Como reportar uma violação de dados ao CNPD?

Sob o disposto no artigo 33º do Regulamento Geral de Proteção de Dados, exige-se que violações de dados pessoais de usuários sejam reportadas ao organismo de autoridade de controlo para cada país da União Europeia. Em Portugal, essa incumbência cabe à Comissão Nacional de Proteção de Dados (CNPD).

A CNPD já disponibiliza um formulário de notificação de violação de dados pessoais. O procedimento é simples, ainda que o website da própria CNPD encontre-se bastante desatualizado, não apenas em relação a algumas modificações relativas ao GDPR europeu, como principalmente em termos de usabilidade e web design. De qualquer modo, há diferentes formulários padrão para reportar:

  • Violações de dados pessoais
  • Queixas ou reclamações

Ao aceder o formulário de violações de dados pessoais da CNPD, o DPO ou responsável pelo tratamento de dados encontrará duas opções: ou poderá reportar e registar uma ocorrência, ou então alterar alguma notificação anteriormente efetuada. O preenchimento é simples e rápido, como é possível ver na imagem do ecrã do formulário.

CNPD - violação de dados pessoais

Além da ocorrência em si, o formulário exige que uma série de informações sejam prestadas pelo DPO ou responsável, o que inclui:

  • Dados da entidade
  • Dados de contacto
  • Informação sobre a violação de dados
  • Consequências da violação de dados
  • Dados pessoais envolvidos
  • Titulares dos dados
  • Informação aos titulares
  • Medidas preventivas/corretivas
  • Tratamentos transfronteiriços

Caso precise de mais ajuda, disponibilizamos um breve passo a passo em vídeo em nosso canal no Youtube.

Artigo 32º – Segurança do tratamento

Artigo 32º

Segurança do tratamento

1. Tendo em conta as técnicas mais avançadas, os custos de aplicação e a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como os riscos, de probabilidade e gravidade variável, para os direitos e liberdades das pessoas singulares, o responsável pelo tratamento e o subcontratante aplicam as medidas técnicas e organizativas adequadas para assegurar um nível de segurança adequado ao risco, incluindo, consoante o que for adequado:

a) A pseudonimização e a cifragem dos dados pessoais;

b) A capacidade de assegurar a confidencialidade, integridade, disponibilidade e resiliência permanentes dos sistemas e dos serviços de tratamento;

c) A capacidade de restabelecer a disponibilidade e o acesso aos dados pessoais de forma atempada no caso de um incidente físico ou técnico;

d) Um processo para testar, apreciar e avaliar regularmente a eficácia das medidas técnicas e organizativas para garantir a segurança do tratamento.

2. Ao avaliar o nível de segurança adequado, devem ser tidos em conta, designadamente, os riscos apresentados pelo tratamento, em particular devido à destruição, perda e alteração acidentais ou ilícitas, e à divulgação ou ao acesso não autorizados, de dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento.

3. O cumprimento de um código de conduta aprovado conforme referido no artigo 40º ou de um procedimento de certificação aprovado conforme referido no artigo 42º pode ser utilizado como elemento para demonstrar o cumprimento das obrigações estabelecidas no nº 1 do presente artigo.

4. O responsável pelo tratamento e o subcontratante tomam medidas para assegurar que qualquer pessoa singular que, agindo sob a autoridade do responsável pelo tratamento ou do subcontratante, tenha acesso a dados pessoais, só procede ao seu tratamento mediante instruções do responsável pelo tratamento, exceto se tal lhe for exigido pelo direito da União ou de um Estado-Membro.