Em resumo: se num ataque for violada a proteção de dados pessoais, o Art. 33 do RGPD exige uma notificação à autoridade de controlo, se possível no prazo de 72 horas após o conhecimento, desde que exista um risco para os titulares dos dados. Em caso de risco elevado, acresce, nos termos do Art. 34, a comunicação aos titulares. Independentemente disso, tem de documentar toda e qualquer violação. Esta página é informação geral e não constitui aconselhamento jurídico.
Não é aconselhamento jurídico: se e quando existe, num caso concreto, um dever de notificação é avaliado pelo seu encarregado da proteção de dados ou por uma advogada. Nós fornecemos os factos técnicos em que essa avaliação se apoia.
Violação de dados e notificação em 72 horas: o que regula o Art. 33
O Art. 33 do RGPD diz respeito à “violação de dados pessoais”. Refere-se a qualquer violação de segurança que provoque a destruição, a perda, a alteração, a divulgação não autorizada ou o acesso não autorizado a dados pessoais. Um servidor web comprometido com uma base de dados de clientes, formulários de contacto ou dados de candidatos pode enquadrar-se aqui.
A notificação à autoridade de controlo deve ser feita sem demora injustificada e, se possível, no prazo de 72 horas após o responsável pelo tratamento ter tido conhecimento da violação. Dispensa-se se for improvável que a violação resulte num risco para os direitos e liberdades das pessoas singulares. Quem notificar depois das 72 horas tem de fundamentar o atraso. As informações podem ser fornecidas por fases.
O que deve conter uma notificação
O Art. 33, n.º 3, do RGPD indica conteúdos mínimos. Deve preparar estes pontos, mesmo que ainda nem tudo esteja determinado:
- natureza da violação, se possível com as categorias e o número aproximado de pessoas e de registos afetados
- nome e contactos do encarregado da proteção de dados ou de outro ponto de contacto
- consequências prováveis da violação
- medidas adotadas ou propostas para reparar a violação e atenuar eventuais efeitos negativos
Precisamente nos ataques a servidores web, a dimensão é muitas vezes pouco clara no início. Ajuda então uma primeira notificação honesta, com o que se sabe, e o anúncio de que serão enviados mais elementos.
Quando começa o prazo após um ataque a um servidor?
O prazo está ligado ao conhecimento, não ao momento do ataque. Na prática, a distinção é muitas vezes difícil: uma notícia sobre uma vulnerabilidade de segurança como o PHP2Shell não fundamenta, por si só, o conhecimento de uma violação de dados. Mas se encontrar indícios concretos de uma intrusão, por exemplo uma webshell ou consultas suspeitas à base de dados, a situação pode ser diferente.
Documente por isso desde o início, com a hora, quem recebeu que informação e quando, e que passos se seguiram. Esta cronologia ajuda na avaliação jurídica e em eventuais perguntas da autoridade. Uma investigação técnica cuidadosa, por exemplo através de forense informática, esclarece se e que dados foram realmente afetados.
Comunicação aos titulares dos dados nos termos do Art. 34
Se a violação for suscetível de implicar um risco elevado para os direitos e liberdades pessoais, também as pessoas afetadas têm de ser informadas sem demora injustificada. Isso pode ser o caso, por exemplo, com credenciais de acesso, coordenadas bancárias ou dados de saúde. A comunicação deve descrever, em linguagem clara e simples, o que aconteceu e indicar, no mínimo, o ponto de contacto, as consequências prováveis e as medidas adotadas.
O Art. 34 prevê exceções, por exemplo se os dados tiverem sido tornados inacessíveis a pessoas não autorizadas, como através de cifragem. Se informar cada pessoa individualmente implicasse um esforço desproporcionado, pode ser considerada, em vez disso, uma comunicação pública ou uma medida igualmente eficaz. Se uma exceção se aplica faz parte da avaliação jurídica. Como informar os clientes de forma compreensível descreve-o Comunicação de crise após um ataque.
Dever de documentação nos termos do Art. 33, n.º 5
Independentemente do dever de notificação, o Art. 33, n.º 5, do RGPD exige que toda e qualquer violação seja documentada: os factos, os efeitos e as medidas corretivas adotadas. Esta documentação tem de permitir à autoridade de controlo verificar o cumprimento. Isto aplica-se também se, depois de analisar, concluir que não é necessária nenhuma notificação.
Para servidores web, isto significa na prática: preservar os registos antes de serem rodados, registar os achados com a hora, anotar as decisões e a sua fundamentação. No caso do PHP2Shell, a imprensa especializada recomenda guardar os registos do servidor a partir de 20/10/2026. Além disso, um patch não remove software malicioso já introduzido e não prova que antes não aconteceu nada.
Procedimento prático nas primeiras horas
- Comunicar internamente a suspeita a um ponto fixo e envolver o encarregado da proteção de dados.
- Preservar provas: registos, listas de ficheiros, extratos da base de dados, antes de apagar ou reinstalar seja o que for.
- Esclarecer tecnicamente se podem estar afetados dados pessoais.
- Avaliação jurídica do dever de notificação e de comunicação, se necessário com advogado e seguradora.
- Notificação através do formulário da autoridade de controlo competente, com aditamentos em caso de novas conclusões.
Um plano de emergência de TI preparado encurta estes passos de forma considerável.
Como ajuda concretamente a PHP SOS?
- Preservamos registos e estados do sistema de modo a que continuem utilizáveis para a avaliação e para uma verificação posterior.
- Esclarecemos tecnicamente se e que dados estiveram acessíveis e fornecemos um resumo compreensível para encarregados da proteção de dados e advogados.
- Mantemos uma cronologia das conclusões técnicas que pode usar para a notificação e a documentação.
- Em caso de intrusão confirmada, assumimos a resposta a incidentes e a limpeza.
Perguntas frequentes
Quando começam a contar as 72 horas?
Segundo o Art. 33 do RGPD, a partir do momento em que o responsável pelo tratamento tomou conhecimento da violação. Quando isso se deve considerar verificado num caso concreto é uma avaliação jurídica. Documente por isso com exatidão quando é que quem teve que informação.
É preciso notificar todas as vulnerabilidades de segurança?
Não. Uma vulnerabilidade, por si só, ainda não é uma violação da proteção de dados pessoais. A notificação pode tornar-se obrigatória quando existem indícios de que pessoas não autorizadas tiveram ou puderam ter acesso a esses dados e daí resulta um risco para os titulares.
E se, passadas 72 horas, ainda não souber tudo?
O Art. 33, n.º 4, do RGPD permite fornecer as informações por fases, quando não for possível prestá-las todas ao mesmo tempo. Uma notificação tardia tem de ser fundamentada. Esperar por total clareza não é, por isso, em regra, motivo para deixar o prazo expirar.
Quem notifica, se o fornecedor de alojamento foi afetado?
O dever de notificação cabe ao responsável pelo tratamento, ou seja, em regra a empresa que opera o site. Um subcontratante, como o fornecedor de alojamento, tem de informar o responsável sem demora injustificada, nos termos do Art. 33, n.º 2, do RGPD.
Onde notifico uma violação de dados?
À autoridade de controlo competente em matéria de proteção de dados; no caso das empresas, em regra a autoridade do estado federado alemão em que têm sede. A maioria das autoridades disponibiliza formulários em linha para o efeito.