Comunicação de Incidentes

Violações de dados pessoais e incidentes de segurança

Uma violação de dados pessoais é uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizados a dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento (artigo 4.º, n.º 12, do RGPD). A comunicação imediata destes incidentes permite limitar os danos e cumprir os prazos legais de notificação.

1.Exemplos de Incidentes

• Envio de uma mensagem de correio eletrónico com dados de munícipes para o destinatário errado ou com os endereços dos destinatários visíveis;
• Perda ou furto de um computador portátil, telemóvel, pen USB ou processo em papel;
• Publicação em linha de uma ata, edital ou lista com dados pessoais que não deviam ser divulgados;
• Acesso indevido a um processo de ação social ou habitação por pessoa não autorizada;
• Ataque informático, incluindo programas de sequestro de dados (ransomware) ou comprometimento de contas de correio eletrónico;
• Eliminação acidental de ficheiros sem cópia de segurança disponível.

2.Quem Deve Comunicar

Qualquer pessoa pode comunicar um incidente: munícipes, utentes, fornecedores ou terceiros. Os trabalhadores e eleitos do Município estão especialmente obrigados a comunicá-lo sem demora, nos termos da Política Laboral publicada em cm-castanheiradepera.protecaodedados.pt/p/politicas/laboral/.

3.Que Informação Indicar

• Data, hora e local em que o incidente ocorreu ou foi detetado;
• Descrição do que aconteceu e dos dados ou documentos envolvidos;
• Número aproximado de pessoas afetadas, se conhecido;
• Medidas já tomadas para conter o incidente;
• Contacto para esclarecimentos adicionais.

Não é necessário ter toda a informação para comunicar: é preferível comunicar de imediato e completar a informação depois.

4.O que Faz o Município

Após a comunicação, o EPD e os serviços competentes avaliam o incidente, adotam medidas de contenção, analisam o risco para os direitos e liberdades das pessoas e, se aplicável, notificam a CNPD sem demora injustificada e, sempre que possível, até 72 horas após terem tido conhecimento da violação (artigo 33.º, n.º 1, do RGPD). Se o risco for elevado, as pessoas afetadas são informadas diretamente (artigo 34.º do RGPD). Todas as violações, incluindo as não notificadas, são registadas internamente.

5.Incidentes de Cibersegurança

Os incidentes que afetem a segurança das redes e sistemas de informação do Município, ainda que não envolvam dados pessoais, devem ser comunicados através do Ponto de Contacto Permanente de Segurança, em cm-castanheiradepera.protecaodedados.pt/p/seguranca/.