Uma política de utilização aceitável (muitas vezes designada carta informática da empresa) indica a todos os que usam os seus sistemas o que podem fazer, o que não podem fazer e o que a empresa pode verificar. O Acceptable Use Express é uma ferramenta de autosserviço que ajuda uma PME europeia a redigir uma em linguagem clara, ligada ao RGPD e à norma ISO/IEC 27001, com o teletrabalho, os dispositivos pessoais e a IA generativa abrangidos. Recebe um rascunho de trabalho em nome da sua empresa, a validar pelo seu próprio consultor.
Um documento curto e legível que transforma as suas intenções de segurança em regras do dia a dia para as pessoas
A maioria das pequenas e médias empresas tem computadores, uma caixa de correio por pessoa, ficheiros partilhados na nuvem, algumas aplicações de gestão e, cada vez mais, telemóveis e portáteis que saem do escritório. O que muitas vezes falta é um único documento que diga, em palavras que um colaborador compreenda, como essas ferramentas podem ser utilizadas. Esse documento é a política de utilização aceitável. Em França chama-se habitualmente charte informatique; noutros países encontra-se como «política de utilização de TI», «política de utilização de equipamentos informáticos» ou «carta informática». O nome importa menos do que as suas três funções.
Os utilizadores não podem respeitar regras que ninguém escreveu. Uma política de utilização aceitável define o comportamento esperado em matéria de palavras-passe, correio eletrónico, navegação na internet, partilha de ficheiros, suportes amovíveis, instalação de software, utilização pessoal de equipamentos da empresa, viagens e teletrabalho. É a parte da sua segurança que se dirige aos utilizadores, aquela que chega a todas as secretárias.
Registos, filtragem, acesso à caixa de correio durante uma ausência, gestão de dispositivos, cópias de segurança dos postos de trabalho: tudo isto envolve dados pessoais dos colaboradores. Ao abrigo do Regulamento Geral sobre a Proteção de Dados (RGPD), as pessoas em causa devem ser informadas das finalidades e das condições do tratamento (Artigo 13.º). A política de utilização aceitável é um local natural para prestar essa informação num único texto coerente, em vez de a dispersar por mensagens avulsas.
Quando uma regra é violada, uma organização precisa de demonstrar que a regra existia, que a pessoa a conhecia e que qualquer controlo que revelou a infração era, ele próprio, lícito e proporcionado. Uma política que nunca foi comunicada, ou que oculta uma vigilância de que os colaboradores nunca ouviram falar, dá-lhe muito pouco apoio. A forma como uma política se torna exigível depende do direito laboral nacional, razão pela qual esta página se mantém geral e o encaminha para o seu consultor no último passo.
A norma internacional de segurança reconhece expressamente este papel. A ISO/IEC 27001:2022, no seu Anexo A, inclui o controlo 5.10 «Utilização aceitável da informação e de outros ativos associados», que espera que as regras de utilização aceitável, e os procedimentos de tratamento da informação e dos ativos, sejam identificados, documentados e implementados. Uma política de utilização aceitável é a forma mais comum de as PME darem resposta a essa expectativa, tenham ou não a intenção de obter certificação.
Fontes: Regulamento (UE) 2016/679 (RGPD), EUR-Lex · ISO/IEC 27001, página pública em iso.org
Os mesmos erros repetem-se, uma e outra vez. Nenhum deles exige um grande orçamento para ser corrigido.
Uma política descarregada da internet descreve as ferramentas de outra pessoa, o país de outra pessoa e os riscos de outra pessoa. Menciona sistemas que não utiliza e cala-se sobre os que utiliza. Os colaboradores reparam e deixam de ler.
Um documento guardado numa pasta partilhada não foi comunicado. Se não conseguir demonstrar quem o recebeu, quando e em que versão, será difícil apoiar-se nele mais tarde. Em vários países, as etapas de informação ou de consulta dos trabalhadores fazem parte do que torna as regras aplicáveis.
Os registos de filtragem web, os registos do gateway de correio, as ferramentas de gestão de dispositivos e de prevenção de perda de dados observam as pessoas. O RGPD exige transparência (Artigo 5.º, n.º 1, alínea a)) e informação às pessoas em causa (Artigo 13.º). A vigilância mantida em silêncio é, por si só, um risco de conformidade.
Muitas cartas foram escritas quando toda a gente trabalhava num computador de secretária, no escritório. Nada dizem sobre a Wi-Fi de casa, sobre telemóveis pessoais a receber correio da empresa, ou sobre colaboradores que colam dados de clientes num chatbot público. A lacuna é onde os incidentes acontecem.
Os capítulos seguintes são a espinha dorsal do rascunho produzido pela ferramenta. Cada um é adaptado às suas respostas, e cada um pode ser encurtado ou retirado.
Colaboradores, estagiários, pessoal temporário, prestadores de serviços e qualquer pessoa com uma conta. Que sistemas ficam abrangidos: postos de trabalho, dispositivos móveis, correio eletrónico, suítes de colaboração, aplicações de gestão, redes, impressoras, armazenamento na nuvem. Um âmbito claro evita o argumento clássico «isto não se aplicava a mim».
Contas pessoais e intransmissíveis; qualidade e armazenamento das palavras-passe; autenticação multifator onde a empresa a tenha implementado; bloqueio da sessão ao afastar-se da secretária; o que fazer se uma palavra-passe possa ter sido exposta.
Relacionado: NIS2, art. 21.º, n.º 2, alínea j) inclui a autenticação multifator entre as medidas aplicáveis às entidades abrangidas.
Utilização profissional como regra, utilização pessoal razoável se a empresa a permitir, e a forma como as mensagens pessoais devem ser identificadas. Cuidados perante o phishing, anexos e ligações, regras de reencaminhamento, reencaminhamento automático para endereços pessoais, sítios e conteúdos proibidos.
Que informação é confidencial, como pode ser partilhada interna e externamente, ferramentas aprovadas de partilha de ficheiros, impressão, política de secretária limpa, e o dever de tratar dados pessoais apenas segundo as instruções da empresa.
RGPD arts. 29.º e 32.º, n.º 4: as pessoas que atuam sob a autoridade do responsável pelo tratamento só tratam dados pessoais mediante instruções deste.
Quem pode instalar software, utilização de chaves USB e discos externos pessoais, cuidado com portáteis e telemóveis, comunicação de perda ou roubo, e devolução de equipamentos e acessos quando alguém sai da empresa (o Anexo A da ISO/IEC 27001:2022 tem também um controlo sobre a devolução de ativos, 5.11).
Trabalho a partir de casa, das instalações de um cliente ou em deslocação: redes de confiança, VPN quando exigida, privacidade do ecrã, proteção física dos equipamentos, videochamadas em locais públicos. O Anexo A da ISO/IEC 27001:2022 tem um controlo dedicado, 6.7 «Teletrabalho».
Se telemóveis, tablets ou computadores pessoais podem aceder a dados da empresa, em que condições (bloqueio do dispositivo, atualizações, perfil de trabalho separado, apagamento remoto apenas dos dados da empresa), e o que a empresa pode e não pode ver num dispositivo pessoal.
Que ferramentas de IA estão aprovadas, que dados nunca devem ser introduzidos nelas (dados pessoais, segredos de clientes, código-fonte, credenciais), revisão humana dos resultados, e como pedir uma nova ferramenta. Uma política que proíbe tudo tende a empurrar a utilização para fora de vista.
Regulamento (UE) 2024/1689 (AI Act), art. 4.º sobre a literacia em IA dos colaboradores.
O que é registado, filtrado ou verificado, para que finalidade, por quem, durante quanto tempo os registos são conservados, e os direitos das pessoas em causa. Este capítulo é onde se cumprem os deveres de transparência e de informação do RGPD.
RGPD arts. 5.º e 13.º.
Como e a quem comunicar um correio suspeito, um equipamento perdido ou um erro, sem receio de censura por uma comunicação rápida. Referência ao regime disciplinar aplicável na sua organização (ISO/IEC 27001:2022, Anexo A, controlo 6.4 «Processo disciplinar»), e a data e a versão da política.
O percurso jurídico difere entre os Estados-Membros. O que não difere é a lógica: lícita, proporcionada, conhecida de antemão.
Uma política de utilização aceitável quase sempre descreve o tratamento de dados pessoais dos colaboradores: registos de contas, registos de ligações, filtragem, inventários de dispositivos, por vezes acesso às caixas de correio. Três artigos do RGPD enquadram esse tratamento em toda a União Europeia.
Artigo 5.º, princípios. Os dados pessoais devem ser tratados de forma lícita, leal e transparente; recolhidos para finalidades determinadas, explícitas e legítimas; adequados, pertinentes e limitados ao necessário; conservados apenas durante o tempo necessário; e tratados com segurança adequada. Nos termos do n.º 2 do Artigo 5.º, o responsável pelo tratamento deve poder demonstrar o cumprimento destes princípios (responsabilidade). Para uma política de utilização aceitável, isto significa que cada controlo que descreve deve ter uma finalidade declarada e um prazo de conservação razoável, e deve poder demonstrar porque é proporcionado.
Artigo 13.º, informações a fornecer. Quando os dados são recolhidos junto da pessoa em causa, o responsável pelo tratamento deve fornecer, entre outros elementos, a sua identidade e contactos, os contactos do encarregado da proteção de dados, quando exista, as finalidades e o fundamento jurídico do tratamento, os interesses legítimos prosseguidos quando esse seja o fundamento, os destinatários, o prazo de conservação e os direitos da pessoa. A política de utilização aceitável, ou um aviso informativo que lhe fique anexo, é um veículo prático para essa informação.
Artigo 88.º, tratamento no contexto laboral. O RGPD permite que os Estados-Membros estabeleçam, por lei ou por convenções coletivas, regras mais específicas para o tratamento de dados pessoais dos trabalhadores no contexto laboral. O n.º 2 do Artigo 88.º exige que essas regras incluam medidas adequadas e específicas para salvaguardar a dignidade, os interesses legítimos e os direitos fundamentais das pessoas em causa, com especial atenção à transparência do tratamento, às transferências no seio de um grupo de empresas e aos sistemas de controlo no local de trabalho. Na prática, é por isso que a resposta à pergunta «o que podemos vigiar, e como?» depende em parte do país em que opera.
Em toda a UE, a Diretiva 2002/14/CE estabelece um quadro geral para a informação e consulta dos trabalhadores nas empresas acima de determinados limiares, que cada Estado-Membro escolhe dentro dos limites fixados pela diretiva. O direito nacional e as convenções coletivas definem depois se uma comissão de trabalhadores (ou órgão equivalente), um órgão de representação do pessoal ou um sindicato deve ser informado ou consultado antes de serem introduzidas regras sobre a utilização de TI ou sobre a vigilância no local de trabalho, e sob que forma. Em alguns países, uma política de utilização aceitável é anexada ao regulamento interno e segue o mesmo procedimento; noutros, faz parte do contrato de trabalho, de uma convenção coletiva ou de uma política autónoma reconhecida por cada utilizador.
Tomemos a França como um exemplo entre muitos: o Code du travail prevê que o Comité Social et Économique (CSE) seja informado e consultado, antes da sua introdução na empresa, sobre os meios ou técnicas que permitam controlar a atividade dos trabalhadores, e que nenhuma informação relativa a um trabalhador a título pessoal possa ser recolhida através de um dispositivo que não lhe tenha sido previamente dado a conhecer. A autoridade francesa de proteção de dados, a CNIL, recomenda no seu guia de segurança dos dados pessoais que a empresa redija uma carta informática e lhe confira força vinculativa, por exemplo anexando-a ao regulamento interno. Outros países têm equivalentes próprios, razão pela qual a ferramenta lhe pergunta onde os seus colaboradores trabalham e assinala os pontos a verificar com o seu consultor.
Seja qual for o percurso nacional, guarde provas: a versão e a data da política, a data em que foi comunicada, como (correio eletrónico, intranet, pacote de acolhimento, assinatura) e quem a reconheceu. Volte a comunicar quando a política mudar. O Anexo A da ISO/IEC 27001:2022 trata isto como parte dos controlos sobre pessoas, ao lado das condições de emprego (6.2) e da sensibilização, educação e formação em segurança da informação (6.3).
Importante. Esta secção é informação geral sobre textos europeus e nacionais. Não constitui aconselhamento jurídico e não substitui a análise de um advogado de direito do trabalho, de um encarregado da proteção de dados ou do seu consultor de recursos humanos para a sua situação concreta, o seu país e as suas convenções coletivas.
Fontes: RGPD, arts. 5.º, 13.º e 88.º (EUR-Lex) · Diretiva 2002/14/CE (EUR-Lex) · Code du travail francês (Légifrance) · CNIL, guia de segurança dos dados pessoais · ISO/IEC 27001 (iso.org)
A política de utilização aceitável não é, por si só, uma política de segurança. É a parte dela que fala aos utilizadores.
A política de segurança da informação é escrita para a direção e para a área de TI: fixa objetivos, funções, tratamento dos riscos e os controlos a que a empresa se compromete. A política de utilização aceitável traduz as partes que se dirigem aos utilizadores em comportamentos concretos. A ISO/IEC 27001:2022, no Anexo A, separa os dois documentos: o controlo 5.1 «Políticas de segurança da informação» e o controlo 5.10 «Utilização aceitável da informação e de outros ativos associados». Os dois documentos devem usar o mesmo vocabulário, a mesma classificação da informação e os mesmos contactos, para que um colaborador nunca receba instruções contraditórias.
Se estiver a elaborar a própria política de segurança, consulte a nossa página irmã pssi-express.eu.
O teletrabalho leva os dados da empresa para redes domésticas, mesas de cozinha e lugares de comboio. A política de utilização aceitável é onde se declaram as expectativas mínimas: usar os equipamentos da empresa quando fornecidos, mantê-los atualizados, ligar-se através da VPN da empresa quando exigido, evitar a impressão em locais públicos, proteger ecrãs e conversas, e comunicar imediatamente qualquer perda. Se tiver também um acordo ou uma política de teletrabalho separada, a política de utilização aceitável deve remeter para ela em vez de a repetir. O controlo 6.7 «Teletrabalho» do Anexo A da ISO/IEC 27001:2022 cobre o lado da segurança.
Permitir que telemóveis pessoais recebam correio da empresa é cómodo e comum. Levanta também duas questões que a política deve responder. O que exige a empresa ao dispositivo (bloqueio de ecrã, sistema operativo suportado, perfil de trabalho ou contentor separado)? E o que pode a empresa ver ou apagar? As ferramentas de gestão de dispositivos podem ser configuradas para gerir apenas os dados da empresa; a política deve dizê-lo, e deve dizer o que acontece aos dados da empresa quando a pessoa sai. O controlo 8.1 «Dispositivos finais dos utilizadores» do Anexo A da ISO/IEC 27001:2022 enquadra o lado técnico.
Os assistentes de IA públicos podem ser úteis, e os colaboradores já os usam com frequência. O risco está nos dados introduzidos e nos resultados utilizados sem revisão. Um capítulo curto sobre IA lista normalmente as ferramentas aprovadas, proíbe a introdução de dados pessoais, informação confidencial ou credenciais em serviços não aprovados, exige revisão humana antes de reutilizar os resultados, e explica como pedir uma nova ferramenta. Quando um serviço de IA externo trata dados pessoais por sua conta, aplicam-se as regras do RGPD sobre subcontratantes (Artigo 28.º) e sobre transferências para fora da UE (Capítulo V). O Artigo 4.º do AI Act, aplicável desde 2 de fevereiro de 2025, pede aos fornecedores e utilizadores de sistemas de IA que tomem medidas para garantir, na medida do possível, um nível suficiente de literacia em IA do seu pessoal (verifique a versão consolidada atual, uma vez que foram propostas alterações a este artigo); um capítulo sobre IA na política de utilização aceitável, acompanhado de uma breve sessão de sensibilização, é um bloco de construção razoável.
Regulamento (UE) 2024/1689 (AI Act) · RGPD, art. 28.º e Capítulo V
Para as entidades essenciais e importantes ao abrigo da Diretiva NIS2, as medidas de gestão dos riscos de cibersegurança do Artigo 21.º incluem práticas básicas de higiene informática e formação em cibersegurança (21.º, n.º 2, alínea g)), bem como segurança dos recursos humanos, políticas de controlo de acesso e gestão de ativos (21.º, n.º 2, alínea i)). Uma política de utilização aceitável não a torna conforme com a NIS2, mas é um dos documentos que apoiam essas medidas.
Uma política assinada e esquecida não muda nada. A política e o programa de sensibilização devem funcionar em conjunto: a política enuncia a regra, as sessões curtas explicam porquê. Quando existe um encarregado da proteção de dados, o RGPD inclui a sensibilização e a formação do pessoal entre as suas funções (Artigo 39.º, n.º 1, alínea b)). As agências nacionais publicam materiais gratuitos que pode reutilizar, por exemplo a ENISA a nível europeu e, em França, a ANSSI e a cybermalveillance.gouv.fr.
Mantém o controlo do início ao fim. Um consultor humano é uma opção, nunca uma obrigação.
Um breve questionário sobre a sua organização: onde trabalham os seus colaboradores, que ferramentas utilizam, se são permitidos dispositivos pessoais e teletrabalho, se utilizam assistentes de IA, se têm representantes do pessoal, se já têm uma política de segurança. Diz-lhe quais os capítulos de que precisa e que pontos exigirão validação jurídica local.
Responde a perguntas guiadas, com as suas próprias palavras, capítulo a capítulo: o que é permitido, o que não é, o que a empresa verifica e porquê, durante quanto tempo os registos são conservados, a quem recorrer. Cada pergunta vem com uma breve explicação e, quando pertinente, uma ligação para a fonte oficial. Pode guardar, voltar mais tarde e envolver um colega.
A política é gerada automaticamente a partir das suas respostas, em nome da sua empresa, com um aviso informativo separado sobre a vigilância e um formulário de confirmação de receção. É uma base de trabalho: faça-a rever pelo seu consultor (advogado de direito do trabalho, encarregado da proteção de dados, recursos humanos) antes de a comunicar, consulte os representantes quando for exigido, e adote-a.
Se quiser que alguém reveja consigo as respostas, adapte o rascunho a um contexto específico ou prepare a apresentação ao pessoal ou aos seus representantes, pode pedir apoio a um consultor parceiro. Trata-se de uma opção, separada da ferramenta de autosserviço.
Base de trabalho, não aconselhamento jurídico. O documento gerado é um rascunho construído a partir das suas próprias respostas e de fontes públicas. Não constitui aconselhamento jurídico. A sua validade no seu país, e o procedimento para o tornar aplicável aos seus colaboradores, devem ser verificados por um consultor qualificado.
Documentos que pode editar, comunicar e guardar como prova
O documento principal, em linguagem clara, construído a partir das suas respostas.
Um aviso separado, estruturado em torno do Artigo 13.º do RGPD.
O necessário para comunicar a política e manter um registo.
Onde cada capítulo se liga aos textos públicos.
Um anexo curto e autónomo, que pode atualizar com mais frequência do que a política.
O seu documento continua a ser seu, em formatos que pode alterar.
Citamos apenas textos a que podemos ligar. Quando algo depende do direito nacional, o rascunho di-lo em vez de adivinhar.
Artigo 5.º (princípios e responsabilidade), Artigo 13.º (informação das pessoas em causa), Artigo 88.º (tratamento no contexto laboral) e, quando pertinente, Artigo 28.º (subcontratantes), Artigo 32.º (segurança do tratamento) e Artigo 39.º (funções do encarregado da proteção de dados).
Controlo 5.10 «Utilização aceitável da informação e de outros ativos associados», com os controlos relacionados 5.1 (políticas de segurança da informação), 5.11 (devolução de ativos), 6.2 (condições de emprego), 6.3 (sensibilização, educação e formação), 6.4 (processo disciplinar), 6.7 (teletrabalho) e 8.1 (dispositivos finais dos utilizadores). A norma é vendida pela ISO; citamos apenas os títulos dos controlos.
Apenas para as entidades abrangidas: Artigo 21.º, n.º 2, alínea g), práticas básicas de higiene informática e formação em cibersegurança; alínea i), segurança dos recursos humanos, políticas de controlo de acesso e gestão de ativos; alínea j), autenticação multifator. Aplicam-se as leis nacionais de transposição.
Artigo 4.º sobre literacia em IA, aplicável desde 2 de fevereiro de 2025 aos fornecedores e utilizadores de sistemas de IA (verifique a versão consolidada atual antes de se basear nela). Relevante assim que os seus colaboradores utilizem sistemas de IA no trabalho.
O que contém cada opção. A disponibilidade será anunciada nesta página.
Para saber do que precisa antes de começar
Para produzir a sua própria política em rascunho
Para acrescentar revisão humana ao rascunho de autosserviço
Em todas as opções, o documento é uma base de trabalho a validar pelo seu próprio consultor. Não constitui aconselhamento jurídico.
Respostas curtas. Quando um texto é citado, a ligação remete para a fonte oficial.
Cada afirmação regulamentar ou normativa acima remete para uma destas fontes.
Esta página fornece informação geral. Não constitui aconselhamento jurídico.
A ferramenta de autosserviço está a ser preparada. Abrirá nesta página.
Entretanto, para qualquer dúvida: contact@syaga.eu