos para verificar, antes da recolha, se cada categoria de dados é adequada, pertinente e necessária para uma finalidade específica. A maioria dos formulários, sistemas e serviços segue estes critérios, embora persistam algumas lacunas na revisão periódica
4 - Consolidado: a minimização dos dados está integrada na concepção e revisão de todos os formulários, sistemas, serviços e processos. A necessidade de cada dado recolhido é documentada, as configurações predefinidas limitam a recolha ao mínimo necessário e são realizadas revisões periódicas para eliminar campos, cópias ou dados excessivos. Sempre que possível, são utilizados dados anónimos ou pseudonimizados
NS - Não sabe: o respondente não possui informação suficiente para avaliar

22. A instituição possui prazos definidos para conservação dos dados pessoais? Seleccione a opção que melhor descreve a situação actual da instituição. *

0 - Inexistente: a instituição não possui prazos de conservação definidos. Os dados são conservados por tempo indeterminado ou enquanto houver capacidade de armazenamento
1 - Incipiente: os prazos são definidos informalmente ou caso a caso, sem critérios uniformes ou documentação. Algumas áreas eliminam dados por iniciativa própria, enquanto outras os conservam indefinidamente
2 - Em desenvolvimento: existem prazos para algumas categorias de dados, sistemas ou departamentos, mas o regime de conservação é incompleto, desactualizado ou não abrange todos os arquivos físicos e digitais
3 - Implementado: a instituição possui uma tabela ou política documentada de conservação que abrange a maioria das categorias de dados. Os prazos consideram as finalidades do tratamento, as obrigações legais e as necessidades institucionais, embora existam algumas limitações na aplicação ou revisão
4 - Consolidado: a instituição mantém uma tabela de conservação completa, actualizada e aplicável a todos os dados pessoais, arquivos físicos, sistemas e prestadores de serviços. Cada prazo está documentado e fundamentado, possui um evento claro de início da contagem e é revisto periodicamente. Os sistemas e procedimentos estão configurados para aplicar os prazos e impedir a conservação injustificada dos dados
NS - Não sabe: O respondente não possui informação suficiente para avaliar

Orientação para resposta: os prazos não devem ser definidos de forma genérica para todos os dados. Cada prazo deve considerar a finalidade do tratamento, o tipo e a sensibilidade dos dados, as obrigações legais e o período efectivamente necessário para a sua utilização.

23. Os dados que deixaram de ser necessários são eliminados, destruídos ou anonimizados de forma segura? Seleccione a opção que melhor descreve a situação actual da instituição. *

0 - Inexistente: A instituição não elimina, destrói ou anonimiza os dados que deixaram de ser necessários. Os dados são conservados indefinidamente ou descartados sem medidas de segurança
1 - Incipiente: A eliminação ocorre ocasionalmente e de forma informal, sem procedimentos ou registos. Podem ser utilizados métodos inseguros, como eliminação simples de ficheiros ou descarte de documentos no lixo comum
2 - Em desenvolvimento: Existem procedimentos de eliminação segura em algumas áreas ou sistemas, mas não abrangem todos os dados, documentos físicos, equipamentos, cópias de segurança ou prestadores de serviços. A execução não é regularmente verificada
3 - Implementado: A instituição possui procedimentos documentados para eliminar, destruir ou anonimizar os dados depois de terminado o prazo de conservação. São utilizados métodos adequados na maioria dos sistemas e arquivos, e as operações são registadas, embora persistam limitações quanto às cópias de segurança ou aos terceiros
4 - Consolidado: A eliminação, destruição ou anonimização está integrada no ciclo de vida dos dados e é realizada de forma controlada, verificável e, quando possível, automatizada. Os procedimentos abrangem sistemas, arquivos físicos, equipamentos, cópias, ambientes de teste, cópias de segurança e prestadores de serviços. Existem registos ou certificados de destruição, auditorias periódicas e mecanismos para suspender a eliminação quando os dados devam ser preservados por obrigação legal ou processo em curso
NS - Não sabe: O respondente não possui informação suficiente para avaliar

Orientação para resposta: a eliminação deve impedir a recuperação ou reconstrução dos dados. A anonimização deve ser efectiva e irreversível; a simples substituição do nome por um código constitui pseudonimização e não equivale à eliminação dos dados pessoais.

24. A instituição controla a utilização dos dados para finalidades diferentes daquelas que justificaram a sua recolha? Seleccione a opção que melhor reflecte o nível de maturidade da instituição. *

0 - Inexistente: Não existem procedimentos para avaliar ou controlar a utilização dos dados pessoais para novas finalidades
1 - Inicial: A utilização dos dados para novas finalidades é avaliada pontualmente, de forma informal e sem critérios definidos
2 - Definido: Existem procedimentos documentados que exigem a avaliação da compatibilidade da nova finalidade com a finalidade original e a identificação do fundamento que permite essa utilização
3 - Gerido: Os procedimentos são aplicados sistematicamente, com registo das avaliações, autorização interna e informação aos titulares ou obtenção de novo consentimento, quando aplicável
4 - Optimizado: A instituição monitoriza e revê continuamente estas práticas, realiza auditorias e utiliza mecanismos de controlo para prevenir e detectar utilizações incompatíveis ou não autorizadas.
Opção adicional: Não aplicável - a instituição não trata estas categorias de dados nem dados relativos aos grupos mencionados

25. A instituição adopta medidas específicas para proteger os dados pessoais sensíveis e os dados relativos a crianças ou outros grupos vulneráveis? Seleccione a opção que melhor reflecte o nível de maturidade da instituição. *

0 - Inexistente: Não existem medidas específicas de protecção para estas categorias de dados ou grupos de titulares
1 - Inicial: São adoptados cuidados pontuais e informais, dependendo da iniciativa dos colaboradores, sem procedimentos definidos
2 - Definido: Existem procedimentos documentados que estabelecem medidas específicas, como restrições de acesso, cuidados na recolha e partilha e informação adaptada aos titulares
3 - Gerido: As medidas são aplicadas sistematicamente, com avaliação dos riscos, registo dos controlos adoptados, formação dos colaboradores e verificação regular do seu cumprimento
4 - Optimizado: A eficácia das medidas é avaliada continuamente, através de auditorias e revisão dos procedimentos, considerando novos riscos e as necessidades específicas dos titulares
Opção adicional: Não aplicável — a instituição não trata estas categorias de dados nem dados relativos aos grupos mencionados

26. A instituição dispõe de canais para os titulares apresentarem pedidos ou reclamações relacionados com os seus dados pessoais? Exemplos: balcão, formulário, correio electrónico, linha telefónica ou plataforma digital. Seleccione a opção que melhor reflecte o nível de maturidade da instituição. *

0 - Inexistente: Não existem canais definidos para receber pedidos ou reclamações relacionados com dados pessoais
1 - Inicial: Os pedidos ou reclamações são recebidos através de contactos gerais, de forma informal, sem procedimentos de encaminhamento ou responsáveis definidos
2 - Definido: Existem procedimentos documentados que estabelecem medidas específicas, como restrições de acesso, cuidados na recolha e partilha e informação adaptada aos titulares
3 - Gerido: Os canais funcionam regularmente, permitindo acompanhar os pedidos ou reclamações, controlar os prazos de resposta e informar os titulares sobre o seu andamento
4 - Optimizado: A instituição avalia continuamente a acessibilidade e a eficácia dos canais, os tempos de resposta e a satisfação dos titulares, utilizando os resultados para melhorar o atendimento

27. A instituição dispõe de procedimentos e prazos definidos para responder aos pedidos de exercício dos direitos dos titulares, incluindo acesso, correcção, actualização, oposição e eliminação dos dados pessoais? Seleccione a opção que melhor reflecte o nível de maturidade da instituição. *

0 - Inexistente: Não existem procedimentos nem prazos definidos para responder aos pedidos dos titulares
1 - Inicial: Os pedidos são tratados pontualmente, de forma informal, sem prazos uniformes ou responsáveis claramente definidos
2 - Definido: Existem procedimentos documentados, responsáveis designados e prazos estabelecidos para analisar e responder aos pedidos, incluindo a verificação da identidade do requerente
3 - Gerido: Os procedimentos são aplicados sistematicamente, com registo dos pedidos, acompanhamento dos prazos e comunicação das decisões aos titulares, incluindo a fundamentação de eventuais recusas
4 - Optimizado: A instituição avalia regularmente o cumprimento dos prazos e a qualidade das respostas, identifica dificuldades e melhora os procedimentos para assegurar o exercício efectivo dos direitos dos titulares

28. A instituição regista os pedidos recebidos e acompanha a respectiva resposta? Seleccione a opção que melhor reflecte o nível de maturidade da instituição. *

0 - Inexistente: Não existe registo dos pedidos recebidos nem acompanhamento das respostas
1 - Inicial: Alguns pedidos são registados de forma informal ou dispersa, sem acompanhamento regular do seu tratamento
2 - Definido: Existe um registo organizado dos pedidos, com data de recepção, natureza do pedido, responsável pelo tratamento, prazo de resposta e estado de resolução
3 - Gerido: Todos os pedidos são registados e acompanhados até ao encerramento, com controlo dos prazos e conservação das respostas e das decisões tomadas
4 - Optimizado: Os registos são analisados periodicamente para identificar atrasos, pedidos recorrentes e oportunidades de melhoria, permitindo aperfeiçoar a gestão e a qualidade das respostas

29. A instituição utiliza inteligência artificial, perfilagem ou decisões automatizadas que possam afectar significativamente os titulares? *

Sim
Está em fase de teste ou implementação
Não
Não sabe

30. Se respondeu “Sim” ou “Em implementação”, existem mecanismos de transparência, avaliação de riscos, explicação das decisões e intervenção humana? *

BLOCO D — SEGURANÇA DOS DADOS PESSOAIS

31. Onde são armazenados os dados pessoais tratados pela instituição? Seleccione todas as opções aplicáveis.

Servidores próprios localizados em Moçambique
Centro de dados de terceiro localizado em Moçambique
Servidores ou centros de dados localizados fora de Moçambique
Serviços de computação em nuvem
Computadores individuais
Dispositivos móveis
Suportes amovíveis
Arquivos físicos em papel
A instituição não conhece todos os locais de armazenamento

Outro. Especifique:

32. A instituição classifica os dados de acordo com o seu nível de sensibilidade e os riscos associados ao seu tratamento? Seleccione a opção que melhor reflecte o nível de maturidade da instituição. *

1 – Inexistente: Não existe classificação dos dados de acordo com a sua sensibilidade ou risco.
2 – Inicial: Alguns dados são classificados de forma pontual e informal, sem critérios uniformes.
3 – Definido: Existem critérios documentados, categorias de classificação e responsáveis definidos, considerando a sensibilidade dos dados e os possíveis impactos do seu acesso, utilização, alteração ou perda indevidos.
4 – Gerido: A classificação é aplicada sistematicamente e orienta as medidas de protecção, incluindo regras de acesso, armazenamento, partilha e eliminação dos dados.
5 – Optimizado: A instituição verifica a correcta aplicação da classificação e revê periodicamente os critérios e as categorias atribuídas, ajustando as medidas de protecção à evolução dos riscos.

33. O acesso aos dados pessoais é limitado de acordo com as funções de cada trabalhador e revisto periodicamente? Seleccione a opção que melhor reflecte o nível de maturidade da instituição. *

1 – Inexistente: O acesso aos dados pessoais não é limitado em função das responsabilidades dos trabalhadores, nem existem revisões das permissões.
2 – Inicial: Existem algumas restrições de acesso, aplicadas de forma informal, com revisão pontual das permissões.
3 – Definido: Existem regras documentadas e perfis de acesso associados às funções, com procedimentos de autorização, alteração e revogação das permissões e periodicidade de revisão definida.
4 – Gerido: As permissões são limitadas ao necessário, revistas periodicamente e ajustadas quando há mudança de funções ou cessação do vínculo, mantendo-se registo das autorizações e revisões.
5 – Optimizado: A instituição avalia continuamente a eficácia dos controlos, utiliza registos e alertas para detectar acessos indevidos e aperfeiçoa as permissões em função dos riscos identificados.

34. A instituição utiliza mecanismos de autenticação e controlo de acesso adequados aos riscos para proteger os sistemas que tratam dados pessoais? Exemplos: palavras-passe fortes, autenticação multifactor e bloqueio temporário de contas após tentativas falhadas de acesso. Seleccione a opção que melhor reflecte o nível de maturidade da instituição. *

1 – Inexistente: Não existem mecanismos de autenticação e controlo de acesso para proteger os sistemas que tratam dados pessoais.
2 – Inicial: São utilizados mecanismos básicos, como palavras-passe, sem requisitos uniformes de segurança ou aplicação consistente.
3 – Definido: Existem regras documentadas para autenticação, incluindo credenciais individuais, palavras-passe fortes, bloqueio após tentativas falhadas e utilização de autenticação multifactor em situações de maior risco.
4 – Gerido: Os mecanismos definidos são aplicados sistematicamente, com monitorização das tentativas de acesso, procedimentos seguros de recuperação de contas e verificação regular da sua configuração.
5 – Optimizado: A instituição testa e revê periodicamente a eficácia dos mecanismos, ajustando-os às ameaças identificadas e adoptando métodos de autenticação mais robustos conforme o risco.

35. A instituição adopta medidas adequadas para proteger os dados pessoais durante o armazenamento e a transmissão, em suporte digital ou físico? Exemplos: cifragem, canais seguros, pseudonimização, armários com acesso restrito e transporte seguro de documentos físicos. Seleccione a opção que melhor reflecte o nível de maturidade da instituição. *

1 – Inexistente: Não existem medidas específicas para proteger os dados pessoais durante o armazenamento e a transmissão.
2 – Inicial: São adoptadas algumas medidas básicas, de forma pontual, sem critérios uniformes para os diferentes suportes e meios de transmissão.
3 – Definido: Existem procedimentos documentados que estabelecem medidas de protecção proporcionais à sensibilidade dos dados e aos riscos, abrangendo o armazenamento e a transmissão em suporte digital e físico.
4 – Gerido: As medidas são aplicadas sistematicamente, incluindo cifragem e canais seguros, quando adequados, e controlo do acesso, envio e transporte de documentos físicos, com verificação regular do seu cumprimento.
5 – Optimizado: A instituição avalia e testa periodicamente a eficácia das medidas, corrige fragilidades e actualiza os mecanismos de protecção em função de novos riscos e mudanças tecnológicas.

36. A instituição realiza cópias de segurança dos dados pessoais e testa periodicamente a sua recuperação? Seleccione a opção que melhor reflecte o nível de maturidade da instituição. *

1 – Inexistente: Não são realizadas cópias de segurança nem testes de recuperação dos dados.
2 – Inicial: São realizadas cópias de segurança pontuais, sem periodicidade definida, e os testes de recuperação são inexistentes ou ocasionais.
3 – Definido: Existem procedimentos documentados que definem os dados abrangidos, os responsáveis, a frequência das cópias, as condições de armazenamento seguro e a periodicidade dos testes de recuperação.
4 – Gerido: As cópias são realizadas regularmente e protegidas contra acesso indevido, alteração ou perda. Os testes de recuperação são executados conforme previsto, com registo dos resultados e correcção das falhas identificadas.
5 – Optimizado: A instituição avalia continuamente a eficácia das cópias e da recuperação, testa diferentes cenários de falha e ajusta os procedimentos para cumprir os objectivos de tempo de recuperação e de perda máxima aceitável de dados.

37. A instituição mantém registos de acesso e monitoriza os sistemas que tratam dados pessoais para detectar actividades suspeitas ou não autorizadas? Seleccione a opção que melhor reflecte o nível de maturidade da instituição. *

1 – Inexistente: Não existem registos de acesso nem mecanismos de monitoria dos sistemas que tratam dados pessoais.
2 – Inicial: Alguns sistemas mantêm registos de acesso, mas a sua análise é pontual, geralmente após a ocorrência de um problema.
3 – Definido: Existem procedimentos documentados que definem os eventos a registar, os responsáveis pela monitoria, a frequência das análises e os prazos de conservação dos registos.
4 – Gerido: Os registos permitem identificar quem acedeu, quando e que operações realizou, estando protegidos contra acesso indevido e alteração. A monitoria é regular, com análise e encaminhamento das actividades suspeitas detectadas.
5 – Optimizado: A instituição avalia e aperfeiçoa continuamente a monitoria, ajustando os alertas e os critérios de detecção aos riscos e utilizando os resultados para prevenir incidentes e melhorar os controlos de segurança.

38. A instituição realiza actualizações dos sistemas, correcções de vulnerabilidades e testes de segurança ou auditorias periódicas para proteger os dados pessoais? Seleccione a opção que melhor reflecte o nível de maturidade da instituição. *

1 – Inexistente: Não são realizadas actualizações, correcções de vulnerabilidades, testes de segurança ou auditorias.
2 – Inicial: As actualizações e correcções são realizadas pontualmente, sobretudo quando surgem problemas, e os testes ou auditorias são ocasionais ou inexistentes.
3 – Definido: Existem procedimentos documentados, responsáveis e um calendário para actualizações, correcções e testes ou auditorias, com critérios de prioridade baseados no risco.
4 – Gerido: As actividades são executadas conforme previsto, com registo dos resultados, correcção das vulnerabilidades dentro dos prazos definidos e verificação da eficácia das medidas aplicadas.
5 – Optimizado: A instituição avalia continuamente a eficácia destas práticas, acompanha novas ameaças e ajusta a frequência e o alcance das verificações, utilizando os resultados para prevenir falhas recorrentes e melhorar a segurança.

39. A instituição adopta medidas para proteger os arquivos em papel e assegurar a destruição segura de documentos e de equipamentos ou suportes que contenham dados pessoais? Seleccione a opção que melhor reflecte o nível de maturidade da instituição. *

1 – Inexistente: Não existem medidas específicas para proteger os arquivos em papel nem para assegurar a destruição segura de documentos, equipamentos ou suportes com dados pessoais.
2 – Inicial: Existem cuidados pontuais, como armários fechados ou destruição manual de documentos, sem procedimentos uniformes ou responsáveis definidos.
3 – Definido: Existem procedimentos documentados para acesso, guarda e transporte de arquivos, bem como para destruição de documentos e eliminação segura dos dados antes da reutilização ou descarte de equipamentos e suportes.
4 – Gerido: As medidas são aplicadas sistematicamente, com acesso restrito aos arquivos, autorização e registo das destruições e verificação da eliminação dos dados, incluindo quando o serviço é realizado por terceiros.
5 – Optimizado: A instituição avalia periodicamente a eficácia das medidas, verifica se os métodos impedem a recuperação dos dados e aperfeiçoa os procedimentos com base nos riscos e nas falhas identificadas.

BLOCO E — PRESTADORES DE SERVIÇOS E TRANSFERÊNCIAS DE DADOS

40. A instituição mantém um registo actualizado dos prestadores de serviços que têm acesso a dados pessoais? Exemplos: fornecedores de serviços de nuvem, software, pagamentos, segurança, arquivo, telecomunicações e atendimento. Seleccione a opção que melhor reflecte o nível de maturidade da instituição. *

1 – Inexistente: Não existe registo dos prestadores de serviços que têm acesso a dados pessoais.
2 – Inicial: Existem listas parciais ou informações dispersas sobre alguns prestadores, sem identificação clara do seu acesso a dados pessoais.
3 – Definido: Existe um registo organizado que identifica os prestadores, os serviços prestados, as categorias de dados a que acedem, as finalidades e os responsáveis internos pelo acompanhamento.
4 – Gerido: O registo abrange todos os prestadores com acesso a dados pessoais e é actualizado na contratação, alteração ou cessação dos serviços, incluindo informação sobre o local de tratamento e eventuais subcontratados com acesso aos dados.
5 – Optimizado: A instituição verifica periodicamente a integridade e a exactidão do registo, cruzando-o com contratos e permissões de acesso, e utiliza os resultados para identificar prestadores não registados e melhorar o acompanhamento dos riscos.

41. Os contratos com prestadores de serviços que tratam dados pessoais incluem cláusulas sobre confidencialidade, segurança, limites de utilização dos dados, comunicação de incidentes e eliminação ou devolução dos dados no termo do serviço? Seleccione a opção que melhor reflecte o nível de maturidade da instituição. *

1 – Inexistente: Os contractos não incluem cláusulas específicas sobre a protecção dos dados pessoais.
2 – Inicial: Alguns contractos incluem cláusulas genéricas de confidencialidade ou segurança, sem abordar de forma completa os aspectos indicados.
3 – Definido: Existem cláusulas contratuais padronizadas que abrangem os aspectos indicados, com responsabilidades e procedimentos definidos para a sua inclusão nos contractos.
4 – Gerido: As cláusulas são incluídas sistematicamente nos contractos aplicáveis, adaptadas aos riscos de cada serviço, e o seu cumprimento é acompanhado, incluindo a comunicação de incidentes e a comprovação da eliminação ou devolução dos dados.
5 – Optimizado: A instituição avalia periodicamente a eficácia das cláusulas e o cumprimento pelos prestadores, utilizando auditorias, incidentes e alterações dos serviços para actualizar os contractos e corrigir falhas.

Opção adicional: Não aplicável — a instituição não recorre a prestadores de serviços que tratem dados pessoais.

42. A instituição avalia os riscos de protecção de dados pessoais e de segurança da informação antes de contratar um prestador de serviços que terá acesso a esses dados? Seleccione a opção que melhor reflecte o nível de maturidade da instituição. *

1 – Inexistente: Não são avaliados os riscos de protecção de dados e segurança antes da contratação de prestadores de serviços.
2 – Inicial: São realizadas verificações pontuais e informais, sem critérios uniformes ou registo dos resultados.
3 – Definido: Existem procedimentos documentados, critérios e responsáveis para avaliar os riscos antes da contratação, considerando os dados envolvidos, as medidas de segurança, o local de tratamento e eventuais subcontratados.
4 – Gerido: As avaliações são realizadas sistematicamente e sustentadas por evidências. Os resultados são registados e condicionam a contratação, com medidas de mitigação e aprovação dos riscos residuais pelos responsáveis competentes.
5 – Optimizado: A instituição revê e aperfeiçoa os critérios de avaliação com base no desempenho dos prestadores, em incidentes e em novos riscos, verificando a eficácia das medidas exigidas antes da contratação.

Opção adicional: Não aplicável — a instituição não recorre a prestadores de serviços que tenham acesso a dados pessoais.

43. A instituição transfere ou permite o acesso a dados pessoais a partir de outros países? *

Sim, regularmente
Sim, ocasionalmente
Não
Não sabe

44. Quando existem transferências internacionais, a instituição conhece os países de destino e adopta medidas para proteger os dados transferidos? *

BLOCO F — INCIDENTES DE SEGURANÇA E VIOLAÇÕES DE DADOS

45. A instituição possui um plano documentado de resposta a incidentes que envolvam dados pessoais? Seleccione a opção que melhor reflecte o nível de maturidade da instituição. *

1 – Inexistente: Não existe um plano de resposta a incidentes que envolvam dados pessoais.
2 – Inicial: Os incidentes são tratados de forma pontual e reactiva, com orientações informais, sem um plano documentado ou responsabilidades claramente definidas.
3 – Definido: Existe um plano documentado e aprovado, com responsáveis, contactos e procedimentos para identificação, avaliação, contenção, recuperação e comunicação dos incidentes.
4 – Gerido: O plano está divulgado às equipas responsáveis e é testado periodicamente, com registo das acções, avaliação dos impactos sobre os titulares e procedimentos de comunicação interna e externa, quando aplicável.
5 – Optimizado: O plano é revisto e aperfeiçoado com base em simulações, incidentes ocorridos e novos riscos, incorporando lições aprendidas para reduzir os tempos de resposta e os impactos sobre os titulares.

Opção adicional: Não aplicável — a instituição não recorre a prestadores de serviços que tenham acesso a dados pessoais.

46. Os trabalhadores dispõem de um canal claramente identificado para comunicar rapidamente perdas de dados pessoais, acessos indevidos ou outros incidentes, incluindo suspeitas? Seleccione a opção que melhor reflecte o nível de maturidade da instituição. *

1 – Inexistente: Não existe um canal definido para os trabalhadores comunicarem incidentes ou suspeitas envolvendo dados pessoais.
2 – Inicial: As comunicações são feitas informalmente às chefias ou à equipa de informática, sem um canal divulgado ou orientações claras.
3 – Definido: Existe um canal identificado e divulgado, com instruções sobre como comunicar, que informações fornecer e quem é responsável pela recepção e encaminhamento.
4 – Gerido: O canal é acompanhado regularmente e permite o registo, a confirmação da recepção e o encaminhamento rápido das comunicações, com prioridade proporcional à gravidade do incidente.
5 – Optimizado: A instituição testa periodicamente a eficácia do canal e o conhecimento dos trabalhadores, avalia os tempos de comunicação e encaminhamento e introduz melhorias para facilitar o reporte atempado.

Opção adicional: Não aplicável — a instituição não recorre a prestadores de serviços que tenham acesso a dados pessoais.

47. Nos últimos 24 meses, a instituição identificou algum incidente que tenha afectado dados pessoais? *

Sim
Não
Não foi possível determinar
Prefere não responder

Opção adicional: Não aplicável — a instituição não recorre a prestadores de serviços que tenham acesso a dados pessoais.

Outra. Especifique:

49. Após um incidente envolvendo dados pessoais, a instituição documenta as causas, os dados afectados, as medidas adoptadas e as lições aprendidas? Seleccione a opção que melhor reflecte o nível de maturidade da instituição. *

1 – Inexistente: Não são documentadas as causas, os dados afectados, as medidas adoptadas ou as lições aprendidas após os incidentes.
2 – Inicial: São elaborados registos pontuais e incompletos, sem um procedimento uniforme de análise e documentação.
3 – Definido: Existem procedimentos e modelos de registo que abrangem as causas, os dados e titulares afectados, os impactos, as medidas adoptadas e as lições aprendidas, com responsáveis definidos.
4 – Gerido: Os incidentes são analisados e documentados sistematicamente, com evidências das medidas adoptadas e acções de melhoria acompanhadas por responsáveis e prazos definidos.
5 – Optimizado: A instituição analisa tendências e causas recorrentes, verifica a eficácia das acções de melhoria e incorpora as lições aprendidas nos procedimentos, controlos e formação dos trabalhadores.

Opção adicional: Não ocorreram incidentes conhecidos — avalie o nível de preparação com base nos procedimentos existentes e nos registos de exercícios ou simulações, quando disponíveis.

50. A instituição possui critérios e procedimentos definidos para comunicar incidentes envolvendo dados pessoais às autoridades competentes e aos titulares afectados, quando necessário? Seleccione a opção que melhor reflecte o nível de maturidade da instituição. *

1 – Inexistente: Não existem critérios nem procedimentos para comunicar incidentes às autoridades competentes ou aos titulares afectados.
2 – Inicial: A necessidade de comunicação é avaliada pontualmente, de forma informal, sem critérios uniformes, responsáveis ou prazos definidos.
3 – Definido: Existem procedimentos documentados que estabelecem critérios de comunicação, considerando a natureza e a gravidade do incidente e os riscos para os titulares, bem como responsáveis, destinatários, prazos e conteúdo das comunicações.
4 – Gerido: Os procedimentos são aplicados sistematicamente, com registo e fundamentação das decisões de comunicar ou não comunicar, controlo dos prazos e mensagens claras aos destinatários, incluindo medidas de protecção recomendadas aos titulares.
5 – Optimizado: A instituição testa e revê periodicamente os procedimentos, avalia a rapidez e a eficácia das comunicações e incorpora melhorias com base em simulações, incidentes e orientações das autoridades competentes.

BLOCO G — FORMAÇÃO E CULTURA ORGANIZACIONAL

51. Com que frequência os trabalhadores recebem formação sobre protecção de dados e segurança da informação? *

52. Os trabalhadores que exercem funções com maior risco no tratamento de dados pessoais recebem formação específica, adequada às suas responsabilidades? Exemplos: tecnologias de informação, recursos humanos, atendimento, jurídico, marketing, saúde, finanças e segurança. Seleccione a opção que melhor reflecte o nível de maturidade da instituição. *

1 – Inexistente: Os trabalhadores que exercem funções de maior risco não recebem formação específica em protecção de dados pessoais.
2 – Inicial: Alguns trabalhadores recebem formação pontual, sem um programa definido ou adaptação sistemática aos riscos das suas funções.
3 – Definido: Existe um programa documentado que identifica as funções de maior risco e estabelece conteúdos específicos, periodicidade e responsáveis pela formação.
4 – Gerido: A formação é realizada regularmente e na atribuição de funções de maior risco, com exercícios práticos, registo de participação e avaliação dos conhecimentos adquiridos.
5 – Optimizado: A instituição avalia a aplicação dos conhecimentos no trabalho e actualiza a formação com base em incidentes, auditorias e novos riscos, reforçando as competências onde identifica dificuldades.

53. A instituição realiza actividades regulares de sensibilização dos trabalhadores sobre protecção de dados pessoais e segurança da informação? Exemplos: campanhas internas, mensagens de segurança, simulações, orientações e testes de conhecimento. Seleccione a opção que melhor reflecte o nível de maturidade da instituição. *

1 – Inexistente: Não são realizadas actividades de sensibilização sobre protecção de dados pessoais e segurança da informação.
2 – Inicial: São realizadas actividades pontuais, geralmente em resposta a incidentes ou por iniciativa individual, sem planeamento regular.
3 – Definido: Existe um plano documentado de sensibilização, com temas, públicos, calendário, canais de comunicação e responsáveis definidos.
4 – Gerido: As actividades são realizadas conforme o plano, através de diferentes meios, com registo da participação ou alcance e avaliação da compreensão das mensagens pelos trabalhadores.
5 – Optimizado: A instituição avalia o efeito das actividades nas práticas dos trabalhadores e ajusta os temas e métodos com base nos resultados, nas dificuldades identificadas e nos novos riscos.

54. Numa escala de 1 a 5, qual é o nível de prioridade atribuído pela direcção à protecção de dados? *

BLOCO H — DESAFIOS E NECESSIDADES

Outro. Especifique:

58. Indique até três medidas que a instituição pretende adoptar nos próximos 12 meses.

59. Apresente outras observações, preocupações ou recomendações.

QUESTIONÁRIO PARA INSTITUIÇÕES PÚBLICAS E PRIVADAS

SECÇÃO I — CARACTERIZAÇÃO DA INSTITUIÇÃO

BLOCO A — GOVERNAÇÃO E RESPONSABILIDADE

BLOCO B — RECOLHA E UTILIZAÇÃO DE DADOS PESSOAIS

BLOCO D — SEGURANÇA DOS DADOS PESSOAIS

BLOCO E — PRESTADORES DE SERVIÇOS E TRANSFERÊNCIAS DE DADOS

BLOCO F — INCIDENTES DE SEGURANÇA E VIOLAÇÕES DE DADOS

BLOCO G — FORMAÇÃO E CULTURA ORGANIZACIONAL

BLOCO H — DESAFIOS E NECESSIDADES

Links Úteis

Mapa Geográfico

Nossos Contactos

Redes Sociais