Trata-se de uma violação de dados e tenho de a comunicar?

Enquanto empresário, é responsável pelos dados pessoais dos seus clientes e colaboradores. No RGPD, designa-se por responsável pelo tratamento. Aqui fica a saber quando algo constitui uma violação de dados, quando a deve notificar e o que deve fazer de imediato. Trata-se de uma explicação geral e não de aconselhamento jurídico; em caso de dúvida, consulte o website da Autoriteit Persoonsgegevens (AP), a autoridade neerlandesa de proteção de dados, ou peça a opinião de um jurista.

O que é uma violação de dados?

De acordo com o RGPD, a lei europeia de proteção de dados, é uma violação da segurança que provoca a perda, destruição ou alteração de dados pessoais, ou o acesso aos mesmos por alguém que não tem autorização para tal (artigo 4.º, ponto 12). Dados pessoais são dados relativos a uma pessoa identificável, como um nome, endereço de e-mail, morada ou histórico de encomendas. Não se trata, portanto, apenas de piratas informáticos. Exemplos:

• um e-mail ou anexo com dados pessoais enviado ao destinatário errado;
• um portátil, telemóvel ou pen USB perdido ou furtado com dados pessoais que não estavam encriptados;
• uma caixa de correio comprometida que contém faturas, orçamentos ou cartas de candidatura;
• um website ou loja online de onde foram furtados dados de clientes;
• ransomware que o impede de aceder à sua base de dados de clientes, mesmo que nada tenha sido copiado.

Os primeiros passos

1. Trave a violação. Peça ao destinatário errado que elimine o e-mail e que o confirme. Altere a palavra-passe de uma caixa de correio comprometida a partir de um dispositivo da sua confiança (consulte Palavras-passe seguras e o que fazer em caso de palavra-passe divulgada).
2. Apure o que aconteceu. Qual é a causa, quando começou, que dados estão em causa, de quantas pessoas, quem lhes pode aceder e se os dados estavam encriptados. Registe tudo, com data e hora.
3. Avalie o risco para as pessoas a quem os dados dizem respeito (ver abaixo).
4. Notifique a AP, se necessário, no prazo de 72 horas.
5. Informe os titulares dos dados se o risco para eles for elevado.
6. Registe a violação no seu registo de violações de dados. Isto faz-se sempre.

Tenho de notificar a Autoriteit Persoonsgegevens?

Uma violação de dados é notificada sem demora injustificada e, sempre que possível, no prazo de 72 horas após ter tido conhecimento da mesma. Tal não é necessário se a violação não for suscetível de resultar num risco para as pessoas a quem os dados dizem respeito (artigo 33.º do RGPD).

• O prazo começa a contar a partir do momento em que tem conhecimento, e não do momento em que a violação ocorreu. O fim de semana conta: se a detetar na sexta-feira às 16:40, deve notificar até segunda-feira às 16:40.
• É permitido notificar de forma incompleta. Se, ao fim de 72 horas, ainda não souber tudo, notifique com a informação de que dispõe e complete a notificação posteriormente.
• Apenas online. A notificação é feita através do formulário de notificação da AP, e não por telefone, e-mail ou correio. Com o questionário da AP, pode preparar a notificação.
• Tem dúvidas? Nesse caso, a AP recomenda que notifique na mesma.

Estas perguntas ajudam a fazer a avaliação:

Um exemplo: se for furtado um portátil bem encriptado, provavelmente não existe risco. Nesse caso, não é necessário notificar, mas deve registá-lo no seu registo. Num portátil não encriptado, quem o encontrar pode ler tudo; nesse caso, normalmente existe risco.

Quando deve informar os titulares dos dados?

Se a violação for suscetível de resultar num risco elevado para as pessoas a quem os dados dizem respeito, deve informá-las sem demora injustificada (artigo 34.º do RGPD). Explique em linguagem simples o que aconteceu, quais podem ser as consequências, o que está a fazer e o que elas próprias podem fazer, como alterar uma palavra-passe ou ter especial atenção a phishing em nome da sua empresa.

Tal não é necessário se os dados estavam ilegíveis graças a uma boa encriptação, ou se tomou posteriormente medidas que fazem com que o risco elevado deixe de ser provável. Se contactar todas as pessoas implicar um esforço desproporcionado, faça uma comunicação pública.

O registo de violações de dados: mantê-lo sempre atualizado

Todas as violações de dados devem ser registadas, mesmo que não as notifique (artigo 33.º, n.º 5). Registe os factos, as consequências, as medidas tomadas e a sua avaliação: por que motivo notificou ou não e por que motivo informou ou não os titulares dos dados. A AP disponibiliza um modelo de registo de violações de dados.

E se a violação ocorrer num fornecedor?

A sua empresa de alojamento, o seu software de contabilidade na cloud ou o seu serviço de newsletters é, de acordo com o RGPD, um subcontratante: uma entidade que trata dados pessoais por sua conta. Um subcontratante deve informá-lo sem demora injustificada se detetar uma violação de dados (artigo 33.º, n.º 2). Em seguida, cabe-lhe a si avaliar se deve notificar e, em princípio, é também o próprio que notifica.

O mesmo se aplica se a WebOké for o seu subcontratante. Os acordos sobre esta matéria constam do nosso acordo de subcontratação; consulte Acordo de subcontratação: onde o posso encontrar? Pensa que a violação ocorreu do nosso lado, por exemplo nos nossos servidores? Contacte-nos de imediato através de um ticket no Centro de Suporte, indicando o que observou e quando.

Leitura adicional

• WebOké Backups: ver, restaurar ou transferir uma cópia de segurança
• Autoriteit Persoonsgegevens: notificar ou não
• Autoriteit Persoonsgegevens: como notificar uma violação de dados
• Autoriteit Persoonsgegevens: questionário do formulário de notificação
• Autoriteit Persoonsgegevens: modelo de registo de violações de dados
• O RGPD, artigos 4.º, 33.º e 34.º (EUR-Lex)

Quer saber mais? Frequente o curso gratuito Segurança online para empresários, lição 8.2 Violações de dados e a obrigação de notificação.