Gestão de violações de dados pessoais: as primeiras 72 horas segundo a KVKK e o RGPD

Uma violação de dados pessoais envolve mais do que a segurança da informação. As equipas jurídica, de conformidade KVKK/RGPD, gestão, comunicação, operações de clientes e, se necessário, análise forense digital devem seguir um plano de crise comum.

O erro mais grave é reduzir todas as violações a uma única «regra das 72 horas». Os sistemas de notificação da KVKK e do RGPD parecem semelhantes, mas os fundamentos jurídicos e avaliações de risco diferem.

Como regula a KVKK a notificação de violações?

O artigo 12.º, n.º 5, da Lei n.º 6698 exige que o responsável informe rapidamente o titular e o Conselho turco de Proteção de Dados Pessoais quando terceiros obtêm ilegalmente os dados tratados.

Segundo a decisão n.º 2019/10 do Conselho turco de Proteção de Dados Pessoais de 24.01.2019, a expressão legal «o mais rapidamente possível» significa, para a notificação ao Conselho, a partir do conhecimento da violação, sem demora e no máximo em 72 horas.

Se um motivo justificado impedir a notificação nesse prazo, explicar as razões do atraso na notificação.

Aplica-se a mesma regra das 72 horas à informação dos titulares dos dados?

Não. Depois de identificar os titulares afetados, a abordagem do Conselho prevê notificá-los no prazo razoavelmente mais curto.

Se os contactos do titular dos dados estiverem disponíveis, a comunicação pode ser feita diretamente; caso contrário, podem ser considerados meios adequados, como um aviso no site do responsável pelo tratamento.

A notificação ao Conselho e a comunicação aos titulares são coordenadas, mas os respetivos prazos legais não têm a mesma formulação.

Regra de 72 horas no RGPD

Nos termos do artigo 33 do RGPD, o responsável notifica a autoridade competente sem demora e, se possível, em 72 horas após tomar conhecimento, salvo se for improvável que a violação resulte num risco para os direitos e liberdades das pessoas.

Se as 72 horas forem ultrapassadas, a notificação deve explicar o atraso.

O subcontratante deve informar o responsável pelo tratamento sem demora após tomar conhecimento da violação.

Notificação à pessoa em causa no RGPD

Nos termos do artigo 34 do RGPD, o responsável pelo tratamento deve informar o titular dos dados sem demora injustificada quando a violação for suscetível de implicar um elevado risco para os direitos e liberdades das pessoas singulares.

A notificação à autoridade e a comunicação ao titular exigem avaliações distintas no RGPD.

As primeiras 15 minutos: Pare o evento, Não Destrua Evidências

Não desligar tudo nem limpar registos por reflexo. Conter a violação preservando os registos que explicam como ocorreu.

Identificar sistemas afetados.
Limitar o acesso não autorizado.
Alterar de forma controlada as chaves de acesso necessárias.
Evitar a exclusão dos registos de log e eventos.
Registar o início do incidente e quando foi conhecido.

Primeira hora: ativar a equipa de gestão da violação

Uma boa resposta a incidentes vai além das TI. Consoante o incidente, envolver:

Segurança da informação / TI,
responsáveis pela KVKK ou proteção de dados,
equipa jurídica,
gestão,
comunicação corporativa,
operações de clientes,
especialistas externos de cibersegurança ou análise forense digital.

Porque é crucial o momento em que se toma conhecimento?

O processo de 72 horas é avaliado não a partir do momento em que o evento tecnicamente ocorreu pela primeira vez, mas a partir do momento em que o responsável pelo tratamento de dados soube da violação. Portanto, é importante manter registos iniciais de detecção, escalada e decisão dentro da instituição.

Manter um alarme de segurança à espera de dias sem ser examinado pode também representar um risco para a gestão do processo.

Criar um inventário da violação

Determinar rapidamente o âmbito do incidente antes de decidir notificar:

Que sistema foi afetado?
Que categorias de dados foram afetadas?
Quantas pessoas são estimadas ter sido afetadas?
Os dados foram visualizados, exportados ou alterados?
Existem categorias especiais de dados pessoais?
Os dados foram encriptados ou protegidos por outras medidas de protecção?
O acesso não autorizado continua?
Que consequências podem sofrer os titulares?

Deve a falta de informação atrasar a notificação?

A investigação técnica pode não terminar em 72 horas. Não esperar pelo fim de toda a investigação para notificar.

Iniciar as notificações necessárias com a informação disponível. Acrescentar detalhes e conclusões técnicas segundo o procedimento aplicável à medida que a análise avança, documentando atrasos.

Como fazer a análise de risco?

Uma mensagem para o destinatário errado exige um plano diferente de uma fuga de dados de identidade e financeiros de milhares de pessoas.

A análise de risco pode considerar os seguintes fatores:

natureza e sensibilidade dos dados,
O número de pessoas afetadas,
roubo de identidade ou risco de fraude,
dados de saúde ou outras categorias especiais,
Se os dados são tornados públicos,
medidas de protecção, tais como criptografia ou pseudonimização,
Se a violação continua,
possíveis danos materiais ou imateriais às pessoas.

Como documentar o incidente técnico

O processo da violação deve incluir a cronologia e o relatório final.

hora do primeiro alerta,
momento do conhecimento da violação,
A primeira intervenção,
Identificação dos sistemas afectados,
alterações técnicas introduzidas,
A data da decisão de notificação,
Notificação do Conselho/autoridade,
comunicações aos titulares afetados,
data de encerramento do incidente.

Registar cada etapa com carimbo temporal.

O que comunicar aos titulares afetados

Não limitar a comunicação a «os seus dados foram divulgados» de forma vaga ou alarmante. Explicar o incidente, os dados afetados, as consequências, as medidas da empresa e como a pessoa se pode proteger.

Análise de Causa Raiz Após Violação

O relatório não é o fim da gestão de eventos. A instituição deve determinar por que o evento ocorreu e quais os controlos necessários para evitar a recorrência.

permissões excessivas,
autenticação fraca,
serviço de nuvem mal configurado,
de phishing,
software desatualizado,
erro humano,
Segurança do Fornecedor

Associar a cada causa ações corretivas específicas.

Plano de Operação de 72 horas

0-4 horas

Conter o incidente, preservar provas, determinar o âmbito inicial e registar quando foi conhecido.

4-24 horas

Identifique as categorias de dados, os grupos de pessoas afetadas, a causa técnica e as possíveis consequências. Envolva a equipa jurídica, os responsáveis pela KVKK e a direção no processo.

24-48 horas

Preparar o processo de notificação, listar informação em falta, planear a comunicação aos titulares e iniciar medidas corretivas.

48-72 horas

Concluir as notificações exigidas à autoridade/ao Conselho pela lei aplicável. Documentar atrasos e motivos. Informar os titulares segundo as condições do regime relevante.

A abordagem B10

A B 10 Digital Agency aborda as violações para além dos documentos jurídicos, coordenando fluxos de dados, permissões, registos, segurança técnica, documentação de incidentes e conformidade KVKK.

Conclusão

As primeiras 72 horas são uma fase crítica de deteção, análise, preservação de provas, notificação, comunicação e resposta técnica coordenadas. A KVKK e o RGPD exigem disciplina semelhante, mas as obrigações de notificação devem ser avaliadas separadamente segundo as respetivas regras.

Nota: Este conteúdo é para fins de informação geral. As obrigações jurídicas a aplicar numa violação concreta de dados devem igualmente ser avaliadas de acordo com as características do incidente e a legislação aplicável.