Uma violação de dados pessoais deve ser notificada à CNPD sem demora injustificada e, sempre que possível, até 72 horas após o responsável dela ter conhecimento, salvo se for improvável que resulte em risco para os direitos e liberdades dos titulares (art. 33.º, n.º 1 RGPD). Quando a notificação excede 72 horas, deve indicar os motivos do atraso. A notificação faz-se através do formulário eletrónico disponível no sítio da CNPD. Se a violação for suscetível de implicar um elevado risco, é também obrigatório comunicar aos próprios titulares (art. 34.º), sem demora injustificada. Este guia explica como avaliar o risco, quando e como notificar, e por que razão toda a violação — mesmo a que não é notificada — deve ficar registada.
Principais conclusões
- Notificar a CNPD sem demora injustificada e, sempre que possível, até 72 horas após conhecimento; justificar eventual atraso (art. 33.º, n.º 1).
- A notificação faz-se pelo formulário eletrónico da CNPD.
- Comunicação aos titulares só quando há elevado risco (art. 34.º, n.º 1).
- Todas as violações devem ser registadas internamente, mesmo as não notificadas (art. 33.º, n.º 5).
- A avaliação de risco segue as Guidelines 9/2022 do CEPD.
O que conta como violação de dados
O artigo 4.º, n.º 12, do RGPD define violação de dados pessoais como «uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizados a dados pessoais». Isto abrange três tipos de incidente:
- Confidencialidade — acesso ou divulgação não autorizados (ex.: envio de um email com dados a destinatário errado, ransomware com exfiltração).
- Integridade — alteração não autorizada de dados.
- Disponibilidade — perda de acesso ou destruição (ex.: ransomware sem cópia de segurança, perda de um portátil não cifrado).
Nem todo o incidente de segurança é uma violação de dados, mas todo o incidente que afete dados pessoais deve ser avaliado. O ponto de partida é saber que dados a organização trata — daí a importância do registo de atividades de tratamento. A autoridade a quem se dirige a notificação é a CNPD, cujos poderes e procedimentos detalhamos no guia da CNPD. Esta notificação de violações RGPD é distinta do reporte de incidentes de cibersegurança da NIS2, com prazos e autoridade próprios — ver a transposição da NIS2 em Portugal.
Avaliar o risco: as Guidelines 9/2022 do CEPD
O critério que decide se e como notificar é o nível de risco para os titulares. As Orientações 9/2022 do CEPD fornecem exemplos práticos. A avaliação pondera:
- Tipo de violação (confidencialidade, integridade, disponibilidade);
- Natureza e volume dos dados (dados sensíveis, financeiros, de menores agravam o risco);
- Facilidade de identificação dos titulares;
- Gravidade das consequências (roubo de identidade, fraude, discriminação, danos reputacionais);
- Características especiais dos titulares (crianças, doentes);
- Número de titulares afetados.
Deste exercício resultam três desfechos possíveis, resumidos na árvore de decisão abaixo.
Árvore de decisão: notificar ou não
| Nível de risco | Notificar a CNPD? | Comunicar aos titulares? |
|---|---|---|
| Improvável risco | Não (mas registar) | Não |
| Risco sem elevado risco | Sim, sem demora injustificada e, sempre que possível, até 72h | Não |
| Elevado risco | Sim, sem demora injustificada e, sempre que possível, até 72h | Sim, sem demora injustificada, salvo condições do art. 34.º, n.º 3 |
A decisão exige uma avaliação documentada da probabilidade e gravidade das consequências para as pessoas. Se persistirem incertezas relevantes, investigue-as com urgência e não presuma ausência de risco por falta de informação. Num portátil perdido, confirme a eficácia da cifragem, a proteção das chaves e o estado de acesso ao equipamento. Avalie separadamente a perda de disponibilidade dos dados: a cifragem pode proteger a confidencialidade sem evitar danos causados pela indisponibilidade.
Como notificar: o formulário da CNPD
A notificação faz-se através do formulário eletrónico de notificação de violações disponível no sítio da CNPD. A notificação deve conter, no mínimo (art. 33.º, n.º 3):
- A natureza da violação, categorias e número aproximado de titulares e de registos afetados;
- O nome e contactos do encarregado de proteção de dados ou outro ponto de contacto;
- As consequências prováveis da violação;
- As medidas adotadas ou propostas para remediar a violação e mitigar os efeitos.
Quando não é possível reunir toda a informação em 72 horas, o RGPD admite a notificação faseada (art. 33.º, n.º 4): notifica-se dentro do prazo com a informação disponível e completa-se depois. O que não é admissível é deixar passar as 72 horas por estar à espera de ter tudo apurado.
Comunicação aos titulares (art. 34.º)
Quando há elevado risco, os titulares devem ser informados sem demora injustificada, em linguagem clara, descrevendo a natureza da violação, o ponto de contacto, as consequências prováveis e as medidas que podem tomar para se protegerem. O artigo 34.º, n.º 3, prevê três situações: medidas adequadas aplicadas aos dados afetados que, em especial, os tornem ininteligíveis a pessoas não autorizadas; medidas posteriores que assegurem que o elevado risco já não é suscetível de se concretizar; ou esforço desproporcionado, caso em que é necessária comunicação pública ou medida semelhante igualmente eficaz. A mera presença de cifragem não basta se as chaves também foram comprometidas ou os dados estavam acessíveis em claro.
Para preparar o aviso, utilize o guia de comunicação de violações aos titulares, com avaliação preenchida, mensagem de exemplo e verificações de entrega. Ajuda a ligar os riscos identificados às medidas concretas que cada pessoa pode tomar.
O registo interno de violações (art. 33.º, n.º 5)
Independentemente de notificar ou não, o responsável tem de documentar todas as violações — os factos, os efeitos e as medidas de reparação. Este registo permite à CNPD verificar o cumprimento do artigo 33.º. Na prática, é frequente uma organização decidir não notificar por considerar o risco improvável; essa decisão só é defensável se estiver documentada com a respetiva avaliação de risco.
O registo deve permitir reconstruir os factos conhecidos, os efeitos e as medidas tomadas, incluindo a razão da decisão de notificar ou não. Um registo vazio não prova, por si só, incumprimento nem ausência de incidentes. Verifique se os canais internos permitem comunicar ocorrências e se as equipas distinguem uma vulnerabilidade, um incidente de segurança e uma violação de dados pessoais. Quando surjam novos factos, atualize a avaliação e conserve a sequência das decisões.
Para operacionalizar isto, disponibilizamos um procedimento de violação de dados com modelo de registo pronto a adaptar. Ter o procedimento definido antes do incidente é o que permite cumprir as 72 horas — durante uma crise não há tempo para o desenhar. Ao avaliar uma ferramenta de gestão do RGPD, confirme se permite associar o incidente aos tratamentos afetados, controlar acessos, acompanhar tarefas e exportar o histórico. Defina quem mantém a informação e como envolve o encarregado de proteção de dados, quando designado. A documentação depende também da qualidade dos factos e das decisões introduzidos pelas equipas.
Perguntas frequentes
As 72 horas contam a partir de quando?
A partir do momento em que o responsável tem conhecimento da violação, ou seja, tem um grau razoável de certeza de que ocorreu um incidente de segurança que comprometeu dados pessoais. O prazo inclui fins de semana e feriados.
Tenho sempre de comunicar a violação aos clientes afetados?
Não. A comunicação aos titulares só é obrigatória quando a violação for suscetível de implicar um elevado risco (art. 34.º). A proteção aplicada pode dispensar a comunicação quando preenche o artigo 34.º, n.º 3, nomeadamente tornando os dados ininteligíveis a pessoas não autorizadas. Verifique as chaves, os acessos e as consequências de eventual indisponibilidade antes de concluir.
O que acontece se não notificar dentro de 72 horas?
A notificação tardia deve indicar os motivos do atraso (art. 33.º, n.º 1). O incumprimento pode dar origem a coima até 10 M€ ou 2% do volume de negócios (art. 83.º, n.º 4). A avaliação de uma eventual sanção depende das circunstâncias e dos critérios do artigo 83.º, n.º 2; não existe uma consequência sancionatória automática idêntica para todos os incidentes.
Um subcontratante que sofre uma violação notifica a CNPD?
Não diretamente. O subcontratante deve notificar o responsável sem demora injustificada (art. 33.º, n.º 2); é o responsável que notifica a CNPD. Esta obrigação deve constar do contrato de subcontratação do artigo 28.º.
Conclusão
A notificação de violação de dados à CNPD assenta num prazo curto — 72 horas — e numa avaliação de risco que decide se, e a quem, se comunica. O segredo está na preparação: um procedimento definido, um registo de violações operacional e uma avaliação de risco documentada permitem responder com rapidez e defender as decisões tomadas. Documente as incertezas e investigue-as sem atrasos injustificados, aplicando os critérios de risco do RGPD. Tenha ou não notificado, registe a violação e a fundamentação da decisão.
Leituras relacionadas: