Em resumo
Dados fiscais e cadastrais extraídos; palavras-passe não. O ministério notificou a CNIL e vai informar individualmente as pessoas em causa. A CNIL não pede reclamações individuais e vai verificar se as medidas de segurança estavam conformes ao estado da arte: as coimas podem atingir tanto os responsáveis como os subcontratantes.
O que saiu
- Dados fiscais: rendimento fiscal de referência, quociente familiar, taxa de retenção na fonte, número de identificação e denominação social das empresas.
- Dados cadastrais: moradas e áreas dos imóveis.
- Os identificadores e as palavras-passe não parecem afetados.
Essa última linha costuma tranquilizar e aqui é o problema. Sem credenciais ninguém entra na conta de ninguém; com o rendimento, o quociente familiar, a taxa e a morada do imóvel escreve-se uma mensagem que sabe de uma pessoa mais do que o próprio banco. É matéria-prima de phishing de qualidade, e a CNIL di-lo abertamente nas recomendações: desconfiar de qualquer pedido «urgente» por correio eletrónico ou telefone construído sobre essa informação.
A frase que diz respeito a quem faz de EPD
«A CNIL pode conduzir averiguações documentais ou no local para verificar, nomeadamente, se as medidas de segurança em vigor estão conformes ao estado da arte da segurança informática.» Não «se existia um procedimento», não «se havia um EPD»: se as medidas estavam ao nível do estado da arte à data dos factos.
É a bitola do artigo 32.º, e demonstra-se com datas. Uma lista de medidas sem a data em que foram adotadas e sem o documento que as prova não resiste a essa averiguação: ninguém consegue estabelecer depois o que vigorava em agosto e o que foi acrescentado em setembro.
A CNIL acrescenta que a eventual coima pode atingir os responsáveis <strong>e os subcontratantes</strong>. Quem presta serviços a uma administração não está ao abrigo porque o nome nos jornais é o do cliente.
Nada de reclamações individuais
A CNIL já está a par da violação e pede que não lhe sejam dirigidas reclamações individuais sobre o assunto, salvo se houver elementos específicos úteis às investigações em curso. É uma precisão prática que vale a pena passar a um cliente antes de ele gastar tempo a preparar uma reclamação que ficará de lado.
Três perguntas a fazer hoje aos clientes
1) Se chegasse um pedido com dados fiscais corretos, como o verificamos? Um canal de retorno definido antes vale mais do que qualquer formação dada depois. 2) As nossas medidas do artigo 32.º têm data e um documento que as prove, ou são uma lista? 3) Somos subcontratantes de alguma administração: sabemos que a averiguação também nos pode chegar?
Procura uma ferramenta para o seu trabalho de EPD?
O DPO Workspace foi construído por um DPO certificado. 30 dias de experiência gratuita.
Começar gratuitamente
