Uma violação de dados pessoais (personal data breach) é uma violação da segurança que provoca, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizados a dados pessoais (artigo 4.º). É mais do que pirataria informática.
Exemplos
- Um email enviado à pessoa errada, ou com o anexo errado.
- Um portátil, telemóvel, pen USB ou processo em papel perdido ou roubado.
- Alguém que consulta registos que não tem motivo para ver.
- Um ataque de phishing que dá a palavra-passe a um criminoso.
- Um ransomware que bloqueia os registos, de modo que o pessoal não lhes consegue aceder.
- Papéis deitados num caixote comum, ou cartas enviadas para a morada errada.
- Dados fornecidos por telefone a alguém que não tinha direito a eles.
- Um trabalhador que apaga ou altera registos por engano.
A perda de disponibilidade também conta. Se os dados se perdem ou ficam bloqueados e ninguém os pode usar, isso também pode ser uma violação.
O seu primeiro dever: comunicar de imediato
Avise o seu chefe ou a pessoa indicada no seu procedimento logo. Não espere para ver se importa. Não tente resolver em silêncio. Não se culpe nem esconda. Toda a gente erra. O que faz o verdadeiro dano é o silêncio.
Ao comunicar, diga:
- o que aconteceu e quando;
- que dados estão envolvidos e de quem;
- quem pode tê-los visto;
- o que já fez (por exemplo, pedir a um destinatário errado que apague um email).
Não apague provas. Guarde os emails, as mensagens e os papéis.
Porque é que a rapidez importa
O responsável tem de notificar algumas violações à ICO. O prazo é de 72 horas após ter tido conhecimento da violação, sempre que possível (artigo 33.º). O prazo conta desde que a organização tem conhecimento, e um longo atraso do pessoal gasta o tempo de que a organização precisa. Se as 72 horas forem ultrapassadas, o responsável tem de justificar o atraso.
Quem decide se se notifica
Decide o empregador ou o seu responsável pela proteção de dados; essa decisão não lhe cabe. Avaliam o risco para as pessoas.
- Risco improvável. A violação não é notificada à ICO, mas tem de ser registada. As organizações têm de manter um registo de todas as violações, com os factos, os efeitos e as medidas tomadas.
- Risco provável. O responsável tem de notificar a ICO, por fases se ainda não forem conhecidos todos os pormenores.
- Risco elevado. O responsável tem também de informar as pessoas afetadas, diretamente e sem demora injustificada, para que se possam proteger, por exemplo mudando palavras-passe ou vigiando as contas.
O risco depende de fatores como a sensibilidade dos dados, o número de pessoas e o facto de estarem ou não cifrados. Enviar dados de saúde à pessoa errada é mais grave do que um convite para uma reunião.
Subcontratantes
Um subcontratante, como um fornecedor de serviços na nuvem, tem de avisar o responsável sem demora injustificada quando tiver conhecimento de uma violação. Os contratos devem prevê-lo.
Consequências
Não notificar quando é obrigatório pode levar a uma coima até 8,7 milhões de £ ou 2 % do volume de negócios anual mundial, consoante o que for mais elevado. A ICO analisa se a organização tinha medidas adequadas, formou o pessoal e reagiu depressa. O pessoal que comunica de imediato ajuda a mostrar que a organização fez o que devia.
Aprender depois
Uma boa organização aproveita uma violação para melhorar procedimentos e formação. Comunicar um quase-incidente, em que algo esteve quase a correr mal, ajuda a evitar uma violação real mais tarde.