O RGPD estabelece que uma violação de dados que possa criar um risco para os titulares dos dados deve ser comunicada à Autoridade Nacional de Proteção de Dados assim que tomar conhecimento dela. O prazo para isso é curto: 72 horas. Se não comunicar, ou comunicar tardiamente, não estará a cumprir uma obrigação do RGPD nesse aspecto. O que isso significa concretamente depende da situação, e é precisamente aqui que, como redação, não tomamos posição: isso cabe a si, ao seu jurista ou à autoridade de supervisão.
O que se pode descrever é: o RGPD confere à Autoridade Nacional de Proteção de Dados poderes para investigar uma violação de dados que não foi comunicada ou foi comunicada tardiamente, e para responder a isso. Qual é essa resposta e se ela ocorre não está estabelecido e não é previsível. Para si como empresário, a questão não é tanto "qual é a multa", mas "o que devo organizar para poder avaliar a tempo se uma comunicação é necessária".
O que exatamente a obrigação de comunicação exige
O RGPD faz uma distinção entre uma comunicação à autoridade de supervisão e uma comunicação aos próprios titulares dos dados. A primeira aplica-se quando há uma violação que possa criar um risco; a segunda, variante mais grave, aplica-se quando há um risco elevado. Ambas as avaliações têm de ser feitas rapidamente, e o prazo de 72 horas para a autoridade de supervisão começa a contar a partir do momento em que descobriu a violação, não a partir do momento em que ocorreu. Quem ainda não tem esta distinção clara, pode passá-la em poucas questões: em cinco perguntas vê onde você está oferece imediatamente uma indicação se uma comunicação é necessária.
O cerne do problema com uma comunicação tardia é geralmente não falta de vontade, mas tempo perdido com falta de clareza: quem tem de tratar disso, é realmente uma violação de dados no sentido do RGPD, e temos efetivamente uma visão geral de quais sistemas contêm dados pessoais. Este último é precisamente onde um registo de atividades de tratamento prova o seu valor: sem uma visão geral dos seus tratamentos, descobrir a extensão de uma violação custará desnecessariamente muito das 72 horas de que dispõe.
Também tem de poder justificar o não comunicar
Um ponto menos conhecido é que o RGPD também exige que documente quando decide não comunicar uma violação e porquê. A obrigação de documentação aplica-se à própria avaliação, não apenas à comunicação se houver. Uma violação que avalia como "sem risco para os titulares dos dados" e cuja avaliação não documente em lado nenhum é difícil de justificar posteriormente, caso lhe seja perguntado. As orientações do EDPB abordam isto extensivamente; a localização e a explicação dessa localização podem ser encontradas em base de conhecimentos por tema.
Consequências que vão além da autoridade de supervisão
Fora da relação com a Autoridade Nacional de Proteção de Dados, há ainda dois locais onde uma comunicação falhada pode causar problemas. O primeiro é o contrato de processamento de dados: se processa dados pessoais para um cliente, aí está muitas vezes um prazo de comunicação próprio, às vezes mais curto do que as 72 horas legais, e esse prazo aplica-se além do RGPD. O segundo é o próprio titular dos dados: alguém cujos dados foram violados e que descobre por sua conta sem ter comunicado, perde essa confiança e não a recupera, independentemente de qualquer avaliação jurídica.
Também uma seguradora ou uma entidade contratante que depois pergunta como uma violação foi tratada, olha para se foi feita uma avaliação a tempo e, quando necessário, comunicada. Isso é diferente de uma multa, mas afeta o que muitas vezes é o motivo para colocar a privacidade em ordem: poder demonstrar que existe um processo, não apenas que nunca correu mal.
Por que o prazo é frequentemente o ponto crítico
Na prática, raramente é a falta de vontade de notificar que é o problema, mas a velocidade com que uma organização consegue determinar o que aconteceu, quais dados são afetados e quem está envolvido. Um sistema que ativa o relógio de 72 horas assim que um possível vazamento é registrado evita que esse tempo se perca em discussões internas. Como tal sistema é estruturado e em que informações se baseia está descrito na página sobre onde vêm as informações.
Se um incidente específico em sua organização está sujeito a notificação obrigatória, qual prazo exato se aplica ao seu caso e quais são as consequências se uma notificação for perdida, não pode ser respondido de forma geral. Para essa avaliação, um jurista ou a Autoridade de Proteção de Dados é o ponto de contato apropriado.
Deseja primeiro obter uma visão geral de sua situação, sem obrigações? A verificação rápida gratuita e a base de conhecimento fornecem uma primeira indicação por assunto, inclusive a localização no texto oficial.