O que é exatamente uma violação de dados?

Uma violação de dados é qualquer incidente em que dados pessoais foram expostos, perdidos ou alterados

Uma violação de dados é, em resumo, um acontecimento em que dados pessoais deixam de estar seguros: foram perdidos, caíram em mãos erradas, ou foram alterados ou destruídos sem consentimento. Portanto, não se trata apenas de hacking. Um e-mail enviado para o endereço errado com uma base de clientes em anexo, um portátil roubado sem encriptação, uma pen drive deixada na rua, um ataque de phishing onde as credenciais de acesso são capturadas, ou um erro de sistema que deixa os dados inadvertidamente públicos — tudo isto se enquadra na mesma definição, logo que dados pessoais estejam envolvidos.

Na prática, é feita uma distinção entre três tipos de incidentes: um incidente de disponibilidade (dados foram perdidos ou estão inacessíveis, por exemplo, devido a um ataque de ransomware ou a uma cópia de segurança defeituosa), um incidente de integridade (dados foram alterados indevidamente) e um incidente de confidencialidade (dados foram consultados ou partilhados por alguém que não deveria ter acesso). Um único incidente pode enquadrar-se em mais de um destes tipos ao mesmo tempo. Se um acontecimento é ou não uma violação de dados é independente da questão de saber se deve ou não ser comunicado — isto último depende do risco a que os titulares dos dados estão expostos, e é um passo separado que vem após a constatação da violação.

Onde isto resulta: artigo 4.º RGPD

A definição de uma violação de dados resulta diretamente do artigo 4.º do RGPD, onde um "incidente relativo a dados pessoais" é descrito como um incidente na segurança que, acidental ou indevidamente, leva à destruição, perda, alteração, divulgação não autorizada ou acesso a dados transmitidos, armazenados ou de outra forma tratados. Esta definição aplica-se diretamente em cada Estado-membro, sem variações nacionais. A Autoridade Nacional de Proteção de Dados desenvolve esta definição na sua página sobre violações de dados com a classificação em incidentes de disponibilidade, integridade e confidencialidade, e com exemplos da prática.