A Agência Espanhola de Proteção de Dados (AEPD) impôs uma multa de €3.000.000 ao processador Iberdrola, após uma falha na realização de uma avaliação de risco adequada e na prevenção de vulnerabilidades de segurança evitáveis. Esta falha resultou em uma violação de dados que afetou várias empresas do grupo e quase 3.000.000 de titulares de dados.

O incidente começou em 15 de março de 2022, quando a I-DE Redes Elétricas Inteligentes, S.A.U. (I-DE), marca de distribuição de energia da Iberdrola, detectou um ataque ao seu portal de gestão GEA. Esse ataque levou à extração de dados pessoais de 1,35 milhão de clientes, incluindo nomes, sobrenomes, e-mails, telefones, endereços, números de identificação nacional e códigos de clientes.

A falha na segurança também resultou na lentidão geral dos websites de várias empresas do processador após o ataque, embora o tráfego suspeito tenha cessado em 17 de março de 2022. I-DE comunicou o incidente à AEPD em 18 de março de 2022, e após investigações internas, descobriu-se que dados de clientes de outras duas empresas do grupo, Iberdrola Clientes, S.A. e Curenergía Comercializador de Ultimo Recurso SA, também foram comprometidos.

A AEPD, após investigar o caso, concluiu que houve violações dos artigos 5(1)(f) e 32 do GDPR, destacando a inadequação das medidas de segurança e a insuficiente separação dos dados entre as empresas, o que permitiu que o ataque se alastrasse. O processador argumentou que a rapidez na detecção e resposta ao incidente indicava conformidade com o regulamento, mas a AEPD refutou, afirmando que as medidas reativas não são suficientes sem a prevenção adequada.

Comentário: A sanção da autoridade de proteção de dados espanhola é uma demonstração da importância do processo de gestão de riscos no tratamento de dados pessoais. Apesar de ocorrido na Espanha, o caso também serve como paradigma para o Brasil. É de se notar que a LGPD impõe a segurança como princípio, além do princípio da responsabilização e prestação de contas. Este princípio define o dever de implementar práticas eficazes e que sejam "capazes de comprovar a observância e o cumprimento das normas de proteção". Portanto, avaliações de riscos são um elemento importantíssimo para as atividades de tratamento e podem servir como comprovação da observância de melhores práticas (o que pode reduzir possíveis sanções), além de atenderem os dois princípios acima indicados.

Não basta cumprir as normas de proteção de dados, é preciso demonstrar o cumprimento. Os agentes de tratamento devem conhecer os riscos de suas atividades, até por que o tratamento será irregular quando o risco ultrapassar o que razoavelmente se espera para aquele serviço/produto. 

Nota-se, também, que o estudo preliminar de tratamento de dados de alto risco publicado pela ANPD impõe a proposta de novas regras para este tipo de tratamento. No caso comentado, quase três milhões de titulares foram envolvidos. Nesse sentido, caso ocorresse no Brasil, as medidas de segurança aplicadas pelo agente de tratamento deveriam levar em consideração também as questões relacionadas ao tratamento de alto risco (pelo número de titulares).

Com informações GDPRHub

Este post foi resumido a partir de sua versão original  com o uso do ChatGPT versão 4, complementados por análises e comentários adicionais de Guilherme Damasio Goulart