Roubados os dados fiscais franceses, e nenhuma senha: é isso que torna o caso perigoso

O que saiu

• Dados fiscais: rendimento fiscal de referência, quociente familiar, taxa de retenção na fonte, número de identificação e denominação social das empresas.
• Dados cadastrais: moradas e áreas dos imóveis.
• Os identificadores e as palavras-passe não parecem afetados.

Essa última linha costuma tranquilizar e aqui é o problema. Sem credenciais ninguém entra na conta de ninguém; com o rendimento, o quociente familiar, a taxa e a morada do imóvel escreve-se uma mensagem que sabe de uma pessoa mais do que o próprio banco. É matéria-prima de phishing de qualidade, e a CNIL di-lo abertamente nas recomendações: desconfiar de qualquer pedido «urgente» por correio eletrónico ou telefone construído sobre essa informação.

A frase que diz respeito a quem faz de EPD

«A CNIL pode conduzir averiguações documentais ou no local para verificar, nomeadamente, se as medidas de segurança em vigor estão conformes ao estado da arte da segurança informática.» Não «se existia um procedimento», não «se havia um EPD»: se as medidas estavam ao nível do estado da arte à data dos factos.

É a bitola do artigo 32.º, e demonstra-se com datas. Uma lista de medidas sem a data em que foram adotadas e sem o documento que as prova não resiste a essa averiguação: ninguém consegue estabelecer depois o que vigorava em agosto e o que foi acrescentado em setembro.

A CNIL acrescenta que a eventual coima pode atingir os responsáveis <strong>e os subcontratantes</strong>. Quem presta serviços a uma administração não está ao abrigo porque o nome nos jornais é o do cliente.

Nada de reclamações individuais

A CNIL já está a par da violação e pede que não lhe sejam dirigidas reclamações individuais sobre o assunto, salvo se houver elementos específicos úteis às investigações em curso. É uma precisão prática que vale a pena passar a um cliente antes de ele gastar tempo a preparar uma reclamação que ficará de lado.