Relatório de Incidentes para Violações de Segurança e Confidencialidade: Quando e Como Reportar

Os requisitos de relatório de incidentes para violações de segurança ou confidencialidade são não universais — são definidos pelas políticas da sua organização, regulamentos da indústria (HIPAA, GDPR, FERPA, PCI-DSS) e obrigações contratuais.

Princípio Geral

Se um incidente potencialmente compromete a confidencialidade, integridade ou disponibilidade de informações confidenciais, deve ser relatado. Seja cauteloso.

Eventos Gatilho Comuns que Exigem um Relatório

• Acesso Não Autorizado: Alguém visualizou, copiou ou acessou dados sem autorização.
• Perda ou Roubo: Laptop, telefone, unidade USB, registros em papel contendo PHI/PII perdidos ou roubados.
• Violação de Segurança: Hacking, malware, phishing, comprometimento de credenciais, vulnerabilidade explorada.
• Violação de Privacidade: Informação divulgada a destinatário não autorizado (e-mail endereçado incorretamente, fax, verbal).
• Violação de Confidencialidade: Violação de NDA, privilégio advogado-cliente, segredos comerciais, dados proprietários.
• Configuração Errada do Sistema: Banco de dados exposto publicamente, bucket S3 aberto, permissões direcionadas incorretamente.

Processo de Relatório

1. Imediato: Notifique seu supervisor, gerente ou oficial de segurança/privacidade designado.
2. Relatório Formal: Preencha o formulário de relatório de incidentes da sua organização (o quê, quando, onde, quem, dados envolvidos, ações tomadas).
3. Preservar Evidências: Não limpe dispositivos, exclua logs ou "corrija" o problema antes da revisão forense.
4. Acompanhamento: Coopere com a investigação; impleenda ações corretivas.

Prazos Regulatórios (Exemplos)

• HIPAA: Violação afetando ≥500 indivíduos → relatar ao HHS dentro de 60 dias; indivíduos afetados sem demora injustificada.
• GDPR: Relatar à autoridade supervisora dentro de 72 horas do conhecimento.
• Leis Estaduais de Violação: Variam (ex., CA: "no prazo mais expedito possível").

Em caso de dúvida, relate. Seu supervisor ou oficial de privacidade determinará se um relatório regulatório formal é necessário. O silêncio cria responsabilidade; o relato permite contenção.