Notificação de Violação de Dados em Partilha de Ficheiros

O Artigo 33.º do RGPD concede aos responsáveis pelo tratamento 72 horas a partir do momento em que tomam conhecimento de uma violação de dados pessoais para notificar a autoridade de supervisão competente, salvo se a violação for improvável de resultar num risco para as pessoas singulares. O Artigo 34.º exige adicionalmente a notificação dos titulares afetados quando o risco é elevado, sem demora injustificada. Para plataformas de partilha de ficheiros, uma violação pode ser uma ligação de descarregamento exposta através de registos, um bucket S3 mal configurado, uma conta de administrador comprometida ou um portátil perdido com caches não encriptadas. Não cumprir o prazo de 72 horas sem justificação expõe a coimas ao abrigo do Artigo 83.º(4) de até 2% do volume de negócios global.

O que conta como "violação de dados pessoais"

O Artigo 4.º(12) define-a como uma violação de segurança que conduz à destruição acidental ou ilícita, perda, alteração, divulgação não autorizada ou acesso a dados pessoais. As Orientações 9/2022 do CEPD (adotadas em outubro de 2022, em substituição do WP250) categorizam as violações como de confidencialidade (divulgação ou acesso não autorizados), de integridade (alteração não autorizada), ou de disponibilidade (perda ou destruição). Uma ligação de transferência de ficheiros partilhada acidentalmente no Twitter público: violação de confidencialidade. Ransomware que encripta a base de dados de transferências: violação de disponibilidade. Um utilizador interno que edita PDFs de faturas antes da entrega: violação de integridade. As três desencadeiam a análise do Artigo 33.º.

Quando começa o prazo das 72 horas

O prazo começa quando o responsável "toma conhecimento" — quando existe um grau razoável de certeza de que ocorreu um incidente de segurança que resultou em comprometimento. O tempo de investigação antes de atingir a certeza razoável não conta contra o prazo, mas não pode atrasar a investigação para protelar o prazo. Tanto a ICO como a CNIL já aplicaram coimas a responsáveis por lacunas excessivas de investigação. Regra prática: 24 horas desde o primeiro sinal (alerta do SOC, relato de colaborador, notificação externa) até à decisão de conhecimento. Se for necessário mais tempo, documente o porquê. A notificação dos subcontratantes aos responsáveis é separada — tipicamente 24 a 48 horas ao abrigo do CS.

Violações que não requerem notificação

O Artigo 33.º(1) exclui as violações improváveis de resultar em risco para os direitos e liberdades. O responsável decide com base numa avaliação de risco. As Orientações 9/2022 do CEPD dão exemplos: dados encriptados roubados em que a encriptação é robusta e a chave não foi comprometida (sem risco de divulgação), perda momentânea de disponibilidade com recuperação rápida e sem corrupção de dados. Um serviço de transferência de ficheiros que utilize encriptação AES-256-GCM do lado do cliente e que perca texto cifrado por roubo não tem violação de divulgação, porque o ladrão detém blobs inúteis. Documente a avaliação — as autoridades de supervisão pretendem ver o raciocínio, não apenas a conclusão.

O conteúdo da notificação ao abrigo do Artigo 33.º(3)

A notificação à autoridade de supervisão deve incluir: natureza da violação, incluindo categorias e número aproximado de titulares e registos afetados, nome e contacto do EDP ou outro contacto, consequências prováveis, medidas tomadas ou propostas para fazer face à violação e mitigar os efeitos. Se não tiver todos os factos dentro de 72 horas, o Artigo 33.º(4) permite a notificação faseada. Apresente uma notificação inicial com o que sabe, identifique-a como preliminar, e faça atualizações à medida que a investigação avança. A maioria das autoridades de proteção de dados (CNIL, ICO, BfDI) disponibiliza portais online com formulários estruturados.

Notificação aos titulares ao abrigo do Artigo 34.º

Quando a violação for suscetível de resultar num risco elevado para as pessoas, o Artigo 34.º exige a notificação direta dos titulares, em linguagem clara e simples. Exceções ao abrigo do Artigo 34.º(3): os dados foram encriptados (de forma suficientemente robusta para os tornar incompreensíveis), medidas subsequentes tornam o risco elevado improvável, ou a notificação individual exigiria um esforço desproporcionado (a notificação pública substitui). Para uma fuga de ficheiros de RH não encriptados, a notificação direta é obrigatória. Para uma fuga de texto cifrado com chaves não comprometidas, a notificação geralmente não é necessária — cite o Artigo 34.º(3)(a).

Construir um guia de resposta a violações

Um guia de procedimentos eficaz cobre: (1) fontes de deteção (alertas SIEM, relatos de utilizadores, notificações externas) e percursos de escalada; (2) lista de verificação de triagem para classificar a gravidade; (3) passos de contenção (revogar chaves, bloquear IPs, isolar sistemas); (4) preservação de evidências (imagens de disco, exportações de registos) para perícia forense e inquéritos regulatórios; (5) árvore de decisão de notificação vinculada aos critérios do Artigo 33.º; (6) modelos de comunicação para a autoridade de proteção de dados, titulares, clientes e público; (7) revisão pós-incidente com lições documentadas. Reveja o guia trimestralmente e teste-o anualmente com um exercício de simulação.

Evidências que um regulador vai solicitar

A CNIL, a ICO e a BfDI colocam questões consistentes após uma violação: cronograma de deteção e resposta, âmbito dos dados afetados, medidas técnicas e organizativas em vigor antes da violação, medidas tomadas após, comunicações aos titulares, e se a violação poderia ter sido evitada. Conserve estes artefactos: registos do SIEM no período do incidente, registos de alterações nos sistemas afetados, registos de acesso com atividade anormal, documentação da postura de segurança (Declaração de Aplicabilidade ISO 27001, AIPD), e um post-mortem detalhado. As autoridades de supervisão aplicam coimas severas quando encontram registos incompletos — isso sinaliza uma segurança fraca em geral.

Notificações de subcontratante para responsável

Se o seu serviço de transferência de ficheiros for um subcontratante, o Artigo 33.º(2) exige que notifique o responsável "sem demora injustificada" após tomar conhecimento de uma violação. A maioria dos CS especifica 24 a 48 horas. A notificação do subcontratante deve fornecer ao responsável informação suficiente para apresentar o Artigo 33.º(1) por si mesmo: o que aconteceu, quando, âmbito, categorias de dados afetados, resposta inicial. O responsável apresenta então a notificação regulatória. Um CS que defira a notificação do subcontratante além das 48 horas ou que exija que o responsável solicite a notificação antes de a receber não é conforme.

Coordenação transfronteiriça de violações

Para responsáveis multinacionais, identifique a autoridade de supervisão principal ao abrigo do Artigo 56.º (a autoridade do estabelecimento principal). Apresente à autoridade principal, que coordena com as autoridades competentes através do mecanismo de balcão único. Para responsáveis não pertencentes à UE sem estabelecimento na UE, mas que oferecem bens ou serviços a residentes na UE, apresente junto de todas as autoridades competentes onde residam os titulares afetados. Isso torna-se rapidamente ingerível — considere nomear um representante do Artigo 27.º que centralize as comunicações. Mantenha uma lista atualizada das autoridades de proteção de dados e dos respetivos portais de notificação de violações no guia de procedimentos.

Remediação e o risco de coima subsequente

A notificação não encerra o processo. O Artigo 83.º(2) estabelece fatores para as coimas, incluindo o grau de responsabilidade do responsável, as medidas preventivas tomadas e a cooperação. A remediação pós-violação — melhoria da encriptação, controlos de acesso, revisão da AIPD, formação de pessoal — reduz diretamente as coimas. A orientação da CNIL de 2023 sobre a aplicação em matéria de violações cita exemplos em que as coimas foram reduzidas a metade para responsáveis que demonstraram remediação rápida e transparência. Serviços com controlos arquitetónicos robustos desde o início (encriptação do lado do cliente, retenção curta, CS documentados) — a abordagem da HexaTransfer — limitam tanto a superfície de violação como a exposição a coimas.

Um calendário de conformidade de 72 horas

Hora 0: sinal de violação recebido. Hora 4: triagem inicial concluída, responsável pelo incidente nomeado. Hora 12: avaliação do âmbito concluída, decisão preliminar do Artigo 33.º tomada. Hora 24: subcontratante notifica os responsáveis (se aplicável). Hora 48: rascunho da notificação do Artigo 33.º revisto pelo EDP e pelo departamento jurídico. Hora 72: notificação apresentada à autoridade de proteção de dados principal. Dias 5 a 7: notificações aos titulares ao abrigo do Artigo 34.º enviadas. Dia 30: revisão pós-incidente publicada internamente. Dia 90: plano de remediação concluído e documentado.

Notifique cedo, notifique frequentemente, e mantenha o rasto documental limpo. Experimente em hexatransfer.com — gratuito, sem conta, até 10 GB.