Notificação de violações e DPIAs

Uma violação de dados pessoais é um incidente de segurança que resulta em destruição, perda, alteração, divulgação ou acesso não autorizado acidental ou ilícito a dados pessoais.

Ela é mais abrangente do que uma invasão. Um notebook perdido, um e-mail enviado ao destinatário errado, um ataque de extorsão que criptografa (elimina a disponibilidade dos) dados pessoais ou um depósito S3 exposto se enquadram nessa definição.

As violações correspondem aos três pilares da segurança:

• Violação de confidencialidade: divulgação ou acesso não autorizado
• Violação de integridade: alteração não autorizada
• Violação de disponibilidade: perda ou destruição (por exemplo, por ataque de extorsão)

Reconhecer que a perda de disponibilidade também é uma violação que deve ser comunicada é um ponto cego comum.

De acordo com o GDPR, o responsável pelo tratamento deve notificar a autoridade de supervisão sobre uma violação comunicável sem demora indevida e no prazo de 72 horas após tomar conhecimento dela, quando viável.

A KVKK exige a notificação do Conselho da KVKK o mais rápido possível (o Conselho estabeleceu prazos curtos específicos). O prazo começa no momento da ciência, portanto a rapidez na detecção e na triagem é fundamental.

Nem toda violação precisa ser comunicada à autoridade reguladora. O GDPR relaciona essa obrigação ao risco para as pessoas:

• Notifique a autoridade, a menos que seja improvável que a violação resulte em risco para os direitos e liberdades
• Notifique os titulares dos dados quando for provável que a violação resulte em alto risco

Uma criptografia forte dos dados expostos pode reduzir o risco e eliminar a obrigação de notificar as pessoas.

Uma notificação de violação à autoridade reguladora deve descrever:

• A natureza da violação e as categorias/o número aproximado de pessoas e registros afetados
• Prováveis consequências
• Medidas tomadas ou propostas para lidar com a violação e reduzir os danos
• Ponto de contato (DPO ou equivalente)

Se todos os detalhes ainda não estiverem disponíveis, forneça as informações em etapas em vez de perder o prazo.

Um processo eficaz de resposta a violações é ensaiado com antecedência:

• Detecte e contenha
• Avalie o escopo e o risco para as pessoas
• Notifique a autoridade reguladora e, se houver alto risco, os titulares dos dados
• Corrija a causa raiz
• Documente tudo em um registro de violações

Mesmo as violações que não precisam ser comunicadas devem ser registradas internamente de acordo com o princípio de responsabilização do GDPR.

Quando for necessário informar as pessoas, a comunicação deve usar uma linguagem clara e simples: o que aconteceu, quais dados foram afetados, as prováveis consequências, o que você está fazendo e o que elas devem fazer (por exemplo, redefinir senhas e ficar atentas a golpes).

Não minimize a gravidade do incidente. Uma notificação transparente e rápida preserva a confiança; ocultações multiplicam os danos regulatórios e à reputação.

Uma Avaliação de Impacto sobre a Proteção de Dados (DPIA) é um processo estruturado para identificar e reduzir riscos à privacidade antes de iniciar um tratamento de alto risco.

Ela incorpora a privacidade desde o início: em vez de reagir a violações, você avalia e reduz os riscos na etapa de projeto. A KVKK tem uma expectativa análoga de avaliação de riscos.

O GDPR exige uma DPIA quando o tratamento provavelmente envolve alto risco, especialmente:

• Definição de perfis sistemática e extensiva com efeitos significativos
• Tratamento em larga escala de dados de categorias especiais
• Monitoramento sistemático de uma área pública
• Novas tecnologias com impacto incerto (por exemplo, inteligência artificial e biometria)

Uma DPIA normalmente:

• Descreve o tratamento e sua finalidade
• Avalia a necessidade e a proporcionalidade
• Identifica os riscos para as pessoas
• Define medidas de mitigação (minimização, criptografia, controle de acesso)

Se um alto risco residual permanecer após a mitigação, o responsável pelo tratamento deverá consultar a autoridade de supervisão antes de prosseguir.

Quando um processador sofre uma violação, ele deve notificar o controlador sem demora indevida, pois somente o controlador comunica o fato à autoridade reguladora e é responsável pelo prazo de 72 horas.

Os contratos (o DPA) devem especificar a comunicação rápida de violações pelos processadores. Um fornecedor lento pode consumir todo o prazo de notificação do controlador; por isso, o monitoramento e os acordos contratuais de nível de serviço são importantes.

Você concluiu o estudo da resposta a violações e da avaliação de riscos:

• Uma violação abrange a perda de confidencialidade, integridade ou disponibilidade
• O prazo de notificação de 72 horas do GDPR começa quando há ciência do incidente
• Notifique as pessoas quando o risco for alto; a criptografia pode reduzir as obrigações
• Execute um fluxo de trabalho ensaiado de detectar-conter-avaliar-notificar-remediar-documentar
• Avaliações de impacto sobre a proteção de dados avaliam e reduzem os riscos do processamento de alto risco antes de seu início

Agora você pode responder a incidentes e gerenciar proativamente os riscos à privacidade.