fomos vítimas de ransomware — é automaticamente uma violação de dados

Ransomware é geralmente uma violação de dados, mas não automaticamente

Um ataque de ransomware é geralmente uma violação de dados no sentido do RGPD, mas a ligação entre "afetado por ransomware" e "portanto comunicar" não é automática. O artigo 4.º do RGPD define uma violação como qualquer destruição, perda, alteração ou divulgação não autorizada de dados pessoais. No ransomware, os ficheiros são encriptados ou ficam inacessíveis, o que se enquadra em "perda de disponibilidade" — mesmo que os dados não tenham sido consultados ou copiados. Com isso, a definição de uma violação é geralmente satisfeita, o que, aliás, é algo diferente da questão o que é exatamente uma violação de dados significa para a obrigação de comunicação num caso concreto.

Se os dados pessoais estavam nesses ficheiros encriptados, e se existe efetivamente risco para as pessoas cujos dados estão em causa, continua a ser uma questão separada. Um ataque de ransomware a um servidor sem dados pessoais não é uma violação no sentido do RGPD. Um ataque onde os dados foram efetivamente afetados, mas existe uma cópia de segurança que funciona bem e a recuperação é possível rapidamente, pode gerar um risco inferior ao de um ataque onde os dados também foram exfiltrados (dupla extorsão). Esta avaliação de risco determina posteriormente quando uma violação de dados deve ser comunicada à Autoridade da Proteção de Dadose se os próprios titulares dos dados devem ser informados.

Baseado em

A definição de uma violação no artigo 4.º do RGPD é o ponto de partida; o artigo 33.º do RGPD regula a comunicação à autoridade de supervisão assim que existe uma violação, e o artigo 32.º do RGPD aborda a questão de saber se a segurança estava em ordem antes do ataque ocorrer. As orientações do EDPB trabalham explicitamente exemplos com ransomware, incluindo a distinção entre encriptação sem exfiltração e ataques onde os dados também foram roubados. A obrigação de avaliar uma violação e comunicá-la eventualmente aplica-se em toda a UE da mesma forma, porque o RGPD tem aplicação direta; a autoridade de supervisão que recebe a comunicação varia por Estado-membro — nos Países Baixos é a Autoridade para a Proteção de Dados, noutros países é a autoridade de supervisão desse Estado-membro. Quando um fornecedor de TI ou parceiro de alojamento é afetado pelo ransomware, coloca-se também a questão se uma comunicação de um fornecedor também gera uma obrigação de comunicação própria.