Uma violação de dados pessoais é uma violação da segurança que provoca, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizados a dados pessoais (artigo 4.º, ponto 12). É mais do que um ataque informático.
Exemplos
- Um email com dados pessoais enviado à pessoa errada.
- Um portátil, telemóvel ou processo em papel perdido ou roubado.
- Um ataque de ransomware que bloqueia os registos.
- Alguém, incluindo um trabalhador, que acede a registos que não devia ver.
- Uma carta metida no envelope errado.
- Dados pessoais esquecidos na impressora ou papéis deitados num caixote normal.
- Dados enviados por engano por um subcontratante, como uma empresa de processamento salarial.
Uma violação abrange também a disponibilidade. Perder o acesso a dados de que as pessoas dependem, por exemplo os registos de um hospital, pode ser uma violação mesmo que ninguém tenha visto os dados.
O seu primeiro dever: comunicar dentro da organização, de imediato
Quando detetar uma violação, ou suspeitar de uma:
- Aja depressa. Tente limitar os danos se puder, por exemplo pedindo ao destinatário errado que não abra o email e o apague.
- Comunique de imediato ao seu chefe, à informática ou ao EPD, da forma que o procedimento de violações do seu empregador indicar. Não espere ter a certeza.
- Anote o que aconteceu, quando soube e o que fez.
- Não esconda nem tente resolver em silêncio. Não apague provas.
A maioria das violações são pequenos erros humanos. Os empregadores querem saber logo, porque o prazo já está a correr.
A regra das 72 horas
O responsável tem de notificar a Data Protection Commission de uma violação sem demora injustificada e, sempre que possível, até 72 horas após ter tido conhecimento dela (artigo 33.º). As 72 horas incluem os fins de semana. A única exceção: quando for improvável que a violação resulte num risco para os direitos e liberdades das pessoas. Se a notificação for feita depois das 72 horas, o responsável tem de justificar o atraso.
Uma notificação à DPC indica o que aconteceu, quantas pessoas e registos estão afetados aproximadamente, as consequências prováveis, as medidas tomadas e um ponto de contacto, como o EPD. As organizações notificam através do formulário em linha de notificação de violações da DPC. A informação pode ser dada por fases se ainda não for toda conhecida.
Um subcontratante tem de informar o responsável sem demora injustificada depois de ter conhecimento de uma violação (artigo 33.º, n.º 2).
Informar as pessoas afetadas
Se for provável que a violação resulte num risco elevado para as pessoas, como perigo de fraude, de roubo de identidade, de discriminação ou de dano para a saúde, o responsável tem de informar também as pessoas em causa sem demora injustificada, em linguagem clara (artigo 34.º). Não tem de o fazer se os dados estavam devidamente cifrados, se medidas posteriores eliminarem o risco ou se exigisse um esforço desproporcionado e bastar um aviso público.
Todas as violações são registadas
O artigo 33.º, n.º 5, obriga o responsável a documentar todas as violações, sejam ou não notificadas à DPC: os factos, os efeitos e as medidas tomadas. A DPC pode pedir para ver esse registo. Faz parte da responsabilidade.
Porque é que a sua rapidez importa
Imagine que um trabalhador envia à sexta-feira, às 17h00, uma folha de cálculo com dados de doentes para um endereço errado e nada diz até quarta-feira. Nessa altura, o responsável pode ter pouco ou nenhum tempo das 72 horas. Se o trabalhador avisar o EPD às 17h10, o EPD tem três dias completos para avaliar o risco e, se necessário, notificar.
Aprender com as violações
As violações servem para melhorar a formação, os procedimentos e os sistemas. Uma abordagem sem culpas incentiva a comunicação. Esconder uma violação é mais grave do que o erro inicial.
O que deve recordar
- Uma violação é qualquer perda, dano, alteração, divulgação ou acesso que não devia ter ocorrido.
- Comunique de imediato ao empregador. Não espere.
- O responsável notifica a DPC em 72 horas, salvo se for improvável que a violação represente um risco para alguém.
- Se o risco para as pessoas for elevado, elas também têm de ser informadas.