Quando uma organização descobre que perdeu o controlo dos seus dados, a primeira pergunta da equipa técnica é “como contemos isto?”. A primeira pergunta da área de conformidade é outra: “a quem temos de avisar, e quanto tempo nos resta?”. As duas perguntas convivem na mesma sala de crise, e a segunda costuma ter respostas bem mais rígidas do que se imagina.
O problema é que não existe um único relógio. Uma empresa com sede em Espanha, operação financeira na Argentina e um prestador de saúde nos Estados Unidos pode estar sujeita, para o mesmo incidente, a três prazos paralelos. Confundi-los, ou descobri-los no dia da violação, é uma das formas mais caras de falhar um requisito de conformidade.
Este artigo organiza os enquadramentos mais citados de notificação de violações de dados por prazo, destinatário e facto gerador, para que o relógio não te apanhe desprevenido.
O que conta como violação de segurança, e porque não é o mesmo que um incidente?
Convém separar dois termos que a operação diária tende a misturar. Um incidente de segurança é qualquer evento que afeta a disponibilidade, a integridade ou a confidencialidade da informação: um servidor em baixo, uma tentativa de acesso falhada, um e-mail suspeito comunicado a tempo. Uma violação de segurança é o incidente que compromete efetivamente dados pessoais, por destruição, perda, alteração, divulgação ou acesso não autorizado.
A distinção não é cosmética. O dever de notificar é desencadeado pela violação, não pelo incidente. E é aqui que surge a nuance que gera mais discussão nos comités. O relógio regulatório não arranca quando resolves o incidente, mas quando tomas conhecimento de que houve uma violação. O RGPD usa exatamente essa expressão, “após ter tido conhecimento da mesma”, no seu artigo 33.
Isto obriga a uma mudança de mentalidade. A deteção precoce deixa de ser apenas uma boa prática técnica e passa a ser o ponto onde começa a correr um prazo legal.
Quando arranca o relógio das 72 horas do RGPD?
O Regulamento Geral sobre a Proteção de Dados da União Europeia estabelece duas obrigações distintas, cada uma com um destinatário diferente.
O artigo 33.º obriga o responsável pelo tratamento a notificar a violação à autoridade de controlo competente, como a Comissão Nacional de Proteção de Dados, sem demora injustificada e, sempre que possível, no prazo máximo de 72 horas após ter tido conhecimento da mesma. Se a notificação chegar mais tarde, tem de ser acompanhada da justificação do atraso.
O artigo 34.º cobre outra frente, a comunicação às pessoas afetadas. Aqui não há um relógio em horas, mas um critério de risco. Os titulares só são avisados quando a violação implica um risco elevado para os seus direitos e liberdades, e nesse caso a comunicação tem de ser sem demora injustificada.
Há uma exceção que se esquece com frequência, e é que nem toda a violação tem de ser notificada. Se for improvável que a violação implique um risco para os direitos das pessoas, o artigo 33.º permite não notificar a autoridade, embora exija documentar a decisão. Essa documentação é precisamente o que um auditor pedirá para ver depois.
O mesmo incidente, relógios diferentes: como comparar os enquadramentos
Um mesmo grupo empresarial pode ter de responder a várias autoridades ao mesmo tempo. A tabela seguinte organiza quatro enquadramentos de referência pelo que realmente importa numa sala de crise: a quem avisar, em quanto tempo e o que faz surgir a obrigação.
| Enquadramento | Quem é notificado | Prazo | O que faz surgir a obrigação | As pessoas afetadas? |
|---|---|---|---|---|
| RGPD (União Europeia) | Autoridade de controlo (ex. a CNPD ou a AEPD, em Espanha) | 72 horas desde o conhecimento | Qualquer violação, salvo se for improvável que implique um risco | Sim, sem demora injustificada, apenas se houver risco elevado |
| BCRA, setor financeiro argentino (Comunicações “A” 7724 e “A” 8280) | Banco Central (BCRA, Banco Central de la República Argentina) | Notificação inicial na primeira hora perante um ciberincidente crítico, mais atualizações e relatório de fecho | Um ciberincidente que afeta a prestação de serviços, a integridade ou a confidencialidade | O foco da norma é o supervisor; a comunicação ao cliente segue as regras de proteção do utilizador financeiro |
| HIPAA (EUA, setor da saúde) | Indivíduos afetados e o Departamento de Saúde (HHS); a imprensa se forem 500 ou mais | No prazo máximo de 60 dias desde a descoberta (para menos de 500 pessoas, relatório anual ao HHS) | Acesso, uso ou divulgação não permitidos de informação de saúde protegida | Sim, aos indivíduos, no prazo máximo de 60 dias |
| Chile (Lei 21.719 e Lei-quadro 21.663) | Agência de Proteção de Dados; CSIRT nacional para as entidades sob o quadro de cibersegurança | Sem demora injustificada na lei de dados; 72 horas para as entidades abrangidas pela Lei 21.663 | Uma violação que destrói, difunde, perde ou altera dados pessoais | Sim, aos titulares, se houver risco elevado |
Três leituras saltam da tabela. A primeira é a dispersão dos prazos, porque da primeira hora do regulador financeiro argentino aos 60 dias da HIPAA há duas ordens de grandeza de diferença. A segunda é que o destinatário muda com o enquadramento, já que uns dão prioridade ao supervisor e outros à pessoa afetada. A terceira é que os enquadramentos mais recentes, como o chileno, estão a alinhar-se com o modelo do RGPD, pelo que o critério das “72 horas e notificação baseada no risco” se está a tornar um padrão de referência regional.
Uma nuance para não ler mal a tabela. O enquadramento do Banco Central argentino não é uma lei geral de proteção de dados, mas uma regulação setorial de cibersegurança para instituições financeiras e prestadores de serviços de pagamento. Coexiste com o regime geral de dados pessoais, não o substitui. Por isso uma mesma instituição financeira pode dever um relatório ao supervisor na primeira hora e, em paralelo, avaliar a notificação ao abrigo do enquadramento de proteção de dados que lhe seja aplicável.
Quem faz a notificação, e com que evidência?
A notificação não é redigida pela firewall. É montada por uma pessoa, quase sempre sob pressão e com informação incompleta. Na maioria dos enquadramentos a responsabilidade formal recai sobre o responsável pelo tratamento ou o seu encarregado da proteção de dados, mas na prática a notificação depende de várias áreas terem feito a sua parte antes: a segurança para caracterizar o incidente, o jurídico para interpretar o enquadramento aplicável, o negócio para dimensionar o impacto.
O conteúdo mínimo que quase todas as autoridades esperam é semelhante: a natureza da violação, as categorias e o número aproximado de pessoas afetadas, as consequências prováveis e as medidas adotadas ou propostas. A Lei chilena 21.719, por exemplo, exige registar exatamente esses elementos.
Esse registo é a parte que se subestima. Uma organização que decide de forma fundamentada não notificar uma violação de baixo risco precisa de conseguir mostrar o raciocínio que a levou a essa decisão. A evidência da decisão pesa tanto como a decisão. É o mesmo princípio que se aplica ao resto do programa de conformidade. O que não é documentado, aos olhos de um auditor, não aconteceu. Na SMARTFENSE vemo-lo no terreno mais quotidiano da demonstração de conformidade em sensibilização, onde o registo rastreável de cada ação é o que transforma uma política em evidência defensável.
Do enquadramento à operação, antes de o relógio tocar
Conhecer os prazos não serve de nada se a organização os descobre no dia da violação. A diferença entre cumprir um requisito e falhá-lo decide-se semanas antes do incidente, em escolhas que raramente parecem urgentes.
Vale a pena reduzir o enquadramento a quatro perguntas operacionais a que um comité deveria saber responder a frio:
- Sabemos que enquadramentos se nos aplicam, por país e por setor? Um grupo com operação multinacional precisa de um mapa de obrigações, não de uma lista genérica. O relógio do setor financeiro argentino não é o mesmo que o de um prestador de saúde sujeito a regras de proteção de dados de saúde.
- Temos definido o momento do “conhecimento”? Alguém tem de conseguir afirmar, com suporte, quando a organização soube da violação. Desse momento depende a contagem do prazo.
- Os papéis estão claros? Quem caracteriza o incidente, quem decide se há que notificar, quem assina a comunicação ao regulador. Sem esses papéis atribuídos, as primeiras horas perdem-se em coordenação.
- As nossas pessoas sabem comunicar depressa? O prazo começa quando a organização toma conhecimento, e esse conhecimento nasce muitas vezes de uma pessoa que comunica um e-mail estranho ou um acesso anómalo. Uma equipa treinada para comunicar cedo dá à organização horas que depois não se recuperam.
As três primeiras perguntas são de governação e resolvem-se na conceção do programa. Um bom sistema de gestão de normas, políticas e procedimentos mantém esse mapa vivo e rastreável. A quarta é cultural, e é a que mais demora a amadurecer, porque não se compra. Constrói-se com um programa de sensibilização sustentado, do mesmo modo que a proteção de dados exige formação como requisito, não como acessório.
O prazo é o sintoma, a continuidade é o objetivo
É tentador ler a notificação de violações como uma formalidade: chegar a tempo, redigir bem, evitar a coima. Mas o prazo regulatório é apenas o sintoma visível de algo maior. Uma organização capaz de caracterizar uma violação, decidir a quem notificar e fazê-lo dentro do prazo é, quase por definição, uma organização que compreende os seus próprios dados, as suas dependências e os seus riscos.
É essa mesma capacidade que sustenta a continuidade do negócio quando o incidente se agrava. O relógio das 72 horas não mede apenas a conformidade; mede o quão preparada está a organização para continuar a operar no dia em que algo corre mal. Preparar-se para o prazo é, no fim, preparar-se para o pior dia do ano.
Deixe um comentário