Um só balcão para notificar violações: o que pediram o CEPD e a AEPD sobre o pacote de cibersegurança

O balcão único, a parte que lhe diz respeito de cada vez

Em linha com o parecer conjunto sobre o Digital Omnibus, o Comité e a Autoridade apoiam a criação de um ponto de entrada único para a notificação de violações de dados pessoais, porque reduziria o encargo administrativo de quem notifica sem baixar o nível de proteção das pessoas.

Quem já geriu um incidente sabe porque isto conta. Hoje o mesmo evento pode desencadear a notificação à autoridade de proteção de dados em setenta e duas horas, a de cibersegurança noutro prazo, e nas entidades reguladas ainda outras comunicações: formatos diferentes, portais diferentes, campos que perguntam o mesmo com outras palavras, tudo nas horas em que se deveria conter o dano.

Os limites à ENISA

O parecer apoia o reforço do papel da Agência da União Europeia para a Cibersegurança e a difusão da certificação, e acolhe com agrado que o parecer da ENISA seja emitido a pedido prévio do Comité, mantendo as responsabilidades claramente divididas. Sugere acrescentar a Autoridade Europeia entre quem pode pedir esse parecer.

• Se o conselho de administração da ENISA adotar medidas para a aplicação do regulamento de proteção de dados, essas decisões devem limitar-se a pormenores muito técnicos, com consulta prévia da Autoridade
• O âmbito do quadro europeu de certificação da cibersegurança e a sua relação com a certificação do RGPD devem ser clarificados
• Antes de adotar um esquema de certificação relativo à segurança do tratamento, a ENISA deve consultar o Comité
• Os esquemas para produtos e serviços suscetíveis de serem usados em operações de tratamento devem ter em conta os controlos de segurança úteis para demonstrar a conformidade com o RGPD

A frase que vale a pena guardar

"Embora a cibersegurança apoie a proteção dos dados pessoais ao limitar os riscos de acesso, alteração ou indisponibilidade indesejados, é crucial garantir que os controlos de segurança sejam aplicados de modo a não comprometer os direitos e as liberdades fundamentais das pessoas."

É o argumento a usar quando um fornecedor propõe uma medida de segurança que recolhe muito mais do que o necessário: registo completo de teclas, câmaras sobre os postos de trabalho, inspeção do conteúdo das comunicações. A segurança não é um fundamento que absorve tudo o resto.

Sobre as alterações à NIS2

O Comité e a Autoridade acolhem com agrado a designação dos fornecedores de carteiras europeias de identidade digital e de carteiras europeias para empresas como «entidades essenciais». Tem consequências práticas: quem gerir essas carteiras entra no regime mais severo da diretiva.

Quanto às competências, o parecer recomenda que o quadro europeu de competências em cibersegurança não se limite aos profissionais do setor mas inclua também um perfil para o conjunto dos trabalhadores. Traduzido: a segurança não é o ofício de meia dúzia de pessoas dentro da empresa.