Em caso de violação de dados, precisa essencialmente de três tipos de documentos: um registo interno do que aconteceu, uma avaliação sobre se a notificação à Autoridade da Proteção de Dados é obrigatória e — se for o caso — a própria notificação com a sua fundamentação. Se a comunicação aos titulares de dados for necessária, essa comunicação também conta como um documento a ser mantido.
O pormenor que é mais frequentemente negligenciado neste tema é o registo interno. Mesmo que, após avaliação, decida que uma violação de dados não precisa ser notificada à Autoridade da Proteção de Dados, o RGPD ainda exige que registar o incidente: o que aconteceu, que dados foram afetados, quais foram as possíveis consequências e por que chegou a essa conclusão. Muitos empresários pensam que só precisa haver algo registado quando há uma notificação. Isso não é o que o regulamento descreve.
O registo interno do incidente
Este é o documento que deve existir em toda violação de dados, independentemente do resultado da sua avaliação. Descreve quando descobriu o incidente, exatamente o que aconteceu, que categorias de dados e quais titulares de dados foram afetados, e que medidas tomou para limitar as consequências. Os reguladores não apenas observam as notificações feitas durante uma inspeção, mas também verificam se uma organização consegue demonstrar como foram avaliados incidentes anteriores. Sem este documento, essa fundamentação não existe.
A avaliação sobre se a notificação é necessária
Além do registo factual, é necessário um segundo documento: a própria avaliação. Que riscos viu para os titulares de dados e com base em quê concluiu que a notificação era ou não necessária? O RGPD distingue o risco para os direitos e liberdades dos titulares de dados como critério de avaliação. Registar essa avaliação não é apenas útil para si mais tarde, é também o documento com o qual pode demonstrar que foi feita uma escolha consciente e não por acaso. Quem tem dúvidas sobre se um incidente concreto está sujeito a notificação, encontra em a árvore de decisão que fornece uma primeira indicação em poucas perguntas um ponto de partida, sem que isso substitua a sua própria avaliação.
A notificação à Autoridade da Proteção de Dados
Se a conclusão for que a notificação é necessária, a própria notificação vem como documento: o que notificou, quando e com que informações. O RGPD estabelece um prazo de 72 horas a partir do momento em que teve conhecimento da violação de dados. Mantenha não apenas a confirmação da notificação, mas também a versão dos factos como eram conhecidos no momento da notificação — esta pode ser complementada mais tarde, se mais se souber sobre o alcance.
A comunicação aos titulares de dados
Em alguns casos, também deve haver uma mensagem para os próprios titulares de dados, por exemplo, quando o risco para eles for considerado substancial. Essa mensagem também — o que foi exatamente comunicado e a quem — faz parte do processo. Não é um modelo fixo que seja o mesmo para toda violação de dados; o conteúdo depende do que aconteceu e que dados estão envolvidos.
Acordos com fornecedores e responsáveis pelo tratamento
Se a violação de dados ocorre junto de uma entidade que trata dados para si, como um software de contabilidade ou um fornecedor de alojamento, o acordo registado nesse sentido no contrato de tratamento de dados também faz parte: essa entidade notifica-o de incidentes e em que prazo? Quem ainda não tem isto bem definido, encontra em a base de conhecimento onde isto é desenvolvido para cada situação um ponto de partida para rever os contratos de tratamento de dados neste aspecto.
Por que este processo se distingue da sua segurança
A documentação em torno de uma violação de dados é diferente das medidas que tomou previamente para evitar uma violação de dados, mas as duas estão relacionadas: uma autoridade de supervisão pode questionar como era a sua segurança no momento do incidente. Como a proteção de dados é registrada na prática, você pode ler mais em a orientação sobre medidas de segurança apropriadas.
Ter isto já em ordem
O banco de conhecimento e a árvore de decisão são gratuitos para consultar, sem conta. Se deseja ter o registro de incidentes, os prazos e os modelos para isso estruturados num único local em vez de ter de procurar novamente cada vez, é para isso que a subscrição em gdpria.eu foi criada. Uma conta comercial é criada em nome do seu número de matrícula comercial e número de IVA, associada à organização e não a um único endereço de e-mail.
Se tem atualmente uma possível violação de dados para avaliar, primeiro realize a verificação rápida gratuita ou leia os tópicos no banco de conhecimento. Para a explicação do que se aplica exatamente à sua situação, um jurista ou a Autoridade de Proteção de Dados continua a ser o interlocutor apropriado.