O pedido vinha de um domínio governamental real

O que importa a um EPD não é o número de clientes nem o nome da empresa. É que o dado saiu por um canal legítimo, autorizado por uma pessoa que fez aquilo que lhe tinham ensinado: responder a um pedido da autoridade. Nenhuma firewall o travaria. O que cedeu foi um procedimento, e na maioria das organizações esse procedimento não está escrito em lado nenhum.

• Data de nascimento, moradas postais e de correio eletrónico, números de telefone.
• Cópias de documentos de identificação: passaportes e cartas de condução.
• Selfies de verificação de identidade.
• Extratos de conta e históricos de transações.

Quanto à qualificação não há dúvidas: é uma violação de dados pessoais. A definição do artigo 4.º, n.º 12, do RGPD abrange a divulgação não autorizada, e houve divulgação a um destinatário sem título para a receber. O facto de o engano ser bem feito não altera a qualificação: pesa, quando muito, na apreciação da diligência, que é outra coisa e vem depois.

As contramedidas são banais, e é por isso que são saltadas. Um canal de retorno independente: liga-se ao organismo pelo número publicado no sítio dele, não pelo indicado no pedido. Uma só pessoa autoriza as comunicações a autoridades, não quem abre o correio. Um registo dos pedidos recebidos e dos respondidos, com data, fundamento e destinatário — que é, aliás, o que faz falta para demonstrar diligência quando alguma coisa corre mal. E a regra de que nenhuma urgência declarada por quem pede encurta a verificação: a urgência é a alavanca em que esta burla assenta.