As notificações de violações de dados já ultrapassaram, a meio do ano, o total de todo o ano de 2025. No primeiro semestre de 2026 contam-se 1803 comprometimentos comunicados.
Um único incidente pesa mais do que todos os outros juntos
A violação da plataforma Canvas, da Instructure, usada no setor da educação, produziu por si só cerca de 275 milhões de avisos aos titulares dos dados: 58% do total do semestre.
É o dado que um encarregado de proteção de dados deve ter presente ao ler estatísticas de violações. O número de pessoas afetadas não mede a frequência do risco: mede a sua concentração. Poucas plataformas muito utilizadas deslocam todo o agregado, e a maioria das organizações não se parece em nada com a média.
A IA aparece numa violação em cada quatro
Entre março de 2025 e fevereiro de 2026, uma violação em cada quatro envolveu inteligência artificial — mais 56% do que no ano anterior.
Aqui é preciso cautela: «envolver IA» abrange realidades muito diferentes — phishing mais bem redigido, automatização do reconhecimento, uso de ferramentas generativas por quem ataca. Não é uma categoria jurídica, é uma observação sobre técnicas.
O que daqui retira quem avalia o risco
O art. 32.º exige medidas adequadas «tendo em conta o estado da técnica». Se muda o estado da técnica de quem ataca, muda também a bitola pela qual se julga a adequação das defesas. Uma avaliação de risco escrita há dois anos e nunca revista descreve, hoje, um mundo diferente.
E o caso Canvas lembra algo que se esquece com facilidade: a maior violação que o seu cliente sofrerá quase nunca ocorrerá nos sistemas dele, mas nos de um fornecedor. É por isso que o registo de subcontratantes e as garantias do art. 28.º não são papelada.
Vale a pena verificar nos clientes apenas duas coisas: que plataformas de terceiros tratam os seus dados e se existe algum procedimento para tomar conhecimento de uma violação ocorrida noutro lugar. Na maioria dos casos, a resposta à segunda é que a notícia chega pelos jornais.
Procura uma ferramenta para o seu trabalho de EPD?
O DPO Workspace foi construído por um DPO certificado. 30 dias de experiência gratuita.
Começar gratuitamente
