Quando devo notificar uma violação de dados à Autoridade de Proteção de Dados?

A notificação é a regra principal, a menos que um risco seja improvável

Uma violação de dados deve ser notificada à autoridade de supervisão assim que for provável que a violação crie um risco para os direitos e liberdades das pessoas cujos dados foram afectados. Este é o cerne do artigo 33 do RGPD: a notificação é o ponto de partida, e apenas quando for razoável presumir que não há risco, essa notificação é dispensada. Na prática, isto significa que a maioria das violações de dados pessoais — um e-mail enviado para o endereço errado com dados de clientes, um portátil roubado, uma base de dados hackeada — está sujeita à obrigação de notificação, enquanto uma violação que claramente não pode afectar ninguém (por exemplo, porque os dados estavam encriptados e a chave não foi revelada) pode estar isenta.

Para esta avaliação, considerará o que exactamente aconteceu, quais dados estão envolvidos e quem pode ser afectado. Dados especiais, dados financeiros ou dados de crianças têm maior peso do que um simples endereço de e-mail. O prazo de 72 horas previsto no artigo 33 do RGPD começa a contar a partir do momento em que toma conhecimento da violação, não a partir do momento em que ocorreu — frequentemente há semanas entre estes dois momentos. Uma árvore de decisão que percorre esta ponderação passo a passo nunca é um substituto para o seu próprio julgamento sobre a violação concreta, mas ajuda a estruturar sistematicamente a questão "obrigação de notificação ou não".

De onde isto resulta do artigo 33 do RGPD e das orientações do EDPB

A própria obrigação de notificação consta do artigo 33 do RGPD; o preenchimento de conceitos como "risco" e "sem demora" resulta das orientações do EDPB sobre notificações de violações de dados, e a Autoridade Portuguesa de Protecção de Dados clarifica isto para a prática portuguesa. O RGPD aplica-se directamente em cada Estado-membro, mas a entidade para a qual notifica varia: em Portugal, é o ponto de contacto da Autoridade Portuguesa de Protecção de Dados, a única autoridade de supervisão para o país inteiro. Na Alemanha, notifica à autoridade de supervisão do estado federado onde está localizada a sede, uma vez que existem dezasseis autoridades de supervisão estaduais além de uma autoridade supervisora federal.