meu laptop com dados de clientes foi roubado — o que faço agora

Um portátil roubado com dados de clientes é geralmente uma violação de dados

Um portátil comercial roubado com dados de clientes conta na maioria dos casos como uma violação da segurança dos dados pessoais, conforme definido no artigo 4º do RGPD. Os dados saem do controlo da organização, e é precisamente isso que essa definição aborda — não importa se o portátil foi roubado de um carro, de uma mala ou de um escritório. O que estava exatamente nesse portátil, e se essa informação estava encriptada ou de outra forma protegida, também determina o peso disso, mas o roubo em si é o ponto de partida da avaliação. Uma explicação mais completa do que se enquadra e o que não se enquadra nessa definição está em a página da base de conhecimentos sobre o que é exatamente uma violação de dados.

A partir do momento da descoberta, duas coisas ocorrem simultaneamente: a determinação dos factos (que dados, de quem, quantas pessoas, e se havia encriptação) e a questão de se isso deve ser comunicado — à autoridade supervisora e possivelmente aos titulares dos dados em si. Ambas as questões dependem do risco que os dados roubados representam para as pessoas, e é precisamente esse risco que faz com que um portátil vazio ou adequadamente encriptado seja avaliado de forma diferente de um portátil cheio de ficheiros de clientes não encriptados. Como essa ponderação funciona para a comunicação à autoridade supervisora está detalhada na página sobre quando uma violação de dados deve ser comunicada à Autoridade da Proteção de Dadose a questão de se os titulares dos dados também devem receber uma notificação está na página sobre informar os titulares dos dados numa violação de dados.

Onde isto se baseia: artigo 4º, artigo 32º e artigo 33º do RGPD

A definição de uma violação está no artigo 4º do RGPD, a obrigação de proteger adequadamente os dados — incluindo o risco de perda de equipamento — no artigo 32º, e a obrigação de comunicação à autoridade supervisora no artigo 33º. Esses três artigos aplicam-se diretamente em toda a UE, portanto a avaliação de se um portátil roubado é uma violação de dados sujeita a comunicação obrigatória segue as mesmas regras em toda a parte. O que varia de país para país é a autoridade supervisora para onde vai uma comunicação: nos Países Baixos é a Autoridade da Proteção de Dados, noutros Estados-Membros é a autoridade supervisora nacional desse país. As orientações do EDPB fornecem uma explicação adicional sobre como esses artigos são aplicados na prática, e a Autoridade da Proteção de Dados oferece na sua própria página sobre violações de dados uma explicação holandesa dessas mesmas regras.