Gestão de ativos de TI conforme o RGPD: requisitos e boas práticas

Os ativos de TI contêm dados pessoais — do nome do colaborador numa atribuição às credenciais guardadas nos equipamentos. O RGPD impõe requisitos claros. Este artigo mostra a que devem atender as equipas de TI e como ajuda um software ITAM moderno.

Porque é que o RGPD e a gestão de ativos de TI andam juntos

Muitos departamentos de TI veem a conformidade com o RGPD como assunto do jurídico. Mas o regulamento toca diretamente no trabalho diário de qualquer administrador:

• Dados de colaboradores no inventário:nome, e-mail, departamento, local — todos dados pessoais nos termos do art. 4.º do RGPD
• Atribuições de equipamentos:o registo «o portátil X pertence ao colaborador Y» é, em si, um dado pessoal
• Pistas de auditoria:quem recebeu ou devolveu que equipamento e quando? Os registos estão sujeitos ao RGPD
• Dados nos equipamentos:na saída, os dados do equipamento têm de ser apagados em conformidade com o RGPD

Os cinco requisitos do RGPD para a gestão de ativos de TI

1. Fundamento jurídico (art. 6.º do RGPD):O tratamento assenta na execução de um contrato (art. 6.º, n.º 1, al. b)), no interesse legítimo (al. f)) ou numa obrigação legal (al. c)).
2. Minimização dos dados (art. 5.º, n.º 1, al. c)):Registe apenas os dados de que a gestão de TI realmente precisa. Nome, e-mail, departamento e local chegam para uma atribuição.
3. Limitação da conservação (art. 5.º, n.º 1, al. e)):Após a saída, os dados do colaborador têm de ser eliminados dentro dos prazos de conservação — exceto os dados de ativos relevantes para efeitos fiscais (6 a 10 anos segundo o HGB/AO alemães).
4. Direito de acesso (art. 15.º do RGPD):Os colaboradores têm o direito de saber que dados estão guardados. O seu sistema ITAM tem de conseguir reunir depressa todos os ativos atribuídos e os registos.
5. Tratamento por conta do responsável (art. 28.º do RGPD):Num ITAM na cloud tem de existir um acordo de tratamento de dados e o tratamento tem de ocorrer na UE.

Folhas de cálculo versus software ITAM: a perspetiva do RGPD

Lista de verificação: o seu inventário de TI cumpre o RGPD?

• O fundamento jurídico do tratamento está documentado?
• É mantido um registo das atividades de tratamento nos termos do art. 30.º?
• Foi celebrado um acordo de tratamento de dados com o fornecedor de ITAM?
• O tratamento é feito na UE (e não nos EUA)?
• O registo de acessos (pista de auditoria) está ativo?
• Está definida uma política de eliminação para colaboradores que saíram?
• Os pedidos ao abrigo do art. 15.º podem ser respondidos em 30 dias?
• As medidas técnicas e organizativas estão documentadas?

Como o AssetNode apoia a conformidade com o RGPD

• Alojamento na Alemanha:todos os dados são guardados em servidores Hetzner na Alemanha — sem transferência para cloud nos EUA
• Pista de auditoria completa:cada alteração em ativos, atribuições e dados de colaboradores fica registada
• Controlo de acesso por funções:funções de administrador, gestor e colaborador com permissões bem definidas
• Exportação de dados:todos os dados podem ser exportados em CSV a qualquer momento (portabilidade, art. 20.º)
• Política de eliminação:os dados dos colaboradores podem ser limpos de forma sistemática na saída

Conclusão

Uma gestão de ativos de TI conforme o RGPD não é opcional — é obrigatória. Quem em 2026 continua a trabalhar com folhas de cálculo arrisca não só coimas mas também a confiança dos colaboradores. Uma plataforma ITAM moderna como o AssetNode cria as bases técnicas para uma administração conforme.