perdi um pen drive com dados de clientes — é uma violação de dados

Um pen USB extraviado é geralmente uma violação de dados

Um pen USB com dados de clientes que se perdeu é, na maioria dos casos, uma violação de dados no sentido do RGPD. A definição no artigo 4.º do RGPD fala de uma violação da segurança que leva à perda de dados pessoais, e é precisamente o que acontece quando um pen com nomes, endereços ou outros dados de clientes não pode mais ser encontrado: os dados não foram destruídos, mas saíram do controlo da empresa. Se também caem em mãos erradas é secundário — a perda de controlo já é suficiente para se enquadrar na definição.

O que acontece depois depende do que estava no pen e de como foi protegido. Um pen encriptado com um conjunto limitado de dados apresenta uma situação diferente da de um pen não protegido com muitos dados de clientes ou informações sensíveis. Essa distinção é relevante para a questão quando devo comunicar uma violação de dados à Autoridade para a Proteção de Dados, e também para a questão de saber se os clientes devem ser informados — essa questão está descrita na página sobre devo informar os titulares de dados sobre uma violação de dados. Para a distinção entre um incidente e uma violação de dados em sentido mais lato, a página o que é exatamente uma violação de dados é um ponto de partida lógico.

Baseado em

A definição de violação consta do artigo 4.º do RGPD, e o artigo 33.º do RGPD regula a comunicação à autoridade de controlo assim que as condições sejam satisfeitas. A Autoridade para a Proteção de Dados desenvolve isto ainda mais na sua página sobre comunicação de violações de dados, e o EDPB publicou diretrizes com exemplos de tipos de violações de dados, incluindo a perda de suportes de dados. A obrigação de comunicar aplica-se em toda a UE sob a verordação, mas o local onde se comunica varia de país para país: nos Países Baixos é a Autoridade para a Proteção de Dados, noutros Estados-membros é a autoridade de controlo designada lá.