Mesmo com boas medidas, os erros acontecem. O que distingue uma boa empresa é a rapidez com que se deteta o problema e se atua. Nesta matéria, o RGPD fixa regras e prazos apertados.
O que é uma violação de dados pessoais
Uma violação de dados pessoais é uma violação da segurança que provoca, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizados a dados pessoais (artigo 4.º, n.º 12, do RGPD). Cobre três tipos de problemas:
- confidencialidade: alguém sem permissão vê ou recebe os dados;
- integridade: os dados são alterados sem autorização;
- disponibilidade: os dados perdem-se ou ficam inacessíveis.
Exemplos:
- um e-mail com dados de clientes enviado ao destinatário errado;
- um portátil ou um telemóvel de trabalho perdido ou roubado;
- um ataque informático ou um ransomware que cifra os ficheiros;
- um documento com dados pessoais deixado num sítio público;
- uma conta de e-mail invadida depois de um phishing;
- um colega que consulta ficheiros sem necessidade.
O que deve fazer o trabalhador
- Comunicar de imediato ao superior, ao EPD ou a quem a empresa indicar. Não espere para ter a certeza.
- Dizer o que sabe: o que aconteceu, quando, que dados estão em causa. Não apague nem altere provas.
- Seguir as instruções para limitar o dano, por exemplo mudar a palavra-passe ou desligar o equipamento da rede.
- Não esconder o incidente, nem para "proteger" um colega. Esconder atrasa a reação e agrava o dano.
A Lei n.º 58/2019 (artigo 11.º) dá ao EPD a função de sensibilizar para a importância de detetar a tempo os incidentes e de informar sem demora o responsável pela segurança.
O que deve fazer o empregador
- Notificar a CNPD sem demora injustificada e, sempre que possível, no prazo de 72 horas após ter tido conhecimento da violação, a menos que a violação não seja suscetível de resultar num risco para os direitos e liberdades das pessoas (artigo 33.º, n.º 1). Se o prazo não for cumprido, a notificação tem de indicar os motivos do atraso.
- A notificação descreve a natureza da violação, as categorias e o número aproximado de titulares e de registos, o contacto do EPD, as consequências prováveis e as medidas tomadas (n.º 3).
- Comunicar aos titulares quando a violação for suscetível de implicar um elevado risco para eles, sem demora injustificada e em linguagem clara (artigo 34.º).
- Registar todas as violações, mesmo as que não é preciso notificar, com os factos, os efeitos e as medidas (artigo 33.º, n.º 5).
- O subcontratante que tome conhecimento de uma violação informa o responsável sem demora injustificada (artigo 33.º, n.º 2).
O incumprimento dos deveres do artigo 33.º e do artigo 34.º é contraordenação grave (artigo 38.º, n.º 1, alíneas j) e k), da Lei n.º 58/2019).
Porque é que a pressa importa
Um aviso em minutos permite recuperar um e-mail, bloquear uma conta ou mudar acessos antes de o dano se espalhar. Um aviso ao fim de dias pode já ter deixado passar o prazo de 72 horas. A empresa quer saber, mesmo do erro pequeno.
Exemplos práticos
- Enviou um ficheiro ao cliente errado? Avise já. Pode ser possível pedir ao destinatário que o apague e confirmar.
- Perdeu o telemóvel de trabalho? Avise já. A empresa poderá bloquear ou apagar o aparelho à distância.
- Clicou num link suspeito? Avise já, desligue-se da rede se lhe disserem, e não use mais o computador.
Resumo: violação de dados é qualquer perda, acesso ou divulgação indevidos. Avisar logo é o dever do trabalhador. A notificação à CNPD, em 72 horas, cabe ao empregador.