O que mudou
Em 10 de junho de 2026, o Comité Europeu para a Proteção de Dados (CEPD) realizou a sua reunião plenária de junho, na qual adotou um projeto de modelo comum para a notificação de violações de dados pessoais às autoridades de controlo ao abrigo do Artigo 33.º do RGPD. O Artigo 33.º exige que os responsáveis pelo tratamento notifiquem a autoridade de controlo competente sem demora injustificada e, sempre que possível, o mais tardar 72 horas após tomar conhecimento de uma violação de dados pessoais suscetível de implicar um risco para os direitos e liberdades das pessoas singulares. Até à data, cada autoridade nacional de proteção de dados da UE e do EEE utilizava o seu próprio formulário de notificação, com campos, formatos e canais de envio distintos, obrigando as organizações com operações transfronteiriças a gerir procedimentos nacionais separados. O modelo comum do CEPD introduz um formato único e harmonizado com campos predefinidos e orientações que abrangem a informação exigida pelo Artigo 33.º, n.º 3, do RGPD: a natureza da violação, as categorias e o número aproximado de titulares dos dados e de registos afetados, as consequências prováveis e as medidas adotadas ou propostas para fazer face à violação.
A adoção decorre dos Compromissos de Helsínquia do CEPD, que visam simplificar o cumprimento do RGPD e reduzir o encargo administrativo, em especial para as pequenas e médias empresas e para os responsáveis pelo tratamento sem responsáveis de proteção de dados dedicados. Após o encerramento da consulta pública em 5 de agosto de 2026, o CEPD determinará o prazo no qual todas as autoridades de controlo da UE e do EEE adotarão o modelo como formulário padrão ou de referência, com o objetivo de as organizações virem a dispor de um único formato de notificação independentemente da autoridade nacional que recebe a comunicação. A reunião plenária de 10 de junho incluiu também um encontro com o Comissário Michael McGrath (Comissário para a Democracia, Justiça, Estado de Direito e Defesa do Consumidor), no qual foram abordados os pacotes Omnibus Digital e as suas implicações para o RGPD. O modelo é independente das Orientações 09/2022 do CEPD sobre a notificação de violações de dados pessoais, que continuam em vigor e fornecem orientação substantiva sobre quando a notificação é exigida e o que constitui um risco para os direitos e liberdades.
O que significa para o seu negócio
Se atua como responsável pelo tratamento em um ou mais Estados-Membros da UE ou do EEE: O modelo comum de notificação de violações do CEPD substituirá, após a sua finalização e adoção pelas autoridades de controlo nacionais, o formulário de notificação atual de cada APD por um formato único harmonizado. Reveja agora o seu manual de resposta a incidentes: os seus procedimentos internos de notificação, os seus runbooks de SIEM e os seus acordos de resposta a incidentes subcontratados devem ser estruturados em torno dos elementos de informação obrigatórios do Artigo 33.º, n.º 3, para que se adaptem facilmente aos novos campos quando o modelo entrar em vigor. Se opera de forma transfronteiriça e mantém atualmente procedimentos de notificação distintos para os formulários das diferentes APD nacionais: o modelo comum simplificará materialmente a resposta transfronteiriça a violações logo que entre em vigor. Participe na consulta pública (aberta até 5 de agosto de 2026) se a sua organização tem experiência prática com os formulários de notificação de violações atuais. Mapeie os seus controlos RGPD e a prontidão de resposta a violações com a Verificação Rápida RGPD da Verdaio.