TL;DR
A 5 de outubro de 2026, o Presidente da UODO publicou orientações sobre o limiar de notificação do artigo 33.º, n.º 1, após uma série de incidentes com acessos não autorizados a bases de dados de contrapartes e sistemas de faturação. Se apenas foram expostos dados de empresários já públicos no registo CEIDG (nome, firma, NIP, morada oficial), o risco é em regra improvável e a notificação pode não ser necessária. Se, com eles, saíram o PESEL, detalhes de compras que revelam a saúde ou outras categorias especiais, ou informação financeira, a notificação é devida; com risco elevado, também a comunicação aos titulares (artigo 34.º). Sempre: avaliação de risco documentada e motivos da não notificação no registo interno.
O contexto
Nos incidentes mais recentes registados na Polónia, o acesso ilícito não atingiu ficheiros de clientes consumidores, mas bases de dados de contrapartes e sistemas de faturação: listas de empresas e profissionais com quem se trabalha. A UODO pede a cada responsável uma avaliação de risco rigorosa, caso a caso, cujo resultado decide se a notificação é devida.
Quando a notificação pode não ser necessária
O caso típico é o dos empresários em nome individual cujos dados expostos coincidem com os que qualquer pessoa pode consultar no registo público CEIDG: nome, firma, NIP, morada oficial da atividade. Segundo a autoridade, a perda de confidencialidade destes dados não dá, em regra, novas possibilidades de prejudicar o titular. Outros países têm registos comerciais equivalentes, mas a avaliação tem de ser feita sempre sobre o caso concreto.
Quando é devida
- PESEL, o número nacional de identificação polaco: risco de usurpação de identidade, fraudes e dívidas contraídas em nome do titular.
- DETALHES DE COMPRAS OU SERVIÇOS que revelam a saúde ou outras categorias especiais: risco para a privacidade, discriminação, definição de perfis não autorizada.
- INFORMAÇÃO FINANCEIRA: risco de fraudes e de faturas ou pagamentos falsos.
Não notificar não é não documentar
Mesmo quando conclui que a notificação não é necessária, o responsável continua obrigado a realizar e documentar a avaliação de risco e a indicar no registo interno de violações os motivos da não notificação. O RGPD exige que todas as violações sejam documentadas, notificadas ou não (artigo 33.º, n.º 5). Uma decisão de não notificar sem registo escrito é indefensável numa inspeção.
O que significa para o EPD
Cinco passos perante um incidente no programa de faturação
Um: reconstituir com exatidão que campos foram expostos, registo a registo, em vez de raciocinar sobre «a base de dados» em abstrato. Dois: separar os dados já públicos de tudo o resto (IBAN, montantes, descrições de serviços, contactos pessoais, notas). Três: escrever a avaliação com data, autor, critérios e conclusão, e reabri-la se surgirem factos novos. Quatro: vigiar as 72 horas, que contam a partir do conhecimento da violação e não do fim da análise. Cinco: se o incidente ocorreu num subcontratante, verificar que informou o responsável sem demora injustificada (artigo 33.º, n.º 2) e que o contrato o exige.
A leitura da UODO é coerente com as Diretrizes 9/2022 do CEPD sobre notificação de violações: o limiar não é a gravidade percebida do incidente, mas o risco para as pessoas. O valor prático da orientação polaca está nos exemplos, que mostram o que transforma uma lista de contrapartes num problema a notificar.
Procura uma ferramenta para o seu trabalho de EPD?
O DPO Workspace foi construído por um DPO certificado. 30 dias de experiência gratuita.
Começar gratuitamente
