Um procedimento interno de violação de dados é o documento que define, antes de qualquer incidente, quem faz o quê nas primeiras 72 horas: quem deteta e reporta, quem avalia o risco, quem decide notificar a CNPD e quem comunica aos titulares. Sem este procedimento escrito, o prazo de 72 horas do artigo 33.º RGPD esgota-se em reuniões improvisadas — e o atraso na notificação é, por si só, uma circunstância agravante da coima. A este procedimento acresce uma obrigação autónoma: manter um registo interno de todas as violações, incluindo as que não foram notificadas (artigo 33.º, n.º 5).
Este guia dá-lhe um modelo de procedimento em cinco fases e um template de registo de violações com os campos que a CNPD espera encontrar.
Pontos essenciais
- O prazo de 72 horas (artigo 33.º, n.º 1) conta a partir do momento em que o responsável toma conhecimento da violação, não da resolução.
- O registo de violações é obrigatório mesmo para incidentes não notificados (artigo 33.º, n.º 5).
- A avaliação de risco segue a matriz das Guidelines 9/2022 do CEPD.
- A comunicação aos titulares (artigo 34.º) só é exigida quando o risco for elevado.
O que conta como violação de dados
Uma violação de dados pessoais não é só um ataque informático. O artigo 4.º, n.º 12 RGPD define-a como qualquer violação da segurança que provoque a destruição, perda, alteração, divulgação ou acesso não autorizado a dados pessoais — acidental ou ilícita. Um email enviado ao destinatário errado, um portátil perdido, uma pasta partilhada com permissões abertas ou um ransomware são todos violações. Distinguem-se três tipos: confidencialidade (acesso ou divulgação indevida), integridade (alteração não autorizada) e disponibilidade (perda de acesso, ainda que temporária).
Esta definição ampla é a razão pela qual muitas organizações subavaliam a frequência das violações: acreditam que só um ciberataque conta, quando a maioria dos incidentes reportados à CNPD tem origem em erro humano — um envio errado, um documento mal endereçado, um acesso mal configurado. O procedimento existe precisamente para que também esses casos, aparentemente banais, sejam detetados, avaliados e registados. Cada tipo de violação tem implicações diferentes: uma quebra de confidencialidade tende a gerar risco mais elevado para os titulares, enquanto uma indisponibilidade temporária de um serviço, com dados recuperáveis a partir de cópias de segurança, pode não implicar risco. É esta gradação que a avaliação de risco vai apurar.
O procedimento em cinco fases
Fase 1 — Deteção e reporte interno
Qualquer colaborador que suspeite de um incidente deve reportá-lo de imediato a um ponto único (o EPD ou a equipa de segurança), por um canal predefinido. O procedimento fixa o momento do «conhecimento» — que faz arrancar o relógio das 72 horas.
Fase 2 — Contenção e avaliação inicial
A equipa contém o incidente (revoga acessos, isola sistemas) e reúne os factos: que dados, quantos titulares, que categorias, quando e como. Esta ficha alimenta a avaliação de risco.
Na preparação anterior a um incidente, realize um exercício do plano de recuperação de TI para testar dependências e critérios de aceitação. Durante o incidente, execute o plano aprovado e valide a integridade dos dados recuperados antes de retomar a operação.
Fase 3 — Avaliação de risco
Usando a metodologia das Guidelines 9/2022 do CEPD, avalia-se a gravidade combinando o tipo de dados, a facilidade de identificação, a dimensão e as consequências possíveis. O resultado determina as duas decisões seguintes.
| Nível de risco | Notificar CNPD (art. 33.º) | Comunicar titulares (art. 34.º) |
|---|---|---|
| Sem risco | Não (mas registar) | Não |
| Risco | Sim, em 72h | Não |
| Risco elevado | Sim, em 72h | Sim, sem demora |
Fase 4 — Notificação à CNPD
Se houver risco para os direitos e liberdades dos titulares, notifica-se a CNPD através do formulário eletrónico de notificação de violações, dentro de 72 horas. Se a notificação exceder as 72 horas, é acompanhada da justificação do atraso (artigo 33.º, n.º 1). É admissível uma notificação faseada quando não se dispõe de toda a informação de imediato.
Fase 5 — Comunicação aos titulares e encerramento
Quando o risco é elevado, comunica-se aos titulares em linguagem clara, sem demora injustificada (artigo 34.º). Encerra-se o incidente com uma análise de causa e as medidas corretivas — e regista-se tudo.
O guia de comunicação da violação aos titulares distingue o limiar de risco elevado, as exceções do artigo 34.º e a mensagem que permite à pessoa proteger-se.
Para o detalhe da notificação em si — formulário, prazos, notificação faseada — veja o guia sobre a notificação de violação de dados à CNPD.
O registo de violações: template pronto
O artigo 33.º, n.º 5 obriga a documentar todas as violações, mesmo as que não foram notificadas. Este registo é uma das primeiras coisas que a CNPD pede numa fiscalização. Estes são os campos mínimos:
| Campo | Conteúdo |
|---|---|
| Referência / data de deteção | ID interno e data/hora do conhecimento |
| Descrição do incidente | O que aconteceu, tipo (confid./integr./disponib.) |
| Categorias de dados e titulares | Que dados, quantas pessoas afetadas |
| Avaliação de risco | Resultado e metodologia (CEPD 9/2022) |
| Decisão de notificação | Notificado à CNPD? Data? Justificação se >72h |
| Comunicação aos titulares | Sim/não, forma, data |
| Medidas corretivas | Contenção e prevenção futura |
Os erros que agravam a coima
Três falhas transformam um incidente gerível numa coima pesada: não ter procedimento (a improvisação faz perder o prazo); decidir não notificar sem documentar a avaliação de risco (a organização precisa de demonstrar os fundamentos da decisão); e não manter o registo de violações não notificadas. A ausência de registo é uma infração autónoma, independentemente de o incidente original ter ou não causado dano ; a apreciação das infrações e da eventual sanção depende das regras do artigo 83.º e das circunstâncias, como mostra a análise das coimas RGPD da CNPD.
Perguntas frequentes
Quando começam a contar as 72 horas?
A partir do momento em que o responsável toma conhecimento da violação com um grau razoável de certeza de que ocorreu — não a partir da resolução do incidente nem da sua deteção técnica por um subcontratante que ainda não comunicou. O subcontratante deve alertar o responsável sem demora injustificada (artigo 33.º, n.º 2).
Tenho de notificar todas as violações à CNPD?
Não. Só se notifica a CNPD quando a violação for suscetível de implicar um risco para os direitos e liberdades dos titulares. As violações sem risco não se notificam, mas têm sempre de ser inscritas no registo interno (artigo 33.º, n.º 5).
O que acontece se não notificar dentro das 72 horas?
A notificação continua a ser devida, agora acompanhada da justificação do atraso. O incumprimento do prazo é uma circunstância que a CNPD valora na graduação da coima, pelo que o atraso não justificado agrava a sanção.
Quem é responsável por manter o registo de violações?
O responsável pelo tratamento, na prática através do encarregado de proteção de dados ou da equipa de segurança. O registo deve estar permanentemente disponível para consulta pela CNPD.
Conclusão
Um procedimento de violação de dados existe para que ninguém tenha de improvisar sob pressão: define quem deteta, quem avalia o risco pela matriz do CEPD, quem decide notificar a CNPD em 72 horas e quem comunica aos titulares. O registo do artigo 33.º, n.º 5 fecha o sistema, documentando mesmo os incidentes não notificados. Escreva o procedimento antes do incidente — porque depois já não há tempo.
Leituras relacionadas: