Calculadora do prazo de 72 horas para notificação de violações (RGPD) e apoio à decisão

Indique quando a sua universidade tomou conhecimento de uma violação de dados pessoais e obtenha o prazo do artigo 33.º do RGPD com contagem decrescente, os prazos da NIS2 se forem aplicáveis e o prazo de aviso do fornecedor previsto no seu contrato de subcontratação. Depois, faça uma triagem curta baseada nas orientações do CEPD, abra a página de notificação da sua autoridade de controlo e copie uma entrada para o registo do artigo 33.º, n.º 5. Tudo funciona no seu navegador.

Publicado a 9 de outubro de 2026 · Fontes verificadas a 9 de outubro de 2026

Também disponível em: English · Svenska · Nederlands · Norsk · Suomi · Dansk · Français · Español

Como se calcula o prazo de 72 horas?

As 72 horas do artigo 33.º, n.º 1, do RGPD contam a partir do momento em que a universidade tomou conhecimento da violação e são horas de calendário: noites, fins de semana e feriados contam todos. As orientações do CEPD sobre a notificação de violações remetem para o Regulamento 1182/71, relativo aos prazos, que inclui os sábados, domingos e feriados em todos os prazos, salvo se forem expressos em dias úteis.

O artigo 33.º, n.º 1, exige a notificação "sem demora injustificada e, sempre que possível, até 72 horas após ter tido conhecimento da mesma". As 72 horas são um limite máximo, não um objetivo. Uma notificação feita mais tarde tem de indicar os motivos do atraso e, se faltarem factos, pode notificar por fases (art. 33.º, n.º 4).

O prazo começa com o conhecimento, e não com o próprio incidente. O CEPD considera que o responsável pelo tratamento tem conhecimento quando tem "a reasonable degree of certainty" (um grau razoável de certeza) de que um incidente de segurança comprometeu dados pessoais (Orientações 9/2022, ponto 31). É admitida uma curta investigação antes desse momento, mas deve começar o mais depressa possível (ponto 34).

O que acrescenta o Regulamento 1182/71

No ponto 40 das Orientações 9/2022, o CEPD acrescenta às 72 horas uma nota de rodapé que remete para o Regulamento (CEE, Euratom) n.º 1182/71, as regras gerais da UE sobre prazos, datas e termos. Três das suas regras são aqui relevantes:

• Os prazos "shall include public holidays, Sundays and Saturdays" (incluem os feriados, os domingos e os sábados), salvo se estes forem expressamente excluídos ou se o prazo for expresso em dias úteis (art. 3.º, n.º 3).
• A prorrogação para o dia útil seguinte quando um prazo termina num fim de semana ou feriado só se aplica a prazos "expressed otherwise than in hours" (expressos de outra forma que não em horas) (art. 3.º, n.º 4). Não prorroga as 72 horas.
• Num prazo em horas, não se conta a hora em que ocorre o evento (art. 3.º, n.º 1). Numa leitura estrita, o conhecimento às 10:20 faz começar o prazo às 11:00, que termina às 11:00 três dias depois.

Análise do Validemic A ferramenta apresenta como prazo as 72 horas simples a partir do minuto do conhecimento, e a leitura estrita do artigo 3.º, n.º 1, como nota. Planeie para a hora mais cedo. Os minutos a mais não justificam uma discussão com a sua autoridade, e a obrigação é, em qualquer caso, "sem demora injustificada".

Fusos horários e mudanças de hora

A ferramenta converte a hora que indicar num momento exato, pelo que o prazo está correto em qualquer fuso horário. Se a hora mudar dentro das 72 horas, conta 72 horas decorridas, o que significa que o prazo fica uma hora mais cedo ou mais tarde no relógio do que a hora do conhecimento. A ferramenta avisa quando isso acontece e indica qual das horas é a mais cedo.

Quando começa o prazo se a violação ocorrer num fornecedor?

Em princípio, quando o fornecedor o informa. Um subcontratante tem de notificar o responsável pelo tratamento "sem demora injustificada" após ter conhecimento de uma violação (art. 33.º, n.º 2), e o CEPD afirma que o responsável deve, em princípio, considerar-se ciente a partir do momento em que o subcontratante o informou (Orientações 9/2022, ponto 44). O RGPD não fixa um número de horas para o fornecedor.

Por isso, o CEPD recomenda que os subcontratantes notifiquem prontamente e acrescentem os pormenores por fases, e que o contrato especifique a forma de cumprir o artigo 33.º, n.º 2, o que "can include requirements for early notification" (pode incluir exigências de notificação antecipada) (pontos 45 e 46). O subcontratante não precisa de avaliar o risco antes de o informar: essa tarefa cabe à universidade (ponto 44). O contrato tem também de obrigar o subcontratante a prestar assistência à universidade no cumprimento dos artigos 32.º a 36.º (art. 28.º, n.º 3, alínea f)).

Análise do Validemic Se um contrato de subcontratação der ao fornecedor 72 horas ou mais, o fornecedor pode esgotar todo esse período antes de a universidade saber. O seu próprio prazo começa mais tarde, mas a sua autoridade vai continuar a perguntar porque demorou tanto a notificação. Indique o prazo de aviso do contrato no passo 1 para ver se o fornecedor o cumpriu e registe a resposta. O nosso guia de resposta a violações enumera o que deve conter uma cláusula de violações num contrato de subcontratação, e o verificador de contratos de subcontratação confronta um contrato com o artigo 28.º, n.º 3.

Está a avaliar um fornecedor? O Validemic analisa a documentação do fornecedor à luz do RGPD e do Regulamento da Inteligência Artificial e indica a fonte de cada conclusão. Experimentar o ambiente de demonstração

Tenho de notificar uma violação de dados?

Há três resultados possíveis. Se a violação não for suscetível de resultar num risco para as pessoas, regista-a mas não a notifica. Se for suscetível de resultar num risco, notifica a autoridade de controlo. Se for suscetível de resultar num risco elevado, informa também as pessoas afetadas (art. 34.º), salvo se se aplicar uma condição do artigo 34.º, n.º 3. Todas as violações são registadas nos termos do artigo 33.º, n.º 5.

O apoio à decisão do passo 2 segue os fatores enumerados pelo CEPD na secção IV das Orientações 9/2022: o tipo de violação; a natureza, a sensibilidade e o volume dos dados; a facilidade de identificação das pessoas; a gravidade e a duração das consequências; características especiais das pessoas, como serem crianças; e o número de pessoas afetadas. Vários pontos das orientações determinam o resultado:

• Quando estão envolvidos dados de categorias especiais ou relativos a infrações penais, os danos "should be considered likely to occur" (devem ser considerados prováveis) (ponto 102).
• Os dados devidamente cifrados com uma chave não comprometida são, em princípio, ininteligíveis, pelo que uma violação de confidencialidade pode não ter de ser notificada, desde que exista uma cópia de segurança. Sem cópias de segurança adequadas, pode continuar a ser necessária a comunicação às pessoas (pontos 76 a 79).
• Um destinatário de confiança, como outro serviço ou um fornecedor conhecido que devolve ou apaga os dados, pode eliminar a probabilidade de risco (ponto 114).
• Quando não sabe se os dados foram copiados, avalie "the worse scenario" (o pior cenário) (Orientações 01/2021, ponto 30).
• "If in doubt, the controller should err on the side of caution and notify" (em caso de dúvida, o responsável pelo tratamento deve optar pela prudência e notificar) (Orientações 9/2022, ponto 119).

Os exemplos práticos do CEPD nas Orientações 01/2021 mostram como os fatores se combinam:

O artigo 34.º, n.º 3, afasta a obrigação de informar as pessoas se os dados forem ininteligíveis (por exemplo, cifrados), se medidas posteriores fizerem com que o risco elevado já não seja provável, ou se o contacto individual implicar um esforço desproporcionado. Neste último caso, é necessária uma comunicação pública. O nosso guia de resposta a violações aplica estes fatores a quatro cenários universitários.

Quais são os prazos de 24 horas, 72 horas e um mês da NIS2?

Se a sua universidade for uma entidade essencial ou importante nos termos da lei nacional de transposição da NIS2, um incidente significativo exige um alerta precoce no prazo de 24 horas após o conhecimento, uma notificação do incidente no prazo de 72 horas e um relatório final, o mais tardar, um mês após a notificação do incidente (Diretiva (UE) 2022/2555, art. 23.º, n.º 4). Estas comunicações são dirigidas à CSIRT ou à autoridade competente, e não à autoridade de proteção de dados.

Um incidente é significativo se tiver causado ou puder causar perturbações operacionais graves ou perdas financeiras, ou danos consideráveis a terceiros (art. 23.º, n.º 3). Se o incidente ainda estiver em curso quando o relatório final for devido, é então devido um relatório intercalar, e o relatório final no prazo de um mês após o tratamento do incidente (art. 23.º, n.º 4, alínea e)). Um único ataque de ransomware pode desencadear os dois regimes, e os dois prazos podem começar em momentos diferentes: o da NIS2 quando sabe de um incidente significativo, o do RGPD quando sabe que há dados pessoais afetados.

As leis nacionais acrescentam pormenores. O Centro Nacional de Cibersegurança sueco, que recebe as notificações ao abrigo da lei sueca da cibersegurança através do seu Cyberportal, conta as 24 horas a partir do momento em que a entidade identificou o incidente como sujeito a notificação. O BSI alemão explica o conhecimento como o momento em que um trabalhador toma conhecimento do incidente "(innerhalb der Arbeitszeit)", ou seja, durante o horário de trabalho. A própria aplicação às universidades difere de país para país; veja a NIS2 e as universidades: está abrangido? e a nossa página sobre a NIS2.

Como organizam as universidades a notificação de violações?

As universidades que cumprem as 72 horas de forma fiável tornam fácil o primeiro passo: um único endereço ou formulário, comunicação imediata, sem esperar por todos os factos. Quatro exemplos:

• O Trinity College Dublin pede ao pessoal que comunique todas as violações ou suspeitas de incidentes ao seu gabinete de proteção de dados "without delay for assessment" (sem demora, para avaliação), e declara que "a data protection breach is not a disciplinary issue" (uma violação de proteção de dados não é uma questão disciplinar).
• A Universidade de Edimburgo pede ao pessoal que comunique um incidente "immediately" (imediatamente) por correio eletrónico ao encarregado da proteção de dados e que preencha a parte A do seu formulário de avaliação da resposta a violações no prazo de 24 horas após a descoberta.
• A Universidade de Oslo pede a qualquer pessoa que trate dados pessoais por sua conta que informe de imediato a sua chefia, que depois comunica à UiO-CERT através de um formulário; não é necessário conhecer primeiro todos os factos.
• A Universidade de Utrecht pede ao pessoal e aos estudantes que comuniquem as suspeitas de violação de dados ao seu ICT Service Desk o mais depressa possível, através de um endereço de correio eletrónico próprio ou por telefone em situações urgentes.

Análise do Validemic O fio condutor é que comunicar custa pouco a quem deteta o problema, e a avaliação é feita centralmente. É importante um canal de comunicação aberto fora do horário de expediente, porque as 72 horas não param ao fim de semana.

O prazo de 72 horas vai mudar?

Pendente: a proposta Omnibus Digital da Comissão (COM(2025) 837, processo 2025/0360(COD), 19 de novembro de 2025) alargaria para 96 horas o prazo de notificação à autoridade previsto no RGPD, centrá-lo-ia nas violações de risco mais elevado e criaria um ponto de entrada único para notificações de incidentes ao abrigo de vários atos legislativos. Em 9 de outubro de 2026, o Observatório Legislativo do Parlamento Europeu indica o processo como "Awaiting committee decision" (a aguardar decisão em comissão). Até à sua adoção e aplicação, planeie para 72 horas. O artigo 33.º é explicado na nossa página sobre o RGPD.

Fontes

Todas as fontes consultadas em 9 de outubro de 2026.

1. Regulamento (UE) 2016/679 (RGPD), artigos 4.º, ponto 12, 28.º, n.º 3, alínea f), 33.º e 34.º, EUR-Lex: eur-lex.europa.eu/eli/reg/2016/679/oj/por (texto do Jornal Oficial lido através do Serviço das Publicações da UE)
2. Diretiva (UE) 2022/2555 (NIS2), artigo 23.º e considerando 102, EUR-Lex: eur-lex.europa.eu/eli/dir/2022/2555/oj/por
3. CEPD, Orientações 9/2022 sobre a notificação de violações de dados pessoais nos termos do RGPD, versão 2.0, adotadas em 28 de março de 2023: edpb.europa.eu, Orientações 9/2022
4. CEPD, Orientações 01/2021 sobre exemplos relativos à notificação de violações de dados pessoais, versão 2.0, adotadas em 14 de dezembro de 2021: edpb.europa.eu, Orientações 01/2021
5. Regulamento (CEE, Euratom) n.º 1182/71 relativo à determinação das regras aplicáveis aos prazos, às datas e aos termos, artigos 1.º e 3.º: EUR-Lex, CELEX 31971R1182 (texto original em inglês lido através de legislation.gov.uk, tal como adotado pela UE)
6. Observatório Legislativo do Parlamento Europeu, processo 2025/0360(COD), Omnibus Digital: oeil.europarl.europa.eu
7. Páginas de notificação de violações das autoridades de controlo: CNPD, IMY, Datatilsynet (Dinamarca), Tietosuojavaltuutetun toimisto, Autoriteit Persoonsgegevens, CNIL, AEPD, APD/GBA, Data Protection Commission, ICO e a lista das autoridades de controlo alemãs da Datenschutzkonferenz. Não conseguimos aceder a datatilsynet.no na data da verificação.
8. Pontos de notificação NIS2: Suécia, Nationellt cybersäkerhetscenter; Dinamarca, Styrelsen for Samfundssikkerhed; Finlândia, NCSC-FI na Traficom; Países Baixos, NCSC; Alemanha, BSI: NIS-2-Meldepflicht; Irlanda, notificação de incidentes ao NCSC; Comissão Europeia, transposição da NIS2
9. Trinity College Dublin, Data Breach Notification: tcd.ie/dataprotection/databreach
10. Universidade de Edimburgo, Data protection breach and complaints procedure: data-protection.ed.ac.uk/breach-procedure
11. Universidade de Oslo, Avvik ved behandling av personopplysninger (em norueguês): uio.no, personvern, avvik
12. Universidade de Utrecht, Report data breach: uu.nl, report data breach

Sobre esta página

Fontes verificadas em 9 de outubro de 2026. Lemos o RGPD e a NIS2 nas versões do Jornal Oficial publicadas pelo Serviço das Publicações da UE, as duas orientações do CEPD na íntegra, o artigo 3.º do Regulamento 1182/71, cada página de autoridade e de universidade indicada acima e a ficha do processo no Parlamento Europeu. As citações em inglês e alemão são reproduzidas no original, com uma tradução nossa entre parênteses. O apoio à decisão é uma simplificação nossa dos fatores e exemplos do CEPD. É um auxiliar de triagem e não constitui aconselhamento jurídico; o responsável pelo tratamento e o seu EPD continuam responsáveis pela avaliação, e o direito nacional ou a prática da sua autoridade podem acrescentar requisitos. A lógica de datas foi testada em mudanças de hora de verão. Se uma ligação mudou ou detetar um erro, contacte-nos e corrigi-lo-emos.