Alarming headlines about personal data breaches, companies facing hefty fines, and privacy violations have become increasingly common.
Here are just a few examples:
- British Airways | Companhia aérea | 380 mil usuários | site de reservas e aplicativo invadidos por hackers.
- Orbitz | Buscador de passagens aéreas | 880 mil usuários | acesso indevido de dados bancários e pessoais.
- SingHealth | Rede de assistência médica do governo de Cingapura | 1,5 milhão de usuários | acesso indevido a dados pessoais e histórico de medicamentos.
- myPersonality | Aplicativo de rede social | 4 milhões de usuários | acesso indevido a dados pessoais de usuários do Facebook que utilizaram o myPersonality.
- Marriott Starwood | Hotéis | 500 milhões de usuários | acesso indevido a dados financeiros e pessoais de hóspedes.
Each of these organizations experienced a data breach incident.
These are only some of the most significant cases reported to date (see the link at the end of this article for more examples). The reality is that we have no clear picture of how many organizations are affected by cybersecurity incidents or data breaches every single day. The scale of the problem is alarming.
What is striking is that almost every accident or incident can ultimately be traced back to negligence, recklessness, or incompetence on the part of an individual or organization.
Let's examine these concepts from a data protection perspective.
A Negligência implica que o responsável pelo tratamento deixa de fazer algo que sabidamente deveria ter feito, dando causa a uma violação de dados. Significa agir com descuido, desatenção ou indiferença, sem tomar as devidas precauções.
A common example is an organization that has no information security or data protection policy, fails to maintain reliable backups (or never verifies that backups can actually be restored), does not use antivirus or anti-malware software, lacks a firewall despite knowing one is necessary, has no visibility into who has access to its systems, or has not mapped its data processing activities and information flows. These are just a few examples of widely recognized security best practices that are often neglected. The risks are well known, yet no meaningful action is taken.
A Imprudência, por outro lado, pressupõe uma ação que foi feita de forma precipitada e sem cautela. O responsável pelo tratamento toma uma atitude a respeito do assunto sem a cautela e zelo necessário que se esperava. Significa que sabe fazer a ação da forma correta, mas não toma o devido cuidado para que isso aconteça.
A common example is an organization that, in an effort to avoid regulatory fines rather than genuinely protect personal data, hires a consultant—often a lawyer, since the GDPR is a legal framework—or sends an employee to a GDPR training course and expects them to implement the entire compliance program internally. The result is often an organization that has a privacy policy, documented data flows, and perhaps a few information security policies. However, in practice, these measures do little to effectively protect the personal data for which the organization is responsible.
Por ser feito dessa forma, essas empresas ficam à mercê de terem o dados pessoais se tornarem indisponíveis, sem integridade ou não confiáveis, por falhas na gestão ou por algum incidente de segurança de origem interna ou externa. Essas organizações são como sepulcros caiados, lindos por fora, mas por dentro, nem tanto.
Já a Imperícia consiste em não saber praticar o ato. Ser imperito na proteção de dados é realizá-la sem ter o conhecimento técnico, teórico ou prático necessário para isso.
Um exemplo é aquela organização que não contrata nenhum profissional especializado e não envia um colaborador para formação específica, mas “inventa” meios próprios de dizer que está em conformidade com o RGPD. É aquela empresa que reconhece que precisa de fazer alguma coisa, mas que não precisa investir nisso, que faz tudo do seu próprio jeitinho sem o profissionalismo exigido.
Na negligência a atitude é omissiva, pois deixa-se de fazer algo que seguramente deveria fazer, enquanto que na imprudência faz sem o cuidado devido e na imperícia, faz sem ter a habilidade necessária.
No mercado de Portugal e também no Brasil, há muitas empresas que agem em relação à proteção de dados com esses tipos de atitudes: negligentes, imprudentes e imperitas. Estão fadadas a prejuízos de imagem, financeiros e até de existência futura, pois basta um simples incidente para destruir uma organização completamente.
“não é questão de SE, mas de QUANDO as empresas sofrerão violação de dados”
O RGPD, apesar de severo, veio para ajudar as empresas. Ele não é somente lei ou somente segurança informática ou somente gestão. É um misto disso tudo sumariamente organizados nos vários artigos que o compõe e que de certa forma obriga as empresas a se auto-regularem nessa matéria.
Para estarem aderentes, as organizações tem de dizer o que fazem para proteger os dados, proteger de verdade e de forma indubitável e se algum incidente acontecer deve informar a autoridade de controlo e tomar medidas para correção.
Uma implementação de RGPD bem feita deve deixar a organização realmente condizente com a proteção de dados: “privacy by default“, ou privacidade por padrão, que começa na segurança do ambiente informático, passa pela formação de pessoas, pela monitorização contínua e na gestão eficaz de incidentes. É um ciclo sem fim e uma mudança de cultura para as empresas.
Isso significa que qualquer dado pessoal, sistema, ativo, processo ou documento esteja salvaguardado e protegido de verdade e não apenas na aparência.
Uma atitude organizacional inteligente em relação à proteção de dados é deixar de ser negligente ou imprudente e ao mesmo tempo, envolver profissionais especializados para auxiliar a empresa nesse assunto tão importante e também complexo.
“proteger dados é proteger pessoas, afinal, no mundo digital, as pessoas são seus próprios dados”
Fontes: https://epocanegocios.globo.com/Empresa/noticia/2018/12/os-21-maiores-casos-de-violacao-de-dados-de-2018.html
© 2026 Triskle GRC. Developed by