O analista A substitui nomes por pseudónimos. A analista B risca-os. Ambos acreditam seguir a mesma regra do RGPD para o mesmo tipo de documento.
A sua auditoria encontra os dois métodos num único conjunto de dados. A auditora pergunta: «Qual é o seu procedimento padrão para nomes de pessoas?» Não consegue responder. Há dois procedimentos, não um.
Isto chama-se desvio de configuração. Não precisa de uma violação para criar risco. Gera constatações de auditoria. Constatações repetidas levam a coimas.
Como Aparece o Desvio de Configuração
O desvio acumula-se devagar. Ninguém o nota até à auditoria.
Mês 0 — Configuração inicial: Um responsável de conformidade configura a ferramenta PII. A equipa recebe uma breve demonstração.
Mês 2 — Nova contratação: Uma nova analista entra. Copia a configuração de uma colega. Está quase correta, mas falta um tipo de entidade.
Mês 4 — Atualização de política: Uma nota de orientação acrescenta a deteção de datas de nascimento. Alguns membros da equipa atualizam os seus perfis. Outros perdem a alteração.
Mês 6 — Ajuste local: Uma analista reduz um limiar de confiança para corrigir uma sobre-redação. A alteração afeta todo o trabalho posterior. Nunca é registada.
Mês 8 — Auditoria da APD: O auditor seleciona cinquenta documentos. Encontra três conjuntos de regras distintos para o mesmo tipo de documento:
- Documentos 1–20: nomes pseudonimizados, datas de nascimento redigidas, moradas redigidas
- Documentos 21–35: nomes riscados, sem tratamento de datas de nascimento, moradas presentes
- Documentos 36–50: nomes substituídos, moradas redigidas, e-mails mantidos
A constatação: nenhum controlo sistemático garante mascaramento consistente.
Três Consequências de Definições Mistas
Falha na auditoria
Os auditores das APD verificam se o mascaramento é sistemático. Três abordagens distintas para o mesmo tipo de documento revelam falta de controlos — mesmo que cada abordagem seja tecnicamente correta por si só.
Perda de qualidade dos dados
Quando os resultados de vários analistas são fundidos, as inconsistências agravam-se. Um conjunto de dados onde 40% dos registos têm nomes pseudonimizados e 60% têm nomes riscados é menos útil do que qualquer método aplicado de forma uniforme. Os modelos treinados com dados mistos têm pior desempenho.
Defesa jurídica mais fraca
Em litígio, a parte contrária pode questionar a exaustividade da redação. Juízes questionaram a redação em e-discovery quando revisores distintos aplicaram critérios diferentes. Registos inconsistentes enfraquecem o argumento de que a redação foi rigorosa.
A Solução com Presets
A solução é simples: retirar a decisão de configuração de cada utilizador.
Antes dos presets: Cada utilizador configura a ferramenta com base na sua própria leitura das regras. As definições variam por pessoa e por sessão.
Depois dos presets: Um responsável de conformidade cria presets com nome. Cada preset codifica o conjunto de regras aprovado. Os utilizadores escolhem o preset adequado. A decisão é tomada uma vez, pela pessoa certa, e aplica-se a todos.
O que um preset inclui:
- Que tipos de entidades detetar
- Que método aplicar (Substituir, Redigir, Pseudonimizar, Mascarar, Encriptar)
- Definições de entidades personalizadas (IDs internos, formatos específicos do local)
- Definições de idioma
- Limiares de confiança
O que os utilizadores ainda decidem:
- Qual preset se adequa ao documento atual — uma escolha baseada em regras, não em configuração
- Se um item assinalado precisa de revisão manual
A decisão de conformidade — o que fazer — está pré-estabelecida. A escolha diária — qual preset — segue regras claras.
Saiba como os presets suportam pipelines de dados consistentes.
Seis Passos para Controlar as Suas Definições
Passo 1 — Inventariar as configurações atuais
Pergunte a todos os membros da equipa como têm a ferramenta configurada. Registe as diferenças. Isto mostra a dimensão do desvio existente.
Passo 2 — Definir conjuntos de regras aprovados
Para cada tipo de documento, escreva a configuração aprovada. Obtenha a aprovação do DPO.
Passo 3 — Criar presets com nome
Converta cada conjunto de regras aprovado num preset com nome. Use nomes claros. «RGPD Padrão — Dados de Clientes UE» é melhor do que «Config1».
Passo 4 — Remover definições autogeridas
Retire as opções de configuração ad hoc dos fluxos de trabalho padrão. Os utilizadores selecionam presets. Não constroem de raiz.
Passo 5 — Documentar o processo
Registe que presets foram criados, por quem e quando. Estabeleça um ciclo de revisão: trimestral para os presets RGPD, anual para os presets HIPAA.
Passo 6 — Criar um rasto de auditoria
Os registos devem mostrar: o lote X foi processado com o preset «RGPD Padrão — Dados de Clientes UE» na data Y pelo utilizador Z. O conjunto de regras do preset está registado. O rasto está completo.
Veja como os registos prontos para auditoria ajudam durante uma auditoria RGPD.
O Custo de Esperar
Muitas equipas ignoram a governação de presets. O custo inicial é claro. O risco parece distante.
O cálculo muda quando se analisam dados reais de aplicação:
- As ações de aplicação do RGPD aumentaram 56% em 2024 (DLA Piper Annual Report 2025)
- Falhas de processo pela primeira vez resultam frequentemente em ordens corretivas com prazos
- Constatações repetidas na mesma área levam a coimas
- Falhas no Artigo 32 acarretam coimas de milhares a milhões de euros
Uma ordem corretiva obriga-o a construir os controlos que deveria ter implementado cedo. Corrigir sob pressão custa tipicamente três a cinco vezes mais do que agir de forma proativa.
Conclusão
O desvio de configuração não é uma falha deliberada. É o resultado previsível de deixar cada utilizador gerir as suas próprias definições sem supervisão central.
Uma melhor formação não resolve isto. Registos mais claros não resolvem isto. Remover a configuração autogerida do fluxo de trabalho resolve isto.
Os presets são a forma técnica da conformidade sistemática. Garantem que as decisões tomadas por pessoal qualificado se aplicam a todos — independentemente da experiência ou julgamento individual.
As equipas remotas enfrentam o mesmo desafio em maior escala.