Posso tratar uma falha de segurança de dados por conta própria?
Sim, uma grande parte da avaliação e tratamento de uma violação de dados pode ser feita por si próprio. O RGPD não prescreve que um jurista ou organismo externo deva ser envolvido. O que a regulação exige é que identifique a violação, avalie se causa risco às pessoas cujos dados foram afectados e — se for esse o caso — notifique atempadamente a Autoridade Nacional de Proteção de Dados e, eventualmente, os titulares de dados.
Se consegue fazer isso de forma independente depende principalmente da dimensão e complexidade do incidente. Um email enviado para o endereço errado com dados de um cliente é diferente de um servidor hackeado com milhares de dossiers de clientes. O limite entre fazer sozinho e externalizar não é estabelecido pela lei, mas pela sua própria capacidade de avaliar de forma rápida e cuidadosa o que aconteceu.
O que pode avaliar sozinho
A primeira pergunta em qualquer incidente é se existe realmente uma violação de dados no sentido do RGPD: os dados pessoais foram perdidos, acedidos por alguém sem direito a fazê-lo, ou acidentalmente alterados ou destruídos? Pode fazer essa avaliação perfeitamente sozinho com uma lista de perguntas clara. em algumas questões vê onde está dá uma primeira indicação sem precisar imediatamente de um consultor.
Se existe realmente uma violação, segue-se a avaliação de risco: causa perigo aos direitos e liberdades dos titulares de dados, por exemplo porque dados sensíveis ficaram acessíveis ou a fraude de identidade se torna possível? Para muitas situações correntes, também pode fazer essa ponderação com base nas orientações do EDPB e na explicação que a Autoridade Nacional de Proteção de Dados dá sobre o assunto. A base de conhecimento com explicação por tema descreve os critérios que desempenham um papel, com a referência ao texto oficial incluída.
A notificação efectiva à Autoridade Nacional de Proteção de Dados é também, na prática, algo que muitas empresas podem fazer por si próprias. A autoridade supervisora dispõe de um formulário próprio para isso, e as informações solicitadas — o que aconteceu, que dados estão em causa, quantas pessoas foram afectadas e que medidas foram tomadas — são informações que a sua organização melhor conhece.
Quando é sensato procurar ajuda adicional
Em algumas situações, lidar sozinho torna-se mais difícil. Se envolve um grande número de titulares de dados, dados pessoais sensíveis como dados de saúde, ou um incidente técnico cuja dimensão ainda não está clara, é recomendável não confiar apenas numa avaliação própria. O mesmo se aplica quando a violação pode ter consequências noutro Estado-Membro, ou quando não está claro qual é a autoridade supervisora competente.
Informar os titulares de dados — em vez de apenas a autoridade supervisora — também exige cuidado. O tom, o conteúdo e o momento dessa comunicação determinam em parte como as pessoas reagem, e uma mensagem formulada de forma incorrecta pode causar mais inquietação do que o próprio incidente. Nestes casos, é sensato consultar um jurista ou contactar a Autoridade Nacional de Proteção de Dados para determinar a via adequada.
O que o RGPD prescreve e o que não prescreve
A regulação estabelece um prazo dentro do qual uma violação notificável deve ser comunicada à autoridade supervisora, e obriga as organizações a documentarem quais as violações de dados que ocorreram, incluindo as violações que não precisam de ser notificadas. O que o RGPD não prescreve é quem executa esse processo dentro da sua organização. Isso significa que lidar sozinho é permitido, contanto que o resultado cumpra o que a lei exige.
A responsabilidade permanece na organização, mesmo quando parte do trabalho é terceirizada para um consultor ou agência. Não se trata, portanto, de transferir tudo e esquecer, mas de saber quais medidas foram tomadas e porquê.
A documentação é sempre necessária
Quer o faça pessoalmente quer seja apoiado, a documentação é necessária em ambos os casos: o que aconteceu, quando o descobriu, que avaliação fez sobre o risco e que medidas foram tomadas para evitar repetição. Essa documentação não é útil apenas para a autoridade supervisora, mas também para si próprio, caso um incidente semelhante ocorra novamente.
Como essa fundamentação deve ser apresentada e que fontes devem ser utilizadas podem ser consultadas em a página de onde a informação provém. Se tem dúvidas sobre se a sua situação está sujeita a notificação, faça primeiro a verificação gratuita e leia os tópicos relevantes na base de conhecimento antes de tomar uma decisão. Se pretende pôr em ordem estruturalmente o processo de detecção até resolução, pode registar-se para uma conta comercial para fazer com que os prazos e a documentação avancem automaticamente.