O que é uma violação de dados pessoais?

Última atualização: 26 de agosto de 2026

Perguntar o que é uma violação de dados pessoais é diferente de perguntar se o caso tem de ser comunicado. A definição abrange qualquer falha de segurança que afete confidencialidade, integridade ou disponibilidade de dados pessoais. A causa pode ser banal, e a organização precisa primeiro de conter e apurar os factos antes de avaliar o risco ¹.

Resposta rápida Uma violação de dados pessoais é uma falha de segurança que causa destruição, perda, alteração, divulgação não autorizada ou acesso indevido a dados pessoais. Pode resultar de erro, avaria ou ataque. Nem todas são comunicáveis, mas todas exigem contenção, factos preservados, avaliação de risco e um registo da resposta.

A definição cobre três tipos de falha

Uma violação existe quando uma falha de segurança afeta dados pessoais de uma das formas previstas no RGPD. Não é necessário provar má intenção nem esperar que alguém use os dados contra a pessoa ¹.

Uma ocorrência pode envolver as três dimensões: um atacante que copia uma base, altera alguns registos e cifra o original causou divulgação, alteração e indisponibilidade. A organização deve registar cada efeito, porque o risco para as pessoas não se resume ao primeiro que foi descoberto.

«Dados pessoais» significa informação relativa a uma pessoa identificada ou identificável. Uma lista de números internos pode continuar a ser pessoal se a organização conseguir ligá-los a clientes; apagar apenas os nomes visíveis não garante que o ficheiro deixou de identificar pessoas.

Pseudonimizar dados pode limitar as consequências, mas não retira automaticamente o caso da definição, porque a chave ou informação adicional ainda permite reidentificar as pessoas. A análise precisa de perguntar quem possui essa informação, se o destinatário inesperado a consegue obter e se os restantes campos identificam alguém por combinação. Só uma anonimização efetiva, em que a identificação deixa de ser razoavelmente possível, altera a natureza do material.

A causa pode ser perfeitamente comum

Muitas violações começam num processo quotidiano. Imagine que uma ficha de devolução com nome, morada e número de encomenda cai na caixa destinada a outro cliente; o operador percebe o erro quando a fita já está puxada, interrompe o envio e recupera o documento. Houve uma falha de confidencialidade, ainda que a contenção imediata possa tornar improvável o risco. O conceito descreve o efeito sobre os dados, não a sofisticação da causa.

Outros exemplos incluem destinatário escolhido por preenchimento automático, portátil perdido, credencial partilhada ou cópia de segurança que não restaura. Cada situação pede evidência diferente: confirmação do destinatário, estado da cifragem, registos de acesso ou teste de recuperação. Chamar tudo «erro humano» elimina precisamente os factos necessários para avaliar risco e impedir a repetição.

Um erro corrigido rapidamente continua a merecer registo; se o destinatário errado confirma que apagou o ficheiro sem o abrir, essa informação pode reduzir o risco, mas não apaga o acontecimento. A equipa deve conservar a cronologia, a confirmação recebida e a razão pela qual considerou a contenção eficaz.

Quando a falha ocorre num processador, este deve avisar o responsável pelo tratamento sem demora injustificada depois de tomar conhecimento. O aviso precisa de chegar por um canal monitorizado e trazer os factos disponíveis, sem esperar pela investigação completa. O responsável continua a decidir a notificação à autoridade e às pessoas, por isso o contrato deve fixar contactos, escalamento, preservação de prova e cadência de atualizações ^1,2.

Quatro violações e duas situações próximas

Os exemplos ajudam a separar uma falha real de uma suspeita sem dados pessoais afetados.

«Não demonstrada» não significa que a investigação pode parar, mas que os factos conhecidos ainda não satisfazem a definição. Se surgirem registos de acesso, perda efetiva ou alteração, a classificação muda e a cronologia deve mostrar quando essa evidência apareceu.

A diferença pode depender de um facto pequeno e verificável. Um ficheiro anexado à mensagem errada constitui divulgação quando a mensagem saiu; o mesmo erro detetado na caixa de saída antes da transmissão ainda não entregou os dados a terceiro, embora revele uma fraqueza de processo. Uma cópia de segurança inacessível por cinco minutos pode não afetar ninguém se o sistema principal funciona, enquanto a mesma indisponibilidade num serviço de urgência pode criar uma consequência grave. Contexto não muda a definição, mas mostra se ocorreu perda real de disponibilidade e qual risco resultou.

Violação e incidente informático não são iguais

Um incidente informático é um acontecimento de segurança tecnológica; uma violação de dados pessoais é definida pelo efeito sobre informação relativa a pessoas. Os conjuntos sobrepõem-se, mas nenhum contém completamente o outro.

Uma tentativa de intrusão bloqueada pode exigir resposta de cibersegurança sem haver violação, enquanto uma carta enviada para a morada errada é uma violação possível sem qualquer sistema comprometido. Manter as duas categorias separadas evita que a equipa de proteção de dados só seja chamada quando aparece malware.

Também evita notificar automaticamente tudo à autoridade: a definição responde «isto conta?», e uma avaliação posterior responde «é improvável que exista risco para direitos e liberdades?». As orientações europeias tratam a classificação e a decisão de notificar como etapas distintas ².

Faça duas perguntas em paralelo quando chega um alerta: houve comprometimento de sistema e houve destruição, perda, alteração, divulgação ou acesso não autorizado a dados pessoais? Um ataque bloqueado pode receber «sim» apenas na primeira; uma folha entregue ao cliente errado, «sim» apenas na segunda; uma conta invadida com exportação de contactos, «sim» nas duas. Cada resultado abre o proprietário e a resposta adequados sem obrigar uma equipa a esperar pelo rótulo da outra.

Preserve uma cronologia comum, porque a separação não deve criar silos. Segurança regista vetor, contas, logs e contenção; privacidade acrescenta dados, pessoas, consequências e limiares de comunicação. Se surgirem provas de extração depois do encerramento técnico, o caso continua aberto para a decisão sobre a violação e o momento de conhecimento precisa de ser atualizado sem reescrever factos anteriores.

A primeira hora serve para factos e contenção

As primeiras ações devem limitar o dano, preservar prova e criar uma cronologia que sirva a avaliação jurídica. A causa raiz pode continuar em aberto, mas o registo operacional já deve distinguir factos confirmados, hipóteses e informação em falta.

Estes sete campos são cabeçalhos úteis de preparação, não uma afirmação de que cada campo já é obrigatório em todos os formulários nacionais. O modelo comum do Comité Europeu para a Proteção de Dados, versão 1.0, foi adotado em 8 de junho de 2026 para consulta pública; a consulta decorreu de 10 de junho a 5 de agosto de 2026 e está encerrada. A implementação nacional e o calendário continuam por decidir, pelo que o modelo prepara um futuro padrão e não é um formulário universal atualmente ativo ⁴.

Até à implementação, use a rota atual da autoridade de controlo competente. Em Portugal, a Comissão Nacional de Proteção de Dados (CNPD) mantém a rota nacional de notificação; esta ligação é um contacto operacional, não uma fonte de uma regra exclusiva de Portugal. Uma organização com tratamento transfronteiriço deve confirmar a autoridade competente ou principal segundo as regras do balcão único.

Conter não significa apagar apressadamente os vestígios. Desativar um link público pode ser necessário; eliminar o registo que mostra quem abriu o ficheiro prejudica a avaliação. Uma mensagem enviada à pessoa errada pode exigir recuperação e confirmação de eliminação; uma credencial exposta pede revogação, análise de sessões e pesquisa de reutilização. Registe também o que não foi possível confirmar, porque a incerteza pode aumentar o risco.

A tomada de conhecimento precisa de ficar fixada com factos. Para uma violação notificável, é esse momento que inicia as 72 horas; esperar pela investigação completa não suspende o prazo. Quando faltam elementos, o artigo 33.º permite informação por fases ^1,2. A cronologia única deve apoiar a contenção, a decisão de notificar e qualquer atualização sem reescrever o que era conhecido em cada momento.

A pergunta seguinte é o risco, não o nome

Depois de confirmar uma violação, avalie as consequências possíveis para as pessoas: fraude, discriminação, dano financeiro, perda de confidencialidade, perturbação de cuidados ou controlo sobre as próprias informações. Considere sensibilidade, facilidade de identificação, volume, vulnerabilidade, destinatário e eficácia da contenção.

Nem toda violação exige notificação à autoridade de controlo competente, pois a decisão depende de ser improvável que a ocorrência resulte em risco para direitos e liberdades; um risco elevado pode ainda exigir comunicação às pessoas. Mesmo uma decisão de não comunicar precisa de razões, evidência e aprovação documentadas ².

O registo preserva a decisão. Deve permitir que uma pessoa independente reconstrua o que aconteceu e por que a organização agiu daquela forma. Inclua factos, efeitos, medidas de contenção, avaliação, comunicações, responsáveis e ações preventivas, evitando conclusões vagas como «baixo risco» sem explicar a combinação de probabilidade e gravidade.

A regra ordinária atual do Reino Unido é materialmente equivalente nesta matéria: a definição, a tomada de conhecimento, o prazo de 72 horas, o limiar de risco e a documentação seguem a mesma lógica. Isso não cria um ramo britânico nesta página da União Europeia; apenas explica por que existe uma única versão não sufixada do conceito.

Reveja o incidente depois da resposta imediata. Uma causa técnica corrigida pode deixar uma falha de processo, como ausência de revisão do destinatário ou permissões demasiado amplas. A melhoria deve ter responsável e prazo; caso contrário, o documento descreve o passado sem reduzir a hipótese de repetição.