Fugas de dados e o dever de notificação

Módulo 8: Quando algo corre mal · Tempo de leitura: 11 minutos

Objetivo de aprendizagem: Depois desta lição, consegue determinar se algo é uma fuga de dados, se tem de a notificar no prazo de 72 horas à Comissão Nacional de Proteção de Dados (CNPD) e se tem de informar os titulares dos dados, e consegue registá-la num registo de fugas de dados.

Conceitos-chave: dados pessoais, fuga de dados (violação de dados pessoais), responsável pelo tratamento, subcontratante, RGPD artigo 33.º e 34.º, notificação à CNPD, 72 horas, risco e risco elevado, registo de fugas de dados

O que é uma fuga de dados?

Ao ouvir "fuga de dados", as pessoas pensam em piratas informáticos que roubam uma base de dados. Essa é apenas uma forma. O RGPD utiliza uma descrição mais ampla: uma violação de dados pessoais é uma violação da segurança que, de modo acidental ou ilícito, provoca a destruição, a perda, a alteração, a divulgação ou o acesso, não autorizados, a dados pessoais (artigo 4.º, ponto 12).

Dados pessoais são todos os dados sobre uma pessoa identificável: um nome, um endereço de e-mail como jan.jansen@..., um número de telefone, uma morada, um número de cliente com histórico de encomendas, uma fotografia, um endereço IP em combinação com outros dados. Os dados sobre uma empresa enquanto tal (número de registo comercial, morada geral) não o são, mas os dados sobre a pessoa de contacto já o são.

Assim, são todas fugas de dados:

• um e-mail com uma lista de clientes enviado para o destinatário errado;
• uma newsletter em que todos os destinatários ficam visíveis no campo Para ou CC;
• uma pen USB ou portátil perdido com dados de pessoal, se não estava encriptado;
• ransomware que encripta a administração de clientes (os dados ficam indisponíveis, mesmo que nada tenha sido copiado);
• uma caixa de correio invadida que contém faturas com nomes e moradas;
• uma ligação partilhada para uma pasta com cartas de candidatura que está acessível a qualquer pessoa.

A expressão "violação da segurança" mostra que não se trata apenas de confidencialidade. Também a perda (os dados desaparecem) e a alteração (alguém alterou números de conta bancária) contam.

Quem é responsável: você ou o seu fornecedor?

O RGPD prevê dois papéis.

• O responsável pelo tratamento determina porquê e como os dados pessoais são tratados. Para os dados dos seus clientes e colaboradores, é você, como empresário.
• Um subcontratante trata dados por sua conta: a sua empresa de alojamento, o seu programa de contabilidade na cloud, o seu serviço de newsletter, o seu fornecedor de TI.

Se ocorrer uma fuga num subcontratante, este tem de a comunicar a você sem atraso injustificado (artigo 33.º, n.º 2). Depois, você avalia se tem de notificar a CNPD e os titulares dos dados, e em princípio é você que faz a notificação (a menos que tenham combinado que o subcontratante o faz em seu nome). A obrigação mantém-se, portanto, do seu lado, mesmo que o erro tenha ocorrido noutro local. Por isso, num contrato de subcontratação constam acordos sobre a rapidez e a forma como um subcontratante o informa (lição 7.2).

O relógio das 72 horas

O artigo 33.º do RGPD determina que deve notificar uma fuga de dados sem atraso injustificado e, se possível, no prazo de 72 horas junto da CNPD, depois de dela tomar conhecimento. A exceção: não ser provável que a fuga constitua um risco para os direitos e liberdades das pessoas.

Há quatro pontos frequentemente mal compreendidos:

1. O relógio começa quando toma conhecimento, não quando a fuga ocorreu. "Tomar conhecimento" significa: ter uma certeza razoável de que existe uma violação que envolve dados pessoais. Uma primeira avaliação breve é permitida, mas quem deliberadamente não verifica não atrasa o relógio.
2. 72 horas são 72 horas, incluindo ao fim de semana e em feriados. Se descobrir uma fuga na sexta-feira às 16:40, o prazo limite é segunda-feira às 16:40.
3. Notificar de forma incompleta é permitido. Se, ao fim de 72 horas, ainda não souber tudo, notifica com o que sabe e completa mais tarde. Se notificar depois das 72 horas, tem de explicar porquê; a CNPD só aceita isso em casos excecionais.
4. O que conta é o risco para as pessoas, não o prejuízo para a sua empresa.

Ontdekt:  vrijdag   16:40   -> klok start
          zaterdag            (telt mee)
          zondag              (telt mee)
Uiterlijk maandag   16:40   -> melding bij de AP (eventueel onvolledig)

A notificação faz-se em regra através do formulário online da CNPD; telefonar, enviar e-mail ou uma carta não é possível. A CNPD disponibiliza um questionário com o qual pode preparar previamente a notificação. Preenche, entre outros, o que aconteceu, quando, que dados e quantas pessoas estão em causa, quais as possíveis consequências e que medidas tomou. É aqui que o registo da lição 8.1 se revela útil.

Quando notificar e quando não: a ponderação do risco

Deve avaliar a probabilidade e a gravidade das consequências para os titulares dos dados. Pense em: fraude de identidade, prejuízo financeiro, discriminação, dano reputacional, ou perda de controlo sobre os seus dados. Perguntas que ajudam:

Dois exemplos que surgem frequentemente:

• Portátil encriptado roubado, palavra-passe forte, chave não comprometida, cópia de segurança recente: provavelmente sem risco. Não notificar a CNPD, mas registar no seu registo.
• Loja online pirateada, o atacante obteve endereços de e-mail e palavras-passe guardadas de forma fraca: há risco, logo deve notificar. E, como as pessoas reutilizam frequentemente a sua palavra-passe (lição 1.4), existe um risco elevado: deve informar os titulares.

Tem dúvidas? Então notificar é geralmente a opção mais segura. Também a CNPD recomenda notificar em caso de dúvida. Novas informações são comunicadas posteriormente através de uma notificação complementar.

Informar os titulares: em caso de risco elevado

O artigo 34.º refere-se às pessoas a quem os dados pertencem. Se a fuga constituir provavelmente um risco elevado, deve informá-las sem demora: assim que razoavelmente possível. Não existe aqui um prazo de 72 horas, mas esperar até tudo estar apurado também não é a intenção.

A comunicação deve indicar, em linguagem clara, o que aconteceu, quais as consequências prováveis, o que você está a fazer e o que os próprios podem fazer (por exemplo, alterar a sua palavra-passe noutros serviços, estar atentos a phishing feito em seu nome, avisar o seu banco), além de um contacto.

Não é necessário informar se tiver tomado medidas adequadas que tornem os dados ilegíveis (como uma boa encriptação), se tiver tomado medidas posteriores que tornem o risco elevado já pouco provável, ou se isso exigir um esforço desproporcionado: nesse caso, faz-se uma comunicação pública (artigo 34.º, n.º 3).

Atenção: o phishing segue muitas vezes uma fuga de dados. Os criminosos passam a saber quem são os seus clientes e enviam um e-mail "em seu nome". Avise também os seus clientes para isso.

O registo de fugas de dados: sempre

O artigo 33.º, n.º 5, obriga a registar todas as fugas de dados, mesmo que não as notifique. Registe: os factos, as consequências, as medidas tomadas e a sua ponderação (porque notificou ou não, porque informou ou não). Pode escolher livremente o formato; a CNPD disponibiliza um modelo de registo de fugas de dados. Uma tabela simples é suficiente:

Nr | Ontdekt (datum/tijd) | Wat gebeurde | Welke gegevens, hoeveel mensen
   | Gevolgen | Maatregelen | AP gemeld? (ja/nee + waarom, datum)
   | Betrokkenen geïnformeerd? (ja/nee + waarom) | Afgehandeld (datum)

O registo também o ajuda a si próprio: se vir três vezes por ano "e-mail para o destinatário errado", sabe onde tem de melhorar (por exemplo, um atraso no envio, ou deixar de usar listas de clientes como anexo, lição 7.3).

Fuga de dados e a transposição da NIS2: duas notificações diferentes

Se a sua organização estiver abrangida pelo Decreto-Lei n.º 125/2025 (transposição da NIS2, lição 9.1), aplica-se também um dever de notificação para incidentes significativos: um primeiro alerta no prazo de 24 horas, uma notificação no prazo de 72 horas e um relatório final no prazo de um mês, junto da autoridade nacional de cibersegurança. Trata-se de uma notificação diferente, com um objetivo diferente (a continuidade dos serviços) e junto de uma entidade diferente. Um ataque de ransomware pode, assim, enquadrar-se em ambas. A maioria das pequenas empresas não está abrangida pelo Decreto-Lei n.º 125/2025; o dever de notificação do RGPD aplica-se, contudo, a todos.

Esta lição fornece uma explicação geral e não constitui aconselhamento jurídico. Em caso de dúvida, consulte o sítio da CNPD ou um jurista.

Resumo

• Uma fuga de dados é qualquer violação que provoque a perda, a alteração de dados pessoais, ou o acesso por alguém que não devia tê-lo; também um e-mail enviado para o destinatário errado ou um portátil não encriptado perdido.
• Notificação à CNPD: sem atraso injustificado e, se possível, no prazo de 72 horas após a deteção, mesmo ao fim de semana, salvo se for pouco provável que haja risco. Notificar de forma incompleta é permitido.
• Informar os titulares: sem demora, se for provável que haja risco elevado.
• Se a fuga ocorrer no seu subcontratante, este tem de o informar; a decisão sobre notificar é sua.
• Registe cada fuga de dados no seu registo de fugas de dados, com a sua ponderação.

Questionário

Exercício

Exercício A8.2: Calcule o prazo. Vai receber quatro momentos de deteção. Preencha, para cada momento, a data e hora limite para a notificação à CNPD. O programa verifica o resultado.

Exercício A8.2b: Notificar ou não? Vai receber oito casos breves. Escolha, para cada caso, se deve notificar a CNPD, se deve informar os titulares dos dados, e se o regista no seu registo de fugas de dados. O programa verifica e dá a explicação por caso.

Para saber mais

Os passos indicados nos artigos da WebOké aplicam-se ao ambiente da WebOké; noutros fornecedores o funcionamento é semelhante.

• Ajuda! O meu site foi pirateado. Como posso resolver ou evitar isso?
• Comissão Nacional de Proteção de Dados, Página sobre proteção de dados: https://www.cnpd.pt/
• Comissão Nacional de Proteção de Dados, https://www.cnpd.pt/: https://www.cnpd.pt/
• Comissão Nacional de Proteção de Dados, Informação sobre a notificação de fugas de dados: https://www.cnpd.pt/
• RGPD (Regulamento (UE) 2016/679), artigos 4.º, 33.º e 34.º: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• O centro nacional de cibersegurança dos Países Baixos (NCSC), Notificação de uma fuga de dados: https://www.ncsc.nl/wet-en-regelgeving/melden-van-een-datalek