Treinamento GDPR para funcionários: o que a legislação do Reino Unido e a ICO esperam

O treinamento em proteção de dados é o que a maioria das empresas considera "um requisito GDPR". A lei é menos direta do que isso, mas as expectativas da ICO são específicas. É isso que o GDPR do Reino Unido e a ICO dizem, citado de legislation.gov.uk e ico.org.uk em 19 de outubro de 2026. A ICO observa que estas páginas estão sob revisão após a Lei de Uso e Acesso a Dados. É um resumo, não um aconselhamento jurídico.

Principais lições

• Não existe um artigo independente de "treinar toda a equipe", mas as funções de segurança do RGPD no Reino Unido tornam esse o caminho esperado.
• Indução antes do acesso: o ICO espera treinamento antes que a equipe trate das informações pessoais.
• Relembrar em intervalos apropriados; sem número fixo.
• Um teste de conhecimento com nota mínima de aprovação, diz o ICO.
• Todos, incluindo gerentes seniores, funcionários temporários e contratados.

O que diz o GDPR do Reino Unido

O artigo 32(4) diz que o controlador e o responsável pelo tratamento "devem tomar medidas para garantir que qualquer pessoa física atuando sob a autoridade do controlador ou do processador que tenha acesso a dados pessoais não os processe, exceto sob instruções do controlador". Quando você tem um agente de proteção de dados, o artigo 39 lista entre suas tarefas o monitoramento da conformidade, "incluindo a atribuição de responsabilidades, conscientização e treinamento dos funcionários envolvidos nas operações de processamento". O guia da ICO sobre segurança de dados diz: "Você deve fornecer treinamento inicial e de atualização adequados".

O que o ICO espera na indução

O kit de ferramentas de auditoria da ICO sobre treinamento de indução alerta que "permitir que os funcionários comecem a trabalhar com informações pessoais antes do treinamento de indução aumenta muito o risco de violação de dados pessoais. Isso pode violar os artigos 5(1)(f) e 32 do GDPR do Reino Unido." Suas expectativas incluem:

• "Certifique-se de que a equipe concluiu o treinamento de indução antes de ser autorizada a processar informações pessoais."
• "Exigir que todos os graus, incluindo gerentes seniores, completem o treinamento de indução."
• "Oferecer treinamento de integração para todos os funcionários, incluindo voluntários, temporários e contratados."
• Cobre "tratamento de solicitações, compartilhamento de dados, segurança da informação, vazamentos de dados pessoais e gerenciamento de registros".

Treinamento de reciclagem e demonstração

No treinamento de atualização, o kit de ferramentas diz para "Exigir que a equipe complete o treinamento de atualização em intervalos apropriados" e "Documente quando a equipe recebeu o último treinamento de reciclagem, mantendo registros completos e atualizados." Ambas as páginas também dizem: "Avalie a compreensão da equipe sobre o treinamento usando uma verificação de conhecimento com nota mínima de aprovação."

Portanto, a evidência que um auditor procura é simples: quem completou qual módulo, quando e se passou.

Transforme seus slides de proteção de dados em um curso

Reigniter transforma seu deck de proteção de dados existente em um pequeno módulo interativo: uma narração, seus slides e uma pergunta em cada etapa, como "um cliente envia um e-mail pedindo seus dados: o que você faz?", com ramificações para respostas erradas. Seu primeiro módulo é gratuito e compartilhado por link. Nos planos pagos de preços, os aprendizes fazem login, você define uma nota de aprovação e vê o resultado e o certificado de cada pessoa, que é o registro descrito pelo ICO; veja treinamento sem LMS.

Para segurança contra incêndio, telas de exibição, manuseio manual, COSHH e indução, veja o que treinamento a legislação do Reino Unido exige.