O fornecedor decide quando começam as suas 72 horas

Cem dias entre a intrusão e a decisão

A 30 de julho de 2026 começaram a chegar as primeiras cartas. Diziam que o nome, a morada, a data de nascimento, o número de segurança social, a carta de condução, os documentos oficiais de identificação, os dados bancários, os números de cartão e os registos clínicos podiam ter sido levados. Para algumas dessas pessoas, os dados de cartão roubados incluíam o código de segurança impresso no verso. Quem enviava as cartas era a CareCloud, uma empresa de software de saúde cujos sistemas guardam registos por conta de consultórios médicos.

A intrusão foi em março. Os atacantes estiveram dentro de um dos seis ambientes de registos clínicos eletrónicos da CareCloud, alojados na Amazon Web Services, entre 10 e 16 de março de 2026. O ambiente foi perturbado a 16 de março e reposto nessa mesma noite. A empresa tornou o incidente público no final do mês, referindo ao mesmo tempo que a investigação sobre o que fora efetivamente acedido ainda decorria.

Essa investigação chegou à conclusão a 24 de junho, quando a CareCloud determinou que informação pessoal, financeira e médica tinha sido comprometida. De 16 de março a 24 de junho vão exatamente cem dias. Até às primeiras cartas vão cento e trinta e seis.

O prazo não começa onde presume

A notificação de violações na saúde nos Estados Unidos assenta numa regra de sessenta dias: informar os visados sem demora não razoável e no prazo máximo de sessenta dias de calendário após a descoberta da violação. Lida à letra, descoberta soa ao dia em que se percebe que houve intrusão, aqui 16 de março. Nessa leitura, as cartas chegam com mais de dois meses de atraso.

A leitura que faz este calendário encaixar é outra. Entende por descoberta o dia em que a investigação conclui que havia informação protegida efetivamente envolvida, ou seja 24 de junho. Contando sessenta dias a partir daí, cartas expedidas a 30 de julho ficam folgadamente dentro do prazo. É a leitura em que a prática largamente se apoia, e é por isso que este calendário se pode defender em todos os estados onde a CareCloud apresentou comunicação, entre eles a Califórnia, Massachusetts, Nova Hampshire, Texas e Maine.

Seja qual for a leitura correta, repare no que faz a segunda. Transforma o início do prazo num resultado da investigação, e nenhuma norma fixa uma data limite para concluir uma investigação. Um dever que começa quando decide que começa é um dever cujo calendário controla.

A Europa escreveu a regra ao contrário

O artigo 33.º do RGPD obriga o responsável pelo tratamento a notificar a autoridade de controlo de uma violação de dados pessoais sem demora injustificada e, sempre que possível, no prazo de 72 horas após ter tido conhecimento dela. Ter conhecimento não é ter fechado um relatório forense. É o ponto em que existe um grau razoável de certeza de que um incidente de segurança comprometeu dados pessoais, e esse ponto chega quase sempre muito antes de se saber de quem eram os dados e quantos.

O legislador previu exatamente o vazio em que a CareCloud passou cem dias. O artigo 33.º, n.º 4, prevê que, quando a informação não estiver disponível de uma só vez, possa ser prestada por fases sem outra demora injustificada. O pressuposto do desenho é que notifique enquanto ainda está às escuras e complete à medida que aprende. O modelo americano deixa-o esperar até saber; o europeu obriga-o a comunicar antes de saber e a continuar a comunicar.

A consequência para um operador não tem nada de abstrato. O mesmo incidente, na mesma infraestrutura, produz uma comunicação em 72 horas de um lado do Atlântico e uma constatação ao fim de cem dias do outro. Se os reflexos do seu fornecedor se formaram no segundo calendário, são esses reflexos que ficam agora entre si e o seu próprio prazo.

O quadro crescia enquanto o prazo era adiado

Adiar o início do prazo pesaria menos se a versão inicial se tivesse mantido. Não se manteve. A descrição da própria CareCloud em março cifrava o acesso não autorizado em cerca de oito horas a 16 de março, contido num único ambiente e sem envolver outros sistemas do negócio. As comunicações posteriores aos estados descrevem atacantes dentro desse ambiente de 10 a 16 de março, ou seja seis dias em vez de oito horas.

O universo de afetados também cresceu. As comunicações apontam para pelo menos 345.000 pessoas, foi depois noticiado um valor superior a 350.000, e esperam-se novas submissões que voltem a mexer no número. A empresa declarou que um atacante afirmou ter extraído dados das suas bases, que especialistas externos protegeram o ambiente e confirmaram não subsistir qualquer acesso não autorizado persistente, e que não tem indícios de utilização indevida dos dados roubados. O seu presidente executivo, Stephen Snyder, recusou comentar quando contactado por jornalistas.

Cada uma dessas revisões seguiu na mesma direção, e cada uma chegou depois da primeira versão pública. Uma investigação que continua a alargar a sua própria estimativa não é razão para fazer esperar os visados. É a razão para os avisar cedo e corrigir em alta publicamente.

O número em falta pertence ao seu contrato

Se um fornecedor trata dados pessoais por sua conta, o responsável é o senhor e as 72 horas são suas. O artigo 33.º, n.º 2, obriga o subcontratante a notificar o responsável sem demora injustificada, e não associa qualquer valor a essa expressão. O artigo 28.º exige que o seu contrato vincule o subcontratante a apoiá-lo no cumprimento dos deveres do artigo 33.º. Entre essas duas normas fica um vazio com forma de número, e se não o preencher herda o calendário que a autoridade do seu fornecedor tolerar.

Preencha-o com duas cláusulas e não com uma. A primeira fixa um prazo fechado, contado em horas, que corre a partir do momento em que o fornecedor deteta um incidente de segurança num ambiente que contém dados seus, e não a partir do momento em que apura que dados estavam envolvidos, porque é esse segundo acontecimento que não tem prazo. A segunda dá-lhe direito aos factos à medida que surgem, incluindo os ambientes atingidos, a janela de acesso e as categorias em risco, em vez de um único relatório acabado no fim.

Depois ponha-a à prova como poria à prova uma cópia de segurança. Pergunte por escrito aos seus três maiores subcontratantes quando tiveram o último incidente de segurança num ambiente com dados seus, em que data o detetaram e em que data avisaram um cliente. Um fornecedor que não consiga separar-lhe essas duas datas quando lhe perguntam também não as separará sob pressão. Em Portugal a notificação é apresentada à Comissão Nacional de Proteção de Dados, e será essa autoridade a perguntar-lhe a si, e não ao seu fornecedor, por que motivo chegou tarde.

Leia a seguir: Uma queixa sobre cookies de 2021 regressou  |  Quatro nuvens dos EUA respondem agora a Londres