TL;DR
Por decisão de 28 de julho de 2026, publicada pelo CEPD a 8 de outubro, a autoridade grega de proteção de dados aplicou uma coima de 200 000 euros ao Ministério da Coesão Social e da Família (responsável) e de 150 000 euros à E.E.T.A.A. S.A., agência de desenvolvimento local que geria os seus sistemas (subcontratante). O Ministério tinha notificado a violação e informado os titulares corretamente; a coima diz respeito à segurança e à relação com o subcontratante. Artigos: 25.º, 28.º, 32.º, 33.º e 34.º do RGPD.
O que aconteceu
Um ciberataque de grande escala atingiu os sistemas da E.E.T.A.A., usados para executar os programas do Ministério. As bases de dados continham dados de muitíssimas pessoas: identificação e contactos, dados financeiros e de saúde.
O que a autoridade apurou
- NOTIFICAÇÃO CORRETA. O Ministério, enquanto responsável, cumpriu as obrigações de notificar a autoridade e comunicar aos titulares (arts. 33.º e 34.º).
- SISTEMAS ULTRAPASSADOS. O ataque teve êxito porque a E.E.T.A.A. continuava a usar sistemas obsoletos e medidas de segurança inadequadas, apesar de conhecer os riscos (art. 32.º).
- RELAÇÃO NÃO REGULADA. Deficiências quanto ao art. 28.º: a relação entre responsável e subcontratante não estava regulada como o RGPD exige.
- COIMAS A AMBOS. 200 000 euros ao Ministério e 150 000 à E.E.T.A.A., com a ordem de celebrar um contrato nos termos do art. 28.º e concluir as medidas de segurança previstas.
Notificar bem não salva o responsável
A gestão da violação foi correta e, ainda assim, o responsável paga. A razão está antes: o art. 28.º exige recorrer apenas a subcontratantes com garantias suficientes e regular a relação por escrito. Um fornecedor com sistemas obsoletos, sem contrato que o vincule, é um risco do responsável antes de ser do fornecedor.
O que significa para o EPD
Quatro verificações
Um: para cada fornecedor que trate dados por conta do cliente, um contrato do art. 28.º assinado, mesmo que seja uma entidade pública ou uma empresa pública. Dois: no contrato, medidas mínimas de segurança e o direito de as verificar, incluindo a atualização dos sistemas. Três: uma revisão periódica documentada dos fornecedores com dados de saúde ou financeiros. Quatro: se o fornecedor conhece um risco e não o resolve, o responsável tem de saber e decidir — é o momento de um parecer escrito do EPD.
O caso é útil também por outra razão: mostra que as autoridades sancionam diretamente o subcontratante quando a causa da violação é sua. O subcontratante não está «coberto» pelo responsável: tem obrigações de segurança próprias e responde por elas.
Procura uma ferramenta para o seu trabalho de EPD?
O DPO Workspace foi construído por um DPO certificado. 30 dias de experiência gratuita.
Começar gratuitamente
