Quando uma empresa perde o controlo de dados pessoais, o relógio começa a contar rapidamente. Ao abrigo do RGPD do Reino Unido e da UE, as regras das 72 horas para violações de dados do RGPD estabelecem um prazo firme para informar os reguladores sobre o que aconteceu. Para as pessoas cujos dados foram expostos, essas regras também importam, porque moldam o que você ouve, quando ouve e o que deve fazer a seguir.

Este guia explica o processo em linguagem simples, do lado da empresa e do seu.

Quando o relógio das 72 horas começa

A janela de 72 horas baseia-se numa única ideia: conhecimento. Ao abrigo do Artigo 33 do RGPD, um responsável pelo tratamento deve notificar uma violação de dados pessoais à autoridade de supervisão relevante no prazo de 72 horas após tomar conhecimento dela. No Reino Unido, essa autoridade é o Information Commissioner's Office (ICO). Na UE, é a autoridade de proteção de dados do Estado-Membro relevante.

Dois pontos costumam causar confusão:

  • O relógio começa no conhecimento, não no ataque. Uma violação pode ter ocorrido dias ou semanas antes. O prazo corre a partir do momento em que a organização tem um grau razoável de certeza de que os dados pessoais foram comprometidos.
  • O prazo não é uma pausa para investigação. Espera-se que as organizações ajam rapidamente. Quando os detalhes completos ainda não estão disponíveis, a abordagem habitual é reportar o que se sabe e fornecer informações adicionais por etapas.

Perder o prazo sem uma justificação razoável pode, por si só, constituir uma violação do Artigo 33, o que expõe o responsável pelo tratamento a medidas de execução, segundo comentários jurídicos sobre a regra.

Uma nota prática: as 72 horas incluem fins de semana e feriados públicos. As violações não esperam pelo horário de expediente, por isso um plano de resposta a incidentes testado importa mais do que uma boa intenção.

O que as empresas devem comunicar ao ICO e às pessoas afetadas

Notificar o regulador e notificar os indivíduos são dois deveres separados com gatilhos diferentes.

Comunicar ao ICO. Geralmente é exigido um relatório, a menos que seja improvável que a violação resulte num risco para os direitos e liberdades das pessoas. A notificação deve descrever a natureza da violação, as categorias e números aproximados de pessoas e registos afetados, as consequências prováveis e as medidas tomadas ou propostas para a tratar. Deve também incluir os dados de contacto do contacto de proteção de dados da organização.

Comunicar aos indivíduos. Quando é provável que uma violação resulte num risco elevado para as pessoas, a organização deve também informar os afetados sem demora injustificada. Essa mensagem deve ser escrita em linguagem clara e explicar o que aconteceu, quais são as consequências prováveis e que medidas as pessoas podem tomar para se protegerem.

O limiar para contactar os indivíduos é mais elevado do que o limiar para contactar o regulador. Digitalizações de passaportes roubadas, registos de saúde ou dados financeiros tendem a situar-se confortavelmente acima dele. Casos como a fuga de dados de passaportes do LT Group pelo ransomware Deadlock mostram como os documentos de identidade podem acabar nas mãos de criminosos, que é exatamente o tipo de exposição que aponta para risco elevado.

Espera-se também que as organizações mantenham um registo interno de cada violação, incluindo aquelas que decidem não reportar, juntamente com a fundamentação.

O que deve fazer se os seus dados forem expostos

Um aviso de violação pode parecer abstrato. Aqui está uma lista de verificação concreta que pode percorrer no mesmo dia.

  1. Altere a palavra-passe afetada e quaisquer outras reutilizadas. Se a mesma palavra-passe protege outras contas, altere-as também. Use uma palavra-passe única para cada serviço, idealmente guardada num gestor de palavras-passe.
  2. Ative a autenticação multifator. Prefira uma aplicação autenticadora ou uma chave de hardware em vez de mensagens de texto, quando possível.
  3. Leia o aviso com atenção. Anote quais tipos de dados estiveram envolvidos: dados de contacto, documentos de identidade, informações de saúde ou financeiras. Isto indica-lhe quais os riscos a priorizar.
  4. Vigie as suas contas. Verifique os extratos bancários e de cartão e considere um serviço de monitorização de crédito se estiverem envolvidos dados financeiros ou documentos de identidade.
  5. Seja cético em relação a contactos inesperados. E-mails, mensagens de texto ou chamadas que mencionem a violação podem ser genuínos, ou podem ser fraudes que a usam como isco.
  6. Faça um pedido de acesso. Ao abrigo do RGPD do Reino Unido e da UE, pode perguntar a uma organização quais os dados pessoais que detém sobre si e, em muitos casos, como estão a ser utilizados. Isto ajuda-o a compreender a sua exposição real e cria um registo documental.
  7. Conheça a sua via de reclamação. Se sentir que a empresa tratou o incidente mal, pode apresentá-lo ao ICO no Reino Unido ou à sua autoridade nacional de proteção de dados na UE.

Por que os dados roubados alimentam fraudes subsequentes

A violação inicial é frequentemente apenas a primeira etapa. Os dados roubados têm valor de revenda e extorsão, e os atacantes usam-nos cada vez mais para pressionar os indivíduos diretamente.

A cobertura do ataque de ransomware à AnMed e o esquema de extorsão a pacientes mostra como isto funciona: relatos sugeriram que os atacantes podem ter usado dados roubados de pacientes para realizar tentativas de extorsão personalizadas contra as pessoas a quem pertenciam. Os dados pessoais tornam uma ameaça credível, e é por isso que estas mensagens podem ser tão eficazes.

As fugas também podem ser públicas. No caso da fuga de 8,8TB de dados roubados da One Medical pela ShinyHunters, os dados foram publicados após pressão de extorsão, o que significa que qualquer pessoa poderia potencialmente aceder-lhes. Uma vez divulgada a informação, pode ser usada para phishing, personificação e fraude direcionada muito depois de o incidente original ser esquecido.

É por isso que a notificação rápida importa. Quanto mais cedo as pessoas souberem, mais cedo podem bloquear contas e reconhecer uma fraude pelo que é. As pequenas organizações também não estão isentas, como ilustra o caso de ransomware de Jaipur: o ransomware não discrimina pelo tamanho da empresa, e uma equipa sem pessoal de segurança dedicado ainda precisa de um plano de resposta.

O que isto significa para si

A lei dá-lhe uma expectativa razoável de que uma empresa informará o regulador no prazo de 72 horas após tomar conhecimento de uma violação e o informará diretamente se o risco para si for elevado. Não garante que os seus dados se mantenham seguros e não pode desfazer uma fuga. É a sua própria resposta que limita os danos.

Se gere um negócio, trate as 72 horas como uma restrição de planeamento: saiba quem decide se uma violação é reportável, quem contacta o ICO e como chegaria rapidamente aos clientes afetados.

Principais conclusões

  • O período de 72 horas começa quando uma organização toma conhecimento de uma violação, não quando ela começou.
  • O ICO ou a autoridade da UE devem ser informados, a menos que o risco para as pessoas seja improvável; os indivíduos devem ser informados quando o risco é elevado.
  • Altere palavras-passe, ative a autenticação multifator e monitorize as suas contas assim que receber um aviso.
  • Trate qualquer mensagem que mencione uma violação com cautela, uma vez que os criminosos reutilizam dados roubados para extorsão e phishing.
  • Use o seu direito de solicitar os seus dados para ver o que uma organização detém.

Compreender as regras das 72 horas para violações de dados do RGPD ajuda-o a avaliar se uma empresa está a agir corretamente, mas a sua melhor proteção é agir rapidamente. Proteja as suas contas hoje, mantenha-se alerta para fraudes subsequentes e leia a cobertura da AnMed e da ShinyHunters acima para ver como os dados violados são usados indevidamente na prática.