A notificação de uma violação de dados à Autoridade de Proteção de Dados não custa nada: não há taxas ou honorários devidos. Os custos estão no que acontece em volta: descobrir exatamente o que deu errado, informar os titulares de dados, possíveis trabalhos técnicos de recuperação e o tempo que tudo isso leva para sua organização. O quanto isso sobe depende muito do tamanho da violação, do tipo de dados e se você já tinha um processo em andamento antes de algo dar errado.
Não existe um valor fixo para "uma violação de dados", porque não há duas violações de dados iguais. Um e-mail enviado incorretamente com informações de contato de um cliente exige algo diferente de uma invasão em um sistema com arquivos de pessoal de cem funcionários. Os itens de custo estão sempre nas mesmas categorias; apenas o tamanho varia.
Onde vêm os custos
O primeiro item de custo é o tempo interno: alguém deve descobrir o que aconteceu, quais dados foram afetados e se o prazo legal de setenta e duas horas para notificação à Autoridade de Proteção de Dados está à vista. Essas horas são frequentemente subestimadas, especialmente se não houver um ponto de contato dedicado ou processo e várias pessoas estiverem analisando o mesmo incidente simultaneamente.
Além disso, pode ser necessária ajuda externa: um fornecedor de TI que deva fechar tecnicamente uma violação, um investigador forense em caso de invasão maior, ou um advogado que verifique se e como a notificação deve ser feita. Nem toda violação de dados exige todos esses canais, mas em um incidente mais grave, esses custos aumentam rapidamente.
Informar os titulares de dados também consome tempo e às vezes dinheiro: redigir uma carta ou e-mail cuidadoso e compreensível, responder às perguntas que se seguem e, em alguns casos, oferecer alguma forma de compensação, como um novo código de acesso ou serviço gratuito. A árvore de decisão em permite verificar em algumas perguntas se e como você deve notificar ajuda a deixar clara a primeira etapa, para que você não perca tempo desnecessariamente com dúvidas.
O que determina o valor
O fator mais importante é o tamanho: quantas pessoas foram afetadas e o quanto os dados são sensíveis. Uma violação com nomes e endereços de e-mail pesa diferente de uma violação com dados financeiros ou dados de saúde. As diretrizes do EDPB e o próprio RGPD mencionam esse tipo de fator de risco como base para avaliação, não como fórmula para calcular um valor.
Um segundo fator é o quão rápido a violação é descoberta e o quão claro é quem é responsável pelo quê. Se em um contrato com processador de dados já está estabelecido quem um fornecedor deve alertar e dentro de qual prazo, isso economiza trabalho de investigação no momento em que algo dá errado. Se esse acordo não existir, o próprio incidente exigirá mais tempo para ser compreendido, antes mesmo de se começar a recuperação.
Um terceiro fator é se sua organização já tem um processo definido: um plano de ação estabelecido, uma lista de quem alertar e um local onde incidentes anteriores estão registrados. Sem isso, cada incidente requer que se reinvente quem faz o quê, o que consome tempo e tranquilidade em um momento em que ambos são escassos.
A notificação em si é gratuita, a preparação não
É bom manter essa distinção clara: a obrigação de notificar à Autoridade de Proteção de Dados não traz custos, mas conseguir executar bem essa notificação sim. Quem precisa determinar se um incidente deve ser notificado dentro do prazo legal e o que deve estar incluído precisa de tempo para isso. Uma visão geral do que deve constar em uma notificação e quais documentos você geralmente precisa está descrita em base de conhecimento com explicação por tema.
Muitos desses custos não são únicos, mas recorrentes, simplesmente porque as violações de dados não são planejadas e podem ocorrer novamente após anos. Por isso, algumas organizações optam por deixar o relógio, as etapas e o registro funcionarem em um sistema em vez de reconstruir isso manualmente cada vez. O que custa um abonnement desse tipo e o que se obtém em troca podem ser vistos em página de preços com o detalhamento por componente.
Documentar previamente economiza depois
A maior economia de custos geralmente não está no incidente em si, mas na preparação para isso: um registro de atividades de tratamento atual, acordos claros com fornecedores e um ponto de contato permanente garantem que uma violação de dados leve menos tempo para avaliar e resolver. As perguntas frequentes sobre o que é e o que não é obrigatório nesse processo estão reunidas na página com respostas a perguntas que outros empresários também fazem.
Gostaria de obter uma primeira visão da sua própria situação? A verificação rápida gratuita fornece uma indicação em algumas perguntas, sem que você precise de uma conta para isso.