minha caixa de correio comercial foi hackeada — preciso relatar

Uma caixa de correio hackeada é geralmente uma violação de dados, a notificação depende das consequências

Uma caixa de correio comercial hackeada é na maioria dos casos uma violação no sentido do RGPD: há acesso não autorizado a dados pessoais, e esse acesso surge quase sempre assim que alguém de fora entra numa conta que contém dados de clientes ou contactos. Com isso fica estabelecido que algo aconteceu que se enquadra na definição de o que é exatamente uma violação de dados? vem em questão. No entanto, isso não é automaticamente o mesmo que uma obrigação de notificação à autoridade supervisora.

Se a notificação à autoridade supervisora é necessária depende do risco que a violação traz para as pessoas cujos dados estavam nessa caixa de correio — pense em faturas com dados de endereço, orçamentos com NIF, ou correspondência com conteúdo sensível. Uma caixa de correio apenas com dados comerciais de contacto de empresas parceiras traz um risco diferente do de uma caixa de correio cheia de dossiers de clientes ou correspondência médica. Essa avaliação e os passos que a acompanham estão elaborados na página sobre quando devo notificar uma violação de dados à Autoridade da Proteção de Dados?. Além da notificação à autoridade supervisora, coloca-se também a questão de se os titulares dos dados devem ser informados, o que tem um marco de avaliação separado.

Fundamento no RGPD: a definição de violação e a obrigação de notificação

A base encontra-se no artigo 4.º do RGPD, que define uma violação da segurança dos dados pessoais como acesso a, ou perda, alteração ou destruição de dados que não deveria ter acontecido — uma descrição que uma caixa de correio hackeada normalmente se enquadra. O artigo 33.º do RGPD acopla a isto a condição para notificação à autoridade supervisora: essa obrigação de notificação aplica-se quando a violação cria um risco para os direitos e liberdades dos titulares dos dados, com uma exceção se esse risco é razoavelmente ausente. As orientações do EDPB desenvolvem este conceito de risco mais longe, e a Autoridade da Proteção de Dados oferece na sua página sobre violações de dados um guia prático para essa avaliação. O que é igual em toda a UE: a definição e a avaliação de risco da regulação. O que varia por país: a autoridade supervisora para a qual vai a notificação — nos Países Baixos a Autoridade da Proteção de Dados, noutros Estados-Membros a autoridade supervisora desse país.