O que é a regra das 72 horas do RGPD? | Tudo o que precisa de saber

Definir a regra das 72 horas

A regra das 72 horas é um requisito central do Regulamento Geral sobre a Proteção de Dados (RGPD) que dita como as organizações devem responder a uma violação de dados pessoais. Ao abrigo do Artigo 33.º, um responsável pelo tratamento de dados é legalmente obrigado a notificar a autoridade de controlo relevante sobre uma violação sem demora injustificada e, sempre que possível, no prazo máximo de 72 horas após ter tido conhecimento da mesma. Este prazo é crítico porque garante que os reguladores possam avaliar os riscos para os indivíduos e fornecer orientações sobre a mitigação o mais rapidamente possível.

Em 2026, à medida que os ecossistemas de dados se tornam mais complexos com a integração de IA e fluxos transfronteiriços, esta regra permanece o principal parâmetro para a responsabilidade corporativa. Uma violação de dados pessoais é definida como qualquer incidente de segurança que leve à destruição, perda, alteração ou divulgação não autorizada de dados pessoais, acidental ou ilícita. A janela de 72 horas não é uma sugestão, mas um prazo regulamentar rigoroso que se aplica a todas as organizações que tratam dados de residentes na União Europeia ou no Reino Unido, independentemente de onde a organização esteja fisicamente localizada.

Quando começa a contagem

Um dos pontos mais comuns de confusão sobre a regra das 72 horas é exatamente quando começa a contagem decrescente. O RGPD especifica que o relógio começa no momento em que o responsável pelo tratamento de dados toma "conhecimento" da violação. A consciência é geralmente definida como o ponto em que a organização tem um grau razoável de certeza de que ocorreu um incidente de segurança que comprometeu dados pessoais.

É importante notar que o período de 72 horas inclui fins de semana e feriados. Os reguladores esperam que as organizações tenham sistemas de monitorização robustos e equipas de resposta a incidentes capazes de operar fora do horário comercial padrão. Se uma organização descobrir uma violação numa sexta-feira à noite, a notificação deve ser submetida até segunda-feira à noite para permanecer em conformidade. Para aqueles que gerem ativos digitais, plataformas como a WEEX enfatizam a importância da gestão segura de contas para evitar acessos não autorizados que possam desencadear tais requisitos de notificação.

Definir Consciência vs. Descoberta

A descoberta refere-se à deteção inicial de uma potencial anomalia, como um alerta de sistema ou um relatório de um investigador de segurança externo. A consciência, no entanto, ocorre após uma breve investigação inicial confirmar que dados pessoais foram de facto envolvidos. Espera-se que as organizações ajam sem "demora injustificada", o que significa que não podem atrasar intencionalmente a investigação para retardar o início do relógio de 72 horas.

O papel dos subcontratantes

Muitas organizações utilizam prestadores de serviços externos, conhecidos como subcontratantes, para tratar as suas informações. Se ocorrer uma violação ao nível do subcontratante, este deve notificar o responsável pelo tratamento de dados sem demora injustificada. A janela de 72 horas do responsável pelo tratamento começa normalmente assim que recebem esta notificação do seu subcontratante. Os contratos entre estas partes devem descrever claramente estas responsabilidades para garantir que o prazo legal é cumprido.

Critérios para notificação obrigatória

Nem todas as pequenas falhas de segurança requerem um relatório formal a uma Autoridade de Controlo (AC). O RGPD aplica uma abordagem baseada no risco para as notificações. Um relatório só é obrigatório se a violação for "suscetível de resultar num risco para os direitos e liberdades das pessoas singulares". Isto significa que a organização deve realizar uma avaliação de risco rápida para determinar o impacto potencial sobre os indivíduos afetados.

Avaliar o risco para os indivíduos

O risco é avaliado com base na sensibilidade dos dados e nas consequências potenciais para os titulares dos dados. Por exemplo, uma violação envolvendo dados encriptados onde a chave permanece segura pode ser considerada "improvável de resultar num risco" e, portanto, pode não exigir notificação. Pelo contrário, violações envolvendo informações financeiras, registos de saúde ou credenciais de acesso acarretam um elevado risco de roubo de identidade, fraude ou discriminação, tornando a notificação essencial.

Notificações de violação de alto risco

Se a avaliação de risco indicar um "elevado risco" para os direitos e liberdades dos indivíduos, o RGPD impõe um requisito adicional: a organização deve notificar os indivíduos afetados diretamente. Isto deve ser feito sem demora injustificada para permitir que os indivíduos tomem medidas de proteção, como alterar palavras-passe ou monitorizar as suas contas bancárias. Este é um limiar superior à notificação à AC, que exige apenas um "risco provável".

Conteúdo necessário para notificações

Ao submeter uma notificação dentro da janela de 72 horas, o RGPD exige que sejam incluídas informações específicas. Os reguladores compreendem que uma investigação completa pode não estar concluída em três dias, pelo que permitem notificações "faseadas", desde que o relatório inicial contenha os detalhes mínimos necessários.

Consequências do não cumprimento

A falha em cumprir a regra das 72 horas pode levar a repercussões legais e financeiras significativas. As Autoridades de Controlo têm o poder de aplicar coimas substanciais por falhas processuais, mesmo que a violação de dados subjacente não tenha sido resultado de negligência. No ambiente regulamentar atual de 2026, a aplicação tornou-se mais assertiva, particularmente no que diz respeito à pontualidade dos relatórios.

As coimas por não notificar uma violação podem chegar aos 10 milhões de euros ou 2% do volume de negócios anual global da empresa, consoante o que for mais elevado. Para além das penalidades financeiras, as organizações enfrentam graves danos reputacionais. A transparência é frequentemente vista pelo público como um sinal de integridade; tentar esconder uma violação ou atrasar a sua divulgação resulta geralmente em críticas mais duras tanto dos reguladores como dos clientes assim que o incidente se torna inevitavelmente do conhecimento público.

Melhores práticas para a conformidade

Para garantir a conformidade com a regra das 72 horas, as organizações devem ir além das medidas reativas e adotar uma postura de segurança proativa. Isto envolve formação regular do pessoal, protocolos de encriptação robustos e um plano de resposta a incidentes bem documentado que seja testado através de exercícios de simulação. Em 2026, as ferramentas de deteção automatizada são frequentemente utilizadas para identificar violações em tempo real, ajudando a colmatar a lacuna entre a descoberta e a consciência.

A documentação é também um componente crítico da conformidade com o RGPD. Mesmo que uma organização decida que uma violação não atinge o limiar para notificação, deve ainda documentar o incidente internamente. Este registo deve incluir os factos da violação, os seus efeitos e o raciocínio por trás da decisão de não a reportar. Este registo interno permite aos reguladores verificar se a organização está a aplicar corretamente a estrutura baseada no risco do RGPD.