O que há de errado com as violações de dados pessoais no âmbito do GDPR?
Regulamento Geral de Proteção de Dados (GDPR) sobre fundo de mapa mundial pontilhado azul
Esta semana, a FEDMA apresentou o seu contributo para a consulta específica do CEPD sobre as Diretrizes 9/2022 sobre notificação de violação de dados pessoais ao abrigo do RGPD.
Em comparação com outras consultas do CEPD, este convite à apresentação de comentários aborda uma pequena atualização das orientações, com o objetivo de clarificar a situação dos responsáveis ​​pelo tratamento e dos subcontratantes que não estão estabelecidos na UE.
Especificamente, o projeto de parágrafo adicional prevê que, em caso de violação de dados pessoais, uma organização não pertencente à UE terá de notificar “todas as autoridades cujos titulares de dados afetados residem no seu Estado-Membro”, independentemente da “mera presença de um representante num Estado-Membro”.
No seu feedback ao CEPD, a FEDMA salientou que a atualização proposta resultaria no reforço dos obstáculos existentes que as empresas enfrentam ao notificar violações de dados pessoais, incluindo:
Cargas burocráticas significativas ao navegar pelos diferentes sistemas nacionais de formulários de notificação;
a falta de clareza sobre os casos em que as APD aceitariam uma notificação atrasada;
reportar excessivamente violações de dados, muitas vezes com uma quantidade excessiva de informações, com medo de serem sancionadas, “inundando” as DPAs com milhares de notificações desnecessárias ou triviais.