Procedimento em caso de Violação de Dados Pessoais

1. Objetivo

Este procedimento define as etapas a seguir pela CompliSaúde quando for detetada ou suspeitada uma violação de dados pessoais, em conformidade com os artigos 33.º e 34.º do RGPD e o regime sancionatório previsto na Lei n.º 58/2019.

2. Definição

Uma violação de dados pessoais é uma violação de segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação não autorizada ou o acesso a dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento.

3. Deteção e comunicação interna

1. Qualquer pessoa que detete ou suspeite de uma violação deve comunicar imediatamente a [email protected].
2. O responsável (Tito António da Silva Rafael) avalia a situação no prazo máximo de 4 horas após a comunicação.
3. Regista-se a data e hora da deteção, natureza da violação, categorias e número aproximado de titulares afetados e dados comprometidos.

4. Avaliação da gravidade

A avaliação considera:

• Tipo e sensibilidade dos dados afetados.
• Volume de titulares afetados.
• Possibilidade de identificação dos titulares.
• Consequências prováveis (dano patrimonial, reputacional, discriminação).
• Se os dados estavam cifrados ou pseudonimizados.

5. Notificação à CNPD

Se a violação for suscetível de resultar num risco para os direitos e liberdades dos titulares, a CompliSaúde notifica a Comissão Nacional de Proteção de Dados (CNPD) no prazo de 72 horas após tomar conhecimento, incluindo:

• Natureza da violação e, se possível, categorias e número aproximado de titulares.
• Nome e contacto do responsável ou ponto de contacto.
• Consequências prováveis da violação.
• Medidas adotadas ou propostas para reparar e atenuar os efeitos.

Se não for possível fornecer toda a informação em 72 horas, a notificação é feita por fases, sem demora injustificada.

6. Comunicação aos titulares

Se a violação for suscetível de resultar num elevado risco para os direitos e liberdades dos titulares (art. 34.º RGPD), a CompliSaúde comunica a violação diretamente aos titulares afetados, em linguagem clara e simples, indicando:

• A natureza da violação.
• As consequências prováveis.
• As medidas adotadas.
• Recomendações para que os titulares possam proteger-se.

7. Registo de violações

Todas as violações — independentemente de serem notificadas à CNPD — são registadas num documento interno que inclui os factos, os efeitos e as medidas corretivas adotadas (art. 33.º/5 RGPD). O registo é conservado por um período mínimo de 5 anos.

8. Medidas corretivas

Após cada incidente, a CompliSaúde:

1. Implementa correções técnicas para eliminar a causa-raiz.
2. Revê e, se necessário, atualiza as medidas de segurança.
3. Atualiza a Avaliação de Impacto (DPIA) se o risco tiver mudado.
4. Realiza uma sessão de lições aprendidas.

9. Revisão

Este procedimento é revisto anualmente ou após qualquer incidente.

Última revisão: 11 de agosto de 2026.