EDPB propõe um modelo único da UE para notificações de violações de dados

O Comité Europeu para a Proteção de Dados aprovou a versão 1.0 de um formulário comum para a notificação de violações de dados pessoais. A proposta está aberta a consulta pública até 5 de agosto de 2026, após o que se espera que o EDPB decida quando as autoridades nacionais de controlo começarão a utilizá-la na prática, segundo a Aisa International.

A iniciativa pretende substituir os diferentes formatos de notificação utilizados pelas autoridades de proteção de dados dos Estados-Membros da UE. Até agora, as organizações têm enfrentado estruturas e requisitos distintos ao notificarem violações, inclusive quando lidam com o Office for Personal Data Protection da Chéquia. Um formulário comum daria aos responsáveis pelo tratamento um quadro único para apresentar os detalhes de um incidente.

O modelo é extenso. Pede às organizações que descrevam o que aconteceu, quando aconteceu, quem foi afetado, como foram avaliados os riscos e que medidas foram tomadas em resposta. O objetivo declarado é tornar o processo mais coerente e fácil de seguir, sobretudo para organizações mais pequenas que podem não dispor de equipas jurídicas especializadas. Ao mesmo tempo, o nível de detalhe exigido significa que as empresas precisarão de registos fiáveis dos incidentes e de acesso rápido a informações técnicas e jurídicas.

O que abrange o formulário proposto

O documento está dividido em sete áreas gerais. A primeira diz respeito ao estado da notificação: uma organização deve indicar se está a apresentar uma notificação inicial, a atualizar uma anterior ou a retirar uma notificação previamente apresentada.

Uma segunda secção regista a identidade e o papel da organização. Inclui o setor económico relevante, utilizando classificações de A a V, bem como o tipo de organização envolvida. O formulário exige também que os responsáveis pelo tratamento identifiquem os subcontratantes e quaisquer responsáveis conjuntos pelo tratamento associados ao incidente.

A secção relativa à cronologia pede a data e a hora em que a violação ocorreu e em que foi descoberta. Se a notificação for apresentada após o prazo legal de 72 horas, a organização deve explicar o atraso. Isto torna particularmente importante a qualidade dos registos internos de incidentes, uma vez que o prazo para a notificação depende do momento da deteção e da avaliação, pela organização, das suas obrigações.

O formulário proposto pede depois às organizações que classifiquem a natureza da violação. Devem indicar se a confidencialidade, a integridade ou a disponibilidade foram comprometidas e assinalar se um agente malicioso interno ou externo foi responsável, quando isso for conhecido.

Outra parte centra-se nas pessoas e nas informações afetadas. As organizações devem identificar as categorias relevantes de titulares dos dados, como trabalhadores, clientes, crianças ou pessoas vulneráveis, e indicar o número de registos envolvidos. Quando os números ainda não forem certos, o formulário permite uma apresentação inicial baseada em estimativas. Essa notificação pode posteriormente ser alterada através de uma notificação de seguimento.

Provas, risco e incidentes transfronteiriços

A secção de avaliação de riscos exige uma explicação sobre a forma como a organização avaliou os possíveis efeitos sobre as pessoas. Pede também informações sobre as salvaguardas já existentes, incluindo medidas como a encriptação e a autenticação multifator.

A área final trata de incidentes que abrangem mais de um país do Espaço Económico Europeu e dos documentos de apoio. Os exemplos identificados pela Aisa International incluem avaliações de risco, mensagens enviadas às pessoas afetadas, e-mails de phishing e notas de ransomware. Estes requisitos significam que a notificação não se limita a uma breve descrição do evento; as autoridades podem também esperar documentação que demonstre como a organização o investigou e lhe deu resposta.

A responsabilidade pode continuar a caber ao responsável pelo tratamento mesmo quando a violação ocorre num prestador de serviços externo. A exigência do formulário proposto de registar subcontratantes e responsáveis conjuntos pelo tratamento reflete essa distribuição de funções. Uma empresa não pode presumir que a externalização do tratamento de dados elimina as suas próprias obrigações de notificação.

O formulário reconhece também que um responsável pelo tratamento pode não saber o número exato de pessoas afetadas no prazo de 72 horas. Pode ser apresentada uma notificação incompleta com base nas estimativas disponíveis, seguida de informações adicionais assim que a investigação produza números mais firmes. Isto proporciona às organizações uma forma de cumprir o prazo inicial sem esperar que todos os factos estejam apurados.

Ainda não há data de implementação

O prazo da consulta termina em 5 de agosto de 2026. Até que o EDPB defina os próximos passos, o artigo não identifica uma data final para a qual o modelo comum se tornará obrigatório para as autoridades nacionais ou para as organizações. As empresas têm, por isso, tempo para analisar de que forma os seus procedimentos de resposta a violações registam as informações solicitadas pelo formulário proposto.

A Aisa International afirma que não preenche notificações de violações para clientes, não mantém registos manuais de dados divulgados nem reconcilia relatórios de transações dos custodiantes. A empresa descreve o seu papel como uma supervisão estratégica da conformidade e afirma que a investigação técnica e a notificação devem ser asseguradas por consultores especializados em segurança da informação e em direito.

A publicação apresenta o formulário proposto como parte de uma mudança mais ampla rumo a uma supervisão mais estruturada dos riscos digitais. Para as organizações, a implicação prática é que a preparação para violações não pode depender exclusivamente de trabalho improvisado durante uma crise. Cronologias rigorosas, responsabilidades claras dos subcontratantes, avaliações de risco documentadas e provas preservadas poderão ser necessárias se a abordagem comum de notificação avançar.

O artigo da Aisa International afirma que as suas informações são gerais e não constituem aconselhamento personalizado, e alerta para a possibilidade de as leis mudarem. Recomenda a consulta de orientações atualizadas junto de consultores qualificados e de fontes oficiais do Governo antes de se basear na proposta num caso específico.