DPO WorkspaceComeçar grátis

Art. 33.º-34.º RGPD

Violação de dados pessoais: gerir as 72 horas sem pânico

Numa violação de dados pessoais, cada hora conta a partir do momento em que o responsável pelo tratamento toma conhecimento -- não do próprio incidente. Um processo organizado cobre exatamente estas etapas: a primeira avaliação de risco, a decisão sobre o dever de notificar, a notificação atempada à autoridade de controlo e, em caso de risco elevado, a comunicação aos titulares dos dados.

Para um EPD externo que acompanha vários clientes soma-se uma dificuldade adicional: cada cliente tem um percurso de notificação diferente, contactos internos diferentes e o seu próprio contador. Uma folha de cálculo comum a todos os clientes falha precisamente onde as 72 horas não deixam margem de erro.

O prazo conta-se a partir do conhecimento, não do incidente

O art. 33.º, n.º 1 do RGPD refere-se ao momento em que se toma conhecimento da violação. Por isso são decisivos os canais internos de reporte e a deteção rápida: uma deteção tardia resultante de falhas organizativas dificilmente será justificável perante a CNPD invocando o prazo de 72 horas.

O que cobre o processo guiado

  • Contagem decrescente de 72 horas a partir do conhecimento da violação, com avisos
  • Registo interno de todas as violações (art. 33.º, n.º 5)
  • Modelo de notificação à autoridade de controlo (art. 33.º, n.º 3)
  • Modelo de comunicação aos titulares dos dados em caso de risco elevado (art. 34.º)
  • Avaliação de risco guiada, com fundamentação da decisão de notificar ou não
  • Arquivo na ficha do cliente, ligado ao registo e à avaliação de impacto

O contador corre, os modelos estão prontos

No DPO Workspace, o contador de 72 horas arranca no momento em que se toma conhecimento da violação e permanece ligado ao registo, à avaliação de impacto e aos documentos de cada cliente. 30 dias grátis, sem cartão de crédito.

Experimentar grátis

Perguntas frequentes

A partir de quando se contam as 72 horas para notificar uma violação?

A partir do momento em que o responsável pelo tratamento TOMA CONHECIMENTO da violação, e não a partir do momento do próprio incidente (art. 33.º, n.º 1 do RGPD). Por isso são decisivos os canais internos de reporte e a deteção rápida: o tempo perdido antes da deteção não suspende o prazo, e uma deteção tardia resultante de falhas organizativas pode, por si só, ser objeto de censura.

É preciso notificar todas as violações à CNPD?

Não, apenas as suscetíveis de implicar um risco para os direitos e liberdades das pessoas singulares (art. 33.º, n.º 1 do RGPD). Havendo risco elevado, acresce ainda o dever de comunicar a violação aos próprios titulares dos dados (art. 34.º do RGPD).

O que deve conter a notificação à autoridade de controlo?

A natureza da violação, as categorias e o número aproximado de titulares e de registos afetados, o nome e os contactos do Encarregado de Proteção de Dados, as consequências prováveis e as medidas adotadas ou propostas para as mitigar (art. 33.º, n.º 3 do RGPD). Se nem tudo for conhecido dentro das 72 horas, a notificação pode ser completada por fases.

É preciso documentar todas as violações, mesmo as que não têm de ser notificadas?

Sim. O art. 33.º, n.º 5 do RGPD exige um registo interno de todas as violações, incluindo as que não são objeto de notificação, com os factos, os efeitos e as medidas tomadas -- como prova de responsabilização perante a autoridade de controlo.

Que autoridade é competente em Portugal?

A Comissão Nacional de Proteção de Dados (CNPD), ao abrigo da Lei n.º 58/2019, de 8 de agosto. As notificações são efetuadas através dos canais disponibilizados no sítio da CNPD.

Violações sem pânico, com os prazos certos

Contador, registo e modelos para cada cliente, num só lugar.

Começar grátis