O essencial: a obrigação de notificação em si não muda
A obrigação de notificação de uma violação de dados está no próprio RGPD, com o prazo conhecido de 72 horas após a descoberta para a Autoridade Nacional de Proteção de Dados, e uma avaliação separada sobre se também os indivíduos devem ser informados. Este texto faz parte de um regulamento europeu e não se altera todos os anos. Até onde se sabe, este ano não há qualquer alteração do regulamento em si que afete a obrigação de notificação ou o prazo. O que muda é a interpretação que a rodeia: a forma como o EDPB e a Autoridade Nacional de Proteção de Dados preenchem os conceitos abertos da lei, e a forma como outras legislações se articulam com o RGPD. Para uma PME, isto é frequentemente mais relevante do que o próprio texto da lei, porque é precisamente esta interpretação que determina quando um incidente é considerado notificável.
Não se trata, portanto, de uma nova data ou de um novo número de artigo a memorizar, mas de três mudanças que afetam a prática: orientações mais rigorosas sobre o que conta como violação de dados, maior sobreposição com legislação setorial como a NIS2, e uma realidade diferente porque os incidentes ocorrem cada vez mais frequentemente numa plataforma SaaS do que na própria empresa.
Orientações que deslocam os limites
O próprio RGPD descreve uma violação de dados em termos gerais: um incidente de segurança que resulta em destruição, perda, alteração ou divulgação não autorizada de dados pessoais. O que isso concretamente abrange é precisado ano após ano através de orientações do EDPB e da interpretação da própria Autoridade Nacional de Proteção de Dados. Assim, nos últimos anos houve maior clareza sobre casos-limite: um e-mail enviado incorretamente com um anexo, um colaborador que faz login numa conta errada, ou uma cópia de segurança que está temporariamente indisponível. Este tipo de situações era anteriormente frequentemente considerado como uma questão interna; a orientação nas diretrizes é que também sem intenção maliciosa de um colaborador pode haver um incidente notificável. Para um diretor ou gestor de escritório, isto significa que a avaliação pode ser feita menos frequentemente com base em instinto e mais frequentemente de acordo com um procedimento fixo. Quem tem dúvidas sobre se um caso concreto se enquadra na obrigação de notificação, pode esclarecer isso através de algumas perguntas usando a árvore de decisão do gdpria.eu, em algumas perguntas ver se algo é uma violação de dados notificável.
Sobreposição com outra legislação
Uma segunda mudança não está no próprio RGPD, mas numa legislação que se articula com ele. Para as organizações que fazem parte de, ou fornecem a, setores abrangidos por legislação como a NIS2, um incidente de segurança pode estar simultaneamente sujeito a dois regimes de notificação: o RGPD para os dados pessoais, e uma obrigação de notificação setorial para o próprio serviço. Isto não afeta todas as PMEs, mas afeta empresas de instalação, fornecedores de serviços informáticos e outras partes que atuam como fornecedores de uma organização maior e regulada. Para este grupo é aconselhável verificar se um cliente ou contratante entretanto incluiu disposições de notificação complementares no contrato, para além do que já consta no contrato de processamento. Quem quiser verificar exatamente o que consta nesse contrato sobre prazos de notificação e responsabilidades, encontra informação de contexto em a base de conhecimento com explicações por tópico.
A prática está a deslocar-se para o fornecedor de SaaS
A terceira mudança é menos uma questão de regulamentação e mais de desenvolvimento factual: uma parcela crescente dos incidentes que as empresas holandesas enfrentam não se origina nelas mesmas, mas em um fornecedor de software que utilizam para contabilidade, recursos humanos ou atendimento ao cliente. A responsabilidade de avaliar se isso resulta em uma violação de dados notificável permanece, no entanto, com a empresa que faz processar os dados, não automaticamente com o fornecedor. Um fornecedor que reporta um incidente por conta própria não liberta o cliente dessa avaliação própria. Isso torna ainda mais importante estabelecer previamente como e quando um fornecedor relata um incidente, e encontrar esse acordo também em sua própria visão geral das ferramentas utilizadas. Empresas que ainda não têm esse panorama completo podem construí-lo com a ajuda de uma explicação de como o sistema é preenchido a partir de ferramentas conhecidas.
O que isto significa para você
Para a maioria das pequenas e médias empresas holandesas, nada muda este ano no prazo legal em si. O que é sensato fazer: avaliar periodicamente sua própria abordagem dos incidentes em relação às últimas orientações, verificar se um cliente estabelece acordos de notificação adicionais e ter clareza com fornecedores sobre quem avalia primeiro um incidente. Nenhum desses pontos requer um estudo jurídico, mas sim um momento fixo para analisá-los.
Quer ver rapidamente onde sua empresa está neste aspecto? As perguntas no quick-scan gratuito da gdpria.eu fornecem uma primeira indicação, e em as perguntas frequentes sobre violações de dados e obrigação de notificação você encontrará respostas mais breves sobre questões relacionadas.