GDPR (UE)

Políticas para identificação de dados pessoais partem da mesma definição de dado pessoal do Art.4(1).

Integração de privacidade nas práticas de retenção de registros atende ao princípio de limitação de retenção do Art.5(1)(e).

Inclusão de diretrizes de privacidade nas políticas organizacionais atende ao princípio de responsabilização do Art.5(2).

Definição das bases legais para tratamento de dados pessoais corresponde diretamente ao Art.6.

Integração de privacidade no uso de cookies e rastreamento atende ao Art.6, complementado pela ePrivacy Directive (instrumento adjacente ao GDPR).

Políticas para obtenção de consentimento válido atendem diretamente às condições do Art.7.

Políticas para coleta e uso de dados sensíveis atendem diretamente ao regime de categorias especiais do Art.9.

Procedimento de verificação de identidade de titulares atende diretamente ao mecanismo previsto no Art.12(6) do GDPR.

Processo de auditoria externa é evidência de accountability nos termos do Art.24(1).

Processo de auditoria interna é evidência de accountability nos termos do Art.24(1).

Autoavaliações periódicas de gestão de privacidade atendem ao princípio de responsabilização (accountability) do Art.24(1).

Privacy by Design integrado ao desenvolvimento de produtos corresponde diretamente ao Art.25 do GDPR.

Política de privacidade para terceiros e processadores atende diretamente às obrigações de operador previstas no Art.28.

Política que rege uso de provedores de nuvem atende às obrigações de operador (Art.28) e, quando aplicável, ao regime de transferências internacionais (Art.44-49).

Procedimentos para execução de contratos com processadores atendem às cláusulas contratuais obrigatórias do Art.28(3).

Testes periódicos do plano de incidente de privacidade atendem ao requisito de testes regulares de eficácia do Art.32(1)(d).

Avaliações disparadas por eventos externos (reclamações, violações) correspondem ao gatilho de avaliação do Art.33.

Protocolo de notificação de violação para titulares e reguladores atende diretamente aos Art.33-34 (incluindo prazo de 72h).

RIPD/DPIA para alterações em sistemas existentes mapeia diretamente ao Art.35.

Manutenção de modelos e diretrizes de RIPD/DPIA atende ao processo geral do Art.35.

Realização de RIPD/DPIA para novos sistemas com dados pessoais atende à obrigação de DPIA para tratamento de alto risco.

Identificação de riscos e ações de mitigação no RIPD/DPIA atende ao conteúdo mínimo exigido pelo Art.35(7)(d).

Envolvimento de partes interessadas externas no processo de DPIA atende ao Art.35(9).

Apresentação de resultados de DPIA a reguladores corresponde à consulta prévia prevista no Art.36.

Controle exige função independente de DPO/Encarregado, equivalente à obrigação de designação e independência do DPO no GDPR.

Manutenção de certificações e selos de proteção de dados corresponde ao mecanismo de certificação previsto nos Art.42-43.

Manutenção de documentação como evidência de conformidade atende ao princípio de accountability (Art.5(2)) e ao registro de atividades de tratamento (Art.30).

Gestão de conflitos legais entre jurisdições é boa prática organizacional, sem artigo GDPR específico correspondente.

Cobertura de seguro contra violação de privacidade é boa prática de mercado; o GDPR não exige explicitamente contratação de seguro — não há artigo correspondente direto.

Definição das bases legais para transferência internacional atende ao capítulo de transferências (Art.44-49).

Uso de cláusulas contratuais padrão como mecanismo de transferência atende diretamente ao Art.46.