Violação de dados: participar ao seguro substitui notificar a CNPD?

Três destinatários, três perguntas

Distinga a participação ao segurador, a notificação à autoridade de controlo competente e a comunicação às pessoas afetadas. Cada percurso tem requisitos próprios. A empresa deve identificar o seu papel e acionar quem coordena a proteção de dados, incluindo o encarregado quando exista.

O responsável pelo tratamento deve avaliar a notificação: a exceção do artigo 33.º aplica-se quando seja improvável que a violação resulte num risco para os direitos e liberdades das pessoas. A comunicação aos titulares tem requisitos próprios de risco elevado e exceções legais.

Fontes: CNPD — Violação de dados ou data breach ↗ · CEPD — Orientações n.º 9/2022, versão 2.0 de 28/03/2023, disponibilizadas pela CNPD ↗

O relógio não espera pelo relatório final

Quando é devida, a notificação à autoridade deve ocorrer sem demora injustificada e, sempre que possível, até 72 horas após o conhecimento. A CNPD esclarece que o prazo é contínuo, incluindo fins de semana e feriados. Se necessário, a informação pode ser prestada por fases; o atraso exige justificação.

Registe a hora do alerta inicial e o momento em que se estabelece conhecimento da violação, com os factos que sustentam essa conclusão. Não use a chegada de uma peritagem final como data automática de início da contagem.

Fontes: CEPD — Orientações n.º 9/2022, versão 2.0 de 28/03/2023, disponibilizadas pela CNPD ↗ · CNPD — Deliberação: notificação, prazo contínuo e documentação de violações ↗

Um registo útil sem divulgar a base de dados

Como método de organização, prepare campos para natureza da ocorrência, sistemas, categorias de dados, pessoas potencialmente afetadas, consequências conhecidas, medidas tomadas e pontos por confirmar. Indique o responsável por cada tarefa e a origem de cada informação.

Exemplo fictício: um ficheiro é enviado a um destinatário errado. Registe o que foi enviado, o destinatário, quando se detetou o erro e as medidas efetivamente confirmadas. Não conclua apenas a partir de «o email foi apagado» que deixou de haver risco. A avaliação depende dos factos.

A documentação é necessária mesmo quando a avaliação conclui que a notificação não é exigida. Guarde a fundamentação e as revisões da análise.

Fontes: CNPD — Violação de dados ou data breach ↗

Acione o apoio adequado

Siga o plano de resposta e os contactos previstos no contrato de seguro, sem suspender a avaliação dos deveres legais. Confirme com apoio técnico e jurídico qual a autoridade competente e se é exigida comunicação aos titulares, nomeadamente em situações transfronteiriças.

Este guia não decide se um incidente concreto é notificável nem confirma despesas cobertas pelo seguro. Para preparar proteção futura, pode pedir uma simulação à RMACHADO descrevendo a atividade e os sistemas, sem enviar bases de dados ou credenciais.