As empresas que servem clientes americanos e europeus acabam por enfrentar dois pedidos ao mesmo tempo: “enviem-nos o vosso relatório SOC 2” e “confirmem a conformidade com o RGPD”. Os dois são frequentemente tratados como intercambiáveis — não são. O SOC 2 é uma atestação de segurança voluntária segundo as normas do AICPA; o RGPD é legislação vinculativa da UE em matéria de proteção de dados. No entanto, grande parte do trabalho pode ser feita uma vez e reutilizada para ambos. Eis como.
SOC 2 e RGPD num parágrafo cada
O SOC 2 é um relatório de uma firma de CPA independente que declara que os controlos de uma organização prestadora de serviços cumprem os Trust Services Criteria (TSC): Segurança, Disponibilidade, Confidencialidade, Integridade do Processamento e Privacidade. É voluntário e exigido pelos clientes, não pelos reguladores. Não é um certificado — é um relatório de atestação.
O RGPD (Regulamento Geral sobre a Proteção de Dados) é legislação da UE aplicável a quem trate dados pessoais de residentes na UE, independentemente do local onde a empresa está sediada. Uma empresa de software que constrói um produto para um cliente alemão e lida com dados de utilizadores é um subcontratante nos termos do RGPD, seja qual for o país de constituição; uma empresa sediada na UE está abrangida em tudo o que faz. O incumprimento leva a coimas, e não apenas a negócios perdidos.
Principais diferenças
| Aspeto | SOC 2 | RGPD |
|---|---|---|
| Natureza | Atestação voluntária | Lei obrigatória da UE |
| Objeto | Controlos de segurança e operacionais | Direitos dos titulares dos dados e licitude do tratamento |
| Quem verifica | Firma de CPA independente | Autoridades de controlo da UE, clientes, DPO |
| Resultado | Relatório Type 1 / Type 2 | Conformidade; sem certificado oficial |
| Geografia | Principalmente EUA | UE / EEE, com efeito extraterritorial |
| Consequência do incumprimento | Perda de clientes | Coimas até 4% do volume de negócios global |
O SOC 2 substitui a conformidade com o RGPD?
Não. Um relatório SOC 2 mostra que protege bem os dados, mas nada diz sobre se tem um fundamento jurídico para os tratar, se os titulares foram informados, se existe um acordo de subcontratação (DPA) ou se os pedidos de apagamento são cumpridos. Inversamente, a conformidade com o RGPD não prova que os seus controlos técnicos funcionaram durante um ano — é exatamente isso que o SOC 2 Type 2 demonstra.
Na prática, um cliente da UE pode aceitar o SOC 2 como evidência de “medidas técnicas e organizativas adequadas” nos termos do artigo 32.º do RGPD, mas continuará a exigir um DPA, um registo das atividades de tratamento e outros artefactos jurídicos.
Onde o SOC 2 e o RGPD se sobrepõem
A boa notícia é que a sobreposição é substancial. O artigo 32.º do RGPD exige medidas técnicas e organizativas adequadas, e são precisamente essas que o SOC 2 descreve. Os elementos comuns incluem:
- Controlo de acessos — privilégio mínimo, MFA, revisões de acessos.
- Cifragem em repouso e em trânsito.
- Gestão de incidentes — um controlo no SOC 2, um dever de notificação em 72 horas no RGPD.
- Gestão de fornecedores — revisão de subcontratantes em ambos os referenciais.
- Avaliação de riscos — genérica no SOC 2, uma AIPD para tratamentos de alto risco no RGPD.
- Formação dos colaboradores e políticas de utilização aceitável.
- Cópias de segurança e continuidade — os critérios de Disponibilidade e o requisito de resiliência do artigo 32.º.
- Conservação e eliminação — os critérios de Confidencialidade/Privacidade e o princípio da limitação da conservação.
O que o RGPD exige para além do SOC 2
Mesmo com um relatório SOC 2 sem reservas, precisará adicionalmente de:
- Um registo das atividades de tratamento (artigo 30.º).
- Fundamentos jurídicos e políticas de privacidade para os titulares dos dados.
- Acordos de subcontratação com clientes e subcontratantes.
- Um mecanismo de transferência para dados que saiam do EEE — Cláusulas Contratuais-Tipo (SCC) ou, para destinatários nos EUA, o EU-US Data Privacy Framework; para dados do Reino Unido e da Suíça, os instrumentos locais correspondentes.
- Procedimentos para os direitos dos titulares: acesso, retificação, apagamento, portabilidade.
- Um Encarregado da Proteção de Dados quando exigido, e um representante na UE nos termos do artigo 27.º se a empresa não tiver estabelecimento na UE.
- Avaliações de Impacto sobre a Proteção de Dados para tratamentos de alto risco.
Deve acrescentar a categoria Privacidade ao SOC 2?
O SOC 2 tem uma categoria Privacidade dedicada, próxima do espírito do RGPD: informação, escolha e consentimento, recolha, utilização, conservação, divulgação, qualidade. Acrescente-a apenas se tratar dados pessoais na qualidade de responsável pelo tratamento ou se os clientes o pedirem explicitamente. Para a maioria das empresas SaaS B2B e de outsourcing, Segurança mais Confidencialidade é suficiente para a auditoria, com o RGPD tratado por um pacote jurídico separado. É mais barato do que alargar o âmbito da auditoria.
Como conduzir um projeto combinado SOC 2 + RGPD
A nossa abordagem é um único sistema de gestão com dois conjuntos de resultados:
- Análise de lacunas conjunta face aos TSC e aos artigos 5.º, 25.º, 28.º, 30.º e 32.º a 36.º do RGPD.
- Um único conjunto de políticas em que os requisitos do RGPD estão integrados nas políticas de segurança, conservação, incidentes e fornecedores.
- Uma avaliação de riscos partilhada que alimenta tanto os controlos SOC 2 como a AIPD.
- O bloco jurídico do RGPD: registo das atividades de tratamento, DPA, SCC, políticas de privacidade, procedimentos para os titulares dos dados.
- A auditoria SOC 2 por uma firma de CPA independente; a conformidade com o RGPD é suportada por documentação interna e, se necessário, por uma revisão externa.
É assim que está estruturado o nosso pacote combinado SOC 2 + ISO 27001 + RGPD + Cyber Essentials para empresas que servem os EUA, a UE e o Reino Unido. Para o plano de preparação propriamente dito, veja a nossa checklist de preparação SOC 2; para os requisitos do Reino Unido, veja Cyber Essentials explicado.
Exemplo: uma empresa de software com clientes nos EUA e na Alemanha
Considere um caso típico: uma equipa de 80 engenheiros sediada na Polónia e em Portugal desenvolve e dá suporte a produtos para um cliente fintech norte-americano e um retalhista alemão. O cliente norte-americano exige o SOC 2 Type 2 a cobrir Segurança e Disponibilidade. O cliente alemão exige um DPA assinado, Cláusulas Contratuais-Tipo, um registo das atividades de tratamento e a confirmação das medidas técnicas nos termos do artigo 32.º.
A resposta racional é um único projeto. As políticas de controlo de acessos, cifragem, incidentes e fornecedores são escritas uma vez e satisfazem ambos os lados. A avaliação de riscos sustenta tanto os controlos SOC 2 como a AIPD. É preparado um bloco jurídico separado para o RGPD e, concluída a auditoria, o relatório SOC 2 é acrescentado ao dossiê documental do cliente alemão como evidência de medidas adequadas. A empresa evita manter dois sistemas de documentação paralelos e nunca tem de explicar versões diferentes do mesmo processo a auditores e advogados.
Erros comuns
- Assumir que o relatório SOC 2 “cobre” o RGPD e dispensar o DPA.
- Acrescentar a categoria Privacidade ao âmbito do SOC 2 “por precaução”.
- Manter conjuntos de políticas separados e incoerentes para o SOC 2 e o RGPD.
- Esquecer um mecanismo de transferência quando os dados dos clientes são acedidos a partir de fora do EEE, por exemplo por pessoal de suporte nos EUA ou por prestadores de serviços fora da UE.
Se os seus clientes exigem tanto o SOC 2 como a conformidade com o RGPD, peça um orçamento — conceberemos um único sistema de controlos, prepararemos o pacote jurídico do RGPD e apoiaremos a sua auditoria SOC 2 pela firma de CPA norte-americana do grupo BALTUM, cuja equipa de auditoria é independente dos consultores.