Erro em processo de recrutamento na IP expõe emails de centenas de candidatos

A Infraestruturas de Portugal (IP) sofreu um incidente de segurança informática que expôs centenas de endereços de email de candidatos a um posto de trabalho na empresa do Estado.

A falha aconteceu numa mensagem de resposta sobre o desfecho do recrutamento, no qual os candidatos foram informados de que não tinham sido escolhidos para o referido cargo. O aviso, que deveria ser individual e secreto, acabou por ser enviado para todos os que se candidataram a diretor de comunicação da IP.

De seguida, os visados receberam um alerta do encarregado de proteção de dados do grupo intitulado “Comunicação de incidente de segurança – Divulgação inadvertida de endereço de email”, onde o responsável pelo cumprimento do Regulamento Geral sobre a Proteção de Dados (RGPD) na IP informava também que não tinha “conhecimento de qualquer uso indevido” dos dados.

Pelo menos, 300 emails ficaram indevidamente expostos, segundo a contagem do ECO. A IP confirma que desenvolveu um processo de recrutamento externo para o cargo de diretor/a de comunicação e imagem – que terminou – e, durante a fase de contratação para estas funções, ocorreu uma “falha que permitiu que ficassem visíveis endereços eletrónicos”.

“Esta situação foi detetada de imediato pelo serviço da IP responsável pela sua divulgação, tendo sido logo sido realizada uma tentativa de resgatar o email, o que não se veio a verificar possível, tendo sido endereçado um pedido de desculpas aos candidatos envolvidos”, garante a IP, em declarações enviadas ao ECO.

Após a brecha informática, a IP comunicou “imediatamente” à Comissão Nacional de Proteção de Dados (CNPD), como está previsto na lei para estas situações, procedeu a uma avaliação do caso e reforçou as medidas internas, nomeadamente em termos formação sobre proteção de dados e disseminação de boas práticas, bem como revisão de configurações de email para “evitar que este tipo de situação possa voltar a ocorrer”.

A empresa liderada por Miguel Cruz não esclareceu se houve erro humano, mas tudo aponta para a troca de destinatários no sistema – entre “CC” (com conhecimento) e “BCC” (cópia oculta).

“O grupo IP lamenta a falha ocorrida e reforça que a sua conduta assenta no máximo respeito pela proteção de dados e assume, em todas as circunstâncias, preocupação e compromisso em manter elevados padrões de conformidade com a legislação de proteção de dados e privacidade”, conclui a empresa pública que administra as infraestruturas ferroviárias e rodoviárias.