1. Tendo em conta a natureza, o âmbito, o contexto e as finalidades do tratamento dos dados, bem como os riscos para os direitos e liberdades das pessoas singulares, cuja probabilidade e gravidade podem ser variáveis, o responsável pelo tratamento aplica as medidas técnicas e organizativas que forem adequadas para assegurar e poder comprovar que o tratamento é realizado em conformidade com o presente regulamento. Essas medidas são revistas e atualizadas consoante as necessidades.
Artigo 24.º RGPD - Responsabilidade do responsável pelo tratamento
2. Caso sejam proporcionadas em relação às atividades de tratamento, as medidas a que se refere o n.º 1 incluem a aplicação de políticas adequadas em matéria de proteção de dados pelo responsável pelo tratamento.
3. O cumprimento de códigos de conduta aprovados conforme referido no artigo 40.º ou de procedimentos de certificação aprovados conforme referido no artigo 42.º pode ser utilizada como elemento para demonstrar o cumprimento das obrigações do responsável pelo tratamento.
Perguntas frequentes
Respostas breves a perguntas frequentes sobre esta disposição. Constituem informação geral e não aconselhamento jurídico.
O n.º 1 obriga o responsável pelo tratamento a aplicar as medidas técnicas e organizativas que forem adequadas para assegurar e poder comprovar que o tratamento é realizado em conformidade com o regulamento, bem como a rever e atualizar essas medidas consoante as necessidades. Concretiza assim, ao nível de toda a organização do responsável pelo tratamento, o princípio da responsabilidade enunciado no artigo 5.º, n.º 2.
O n.º 1 vincula a apreciação à natureza, ao âmbito, ao contexto e às finalidades do tratamento, bem como aos riscos para os direitos e liberdades das pessoas singulares, cuja probabilidade e gravidade podem ser variáveis. A obrigação assenta, por conseguinte, no risco e é escalável, em vez de constituir um catálogo fixo, pelo que uma operação de pequena dimensão e baixo risco e uma operação em larga escala e de risco elevado exigem medidas diferentes.
Não necessariamente. O n.º 2 exige que as medidas incluam políticas adequadas em matéria de proteção de dados apenas caso sejam proporcionadas em relação às atividades de tratamento, deixando margem aos responsáveis com tratamentos limitados ou de baixo risco para demonstrarem o cumprimento por outros meios.
Para além de documentar as suas próprias medidas, o n.º 3 dispõe que o cumprimento de códigos de conduta aprovados nos termos do artigo 40.º ou de procedimentos de certificação aprovados nos termos do artigo 42.º pode ser utilizado como elemento para demonstrar o cumprimento. Nem a adesão nem a certificação provam o cumprimento de forma conclusiva, uma vez que o texto as descreve apenas como um elemento da demonstração.
Não. A segunda frase do n.º 1 exige que as medidas sejam revistas e atualizadas consoante as necessidades, pelo que o cumprimento é uma obrigação continuada que tem de acompanhar as alterações do tratamento, do seu contexto e dos riscos associados.