Prazo de 72 horas para violações de dados: início da contagem decrescente

A contagem das 72 horas relativas a uma violação começa no momento em que existe uma certeza razoável de que ocorreu uma violação de dados pessoais. Isto não equivale a confirmar todos os pormenores. Se suspeitar de uma violação, mas esperar até dispor de um relatório forense completo, já terá ultrapassado o prazo. O GDPR determina, em primeiro lugar, que a notificação seja efetuada «sem demora injustificada» e acrescenta depois o limite máximo de 72 horas. Assim, mesmo que não consiga concluir a investigação, deve notificar a autoridade de controlo no prazo de três dias após tomar conhecimento pela primeira vez de que algo está errado.

Para evitar cair na armadilha, lembre-se de que o limiar para «tomar conhecimento» é baixo. Se um alerta do sistema assinalar um acesso invulgar a uma base de dados que contenha dados pessoais, isso é suficiente para iniciar a contagem. Não necessita de provas de que os dados foram efetivamente exfiltrados. Um truque útil: pense no período de 72 horas como uma contagem decrescente que começa quando existe uma suspeita razoável, e não quando o incidente é confirmado. Outra pista: se uma pergunta descrever uma violação descoberta numa sexta-feira à tarde, a contagem prossegue durante o fim de semana. Os fins de semana e os feriados bancários não suspendem as 72 horas.

Para fixar este ponto, associe o número 72 à expressão «certeza razoável». Imagine um analista de segurança a dizer «Tenho uma certeza razoável de que ocorreu uma violação» e a iniciar imediatamente um temporizador de 72 horas. Se encontrar um cenário em que o responsável pelo tratamento aguarda por uma investigação completa antes de notificar, está perante uma violação clara. A contagem começa com a suspeita, não com a certeza.