O registo no VERBİS equivale à conformidade com a KVKK?

O registo no VERBİS e a conformidade com o KVKK não são a mesma coisa. O VERBİS diz respeito apenas ao registo e à comunicação ao registo, uma parte das obrigações previstas na lei.

Mesmo uma comunicação VERBİS completa não significa plena conformidade com o KVKK se a empresa recolher dados ilicitamente, não informar adequadamente as pessoas, conservar dados desnecessários ou não adotar medidas de segurança suficientes.

O que proporciona o VERBİS?

O VERBİS permite comunicar ao registo, a nível geral, que categorias de dados o responsável trata, de que grupos de pessoas, para que finalidades, a quem os pode transmitir e durante quanto tempo os pode conservar.

Esta notificação deve basear-se numa análise precisa dos sistemas, aplicações e processos reais da empresa.

A conformidade do KVKK é um quadro mais amplo

Determinar as condições de licitude do tratamento
Dever de informação
Gerir o consentimento explícito quando necessário
Redução ao mínimo dos dados
Segurança dos dados
Conservação e destruição
Pedidos dos titulares dos dados
Transferências internas e internacionais
Verificações de fornecedores e subcontratantes
Gestão de violações e incidentes

Coerência entre o inventário e o registo

As atividades do inventário interno de tratamento não devem contradizer os grupos de titulares, categorias de dados, finalidades, destinatários, transferências internacionais e prazos de conservação comunicados no VERBİS.

Uma integração ou produto SaaS em utilização nos sistemas reais, mas ausente do inventário, também constitui um risco.

aviso de privacidade

Indicar uma finalidade no VERBİS não substitui a informação devida aos titulares. Para trabalhadores, clientes, visitantes ou candidatos a emprego, a informação no respetivo ponto de contacto deve ser avaliada separadamente.

Segurança dos Dados

Comunicar «controlo de acesso» ou outra medida ao registo não demonstra, por si só, a sua aplicação efetiva. As permissões, registos técnicos, palavras-passe, MFA, cópias de segurança, segurança de rede e gestão de incidentes têm de ser implementados no ambiente técnico.

Transferências internacionais de dados

Analise separadamente os fluxos internacionais de dados que possam resultar dos serviços de nuvem, análise, correio eletrónico, CRM ou IA utilizados.

O registo no VERBİS não substitui o mecanismo jurídico necessário para as transferências internacionais de dados.

Um modelo prático de conformidade

A sequência correta consiste em identificar os fluxos reais, determinar as condições de licitude do tratamento, criar o inventário, estabelecer os processos de informação e transferência, verificar as medidas técnicas e organizativas e manter o registo VERBİS alinhado com esta estrutura.

Gira o VERBİS como um controlo contínuo, não como um registo estático

O VERBİS e o inventário de dados pessoais podem ficar rapidamente desatualizados quando desligados das operações reais da empresa. Uma nova aplicação para trabalhadores, um CRM, uma infraestrutura de pagamentos, um formulário web, uma ferramenta de marketing, um serviço SaaS, um fornecedor de nuvem ou uma aplicação de IA podem introduzir novas categorias de dados, grupos de destinatários ou transferências internacionais. Por isso, os processos de aquisição, desenvolvimento de software, integração e entrada de novos fornecedores devem incluir a análise das implicações para os dados pessoais.

Num modelo de controlo sólido, cada atividade de tratamento está associada a um responsável pelo processo de negócio, a um responsável pelo sistema e a uma avaliação jurídica. Registar em conjunto os sistemas de origem e destino, o grupo de titulares, a categoria de dados, a finalidade, a base jurídica, o destinatário, o país ou mecanismo de transferência, o prazo de conservação e as medidas de segurança permite atualizar o VERBİS com base nas operações reais. Assim, o registo deixa de ser um documento consultado apenas nas auditorias.

As revisões periódicas devem abranger os processos descontinuados e os novos. Aplicações sem utilização, contas antigas, arquivos, registos técnicos, cópias de segurança e ligações a fornecedores já terminadas podem criar riscos de conservação e acesso. A verificação nos dois sentidos entre o inventário e os sistemas técnicos ajuda a evitar tanto notificações incompletas como a permanência desnecessária no registo de atividades de tratamento que já não existem.

A abordagem da B10 Digital Agency ao KVKK e à conformidade digital

A B10 Digital Agency não limita o trabalho de conformidade com o KVKK à preparação de documentos: considera-o um modelo operacional que reúne o inventário de dados, o VERBİS, o mapeamento de sistemas e integrações, as transferências internacionais, os controlos de segurança e a gestão de alterações.

Perguntas frequentes

Ter registo no VERBİS significa cumprir o KVKK?

Não. O registo é apenas uma das obrigações do KVKK.

O registo do VERBIS substituirá o aviso de privacidade?

Não. O dever de informação aos titulares deve ser cumprido separadamente.

O registo do VERBIS prova medidas de segurança de dados?

Não. As medidas técnicas e organizativas comunicadas têm de ser efetivamente aplicadas.

Quando o VERBIS deve ser discutido no projecto de conformidade do KVKK?

Depois de identificar o inventário real de tratamento e os fluxos de dados, alinhe a comunicação ao registo com esses elementos.

Orientações VERBIS relacionadas

Fontes oficiais

Nota: este conteúdo fornece informação geral. As obrigações concretas de uma empresa ao abrigo do VERBİS e do KVKK devem ser avaliadas separadamente, tendo em conta a sua atividade e a legislação em vigor.

Alinhe o seu registo VERBİS com os fluxos de dados reais

Conheça o serviço de KVKK e conformidade digital da B10 Digital Agency para avaliar em conjunto o inventário de dados, o VERBİS, as transferências internacionais e os sistemas digitais.

Conhecer a consultoria em KVKK e conformidade digital →