Integração e compliance do ERP GIAF com o RGPD

O Regulamento Geral De Proteção De Dados (RGPD) tem sido alvo da melhor atenção por parte da Indra, razão pela qual nos envolvemos na sua análise desde setembro de 2016. Desde esse momento, encontrámos no texto do regulamento uma referência que nos iria afetar:

"No contexto do desenvolvimento, conceção, seleção e utilização de aplicações, serviços e produtos que se baseiam no tratamento de dados pessoais ou recorrem a este tratamento para executarem as suas funções, haverá que incentivar os fabricantes dos produtos, serviços e aplicações a ter em conta o direito à proteção de dados aquando do seu desenvolvimento e conceção e, no devido respeito pelas técnicas mais avançadas, a garantir que os responsáveis pelo tratamento e os subcontratantes estejam em condições de cumprir as suas obrigações em matéria de proteção de dados" (Razão 78)

Perante esta menção, entendemos desde logo que, como produtores e implementadores de um ERP, deveríamos definir um plano de transformação de funcionalidades que permitisse a compatibilização da plataforma ERP GIAF com este Regulamento.

Automatização de funcionalidades

As formações, análises e contactos posteriores com os nossos clientes, de diversos setores de atividade, também nos permitiram concluir rapidamente que cada entidade poderia fazer diferentes interpretações do que, na sua realidade, constituem dados pessoais. Como exemplo, verificámos que a caraterização de dados pessoais para uma entidade bancária era diferente daquele que era preconizado por um instituto público ou por uma unidade de saúde. Esta análise permitiu- -nos também compreender a flexibilidade que o ERP GIAF deveria ter para acomodar estas diferentes realidades. Deste modo, formatámos os requisitos a alcançar pelo GIAF para "ter em conta o direito à proteção de dados quando do seu desenvolvimento e conceção". Por último, acrescentámos a esta “receita” a possibilidade de automatização de algumas funcionalidades, para facilitar interação dos utilizadores com a aplicação, não penalizando o esforço de manutenção associado. Esta automatização consubstancia- se essencialmente pelo registo de auditoria de todas as ações realizadas sobre os dados pessoais, a facilidade de aplicar o “direito ao esquecimento”, a “portabilidade dos dados” e o registo de quem solicitou, aprovou ou aplicou uma alteração aos dados pessoais.

Controlo de acessos

No myGIAF, (solução de frontoffice dedicada à interação dos colaboradores da empresa com o ERP), alterámos também o módulo de Employee Self Service para estar alinhado com estes automatismos e reduzir a interação pessoal de cada colaborador com as áreas de backoffice, no sentido de concretizar em toda a plenitude alguns dos objetivos fundamentais do RGPD, nomeadamente a transparência das comunicações e informações, direito de acesso aos dados e direito de retificação. Embora fosse nosso entendimento que algumas das normas do Regulamento não teriam que ser endereçadas pela plataforma, acrescentámos também algumas funcionalidades para facilitar o processo de adaptação dos nossos clientes, para que no nosso sistema possam existir todas as evidências possíveis para qualquer auditoria (ex.: registo de consentimento ou de atividades de tratamentos de dados da organização).

Módulo de gestão de tarefas e alertas

Opcionalmente, damos a oportunidade de complementar todo este leque de opções com um módulo de gestão de tarefas e alertas que permite, entre outras funções, a possibilidade de despoletar automaticamente alertas por correio eletrónico sobre atividades que se pretendem monitorizar ativamente (ex.: alteração/ consulta de dados pessoais específicos). Adicionalmente, estamos também a auxiliar os nossos clientes noutras atividades paralelas não relacionadas com o ERP GIAF, como seja a possibilidade de utilizar este módulo para monitorizar outras aplicações ou ainda realizar intervenções de carácter mais técnico, nomeadamente no domínio da segurança dos dados e da infraestrutura.