Mesmo com precauções, às vezes algo corre mal. O importante então é agir depressa e avisar quem de direito.
O que é uma violação de dados pessoais
É todo o incidente de segurança que provoque a destruição, perda ou alteração, acidental ou ilícita, de dados pessoais, ou a divulgação ou o acesso não autorizados a esses dados (artigo 4.º, ponto 12, do RGPD). Pode ser acidental ou intencional. Exemplos:
- um email com dados de clientes enviado à pessoa errada
- a perda ou o roubo de um portátil, de um telemóvel ou de uma pen USB
- um ataque informático ou um vírus que cifra os ficheiros (ransomware)
- uma pasta de papel esquecida num comboio
- uma conta usada por alguém que não devia, por exemplo depois de um phishing
- o apagamento acidental de uma base de dados sem cópia de segurança
Não é preciso esperar pela certeza do dano. A dúvida basta para avisar.
O que deve fazer
- Avise de imediato a pessoa ou o departamento que a sua empresa tenha indicado (informática, direção, encarregado da proteção de dados).
- Diga o que sabe: o que aconteceu, quando, que dados estão envolvidos e quantas pessoas podem ser afetadas.
- Faça o que puder para limitar o dano, se o puder fazer sem risco: mudar uma palavra-passe, desligar um equipamento da rede, pedir ao destinatário errado que apague a mensagem.
- Não apague provas nem tente resolver por sua conta de forma discreta.
- Não esconda. Um problema comunicado a tempo costuma poder ser controlado. Um problema escondido cresce.
Os prazos do RGPD
- À autoridade de controlo (AEPD). O responsável tem de notificar a violação sem demora injustificada e, sempre que possível, até 72 horas após ter tido conhecimento dela (artigo 33.º, n.º 1). Não é necessário notificar se for improvável que a violação resulte num risco para os direitos e liberdades das pessoas. Se o prazo não for cumprido, é preciso explicar os motivos do atraso.
- Às pessoas afetadas. Quando a violação for suscetível de implicar um elevado risco para os seus direitos e liberdades, o responsável comunica-lhes a violação sem demora injustificada, em linguagem clara (artigo 34.º). Um exemplo é a fuga de dados bancários ou de saúde.
- Do subcontratante ao responsável. Se quem sofre a violação for um subcontratante, tem de a notificar ao responsável sem demora injustificada (artigo 33.º, n.º 2).
As 72 horas contam-se desde que a empresa tem conhecimento, e isso inclui o momento em que toma conhecimento. Se demorar três dias a avisar, o prazo praticamente esgotou-se. Um aviso tardio pode custar uma sanção à empresa.
O registo interno
Além de notificar, o responsável deve documentar todas as violações, também as que não se notificam: os factos, os seus efeitos e as medidas adotadas (artigo 33.º, n.º 5). Assim pode demonstrar à AEPD como agiu. A LOPDGDD considera infração grave não notificar a autoridade de uma violação de segurança (artigo 73.º, alínea r).
O que se notifica à AEPD
A notificação descreve a natureza da violação, as categorias e o número aproximado de pessoas e de registos afetados, os contactos do encarregado da proteção de dados ou de outra pessoa, as consequências prováveis e as medidas adotadas. Apresenta-se através da sede eletrónica da AEPD (aepd.es).
Lembre-se: quem deteta o problema não tem de o resolver nem de o julgar. A sua tarefa é avisar no mesmo dia.