Trata-se de uma violação de dados e devo comunicá-la?

Enquanto empresário, é responsável pelos dados pessoais dos seus clientes e colaboradores. No RGPD, esta figura é designada por responsável pelo tratamento. Neste artigo explica-se quando se trata de uma violação de dados pessoais, quando deve ser comunicada e quais são os primeiros passos a tomar. Trata-se de uma explicação geral, não de aconselhamento jurídico: em caso de dúvida, consulte o sítio da Autoriteit Persoonsgegevens (AP) ou um jurista.

O que é uma violação de dados pessoais?

De acordo com o RGPD, o regulamento europeu de proteção de dados, trata-se de uma violação de segurança que provoca a perda, destruição ou alteração de dados pessoais, ou o acesso indevido aos mesmos por parte de terceiros não autorizados (artigo 4.º, n.º 12). Dados pessoais são informações sobre uma pessoa identificável, como o nome, o endereço de email, a morada ou o histórico de encomendas. Não se trata, portanto, apenas de situações de pirataria informática. Exemplos:

• um email ou anexo com dados pessoais enviado para o destinatário errado;
• um computador portátil, telefone ou pen USB perdido ou roubado, com dados pessoais que não estavam encriptados;
• uma caixa de correio invadida que contém faturas, orçamentos ou cartas de candidatura;
• um sítio web ou loja online de onde foram roubados dados de clientes;
• ransomware que impede o acesso à administração de clientes, mesmo que nada tenha sido copiado.

Os primeiros passos

1. Estancar a fuga. Peça ao destinatário errado que elimine o email e que confirme essa eliminação. Altere a palavra-passe de uma caixa de correio comprometida a partir de um dispositivo de confiança (veja Palavras-passe seguras e o que fazer em caso de fuga de uma palavra-passe).
2. Reconstrua o que aconteceu. Qual foi a causa, quando começou, que dados estão em causa, de quantas pessoas, quem tem acesso aos mesmos e se estavam encriptados? Registe tudo, com data e hora.
3. Avalie o risco para as pessoas a quem pertencem os dados (veja abaixo).
4. Comunique à AP se necessário, no prazo de 72 horas.
5. Informe os titulares dos dados se o risco para estes for elevado.
6. Registe o incidente no seu registo de violações de dados. Isto deve ser sempre feito.

Devo comunicar a violação à Autoriteit Persoonsgegevens?

Uma violação de dados pessoais deve ser comunicada sem demora injustificada e, se possível, no prazo de 72 horas após a sua deteção. Esta comunicação não é necessária se for improvável que a violação constitua um risco para as pessoas a quem os dados dizem respeito (artigo 33.º do RGPD).

• O prazo começa a contar a partir do momento em que toma conhecimento da violação, não a partir do momento em que esta ocorreu. O fim de semana conta para o prazo: se detetar a violação na sexta-feira às 16h40, deve comunicá-la até segunda-feira às 16h40, o mais tardar.
• É permitido efetuar uma comunicação incompleta. Se, ao fim de 72 horas, ainda não souber tudo, comunique com a informação disponível e complete a comunicação mais tarde.
• Apenas online. A comunicação é feita através do formulário de comunicação da AP, não por telefone, email ou correio postal. O questionário da AP ajuda a preparar a comunicação.
• Em caso de dúvida, a AP recomenda que a violação seja sempre comunicada.

As seguintes perguntas ajudam nesta avaliação:

Um exemplo: se for roubado um computador portátil bem encriptado, é provável que não haja risco. Neste caso, a comunicação não é necessária, mas o incidente deve, ainda assim, ser registado. Num computador portátil não encriptado, quem o encontrar pode ler tudo; nesse caso, existe geralmente risco.

Quando deve informar os titulares dos dados?

Se for provável que a violação constitua um risco elevado para as pessoas a quem os dados dizem respeito, estas devem ser informadas sem demora (artigo 34.º do RGPD). Explique, em linguagem simples, o que aconteceu, quais podem ser as consequências, o que está a ser feito e o que os próprios podem fazer, como alterar uma palavra-passe ou estar atentos a tentativas de phishing em seu nome.

Esta informação não é necessária se os dados eram ilegíveis devido a uma boa encriptação, ou se, posteriormente, foram tomadas medidas que tornam o risco elevado pouco provável. Se contactar todas as pessoas implicar um esforço desproporcionado, deve ser feita uma comunicação pública.

O registo de violações de dados: manter sempre atualizado

Todas as violações de dados devem ser registadas, mesmo quando não são comunicadas (artigo 33.º, n.º 5). Registe os factos, as consequências, as medidas tomadas e a sua avaliação: porque decidiu comunicar ou não a violação e porque decidiu informar ou não os titulares dos dados. A AP disponibiliza um modelo de registo de violações de dados.

E se a violação ocorrer junto de um fornecedor?

A sua empresa de alojamento, o seu programa de contabilidade na cloud ou o seu serviço de newsletter são, segundo o RGPD, considerados subcontratantes: entidades que tratam dados pessoais por conta e sob instrução sua. Um subcontratante deve informá-lo sem demora injustificada caso detete uma violação de dados pessoais (artigo 33.º, n.º 2). Cabe-lhe depois avaliar se é necessário comunicar a violação, sendo que, em princípio, essa comunicação deve ser feita por si.

Isto aplica-se também quando a WebOké atua como seu subcontratante. Suspeita que a violação ocorreu do nosso lado, por exemplo nos nossos servidores? Contacte-nos de imediato através de um ticket no Centro de Suporte, indicando o que observou e quando.

Saiba mais

• Cópias de segurança WebOké: ver, restaurar ou transferir uma cópia de segurança
• Autoriteit Persoonsgegevens: comunicar ou não comunicar
• Autoriteit Persoonsgegevens: como comunicar uma violação de dados pessoais
• Autoriteit Persoonsgegevens: questionário do formulário de comunicação
• Autoriteit Persoonsgegevens: modelo de registo de violações de dados
• O RGPD, artigos 4.º, 33.º e 34.º (EUR-Lex)