Falha no e-mail do Conselho de York expõe centenas de pessoas com deficiência

O erro do Conselho de York não foi um simples 'esquecimento' no campo CCO: foi uma falha operacional que transformou dados pessoais sensíveis em alvo fácil para ataques direcionados. Como revela a investigação preliminar, o e-mail foi enviado em 28 de maio, ou seja, o conselho demorou 12 dias para divulgar publicamente o incidente, apesar de ter auto-referenciado o caso ao ICO logo após a descoberta. Isso coloca sob escrutínio sua conformidade com o prazo de 72 horas exigido pelo GDPR para notificação de violações que envolvam dados pessoais especiais, como deficiência, protegida pelo Artigo 9.

A exposição não se limitou a endereços de e-mail: ao revelar quem tem Blue Badge, o conselho expôs indiretamente condições médicas, mobilidade reduzida ou deficiências cognitivas, informações que, segundo orientações do ICO, devem ser tratadas com nível de proteção equivalente ao de dados biométricos. Diferente de vazamentos técnicos (como servidores Azure expostos na Pay Tel), esse é um erro humano sistêmico, e recorrente: o ICO já registrou mais de 2.000 casos similares entre 2019 e 2025, com multas reais aplicadas a entidades públicas como NHS Highland e YMCA por erros menores em escopo, mas iguais em natureza jurídica.

Na cobertura anterior da CEVIU sobre a vulnerabilidade na Salesforce Marketing Cloud (08/05), destacamos que falhas em plataformas de e-mail marketing exigem correções técnicas e atualizações de configuração. O caso de York mostra que, mesmo sem bugs de software, processos manuais mal desenhados, como listas de distribuição sem validação de CCO, geram riscos equivalentes. Enquanto a Salesforce corrigiu uma falha de autorização, York precisou reestruturar procedimentos operacionais, treinamento de equipe e revisão de checklist de envio, um salto de segurança técnica para governança de processos.

Para empresas brasileiras que lidam com dados de pessoas com deficiência, como operadoras de saúde, planos odontológicos ou órgãos públicos estaduais que administram benefícios, o caso serve como alerta prático: o Marco Civil da Internet e a LGPD têm cláusulas análogas ao Artigo 9 do GDPR. Expor, ainda que indiretamente, uma condição de deficiência pode configurar violação de dado sensível, com multas de até 2% do faturamento no Brasil. E, diferentemente de vazamentos em nuvem, erros de CCO são invisíveis até a denúncia, o que exige auditoria contínua de fluxos de comunicação, não só de sistemas.