Erros mais frequentes relativos à KVKK nos sites municipais

⏱️ Tempo de leitura: 18 min · 📁 Categoria: KVKK e conformidade digital

Erros mais comuns do KVKK nos sites municipais (2026)

Mapa detalhado dos riscos institucionais (Acesso não autorizado • Informações por telefone • Permissões do pessoal • Cookies • Novos projetos • Desvalorização institucional)

Para efeitos da KVKK, os municípios enquadram-se no perfil de «responsáveis pelo tratamento de alto risco» porque tratam simultaneamente um vasto leque de dados:

• Pedidos dos cidadãos (balcão Beyaz Masa, encaminhamentos CİMER, queixas e denúncias)
• Apoio social e grupos vulneráveis (rendimento, saúde, deficiência, informações familiares)
• Urbanismo, licenças, valores de referência dos imóveis e serviços municipais em linha
• Processos de pessoal/trabalhadores
• Gravações de câmera e aplicações urbanas de segurança
• Sites e serviços digitais (pagamentos, marcações e pedidos de informação em linha)

Abaixo, os erros KVKK frequentes na prática são analisados segundo causa de origem + cenário + risco + controlos corretivos uma abordagem detalhada.

1️⃣ Acessos não autorizados dentro da Instituição

«Todos têm acesso a tudo» é a fonte de risco mais frequente e mais dispendiosa nos sistemas de informação municipais.

Padrões de erro típicos

• Conta partilhada / palavra-passe partilhada (email do departamento, CRM, painel Beyaz Masa)
• Sem matriz de permissões: permissões amplas apenas «para fazer o trabalho»
• Permissões individuais arbitrárias em vez de RBAC
• As contas dos trabalhadores que saem permanecem ativas (sem processo de passagem de funções)
• Acesso remoto/VPN não verificado (acesso em casa/telemóvel)
• Os registos não existem ou não são revistos (não se sabe quem abriu cada registo)

Cenário concreto:

O pessoal do Beyaz Masa deveria consultar apenas registos do seu distrito, mas consegue aceder aos registos de apoio social de todos os distritos no painel: deficiência, rendimento, familiares, morada e informações sobre crianças.

Risco KVKK

• Risco de incumprimento da obrigação de segurança dos dados prevista no artigo 12 da KVKK
• Segundo este guia, a constatação de ausência de controlo de acesso agrava a sanção em caso de violação.
• Em caso de abuso do acesso interno: notificação da violação e prejuízo para os cidadãos

A pergunta colocada na auditoria:

«Como são atribuídas as permissões de acesso? Como são registadas as alterações? Onde estão os registos?»

Controlos corretivos práticos à escala municipal

• Matriz de permissões (RACI + RBAC): acesso mínimo por departamento e função
• MFA: : especialmente contas de acesso remoto e de administração
• Saída de pessoal: encerrar contas no prazo de 24 horas
• PAM: registar e tornar rastreáveis os acessos dos administradores de sistemas
• Registo + revisão regular: verificar quem consultou cada registo
• Mascaramento de dados: mostrar no ecrã apenas parte do número de identificação turco ou do telefone

2️⃣ Informações fornecidas pelo telefone

Este guia apresenta a divulgação por telefone como o canal de fuga mais frequente nos municípios. O processo é rápido e frequentemente sujeito à pressão de satisfazer os cidadãos.

Erros mais frequentes

• Sem verificar a identidade de quem liga, partilhar moradas, dívidas ou estado de pedidos por telefone
• Engenharia social: «Sou familiar / colega funcionário público / chefe do bairro (muhtar)»
• Não distinguir pedidos formais de acesso à informação de esclarecimentos gerais
• Durante pedidos por telefone, capturas de ecrã ou WhatsApp são usados para enviar informações

Cenários concretos:

1. Uma pessoa apresenta-se como cônjuge do requerente e pergunta pelo pedido de apoio social; o pessoal revela se foi aprovado ou rejeitado.
2. A uma pessoa que pergunta pelo enquadramento urbanístico de uma parcela são fornecidos o nome do proprietário ou os contactos do requerente.

Risco KVKK

• Violação clara: : transferência para terceiros não autorizados
• Perda de confiança no município + processos de queixas
• Defeito sistemático se a violação for generalizada

Protocolo telefónico seguro (prático):

• Verificação de quem liga: código de verificação e-Devlet / código único por SMS / verificação do número registado
• Regra de não divulgar dados pessoais por telefone: «Consulte o seu pedido através do e-Devlet ou do portal municipal em linha.»
• Representante ou procurador: autorização escrita + verificação
• Assuntos sensíveis: nunca divulgar por telefone pormenores sobre apoio social, saúde, violência ou assuntos semelhantes

3️⃣ Uso indevido das permissões pelo pessoal

«Acesso autorizado usado para outra finalidade» é uma ameaça interna que muitas instituições subestimam, embora cause danos especialmente graves na prática.

Os tipos mais comuns de abuso

• Consultar registos sobre ex-cônjuge, vizinho ou familiar
• Pesquisar onde as pessoas vivem por motivos políticos ou pessoais
• Divulgar informações de concursos ou licenciamentos para obter vantagem concorrencial
• Divulgar externamente listas de telefones, moradas ou dados semelhantes

Cenário concreto:

Um trabalhador consulta no sistema municipal informações de licenças ou sanções de um comerciante e transmite-as a terceiros, provocando pressão e danos à reputação do comerciante.

Risco KVKK e responsabilidade institucional

Mesmo havendo culpa pessoal de um trabalhador, a instituição é questionada ao abrigo do artigo 12 da KVKK: as permissões eram limitadas? Os acessos eram registados e monitorizados? Havia mecanismos de formação e sanção?

Set de controle (redução do abuso interno)

• Registo obrigatório das consultas de dados + relatórios regulares
• Detecção de anomalia: abrir um grande número de registos em pouco tempo
• Duplo controlo: no acesso a dados altamente sensíveis
• Procedimento disciplinar: norma interna sobre violações da KVKK com sanções claras
• Declaração de finalidade: selecionar um motivo numa lista pendente ao abrir um registo sensível, com pista de auditoria

4️⃣ Cookies coletados em sites

Um problema frequente nos sites municipais: existe um banner, mas as etiquetas de análise ou publicidade são executadas antes do consentimento, ou usa-se um modelo incorreto como «continuar significa aceitar».

Erros frequentes

• Google Analytics / Tag Manager é ativado antes do consentimento do utilizador
• Sem botão de recusa / visibilidade desigual das opções
• Categorias de cookies não claras: publicidade sob "cookies de desempenho"
• Scripts de terceiros sem controlo (mapas, vídeos, conteúdos de redes sociais incorporados)
• Política de cookies e aviso de privacidade estão desconectados

Cenário concreto:

O site municipal instala cookies de terceiros através do Analytics e do YouTube incorporado assim que a página abre; o script já foi carregado mesmo que o utilizador escolha «Recusar».

Norma técnica mínima (aplicável ao município)

• CMP (plataforma de gestão de cookies) ou mecanismo equivalente
• Os scripts de análise, publicidade e terceiros não devem ser carregados antes da receção de um sinal de consentimento
• Opção «Recusar» visível e acessível num clique
• Inventário de cookies: nome, provedor, finalidade, duração, categoria
• Logging: tempo de consentimento + registo de preferência

5️⃣ Saltar processos KVKK em novos projetos municipais

O erro «Cumprir o prazo do projeto; tratar da KVKK depois» é frequente em aplicações móveis, sensores urbanos, centros de chamadas ou serviços Beyaz Masa com IA, reconhecimento facial ou assiduidade PDKS e pontuação ou priorização do apoio social.

Etapas mais frequentemente omitidas

• Inventário de dados não elaborado antes do desenvolvimento
• Recorrer ao consentimento sem analisar a base jurídica
• Recolher «tudo o que encontrarmos» sem minimização de dados
• Não há cláusulas KVKK nos contratos de fornecedores
• Utilização de dados reais em ambiente de teste
• Sem análise de risco semelhante a uma AIPD nos projetos de alto risco

Cenário concreto:

Um projeto de cidade inteligente recolhe identificadores de dispositivos ou dados semelhantes a MAC e localização através do Wi-Fi dos transportes públicos; falta informação de privacidade e o prazo de conservação é incerto.

Solução: ponto de aprovação KVKK do projeto (governação / avançar ou não)

Cada novo projeto deve passar por uma avaliação de aprovação antes do lançamento:

Controlo	Pergunta	Saída
Tipos de dados	Existem dados pessoais ou categorias especiais de dados pessoais?	Inventário
Base jurídica	Com que base será processado?	Análise jurídica
Conservação	Quanto tempo será mantido, como será destruído?	Regra de conservação e destruição
Transferência	Existe uma transferência para o estrangeiro?	Avaliação das transferências
Autorização e acesso	Quem terá acesso e como funcionará o RBAC?	Matriz de permissões
Registo de eventos	É possível rastrear quem fez o quê?	Plano de registo
informações de privacidade	Que ecrãs e textos informarão as pessoas?	Conjunto de texto
Fornecedor	O contrato inclui cláusulas relativas ao subcontratante?	Anexos contratuais

O projeto não deve ser lançado sem esta aprovação.

6️⃣ Desvalorização institucional

«Publicámos um texto KVKK, está feito» revela um problema de cultura institucional em vez de um problema técnico. A conformidade KVKK exige um sistema de controlo funcional em vez de apenas um conjunto de documentos. O sucesso municipal exige o compromisso da direção na prática.

Sintomas de subestimação

• O responsável ou a equipa KVKK é visto como tratando de «mera papelada»
• Unidades pensam que o KVKK é "o obstáculo que atrasa as coisas"
• As violações são atribuídas a «erro do pessoal», sem medidas sistémicas
• Os treinamentos são formalidade; sem mensuração e acompanhamento
• Sem orçamento para registos, permissões, eliminação e destruição

Modelo prático de resposta institucional:

• Programa de conformidade KVKK aprovado pela direção
• Designar responsáveis pelos dados em cada departamento
• Plano de auditoria anual + simulação de violação
• Indicadores: taxa de revisão de permissões, tempo de resposta a incidentes, resultados dos testes de formação, conformidade da eliminação e destruição

✅ Lista de diagnóstico rápido para municípios (10 pontos)

1. Existem contas ou palavras-passe partilhadas?
2. São encerradas as contas de trabalhadores que saem?
3. Fica registado quem consultou cada registo?
4. Existe uma autenticação de telefone?
5. As telas de dados sensíveis estão mascaradas?
6. Os cookies funcionam antes do consentimento?
7. Os novos projetos passam por uma aprovação KVKK?
8. Os contratos de fornecedores incluem cláusulas KVKK sobre subcontratantes?
9. Os dados reais estão a ser usados num ambiente de teste?
10. A direção assume a responsabilidade pela conformidade KVKK?

Nota: Segundo a regra indicativa da fonte, se três ou mais respostas forem «não», o município apresenta uma falha sistémica de alto risco nos seus controlos.

Solicite uma análise de risco e um programa de conformidade KVKK para o município