Notificação de Violação de Dados
Uma notificação de violação de dados é um requisito legal para informar as autoridades de supervisão e, em alguns casos, os indivíduos afetados quando os dados pessoais foram comprometidos através de uma violação de segurança. Ao abrigo do RGPD, os responsáveis pelo tratamento devem notificar a sua autoridade de supervisão no prazo de 72 horas após tomarem conhecimento de uma violação que represente um risco para os direitos e liberdades das pessoas e notificar diretamente os indivíduos afetados se a violação apresentar um risco elevado.
Base Legal
"Em caso de violação de dados pessoais, o responsável pelo tratamento notifica a violação à autoridade de controlo competente nos termos do artigo 55.º, sem demora injustificada e, sempre que possível, até 72 horas após ter tido conhecimento da mesma, a menos que seja improvável que a violação de dados pessoais venha a constituir um risco para os direitos e liberdades das pessoas singulares."
— Artigo 33.º, n.º 1, Regulamento (UE) 2016/679 (RGPD)
"Caso seja suscetível de implicar um elevado risco para os direitos e liberdades das pessoas singulares, o responsável pelo tratamento comunica a violação de dados pessoais ao titular dos dados sem demora injustificada."
— Artigo 34.º, n.º 1, Regulamento (UE) 2016/679 (RGPD)
Por Que É Importante
As obrigações de notificação de violação de dados afetam qualquer organização que trate dados pessoais no contexto de serviços de publicidade política. Para patrocinadores, editores e prestadores de serviços de publicidade política ao abrigo do Regulamento 2024/900, isto significa que qualquer acesso não autorizado, perda ou alteração de dados pessoais utilizados para segmentação ou entrega de anúncios deve ser prontamente comunicado à autoridade de proteção de dados relevante.
O prazo de notificação de 72 horas é estrito e começa a partir do momento em que a organização toma conhecimento da violação, não quando termina a sua investigação. As organizações devem ter processos internos para detetar, investigar e reportar violações rapidamente. A não notificação pode resultar em coimas até 10 milhões de euros ou 2% do volume de negócios anual mundial ao abrigo do RGPD.
Para a publicidade política especificamente, as violações que envolvem dados de segmentação, perfis de eleitores ou preferências políticas são particularmente sensíveis. Estas violações podem expor os indivíduos a manipulação, discriminação ou danos de retaliação, tornando a notificação atempada crítica para proteger os processos democráticos e os direitos individuais.
Pontos-Chave
- Os responsáveis pelo tratamento devem notificar a sua autoridade de supervisão no prazo de 72 horas após tomarem conhecimento de uma violação, salvo se for improvável que a violação represente um risco para os direitos e liberdades dos indivíduos
- Se a violação representar um risco elevado para os indivíduos, estes devem ser notificados diretamente sem demora injustificada
- As notificações devem descrever a natureza da violação, as categorias e número aproximado de indivíduos e registos afetados, e as medidas tomadas para resolver a situação
- Os subcontratantes devem notificar os responsáveis pelo tratamento imediatamente após descobrirem uma violação para que os responsáveis possam cumprir os seus próprios prazos de notificação
- As organizações devem manter documentação de todas as violações, incluindo aquelas não reportadas, para demonstrar conformidade
- As sanções por não notificar podem atingir 10 milhões de euros ou 2% do volume de negócios anual mundial, consoante o que for superior
Notificação de Violação de Dados vs. Aviso de Transparência
Embora ambas envolvam obrigações de divulgação, a notificação de violação de dados e os avisos de transparência servem propósitos diferentes. Uma notificação de violação de dados é um requisito reativo, desencadeado por incidente, quando a segurança dos dados pessoais é comprometida. Deve ser entregue às autoridades de supervisão no prazo de 72 horas e aos indivíduos afetados quando existe risco elevado.
Um aviso de transparência (tal como o aviso de privacidade exigido ao abrigo dos artigos 13.º-14.º do RGPD ou o aviso de transparência para publicidade política ao abrigo do Regulamento 2024/900) é uma obrigação proativa e contínua de informar os indivíduos sobre como os seus dados estão a ser tratados antes ou no momento da recolha. Os avisos de transparência são preventivos e informativos; as notificações de violação são corretivas e urgentes.
| Aspeto | Notificação de Violação de Dados | Aviso de Transparência |
|---|---|---|
| Desencadeador | Incidente de segurança | Recolha/tratamento de dados |
| Momento | 72 horas (à autoridade) | Antes/no momento da recolha |
| Público | Autoridade + indivíduos afetados | Todos os titulares dos dados |
| Finalidade | Resposta a incidente | Transparência contínua |
Termos Relacionados
- Dados pessoais
- Autoridade de proteção de dados
- Responsável pelo tratamento
- Subcontratante
- Conformidade com o RGPD
- Técnicas de segmentação
- Medidas de segurança
- Autoridade de supervisão
- Aviso de privacidade
- Direitos dos titulares dos dados