Uma violação de dados pessoais deve ser notificada à CNPD no prazo de 72 horas após o responsável dela ter conhecimento, salvo se for improvável que resulte em risco para os direitos e liberdades dos titulares (art. 33.º, n.º 1 RGPD). A notificação faz-se através do formulário eletrónico disponível no sítio da CNPD. Se a violação for suscetível de implicar um elevado risco, é também obrigatório comunicar aos próprios titulares (art. 34.º), sem demora injustificada. Este guia explica como avaliar o risco, quando e como notificar, e por que razão toda a violação — mesmo a que não é notificada — deve ficar registada.
Principais conclusões
- Prazo de 72 horas para notificar a CNPD após conhecimento da violação (art. 33.º, n.º 1).
- A notificação faz-se pelo formulário eletrónico da CNPD.
- Comunicação aos titulares só quando há elevado risco (art. 34.º, n.º 1).
- Todas as violações devem ser registadas internamente, mesmo as não notificadas (art. 33.º, n.º 5).
- A avaliação de risco segue as Guidelines 9/2022 do CEPD.
O que conta como violação de dados
O artigo 4.º, n.º 12, do RGPD define violação de dados pessoais como «uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizados a dados pessoais». Isto abrange três tipos de incidente:
- Confidencialidade — acesso ou divulgação não autorizados (ex.: envio de um email com dados a destinatário errado, ransomware com exfiltração).
- Integridade — alteração não autorizada de dados.
- Disponibilidade — perda de acesso ou destruição (ex.: ransomware sem cópia de segurança, perda de um portátil não cifrado).
Nem todo o incidente de segurança é uma violação de dados, mas todo o incidente que afete dados pessoais deve ser avaliado. O ponto de partida é saber que dados a organização trata — daí a importância do registo de atividades de tratamento. A autoridade a quem se dirige a notificação é a CNPD, cujos poderes e procedimentos detalhamos no guia da CNPD. Esta notificação de violações RGPD é distinta do reporte de incidentes de cibersegurança da NIS2, com prazos e autoridade próprios — ver a transposição da NIS2 em Portugal.
Avaliar o risco: as Guidelines 9/2022 do CEPD
O critério que decide se e como notificar é o nível de risco para os titulares. As Guidelines 9/2022 do CEPD fornecem exemplos práticos. A avaliação pondera:
- Tipo de violação (confidencialidade, integridade, disponibilidade);
- Natureza e volume dos dados (dados sensíveis, financeiros, de menores agravam o risco);
- Facilidade de identificação dos titulares;
- Gravidade das consequências (roubo de identidade, fraude, discriminação, danos reputacionais);
- Características especiais dos titulares (crianças, doentes);
- Número de titulares afetados.
Deste exercício resultam três desfechos possíveis, resumidos na árvore de decisão abaixo.
Árvore de decisão: notificar ou não
| Nível de risco | Notificar a CNPD? | Comunicar aos titulares? |
|---|---|---|
| Improvável risco | Não (mas registar) | Não |
| Risco | Sim, em 72h | Não |
| Elevado risco | Sim, em 72h | Sim, sem demora |
O erro mais caro é subvalorizar o risco para evitar notificar. A CNPD e o CEPD partem do princípio de que, na dúvida, se deve notificar — e uma violação escondida que venha a público é um agravante severo. Um portátil cifrado perdido pode não gerar risco; o mesmo portátil sem cifragem, com dados de clientes, gera. A cifragem é, muitas vezes, o que faz a diferença entre notificar e não notificar.
Como notificar: o formulário da CNPD
A notificação faz-se através do formulário eletrónico de notificação de violações disponível no sítio da CNPD. A notificação deve conter, no mínimo (art. 33.º, n.º 3):
- A natureza da violação, categorias e número aproximado de titulares e de registos afetados;
- O nome e contactos do encarregado de proteção de dados ou outro ponto de contacto;
- As consequências prováveis da violação;
- As medidas adotadas ou propostas para remediar a violação e mitigar os efeitos.
Quando não é possível reunir toda a informação em 72 horas, o RGPD admite a notificação faseada (art. 33.º, n.º 4): notifica-se dentro do prazo com a informação disponível e completa-se depois. O que não é admissível é deixar passar as 72 horas por estar à espera de ter tudo apurado.
Comunicação aos titulares (art. 34.º)
Quando há elevado risco, os titulares devem ser informados sem demora injustificada, em linguagem clara, descrevendo a natureza da violação, o ponto de contacto, as consequências prováveis e as medidas que podem tomar para se protegerem. Há três exceções (art. 34.º, n.º 3): se os dados estavam cifrados, se foram tomadas medidas que eliminam o elevado risco, ou se a comunicação individual exigir um esforço desproporcionado — caso em que se recorre a comunicação pública.
O registo interno de violações (art. 33.º, n.º 5)
Independentemente de notificar ou não, o responsável tem de documentar todas as violações — os factos, os efeitos e as medidas de reparação. Este registo permite à CNPD verificar o cumprimento do artigo 33.º. Na prática, é frequente uma organização decidir não notificar por considerar o risco improvável; essa decisão só é defensável se estiver documentada com a respetiva avaliação de risco.
O registo de violações é, muitas vezes, subestimado. Não é um mero arquivo interno: é a prova de que a organização tem um processo de deteção e resposta a funcionar. Numa fiscalização, um registo vazio pode significar duas coisas — ou a organização nunca teve incidentes (improvável em qualquer entidade com alguma dimensão), ou não os deteta nem os documenta. Ambas as leituras são desfavoráveis. Manter o registo com as violações menores e as decisões de não notificação demonstra maturidade, não fragilidade.
Perguntas frequentes
As 72 horas contam a partir de quando?
A partir do momento em que o responsável tem conhecimento da violação, ou seja, tem um grau razoável de certeza de que ocorreu um incidente de segurança que comprometeu dados pessoais. O prazo inclui fins de semana e feriados.
Tenho sempre de comunicar a violação aos clientes afetados?
Não. A comunicação aos titulares só é obrigatória quando a violação for suscetível de implicar um elevado risco (art. 34.º). Se os dados estavam cifrados de forma robusta, essa comunicação pode ser dispensada.
O que acontece se não notificar dentro de 72 horas?
A notificação tardia deve indicar os motivos do atraso (art. 33.º, n.º 1). O incumprimento pode dar origem a coima até 10 M€ ou 2% do volume de negócios (art. 83.º, n.º 4). A não notificação de uma violação de elevado risco é uma das falhas mais penalizadas.
Um subcontratante que sofre uma violação notifica a CNPD?
Não diretamente. O subcontratante deve notificar o responsável sem demora injustificada (art. 33.º, n.º 2); é o responsável que notifica a CNPD. Esta obrigação deve constar do contrato de subcontratação do artigo 28.º.
Conclusão
A notificação de violação de dados à CNPD assenta num prazo curto — 72 horas — e numa avaliação de risco que decide se, e a quem, se comunica. O segredo está na preparação: um procedimento definido, um registo de violações operacional e uma avaliação de risco documentada permitem responder com rapidez e defender as decisões tomadas. Na dúvida, notifique. E, tenha ou não notificado, registe sempre.