CircularIn force
Agência de Protecção de DadosCircular APD no. 02
Circular APD n.º 02Institutional summary
Provides guidance to public and private entities regarding the notification of computer-related accidents and incidents.
Searchable text
CIRCULAR N.º 02/APD/2024
OBRIGATORIEDADE DE ENTIDADES PÚBLICAS E PRIVADAS
NOTIFICAREM A AGÊNCIA DE PROTECÇÃO DE DADOS SOBRE OS ACIDENTES E INCIDENTES INFORMÁTICOS
Considerando que, nos termos da alínea i) do artigo 5º, conjugado com os artigos 30º e 31º, todos da Lei n.º 22/11, de 17 de Junho, Lei da Protecção de Dados Pessoais (LPDP) toda a entidade responsável pelo tratamento de dados pessoais está obrigada a pôr em prática medidas técnicas e organizativas, bem como a estabelecer níveis de segurança adequados para proteger os dados pessoais sob sua posse;
Considerando ainda que, nos termos dos n.os 5, 6, e 7 do artigo 55º da Lei n.º 23/11, 20 de Junho, Lei das Comunicações Electrónicas e dos Serviços da Sociedade da Informação (LCESSI), se estabelece o dever de notificação sem atrasos injustificados em caso de violação das medidas de segurança;
Tendo em conta que, à luz da alínea b) do n.º 1 e do n.º 5, ambos do artigo 35º da Lei n.º 7/17, de 16 de Fevereiro, Lei das Redes e Sistemas Informáticos (LRSI) os operadores de comunicações electrónicas acessíveis ao público e os prestadores de armazenagem principal estão obrigados a tomar um conjunto de medidas de protecção dos dados pessoais contra qualquer violação;
Sendo que, compete a Agência de Protecção de Dados (APD) garantir a protecção dos direitos dos cidadãos, enquanto titulares do dados pessoais, bem como fiscalizar a segurança das redes e os respectivos sistemas informáticos contra acidentes, acções maliciosas ou ilícitas que comprometam esses dados, em conformidade com as alíneas a) e h) do n.º 1 do artigo 44.º da LPDP, conjugado com a alínea q) do n.º 2 do artigo 17.º e do n.º | do artigo 18º, ambos do Decreto Presidencial n.º 214/16, de 10 de Outubro, que aprova o Estatuto Orgânico da APD;
Assim, a Agência de Protecção de Dados orienta as entidades públicas e privadas, que tratam dados pessoais, a observarem escrupulosamente o disposto nos diplomas acima referidos, com particular destaque para o seguinte:
1. Em caso de ocorrência de uma violação de dados pessoais, como destruição, perda, alteração, indisponibilidade, divulgação, acesso não autorizado ou qualquer outro acidente ou incidente de segurança, o responsável pelo tratamento deve notificar a Agência de Protecção de Dados tão logo tome conhecimento da ocorrência.
2. A notificação referida no número anterior deve ser confidencial e incluir, no mínimo, os seguintes elementos:
a) Descrição da natureza da violação de dados pessoais, incluindo, se possível e adequado, o tipo de dados violados e o número aproximado de titulares afectados;
b) Descrição das consequências prováveis da violação de dados pessoais;
c) Descrição das medidas adoptadas ou propostas pelo responsável pelo tratamento para reparar a violação de dados pessoais, nomeadamente, se for caso disso, para atenuar os seus eventuais efeitos negativos.
3. Nos casos em que se relevar absolutamente impossível fornecer as informações referidas no número anterior, a notificação deve ser acompanhada dos motivos que justificam a sua não remessa, devendo, nesta circunstância, ser fornecida posteriormente e sem demora injustificada.
4. A presente Circular entra em vigor na data da sua assinatura.
Agência de Protecção de Dados, em Luanda, aos 25 de Outubro de 2024
PRIVACIDADE GARANTIDA, CIDADÃO RESPEITADO
OBRIGATORIEDADE DE ENTIDADES PÚBLICAS E PRIVADAS
NOTIFICAREM A AGÊNCIA DE PROTECÇÃO DE DADOS SOBRE OS ACIDENTES E INCIDENTES INFORMÁTICOS
Considerando que, nos termos da alínea i) do artigo 5º, conjugado com os artigos 30º e 31º, todos da Lei n.º 22/11, de 17 de Junho, Lei da Protecção de Dados Pessoais (LPDP) toda a entidade responsável pelo tratamento de dados pessoais está obrigada a pôr em prática medidas técnicas e organizativas, bem como a estabelecer níveis de segurança adequados para proteger os dados pessoais sob sua posse;
Considerando ainda que, nos termos dos n.os 5, 6, e 7 do artigo 55º da Lei n.º 23/11, 20 de Junho, Lei das Comunicações Electrónicas e dos Serviços da Sociedade da Informação (LCESSI), se estabelece o dever de notificação sem atrasos injustificados em caso de violação das medidas de segurança;
Tendo em conta que, à luz da alínea b) do n.º 1 e do n.º 5, ambos do artigo 35º da Lei n.º 7/17, de 16 de Fevereiro, Lei das Redes e Sistemas Informáticos (LRSI) os operadores de comunicações electrónicas acessíveis ao público e os prestadores de armazenagem principal estão obrigados a tomar um conjunto de medidas de protecção dos dados pessoais contra qualquer violação;
Sendo que, compete a Agência de Protecção de Dados (APD) garantir a protecção dos direitos dos cidadãos, enquanto titulares do dados pessoais, bem como fiscalizar a segurança das redes e os respectivos sistemas informáticos contra acidentes, acções maliciosas ou ilícitas que comprometam esses dados, em conformidade com as alíneas a) e h) do n.º 1 do artigo 44.º da LPDP, conjugado com a alínea q) do n.º 2 do artigo 17.º e do n.º | do artigo 18º, ambos do Decreto Presidencial n.º 214/16, de 10 de Outubro, que aprova o Estatuto Orgânico da APD;
Assim, a Agência de Protecção de Dados orienta as entidades públicas e privadas, que tratam dados pessoais, a observarem escrupulosamente o disposto nos diplomas acima referidos, com particular destaque para o seguinte:
1. Em caso de ocorrência de uma violação de dados pessoais, como destruição, perda, alteração, indisponibilidade, divulgação, acesso não autorizado ou qualquer outro acidente ou incidente de segurança, o responsável pelo tratamento deve notificar a Agência de Protecção de Dados tão logo tome conhecimento da ocorrência.
2. A notificação referida no número anterior deve ser confidencial e incluir, no mínimo, os seguintes elementos:
a) Descrição da natureza da violação de dados pessoais, incluindo, se possível e adequado, o tipo de dados violados e o número aproximado de titulares afectados;
b) Descrição das consequências prováveis da violação de dados pessoais;
c) Descrição das medidas adoptadas ou propostas pelo responsável pelo tratamento para reparar a violação de dados pessoais, nomeadamente, se for caso disso, para atenuar os seus eventuais efeitos negativos.
3. Nos casos em que se relevar absolutamente impossível fornecer as informações referidas no número anterior, a notificação deve ser acompanhada dos motivos que justificam a sua não remessa, devendo, nesta circunstância, ser fornecida posteriormente e sem demora injustificada.
4. A presente Circular entra em vigor na data da sua assinatura.
Agência de Protecção de Dados, em Luanda, aos 25 de Outubro de 2024
PRIVACIDADE GARANTIDA, CIDADÃO RESPEITADO
