Enquadramento | notificacaodeincidentes.pt

Enquadramento

Cada regime define quando começa a contar o prazo, o que se deve comunicar e a quem.

Momentos de contagem

Quando começa a contar o prazo

Regime	Facto que inicia a contagem	Prazo
RGPD, artigo 33.º	Tomada de conhecimento da violação pelo responsável pelo tratamento	Sem demora injustificada e, sempre que possível, até 72 horas
RJC, artigo 42.º	Conclusão da entidade de que existe ou pode vir a existir incidente significativo	Sem demora injustificada e até 24 horas
RJC, artigo 43.º	Fim do impacto significativo	Até 24 horas
RJC, artigo 44.º	Notificação do fim de impacto significativo	30 dias úteis para o relatório final
Lei n.º 41/2004, artigo 3.º-A	Ocorrência de violação de dados pessoais	Sem demora injustificada

O que significa ter conhecimento

As Orientações 9/2022 do EDPB dedicam uma secção autónoma ao momento em que se considera que o responsável teve conhecimento da violação.

O que comunicar

Notificação	Conteúdo mínimo
CNPD, RGPD, artigo 33.º, n.º 3	Natureza da violação, categorias e número aproximado de titulares e registos; contactos do EPD; consequências prováveis; medidas adotadas ou propostas
Titulares, RGPD, artigo 34.º, n.º 2	Descrição em linguagem clara e simples e, pelo menos, contactos do EPD, consequências prováveis e medidas
Notificação inicial, RJC, artigo 42.º, n.º 2	Representante da entidade; data e hora do início ou da deteção; breve descrição segundo a taxonomia do CNCS; estimativa de impacto em utilizadores, duração e distribuição geográfica
Fim de impacto, RJC, artigo 43.º, n.º 2	Atualização da informação; medidas de resolução; situação de impacto no momento e tempo estimado de recuperação
Relatório final, RJC, artigo 44.º, n.º 2	Datas de início e fim do impacto significativo; impacto; descrição e causa; medidas; situação residual; notificações a outras autoridades
Assinantes, Lei n.º 41/2004, artigo 3.º-A, n.º 7	Natureza da violação, pontos de contacto e medidas recomendadas para limitar efeitos adversos

Flexibilidades

A informação à CNPD pode ser fornecida por fases, sem demora injustificada, quando não seja possível fornecê-la toda ao mesmo tempo (RGPD, artigo 33.º, n.º 4);
O cumprimento da mera notificação não gera responsabilidade acrescida para a entidade notificante (RJC, artigo 40.º, n.º 2);
Se o incidente significativo for resolvido nas duas horas seguintes à deteção, apenas é exigida a notificação do fim de impacto (RJC, artigo 41.º, n.º 2);
A comunicação aos titulares não é exigida quando os dados estejam cifrados ou tenham sido adotadas medidas que eliminem o elevado risco (RGPD, artigo 34.º, n.º 3).

Onde notificar

Formulário específico de notificação de violação de dados pessoais.

Notificações submetidas na plataforma eletrónica prevista no regime jurídico da cibersegurança.

Plataforma única de reporte gerida pela ENISA para as obrigações do Regulamento de Ciber-Resiliência.

Garanta triagem, notificações completas e prazos cumpridos em todos os regimes aplicáveis.