RGPD-Express
Estruture a sua conformidade RGPD
Os artigos-chave do RGPD
O RGPD (Regulamento (UE) 2016/679) estrutura a abordagem RGPD-Express
Art. 30 - Registo das atividades de tratamento
Obrigação de manter um registo, do lado do responsável pelo tratamento e do lado do subcontratante. A isenção prevista no 30.5 para estruturas com menos de 250 trabalhadores aplica-se apenas a tratamentos ocasionais.
Art. 28 - Subcontratante
Enquadramento contratual de qualquer subcontratante que trate dados por sua conta: garantias suficientes, cláusulas obrigatórias, subcontratação ulterior autorizada por escrito prévio.
Art. 32 - Segurança do tratamento
Medidas técnicas e organizativas adequadas ao risco: pseudonimização, encriptação, meios que garantam a confidencialidade e a disponibilidade, procedimento de teste e de avaliação regular.
Art. 35 - Avaliação de impacto (AIPD)
Obrigatória apenas quando o tratamento é suscetível de gerar um risco elevado: avaliação sistemática com efeito jurídico, dados sensíveis em grande escala, ou vigilância sistemática de uma zona acessível ao público.
Vigilância regulamentar - fontes oficiais
O que o texto diz realmente, traduzido em linguagem simples. Cada ponto remete para o texto oficial.
O RGPD, o que é exatamente?
É o texto europeu que enquadra a recolha e a utilização de dados pessoais (clientes, trabalhadores, potenciais clientes...). Foi adotado em 27 de abril de 2016 e publicado no Jornal Oficial da União Europeia em 4 de maio de 2016.
Desde quando se aplica
O regulamento entrou em vigor vinte dias após a sua publicação, mas só é realmente aplicável desde 25 de maio de 2018. É esta data que conta para as suas obrigações concretas.
O registo de tratamentos: o documento base
Deve manter a lista do que faz com os dados pessoais: para quê, com quem, durante quanto tempo os guarda, como os protege. Existe uma exceção para estruturas com menos de 250 trabalhadores, mas apenas se o tratamento for ocasional; uma atividade comercial regular não beneficia dela.
É preciso nomear um encarregado da proteção de dados (DPO)?
Só é obrigatório em três situações precisas: é um organismo público, ou a sua atividade principal consiste em vigiar pessoas de forma regular e em grande escala, ou em tratar em grande escala dados sensíveis. Fora destes casos, nomear um DPO continua a ser facultativo.
Em caso de fuga de dados: 72 horas para avisar a autoridade
Se dados pessoais forem perdidos, roubados ou expostos, deve informar a autoridade de proteção de dados competente no prazo máximo de 72 horas após ter tido conhecimento, salvo se o risco para as pessoas for negligenciável. Deve também guardar um registo escrito de cada incidente.
Se o risco for elevado, os seus clientes ou trabalhadores também devem ser avisados
Quando uma fuga de dados representa um risco elevado para as pessoas em causa, deve informá-las diretamente, em linguagem clara e simples. Pode ser dispensado desta comunicação se os dados estivessem encriptados ou se já tiver neutralizado o risco.
As sanções em termos simples
Em caso de incumprimento, a coima pode ir até 10 milhões de euros (ou 2% do volume de negócios mundial da empresa) para os incumprimentos mais comuns, e até 20 milhões de euros (ou 4% do volume de negócios mundial) para as violações mais graves dos direitos das pessoas; é sempre retido o montante mais elevado. O montante real depende da gravidade, do caráter doloso ou negligente da infração e da cooperação com a autoridade.
As perguntas que um dirigente realmente coloca
Sem jargão jurídico: as 7 perguntas mais frequentes, uma resposta simples, e o texto oficial por trás de cada resposta.
Clique numa pergunta para ver a resposta e a sua fonte.
Não. O consentimento é apenas uma opção entre seis. O RGPD (artigo 6) também autoriza o tratamento quando este é necessário para a execução de um contrato, para o cumprimento de uma obrigação legal, para a salvaguarda de interesses vitais, para uma missão de interesse público, ou para o interesse legítimo da sua empresa (por exemplo gerir a relação com um cliente já existente), desde que os direitos da pessoa não prevaleçam.
Depende de quem contacta:
- Particulares (B2C): acordo prévio obrigatório (caixa de verificação, nunca pré-marcada), exceto para propor novamente um produto semelhante a um cliente já existente.
- Profissionais (B2B): possível sem acordo prévio se a mensagem disser respeito à sua atividade, desde que tenham sido informados e lhes seja dada uma forma simples de recusar.
Em todos os casos: remetente identificável e ligação de cancelamento de subscrição fácil.
Em geral sim, nomeadamente se os dados já não servirem para nada, se a pessoa retirar o seu consentimento, ou se a isso se opuser sem um motivo legítimo contrário da sua parte. Pode, no entanto, recusar se tiver de conservar esses dados por obrigação legal, por exemplo uma fatura a guardar 10 anos para efeitos de contabilidade, ou para se defender em tribunal.
1 mês a contar da receção do pedido. Este prazo pode ser prolongado por 2 meses se o pedido for complexo ou se receber muitos pedidos, mas deve avisar a pessoa dessa prorrogação dentro do mês inicial.
Sim, mas não sem precaução. Três casos possíveis: o país beneficia de uma decisão oficial da Comissão Europeia que reconhece um nível de proteção adequado; na sua falta, o seu prestador deve oferecer garantias apropriadas (na maioria das vezes cláusulas contratuais-tipo); ou, apenas para casos pontuais, aplica-se uma derrogação precisa (consentimento explícito, execução de um contrato...).
Sim. A maioria dos cookies (publicidade personalizada, botões de redes sociais...) exige um acordo prévio do seu visitante, dado livremente, tão fácil de retirar como de dar. Aceitar condições gerais não conta como um acordo válido. Alguns cookies técnicos (carrinho de compras, autenticação, preferência de idioma) estão dispensados desse acordo.
A CNIL começa geralmente por um controlo (no local ou online) e depois uma notificação para se colocar em conformidade num prazo determinado. As sanções financeiras existem, mas mantêm-se proporcionais à dimensão da estrutura: a CNIL sancionou, por exemplo, pequenas empresas entre 2 000 e 20 000 euros por incumprimentos relativos à segurança, aos cookies ou ao direito de acesso, muito longe dos tetos máximos (até 20 milhões de euros ou 4% do volume de negócios mundial para os incumprimentos mais graves).
O calendário do RGPD, em termos simples
O RGPD não nasceu em 2018 e não ficou parado desde então. Eis, por ordem, o que já aconteceu (e que continua a ser a regra do jogo hoje) e o que ainda está em discussão em Bruxelas - com, para cada etapa, o texto oficial que o comprova.
Já em vigor atualmente
- O RGPD aplica-se plenamente desde 25 de maio de 2018 - é ESTA a data que conta para as suas obrigações.
- A lei francesa "Informatique et Libertés" foi atualizada em conformidade (2018).
- As novas cláusulas contratuais-tipo para as transferências fora da UE estão em vigor desde o final de 2022.
- O quadro de transferência de dados para os Estados Unidos (Data Privacy Framework) está em vigor desde julho de 2023.
Ainda em discussão, ainda não obrigatório
- Um alívio do registo de tratamentos (art. 30) para as estruturas com menos de 750 trabalhadores, proposto pela Comissão em maio de 2025 - ainda não é um texto em vigor.
- Um regulamento para harmonizar os procedimentos entre autoridades de controlo nacionais em investigações transfronteiriças - acordo político em junho de 2025, adoção formal não confirmada até à data.
- Não se baseie nestes anúncios para adiar a sua conformidade: a base de 2018 continua a ser a regra enquanto nada for publicado no Jornal Oficial.
O texto é adotado
O Parlamento Europeu e o Conselho adotam o Regulamento (UE) 2016/679, o RGPD. fonte EUR-Lex ↗
Publicação oficial
O texto é publicado no Jornal Oficial da União Europeia (JO L 119, páginas 1 a 88). fonte EUR-Lex ↗
Entrada em vigor jurídica
O regulamento "entra em vigor no vigésimo dia seguinte ao da sua publicação" (art. 99). Existe juridicamente, mas a sua aplicação efetiva às empresas ainda é diferida por dois anos - o tempo de se organizarem. fonte CNIL, art. 99 ↗
O RGPD aplica-se plenamente
A partir desta data, todas as organizações que tratam dados pessoais de residentes europeus devem estar em conformidade real, não apenas "no papel". É esta a data a reter. fonte CNIL, art. 99 ↗
A lei francesa é atualizada
A lei n.º 2018-493 adapta o direito francês ao RGPD e transpõe a diretiva "polícia-justiça" (2016/680), apoiando-se na lei Informatique et Libertés de 1978. fonte Légifrance ↗
A lei de 1978 é totalmente reescrita
A portaria n.º 2018-1125 conclui a harmonização da lei Informatique et Libertés com o RGPD e a diretiva 2016/680. fonte Légifrance ↗
1.º balanço da Comissão Europeia
Dois anos após a sua entrada em aplicação, a Comissão publica o seu primeiro relatório: o RGPD atinge os seus objetivos, mas são necessárias melhorias (harmonização entre países, cooperação entre autoridades). fonte EUR-Lex (COM 2020) ↗
Acórdão "Schrems II"
O Tribunal de Justiça da União Europeia invalida o "Privacy Shield" que enquadrava as transferências de dados para os Estados Unidos: as garantias americanas quanto ao acesso das autoridades públicas aos dados não são consideradas suficientes. fonte EUR-Lex ↗
Novas cláusulas contratuais-tipo
Novos modelos de cláusulas para enquadrar as transferências de dados fora da UE entram em vigor, com um período de transição de 15 meses para substituir os antigos contratos já assinados. fonte EUR-Lex (2021/914) ↗
Novo quadro UE - Estados Unidos
A Comissão adota a decisão de adequação "EU-US Data Privacy Framework", que substitui o Privacy Shield invalidado em 2020 e volta a garantir a segurança das transferências para as empresas americanas. fonte EUR-Lex (2023/1795) ↗
2.º balanço da Comissão Europeia
Aumento claro das sanções às grandes empresas tecnológicas, mas persistem divergências entre autoridades nacionais. A Comissão recomenda um melhor acompanhamento das PME. fonte EUR-Lex (COM 2024) ↗
Proposta de alívio para as PME
A Comissão propõe, no seu pacote de simplificação do mercado único, alargar para 750 trabalhadores (em vez de 250) a derrogação à manutenção completa do registo de tratamentos (art. 30), limitada aos tratamentos "de alto risco". Trata-se de uma proposta, ainda não um texto em vigor. fonte Comissão Europeia ↗
Acordo sobre regras processuais comuns
O Conselho e o Parlamento Europeu chegam a um acordo político sobre regras processuais suplementares para harmonizar a forma como as autoridades de controlo nacionais cooperam em investigações transfronteiriças. A adoção formal e a publicação no Jornal Oficial ainda estão por confirmar. fonte Comissão Europeia ↗
Calendário estabelecido a partir de fontes oficiais (EUR-Lex, CNIL, Légifrance, Comissão Europeia) consultadas em 18 de julho de 2026. As duas últimas etapas são propostas ou acordos políticos em curso. Isto é uma síntese pedagógica e não constitui um parecer jurídico.
As sanções do RGPD, em termos simples
O número que assusta - « 20 milhões de euros » - circula por todo o lado, mas não diz como isto realmente funciona. Eis, com fontes oficiais como apoio, quem sanciona, como, e por que montantes reais.
ou até 2 % do volume de negócios anual mundial da empresa (é retido o montante mais elevado dos dois).
Patamar aplicável aos incumprimentos «correntes»: registo de tratamentos, segurança dos dados, obrigações do subcontratante, falta de avaliação de impacto...
ou até 4 % do volume de negócios anual mundial (idem, é retido o montante mais elevado dos dois).
Patamar aplicável aos incumprimentos mais graves: ausência de base legal, violação dos direitos das pessoas, transferências ilegais fora da UE...
Quem decide? A formação restrita da CNIL
Não é a CNIL «geral» que sanciona, mas sim um órgão distinto e independente: a formação restrita, composta por 5 membros e um presidente diferente do presidente da CNIL. É apenas ela que instrui os processos e profere as sanções. As decisões mais importantes são tornadas públicas.
O que faz variar o montante real
O artigo 83 do RGPD obriga a CNIL a ter em conta vários critérios antes de fixar uma coima, nomeadamente:
- a gravidade, a natureza e a duração do incumprimento
- o carácter intencional ou a simples negligência
- as medidas já tomadas para reduzir o dano
- a cooperação com a CNIL e os incumprimentos anteriores
- as categorias de dados em causa
Antes da coima: uma resposta graduada (artigo 58 do RGPD)
- Advertência
- Chamada de atenção
- Notificação formal
- Injunção de conformidade
- Coima administrativa (art. 83)
| Data | Organismo | Montante | Motivo |
|---|---|---|---|
| 21/01/2019 | Google LLC | 50 M € | Falta de transparência, ausência de consentimento válido para a publicidade personalizada |
| 07/12/2020 | Amazon Europe Core | 35 M € | Cookies colocados sem consentimento prévio |
| 31/12/2021 | Google LLC / Google Ireland | 150 M € | Recusar os cookies mais complicado do que aceitá-los |
| 31/12/2021 | Facebook Ireland (Meta) | 60 M € | Mesmo motivo: recusa dos cookies tornada demasiado difícil |
| 17/10/2022 | Clearview AI | 20 M € | Reconhecimento facial sem base legal, recusa em cooperar |
| 10/11/2022 | Discord Inc. | 800 000 € | Conservação excessiva de dados, segurança e informação insuficientes |
| 15/06/2023 | Criteo | 40 M € | Incumprimentos relativos ao consentimento de cookies e aos direitos das pessoas |
E para uma estrutura mais modesta? Montantes proporcionados
A CNIL também sanciona pequenas e médias estruturas, mas com montantes sem comparação com os grandes grupos internacionais. Só nas deliberações de dezembro de 2025, encontramos, por exemplo: 5 000 € para uma sociedade de gestão hoteleira (videoproteção não conforme), 7 000 € e 5 000 € para duas sociedades de edição de jornais (cookies inválidos), 10 000 € para uma sociedade de frete aeroportuário (videoproteção ilícita), ou ainda 20 000 € para uma universidade (finalidades não respeitadas). No outro extremo da escala, uma sociedade do setor terciário foi sancionada em 3,5 M € no mesmo mês por um cúmulo de incumprimentos graves (segurança, transparência, cookies). O montante segue a gravidade e a dimensão, não o inverso.
A sua autoridade de controlo, consoante o seu país
Na Europa, cada país tem as suas próprias autoridades. Eis, para os 30 países do Espaço Económico Europeu, a autoridade de proteção de dados (o seu interlocutor RGPD) e a autoridade nacional de cibersegurança. Cada nome remete para o site oficial.
Fontes: sites oficiais das autoridades e lista dos membros do EDPB (edpb.europa.eu), consultados em 18 de julho de 2026. Autoridades de proteção de dados confirmadas: 30/30. Autoridades de cibersegurança confirmadas: 28/30. As menções «a confirmar» assinalam uma fonte oficial ainda não consolidada até à data.