Defina o escopo da atividade de relatório antes de escolher os controles
A análise GDPR diz respeito a uma atividade de processamento, e não simplesmente à presença de um Registro DMARC. Determinar se o responsável pelo tratamento ou subcontratante e a atividade relevante se enquadram no âmbito de aplicação material e territorial do Regulamento. O estabelecimento na UE e certas atividades dirigidas a pessoas na União são caminhos de aplicabilidade diferentes nos termos dos artigos 2.º e 3.º. Nem um endereço de destinatário europeu nem um local de acolhimento no estrangeiro resolvem a questão por si só. GDPR está em vigor desde 25 de maio de 2018; a entrada EUR-Lex e o seu texto consolidado associado foram revistos em 8 de novembro de 2026. Texto principal GDPR.
Descreva por que a organização deseja relatórios, quem os recebe, quais decisões eles apoiam e se são necessárias evidências em nível de mensagem. Separe a investigação de segurança de domínio do monitoramento de funcionários, perfis de clientes ou análises não relacionadas. A disponibilidade de um recurso de relatório não justifica todos os usos possíveis de seus resultados. O proprietário da privacidade deve aprovar a finalidade e a base jurídica aplicável antes do início de um novo acordo de processamento.
Distinguir campos agregados do conteúdo da mensagem
RFC 9990 define relatórios agregados usando informações de autenticação em nível de domínio. Seu esquema inclui o endereço IP do servidor de correio de conexão, contagens de mensagens, avaliação de políticas e identificadores de domínio do autor; alguns campos de domínio de envelope são opcionais. A seção de privacidade descreve este modelo de relatório como excluindo endereços de usuários individuais, endereços IP individuais e conteúdo de mensagens. Não diga aos leitores que uma conformidade relatório agregado contém necessariamente a caixa de correio completa ou a mensagem original do destinatário. Especificação de relatório agregado.
A revisão operacional deve, no entanto, inspecionar a entrada e o processamento reais. Um fornecedor pode enriquecer um recorde, adicione informações da conta, retenha amostras de mensagens enviadas ou combine relatórios com outros registros. A questão da privacidade diz respeito então ao conjunto de dados real e à sua identificabilidade, e não apenas ao esquema pretendido pelo padrão. Documente campos malformados ou inesperados em vez de tratá-los silenciosamente como uma coleção autorizada. Um campo denominado source_ip deve ser interpretado em seu contexto de relatório e não rotulado automaticamente como o endereço de um usuário final individual.
Relatórios de falhas exigem uma avaliação diferente. RFC 9991 permite informações detalhadas sobre mensagens com falha e explica que os relatórios podem expor cabeçalhos, endereços, conteúdo e destinos de encaminhamento anteriormente ocultos. Sua seção de privacidade recomenda destinos controlados, minimização e uso diagnóstico limitado. A redação pode reduzir a exposição sem eliminar todas as informações de identificação. Os destinatários podem restringir ou recusar esta comunicação; publicar uma solicitação não garante o recebimento. Especificação de relatório de falhas.
Atribuir uma finalidade legal e uma relação de processamento
Quando forem tratados dados pessoais, registe a base selecionada do Artigo 6.º e a respetiva fundamentação. Os fins de segurança não estabelecem automaticamente consentimento ou interesses legítimos. As orientações do CEPD descrevem a necessidade de um interesse real e legítimo, a necessidade e o equilíbrio em relação aos direitos dos indivíduos onde se invocam interesses legítimos. As autoridades públicas não podem utilizar o artigo 6.º, n.º 1, alínea f), para o tratamento no desempenho das suas funções. Obtenha a avaliação jurídica apropriada em vez de selecionar uma base no menu do software. Orientações sobre processamento legal do EDPB e Artigo 6º GDPR.
Mapeie a função real de cada parte: serviço de recebimento de correio, proprietário do domínio, processador de relatórios, provedor de suporte e qualquer destinatário posterior. Os rótulos do controlador e do processador dependem de quem determina os propósitos e meios e de quem age de acordo com as instruções de quem. Quando o artigo 28.º for aplicável, o acordo de processamento deve abordar as instruções e garantias exigidas. A autorização DNS de uma caixa de correio de relatório não é um contrato de processamento de dados ou uma aprovação para uso posterior não relacionado.
Projete o acesso e a retenção de acordo com a necessidade
O artigo 5.º exige minimização e limitação de armazenamento, enquanto os artigos 25.º e 32.º abordam a conceção de proteção e a segurança adequada ao risco. Aplique-os ao pipeline de relatório real: caixa de correio de entrada, analisador, painel, exportações, tickets de suporte e backups. Dê a cada função autorizada o mínimo de informações necessárias para sua tarefa. Um engenheiro de suporte que soluciona problemas em uma importação agregada não precisa automaticamente de um anexo de mensagem com falha não editado. Texto consolidado GDPR.
Não existe universal DMARC período de retenção fornecido por este artigo. Defina um período justificado para cada conjunto de dados e finalidade, sendo qualquer preservação legalmente exigida considerada separadamente. Especifique quando ocorre a exclusão, como as exportações e cópias são cobertas e quem verifica o processo. Teste o comportamento aprovado com acessórios seguros antes de confiar nele. Um valor de retenção exibido em uma interface não é evidência de que todo backup ou anexo de suporte segue esse valor.
Examine transferências e cobranças de alto risco
Registrar locais de armazenamento e acesso, subcontratados e divulgações posteriores. Se o Capítulo V se aplicar a uma transferência, o revisor responsável deverá estabelecer a rota de transferência e as salvaguardas apropriadas. A criptografia é uma proteção, não uma substituição automática da avaliação de transferência. Um rótulo de região da UE não descreve, sem mais evidências, todo o acesso remoto ou suporte ao processamento. Disposições de transferência GDPR.
Considerar se a operação proposta é suscetível de criar um risco elevado, exigindo uma avaliação de impacto na proteção de dados nos termos do artigo 35.º. O conteúdo do relatório de falhas, a escala, as informações sensíveis e a combinação com conjuntos de dados comportamentais podem afetar essa avaliação. Não declare todas as implantações de relatórios agregados sujeitas a uma DPIA nem isente todas as ferramentas de segurança. A transparência, os direitos dos indivíduos e o tratamento de incidentes também necessitam da atenção do proprietário da privacidade dentro do próprio design do serviço.
Prepare um mapa de campo fictício sem inventar aprovação
Em uma organização fictícia, os relatórios agregados de rotina vão para um painel de segurança, enquanto amostras ocasionais de diagnóstico entram em uma fila de suporte. O mapa proposto registra os campos agregados padrão separadamente do possível conteúdo completo da mensagem, nomeia os destinatários pretendidos e deixa a aprovação de base legal, os termos do processador, a avaliação de transferência e a aceitação de retenção não preenchidos. Nenhum relatório foi coletado ou dados de clientes inspecionados para este exemplo.
O requisito exato de comissionamento é: Mapear os campos reais do relatório e as relações de processamento para análise de privacidade. Este pacote fornece um mapa proposto de campo e relacionamento, não a evidência real de implantação. Antes de fazer reivindicações de implementação ou conformidade, o proprietário deve fornecer amostras ou esquemas autorizados, destinatários verificados e relações contratuais, evidências de acesso e exclusão e análise de especialista em privacidade. As portas técnicas do SME, do roteiro de produção, do visual e da publicação também permanecem abertas. Nenhum relatório foi ativado, carregado, transferido ou excluído e nenhum recurso de privacidade EmailAuth foi declarado.