Um email para 18 pessoas, visível para as 18

A Metropolitan Police Service (MPS) enviou um email para avisar 18 pessoas ligadas ao Parlamento britânico sobre uma alteração na data de liberdade sob fiança de um suspeito, revelando assim a cada uma delas quem eram as outras 17.

Os destinatários tinham sido alvo em 2024 e 2025 de alguém que usava mensagens de WhatsApp para reunir material comprometedor sobre eles, um caso que a Information Commissioner's Office (ICO), a autoridade britânica de proteção de dados, designa por "caso Honeytrap". Um agente da MPS colocou cada endereço de email no campo "Para" em vez de um campo oculto, pelo que cada pessoa podia ver o nome e o endereço de todas as outras. O corpo do email não explicava expressamente o motivo do contacto, mas o contexto por si só permitia deduzir informação muito sensível sobre cada pessoa envolvida.

A segunda falha foi pior: a nova morada de uma vítima de perseguição

Uma segunda falha da MPS, investigada no mesmo processo, voltou a colocar em risco uma vítima de perseguição perante a pessoa de quem tinha fugido.

Um agente que notificava documentos num processo de Stalking Protection Order não ocultou informação confidencial de terceiros antes de os entregar ao arguido. Os documentos revelavam a nova morada e o número de telefone da vítima, além dos nomes e contactos de três testemunhas. A vítima tinha alterado ambos precisamente devido ao risco representado pelo arguido. Este contactou-a mais tarde no novo número e disse-lhe que tinha recebido os seus novos dados da própria MPS.

Não foram erros isolados: o que a ICO encontrou por trás

A investigação da ICO concluiu que as duas falhas partilhavam a mesma causa: formação deficiente, fraca monitorização e governação insuficiente, e não dois erros isolados e azarados.

O agente que enviou o email em massa não tinha concluído a formação obrigatória em proteção de dados há mais de quatro anos, e o superior que deveria ter detetado o erro estava sem formação há quase o mesmo tempo. A própria MPS reconheceu que as taxas de conclusão da formação obrigatória Managing Information eram demasiado baixas em toda a força. No caso de perseguição, a ICO constatou ainda que os agentes envolvidos não tinham recebido a formação especializada exigida para documentos de Stalking Protection Order, e que o processo de preparação e verificação desses documentos era inadequado.

A correção que qualquer empresa pode copiar hoje

A ICO ordenou à MPS que corrigisse a formação, a monitorização e a governação num prazo de três e doze meses, e a lição mais útil para qualquer outra organização está no que a ICO não fez: não aceitou um documento de política como prova de que o problema estava resolvido.

A MPS já tinha introduzido uma ferramenta de alerta comportamental que avisa os funcionários quando um email está prestes a ser enviado para vários destinatários externos, exatamente o tipo de salvaguarda que a maioria das plataformas de email empresariais já oferece aos seus administradores e que simplesmente não é ativada. Qualquer empresa que envie emails em grupo a clientes, pacientes ou contactos de um processo, na área de recursos humanos, saúde, jurídica ou serviços profissionais, corre exatamente o mesmo risco que a MPS acabou de demonstrar: uma pessoa que se esquece de usar um campo oculto, e um responsável que nunca o verificou. Vale a pena um esclarecimento para leitores do setor privado, não organismos públicos: aqui a ICO aplicou uma repreensão e uma ordem, não uma coima, em linha com a sua postura declarada de raramente aplicar coimas a organismos públicos, já que uma coima apenas desloca dinheiro entre partes do Estado. Uma empresa privada com o mesmo erro não teria o mesmo tratamento. Em Portugal, a Comissão Nacional de Proteção de Dados aplica o mesmo princípio de confidencialidade do artigo 5, número 1, alínea f, do RGPD, seja o responsável um organismo público ou uma empresa privada.

Leia a seguir: A UE está a reescrever o RGPD  |  Se A Sua Empresa Falir, Os Seus Emails Vendem-Se