Violação de dados no RGPD: as decisões que cabem nas primeiras 72 horas

Incidente, notificação e comunicação são três decisões diferentes

Primeiro, determine se ocorreu uma violação de dados pessoais. Depois, avalie se é suscetível de gerar risco para direitos e liberdades: salvo quando não existe essa suscetibilidade, o responsável notifica a autoridade. Por fim, avalie separadamente se existe risco elevado que torne necessária a comunicação às pessoas.

Encriptação eficaz ou medidas posteriores podem alterar a necessidade de comunicação aos titulares, mas não apagam a obrigação de investigar e documentar. A organização deve preservar o raciocínio, as fontes e a incerteza existentes em cada momento.

O dossier precisa de factos datados, não de certezas retrospetivas

Registe o que era conhecido em cada decisão. Separe observado, confirmado, estimado e desconhecido. Esta linha temporal permite explicar por que o relógio começou, como o limiar foi avaliado e por que a notificação foi feita, faseada ou dispensada.

Preparar o relógio antes de precisar dele

O contrato com subcontratantes deve impor notificação sem demora injustificada, contactos permanentes e conteúdo mínimo — sem criar um prazo contratual que incentive espera. O responsável conserva a decisão sobre autoridade e titulares.

Teste o processo com um cenário onde os factos chegam por fases. O exercício deve incluir segurança, privacidade, jurídico, comunicação, negócio e fornecedor, com um decisor nomeado e canal alternativo.

• Manter formulário CNPD e contactos no playbook, sem guardar credenciais no documento.
• Usar um identificador único para incidente, violação, notificações e ações.
• Preparar linguagem clara para titulares, sem minimizar nem especular.
• Fechar cada ação com dono, prazo, prova de implementação e reteste.