As primeiras horas
- Conter a violação: parar a fuga, proteger as contas, preservar as provas.
- Reunir a equipa de crise e o encarregado da proteção de dados.
- Determinar quando teve conhecimento: as 72 horas contam a partir daí.
- Apurar que dados, quantas pessoas e que consequências pode haver.
O que contém a notificação (artigo 33.º, n.º 3)
- A natureza da violação, as categorias e o número aproximado de pessoas e registos.
- O ponto de contacto.
- As consequências prováveis.
- As medidas adotadas ou propostas.
Se ainda não souber tudo
Notifique dentro do prazo e complete por fases, como permite o artigo 33.º, n.º 4. Se notificar depois das 72 horas, tem de indicar os motivos do atraso.
A proposta europeia Digital Omnibus alteraria a forma de notificar as violações. Verifique o seu estado face ao texto em vigor do RGPD.
Quando informar os titulares
O artigo 34.º exige comunicar-lhes sem demora injustificada quando a violação for suscetível de implicar um elevado risco para eles, em linguagem clara e com o que podem fazer para se proteger.
Registar todas as violações
O artigo 33.º, n.º 5, exige documentar todas as violações, mesmo as não notificadas: os factos, os efeitos, as medidas e o raciocínio por trás da sua decisão.
Perguntas
- Quando começa o prazo de 72 horas?
- Quando tem conhecimento da violação, ou seja, quando tem uma certeza razoável de que foram comprometidos dados pessoais.
- Os subcontratantes notificam a autoridade?
- Um subcontratante tem de informar o responsável pelo tratamento sem demora injustificada (artigo 33.º, n.º 2). É o responsável que notifica a autoridade.
- Todas as violações têm de ser notificadas?
- Não: não se for improvável que resultem num risco para as pessoas. A decisão e as suas razões têm, ainda assim, de ser registadas.