O erro: esperar até que tudo esteja claro
O erro mais comum ao relatar uma violação de dados não é a violação em si, mas o momento em que uma organização decide relatar. Muitas empresas querem primeiro saber exatamente o que aconteceu, quais dados estão envolvidos e quantas pessoas foram afetadas, antes de informar a autoridade competente. Isso parece cuidadoso, mas o RGPD pede algo diferente: o prazo de notificação de 72 horas começa a contar a partir do momento em que você toma conhecimento da violação de dados, não a partir do momento em que tem todos os fatos alinhados.
A consequência é que o relógio já passou uma grande parte do tempo até que internamente todos concordem exatamente com o que aconteceu. Isso geralmente não é uma questão de má vontade, mas de desconhecimento sobre como esse prazo funciona: o RGPD permite que uma notificação seja complementada em fases, precisamente porque a certeza completa muitas vezes não pode ser obtida em três dias.
Por que este erro ocorre com tanta frequência
A confusão surge porque as pessoas confundem uma violação de dados com uma violação de dados que deve ser notificada. Nem todo incidente com dados pessoais deve ser notificado à autoridade supervisora; o RGPD diferencia se há risco para os direitos e liberdades dos titulares dos dados. As empresas que não têm essa distinção clara muitas vezes vão longe demais em duas direções: notificam quase nada por medo de complicações, ou tentam primeiro completar o quadro inteiro antes de se aventurarem a fazer uma notificação. Ambas as reações resultam de incerteza sobre o que a lei pede exatamente, e essa incerteza pode ser amplamente eliminada com algumas perguntas fixas. A árvore de decisão em em cinco perguntas vê onde você está foi criada para isso: ela mostra com base em algumas perguntas concretas se um incidente provavelmente está sujeito à obrigação de notificação, sem que você primeiro precise de conhecimento jurídico.
Um segundo erro que geralmente vem com ele
Intimamente relacionada à notificação tardia está o esquecimento da documentação interna. Também uma violação de dados que você eventualmente não notifica à autoridade supervisora deve ser registrada internamente: o que aconteceu, por que foi ou não notificado e quais medidas foram tomadas. Muitas organizações registram apenas os incidentes que realmente notificaram e deixam o resto sem documentação. Com isso, falta exatamente o panorama necessário para mostrar que uma ponderação foi feita conscientemente e com base nos critérios corretos, caso seja perguntado mais tarde.
Como você faz o relógio trabalhar a seu favor
O prazo de 72 horas não se destina a surpreender as organizações, mas a permitir que os titulares dos dados sejam alertados rapidamente, se necessário. Isso funciona melhor se estiver claro de antemão quem dentro da organização relata uma suspeita de vazamento, a quem, e que perguntas básicas são feitas rotineiramente. Sem esses acordos, o tempo precioso é perdido descobrindo quem realmente é responsável, enquanto o relógio já está correndo.
Também ajuda saber de antemão quais sistemas e fornecedores processam dados pessoais, para que quando um fornecedor notificar você possa imediatamente avaliar quais dados e quais titulares dos dados estão envolvidos. Um panorama atualizado das ferramentas SaaS usadas e dos acordos sobre elas, como aparece no registro de atividades de tratamento de a base de conhecimento com explicações por tópico poupa muito trabalho de investigação na prática no momento crítico.
O que você pode documentar antecipadamente
O ponto principal é que uma notificação não precisa ser completa para ser oportuna. Uma notificação inicial com os fatos conhecidos, seguida por um suplemento assim que mais informações estiverem disponíveis, está dentro do que o RGPD permite. As organizações que sabem disso antecipadamente e têm um procedimento fixo e curto para isso têm menos probabilidade de incorrer no erro de esperar muito tempo. O que também ajuda é clareza sobre onde os dados sensíveis estão e como são protegidos, para que uma suspeita de vazamento possa ser avaliada mais rapidamente em termos de gravidade; a página sobre como os dados são protegidos dentro do sistema fornece uma ideia disso.
Se um incidente específico na sua organização é sujeito a notificação obrigatória e como melhor documentá-lo é, em última análise, uma avaliação que você mesmo faz, eventualmente com um advogado ou em consulta com a Autoridade de Proteção de Dados. A gdpria.eu oferece orientação e uma primeira avaliação estruturada, não aconselhamento jurídico.
Deseja saber desde já onde estão os pontos de atenção na sua organização? A verificação rápida gratuita e as respostas a perguntas frequentes fornecem uma primeira visão geral em poucos minutos, sem necessidade de criar uma conta.