Descrição sistemática das operações de tratamento previstas e da finalidade do tratamento, a saber:

• natureza, âmbito, contexto e finalidades do tratamento;
• categorias de dados pessoais, destinatários e período de retenção;
• descrição funcional da operação de tratamento;
• identificação de ativos de que dependem os dados pessoais (equipamento informático, programa informático, redes, pessoas, papel ou canais de transmissão em papel);

Medidas que contribuem para a proporcionalidade e a necessidade do tratamento considerando:

• finalidade(s) determinada(s), explícita(s) e legítima(s);
• licitude do tratamento;
• dados adequados, pertinentes e limitados ao que é necessário;
• conservação por tempo limitado;

Medidas que contribuem para os direitos dos titulares dos dados:

• informações fornecidas ao titular dos dados;
• direito de acesso e de portabilidade dos dados;
• direito de retificação e de apagamento dos dados;
• direito de oposição e direito à limitação do tratamento;
• relações com os subcontratantes;
• garantias relativas a transferências internacionaisconsulta prévia à autoridade de controlo
• consulta prévia à autoridade de controlo

Avaliação dos riscos para os direitos e liberdades dos titulares dos direitos;

• Análise da origem, natureza, particularidade e gravidade dos riscos ou, mais especificamente, para cada risco (acesso ilegítimo, modificação indesejada, desaparecimento de dados) da perspetiva dos titulares dos dados:
• Fontes de risco;
• Identificação dos potenciais impactos nos direitos e nas liberdades dos titulares dos dados na eventualidade de acesso ilegítimo, modificação indesejada e desaparecimento de dados;
• Identificação das ameaças que possam conduzir a acesso ilegítimo, modificação indesejada e desaparecimento de dados;
• Estimativa da probabilidade e a gravidade dos riscos;

Medidas previstas para fazer face aos riscos, incluindo as garantias, medidas de segurança e procedimentos destinados a assegurar a proteção dos dados pessoais e a demonstrar a conformidade com o RGPD, tendo em conta os direitos e os interesses legítimos dos titulares dos dados e de outras pessoas em causa.