Um e-mail para o destinatário errado é uma violação de dados?

Um e-mail enviado incorretamente pode ser uma violação de dados

Um e-mail que vai para o destinatário errado enquadra-se na definição de uma violação de dados conforme a RGPD a define: trata-se de uma violação da segurança que resulta em acesso indesejado a dados pessoais por alguém sem direito a tal. Quer se trate de um CV, de uma fatura com um endereço ou de um memorando interno com nomes — assim que dados pessoais caem nas mãos da pessoa errada, a qualificação de "violação de dados" é, em princípio, relevante.

O facto de algo ser uma violação de dados não significa automaticamente que deva ser reportado. O artigo 33.º da RGPD vincula a obrigação de notificação à autoridade de controlo ao risco que a violação representa para os direitos e liberdades da pessoa em causa: quão sensíveis são os dados, quantas pessoas foram afectadas, e o e-mail foi recuperado ou permaneceu não aberto. Um e-mail enviado incorretamente contendo apenas um nome e uma hora de consulta é ponderado de forma diferente do que um e-mail com dados financeiros ou informações de saúde enviado a um grande número de destinatários errados. A organização que cometeu o erro faz essa ponderação por si mesma, e também decide por si mesma se o notifica.

Isto decorre do artigo 33.º da RGPD

A definição de uma violação da segurança dos dados pessoais e a vinculação da obrigação de notificação no prazo de 72 horas encontram-se no artigo 33.º da RGPD; a Autoridade Nacional de Proteção de Dados trabalha na sua página sobre a notificação de violações de dados como essa ponderação de risco é feita na prática. A RGPD aplica-se como regulamento directamente em cada Estado-Membro, pelo que este cerne é igual em toda a parte — o que varia é onde se faz a notificação. Na Holanda, é à Autoridade Nacional de Proteção de Dados, como única autoridade de controlo nacional. Na Alemanha é diferente: uma organização notifica a autoridade de controlo do Estado federado onde se encontra estabelecida, e existem dezasseis autoridades de controlo estaduais para além do BfDI federal.