O RGPD aplica-se a qualquer estrutura que recolha dados pessoais, sem limiar de dimensão. A SYAGA CONSULTING ajuda-o a formalizar um registo de tratamentos, a enquadrar os seus subcontratantes, a responder aos questionários RGPD dos seus clientes e seguradoras, e a realizar uma avaliação de impacto quando necessária.
O RGPD está em vigor desde 2018, mas continua largamente não formalizado nas PME
Assim que uma estrutura recolhe dados pessoais (clientes, trabalhadores, potenciais clientes), está abrangida. Existe uma exceção limitada para estruturas com menos de 250 trabalhadores cujo tratamento é ocasional, mas não cobre uma atividade comercial regular.
Muitas PME nunca formalizaram o seu registo, ou redigiram-no uma vez e depois nunca o atualizaram, apesar dos seus tratamentos, subcontratantes e ferramentas terem mudado.
Um cliente, um banco ou uma seguradora cibernética pede cada vez mais frequentemente aos seus fornecedores que respondam a um questionário sobre a proteção de dados (art. 28): subcontratação, encriptação, MFA, cópias de segurança, registo de logs, plano de incidentes.
Redigir um registo, enquadrar subcontratantes ou montar uma avaliação de impacto exige uma especialização jurídica e técnica cruzada que poucas PME têm internamente.
Um método estruturado, adaptado à dimensão e ao contexto real da sua estrutura
Entrevista com o dirigente ou o responsável RGPD. Identificação dos tratamentos de dados pessoais (clientes, trabalhadores, potenciais clientes, fornecedores), das ferramentas utilizadas e dos subcontratantes já implementados.
Redação do registo das atividades de tratamento: finalidades, bases legais, categorias de dados e de pessoas em causa, destinatários, prazos de conservação, medidas de segurança.
Revisão ou redação das cláusulas de subcontratação (art. 28) com os seus prestadores, e preparação das respostas aos questionários RGPD que lhe são enviados pelos seus clientes ou seguradoras (medidas técnicas e organizativas).
Entrega dos documentos e apresentação à direção. Se o seu tratamento se enquadrar num dos casos previstos pelo art. 35(3) do RGPD (perfilamento com efeito jurídico, dados sensíveis em grande escala, vigilância sistemática de uma zona pública), é realizada ou enquadrada consigo uma avaliação de impacto (AIPD).
Documentos adaptados à sua estrutura real, não modelos genéricos
Registo completo em conformidade com o artigo 30 do RGPD.
Enquadramento contratual dos seus prestadores na aceção do artigo 28.
Realizada apenas quando o artigo 35(3) do RGPD a impõe, ou a título de precaução mediante pedido.
Preparação das respostas aos questionários enviados pelos seus clientes, bancos ou seguradoras cibernéticas.
Diagnóstico das medidas exigidas pelo artigo 32 do RGPD.
Os entregáveis são-lhe entregues em formatos diretamente utilizáveis.
O RGPD (Regulamento (UE) 2016/679) estrutura a abordagem RGPD-Express
Obrigação de manter um registo, do lado do responsável pelo tratamento e do lado do subcontratante. A isenção prevista no 30.5 para estruturas com menos de 250 trabalhadores aplica-se apenas a tratamentos ocasionais.
Enquadramento contratual de qualquer subcontratante que trate dados por sua conta: garantias suficientes, cláusulas obrigatórias, subcontratação ulterior autorizada por escrito prévio.
Medidas técnicas e organizativas adequadas ao risco: pseudonimização, encriptação, meios que garantam a confidencialidade e a disponibilidade, procedimento de teste e de avaliação regular.
Obrigatória apenas quando o tratamento é suscetível de gerar um risco elevado: avaliação sistemática com efeito jurídico, dados sensíveis em grande escala, ou vigilância sistemática de uma zona acessível ao público.
Cada estrutura tem um âmbito de tratamentos diferente: o preço é estabelecido após o enquadramento
Micro/PME, âmbito de tratamentos simples
PME com vários subcontratantes e questionários recorrentes
Estrutura com tratamentos sensíveis ou regulamentação setorial
O que o texto diz realmente, traduzido em linguagem simples. Cada ponto remete para o texto oficial.
É o texto europeu que enquadra a recolha e a utilização de dados pessoais (clientes, trabalhadores, potenciais clientes...). Foi adotado em 27 de abril de 2016 e publicado no Jornal Oficial da União Europeia em 4 de maio de 2016.
O regulamento entrou em vigor vinte dias após a sua publicação, mas só é realmente aplicável desde 25 de maio de 2018. É esta data que conta para as suas obrigações concretas.
Deve manter a lista do que faz com os dados pessoais: para quê, com quem, durante quanto tempo os guarda, como os protege. Existe uma exceção para estruturas com menos de 250 trabalhadores, mas apenas se o tratamento for ocasional; uma atividade comercial regular não beneficia dela.
Só é obrigatório em três situações precisas: é um organismo público, ou a sua atividade principal consiste em vigiar pessoas de forma regular e em grande escala, ou em tratar em grande escala dados sensíveis. Fora destes casos, nomear um DPO continua a ser facultativo.
Se dados pessoais forem perdidos, roubados ou expostos, deve informar a autoridade de proteção de dados competente no prazo máximo de 72 horas após ter tido conhecimento, salvo se o risco para as pessoas for negligenciável. Deve também guardar um registo escrito de cada incidente.
Quando uma fuga de dados representa um risco elevado para as pessoas em causa, deve informá-las diretamente, em linguagem clara e simples. Pode ser dispensado desta comunicação se os dados estivessem encriptados ou se já tiver neutralizado o risco.
Em caso de incumprimento, a coima pode ir até 10 milhões de euros (ou 2% do volume de negócios mundial da empresa) para os incumprimentos mais comuns, e até 20 milhões de euros (ou 4% do volume de negócios mundial) para as violações mais graves dos direitos das pessoas; é sempre retido o montante mais elevado. O montante real depende da gravidade, da boa-fé e da cooperação com a autoridade.
Sem jargão jurídico: as 7 perguntas mais frequentes, uma resposta simples, e o texto oficial por trás de cada resposta.
Clique numa pergunta para ver a resposta e a sua fonte.
Não. O consentimento é apenas uma opção entre seis. O RGPD (artigo 6) também autoriza o tratamento quando este é necessário para a execução de um contrato, para o cumprimento de uma obrigação legal, para a salvaguarda de interesses vitais, para uma missão de interesse público, ou para o interesse legítimo da sua empresa (por exemplo gerir a relação com um cliente já existente), desde que os direitos da pessoa não prevaleçam.
Depende de quem contacta:
Em todos os casos: remetente identificável e ligação de cancelamento de subscrição fácil.
Em geral sim, nomeadamente se os dados já não servirem para nada, se a pessoa retirar o seu consentimento, ou se a isso se opuser sem um motivo legítimo contrário da sua parte. Pode, no entanto, recusar se tiver de conservar esses dados por obrigação legal, por exemplo uma fatura a guardar 10 anos para efeitos de contabilidade, ou para se defender em tribunal.
1 mês a contar da receção do pedido. Este prazo pode ser prolongado por 2 meses se o pedido for complexo ou se receber muitos pedidos, mas deve avisar a pessoa dessa prorrogação dentro do mês inicial.
Sim, mas não sem precaução. Três casos possíveis: o país beneficia de uma decisão oficial da Comissão Europeia que reconhece um nível de proteção adequado; na sua falta, o seu prestador deve oferecer garantias apropriadas (na maioria das vezes cláusulas contratuais-tipo); ou, apenas para casos pontuais, aplica-se uma derrogação precisa (consentimento explícito, execução de um contrato...).
Sim. A maioria dos cookies (publicidade personalizada, botões de redes sociais...) exige um acordo prévio do seu visitante, dado livremente, tão fácil de retirar como de dar. Aceitar condições gerais não conta como um acordo válido. Alguns cookies técnicos (carrinho de compras, autenticação, preferência de idioma) estão dispensados desse acordo.
A CNIL começa geralmente por um controlo (no local ou online) e depois uma notificação para se colocar em conformidade num prazo determinado. As sanções financeiras existem, mas mantêm-se proporcionais à dimensão da estrutura: a CNIL sancionou, por exemplo, pequenas empresas entre 2 000 e 20 000 euros por incumprimentos relativos à segurança, aos cookies ou ao direito de acesso, muito longe dos tetos máximos (até 20 milhões de euros ou 4% do volume de negócios mundial para os incumprimentos mais graves).
O RGPD não nasceu em 2018 e não ficou parado desde então. Eis, por ordem, o que já aconteceu (e que continua a ser a regra do jogo hoje) e o que ainda está em discussão em Bruxelas - com, para cada etapa, o texto oficial que o comprova.
O Parlamento Europeu e o Conselho adotam o Regulamento (UE) 2016/679, o RGPD. fonte EUR-Lex ↗
O texto é publicado no Jornal Oficial da União Europeia (JO L 119, páginas 1 a 88). fonte EUR-Lex ↗
O regulamento "entra em vigor no vigésimo dia seguinte ao da sua publicação" (art. 99). Existe juridicamente, mas a sua aplicação efetiva às empresas ainda é diferida por dois anos - o tempo de se organizarem. fonte CNIL, art. 99 ↗
A partir desta data, todas as organizações que tratam dados pessoais de residentes europeus devem estar em conformidade real, não apenas "no papel". É esta a data a reter. fonte CNIL, art. 99 ↗
A lei n.º 2018-493 adapta o direito francês ao RGPD e transpõe a diretiva "polícia-justiça" (2016/680), apoiando-se na lei Informatique et Libertés de 1978. fonte Légifrance ↗
A portaria n.º 2018-1125 conclui a harmonização da lei Informatique et Libertés com o RGPD e a diretiva 2016/680. fonte Légifrance ↗
Dois anos após a sua entrada em aplicação, a Comissão publica o seu primeiro relatório: o RGPD atinge os seus objetivos, mas são necessárias melhorias (harmonização entre países, cooperação entre autoridades). fonte EUR-Lex (COM 2020) ↗
O Tribunal de Justiça da União Europeia invalida o "Privacy Shield" que enquadrava as transferências de dados para os Estados Unidos: as garantias americanas quanto ao acesso das autoridades públicas aos dados não são consideradas suficientes. fonte EUR-Lex ↗
Novos modelos de cláusulas para enquadrar as transferências de dados fora da UE entram em vigor, com um período de transição de 15 meses para substituir os antigos contratos já assinados. fonte EUR-Lex (2021/914) ↗
A Comissão adota a decisão de adequação "EU-US Data Privacy Framework", que substitui o Privacy Shield invalidado em 2020 e volta a garantir a segurança das transferências para as empresas americanas certificadas. fonte EUR-Lex (2023/1795) ↗
Aumento claro das sanções às grandes empresas tecnológicas, mas persistem divergências entre autoridades nacionais. A Comissão recomenda um melhor acompanhamento das PME. fonte EUR-Lex (COM 2024) ↗
A Comissão propõe, no seu pacote de simplificação do mercado único, alargar para 750 trabalhadores (em vez de 250) a derrogação à manutenção completa do registo de tratamentos (art. 30), limitada aos tratamentos "de alto risco". Trata-se de uma proposta, ainda não um texto em vigor. fonte Comissão Europeia ↗
O Conselho e o Parlamento Europeu chegam a um acordo político sobre regras processuais suplementares para harmonizar a forma como as autoridades de controlo nacionais cooperam em investigações transfronteiriças. A adoção formal e a publicação no Jornal Oficial ainda estão por confirmar. fonte Comissão Europeia ↗
Calendário estabelecido a partir de fontes oficiais (EUR-Lex, CNIL, Légifrance, Comissão Europeia) consultadas em 18 de julho de 2026. As duas últimas etapas são propostas ou acordos políticos em curso - iremos atualizá-las assim que forem formalmente adotadas e publicadas no Jornal Oficial. Isto é uma síntese pedagógica e não constitui um parecer jurídico.
O número que assusta - « 20 milhões de euros » - circula por todo o lado, mas não diz como isto realmente funciona. Eis, com fontes oficiais como apoio, quem sanciona, como, e por que montantes reais.
ou até 2 % do volume de negócios anual mundial da empresa (é retido o montante mais elevado dos dois).
Patamar aplicável aos incumprimentos «correntes»: registo de tratamentos, segurança dos dados, obrigações do subcontratante, falta de avaliação de impacto...
ou até 4 % do volume de negócios anual mundial (idem, é retido o montante mais elevado dos dois).
Patamar aplicável aos incumprimentos mais graves: ausência de base legal, violação dos direitos das pessoas, transferências ilegais fora da UE...
Não é a CNIL «geral» que sanciona, mas sim um órgão distinto e independente: a formação restrita, composta por 5 membros e um presidente diferente do presidente da CNIL. É apenas ela que instrui os processos e profere as sanções. As decisões mais importantes são tornadas públicas.
O artigo 83 do RGPD obriga a CNIL a ter em conta vários critérios antes de fixar uma coima, nomeadamente:
| Data | Organismo | Montante | Motivo |
|---|---|---|---|
| 21/01/2019 | Google LLC | 50 M € | Falta de transparência, ausência de consentimento válido para a publicidade personalizada |
| 07/12/2020 | Amazon Europe Core | 35 M € | Cookies colocados sem consentimento prévio |
| 31/12/2021 | Google LLC / Google Ireland | 150 M € | Recusar os cookies mais complicado do que aceitá-los |
| 31/12/2021 | Facebook Ireland (Meta) | 60 M € | Mesmo motivo: recusa dos cookies tornada demasiado difícil |
| 17/10/2022 | Clearview AI | 20 M € | Reconhecimento facial sem base legal, recusa em cooperar |
| 10/11/2022 | Discord Inc. | 800 000 € | Conservação excessiva de dados, segurança e informação insuficientes |
| 15/06/2023 | Criteo | 40 M € | Incumprimentos relativos ao consentimento de cookies e aos direitos das pessoas |
A CNIL também sanciona pequenas e médias estruturas, mas com montantes sem comparação com os grandes grupos internacionais. Só nas deliberações de dezembro de 2025, encontramos, por exemplo: 5 000 € para uma sociedade de gestão hoteleira (videoproteção não conforme), 7 000 € e 5 000 € para duas sociedades de edição de jornais (cookies inválidos), 10 000 € para uma sociedade de frete aeroportuário (videoproteção ilícita), ou ainda 20 000 € para uma universidade (finalidades não respeitadas). No outro extremo da escala, uma sociedade do setor terciário foi sancionada em 3,5 M € no mesmo mês por um cúmulo de incumprimentos graves (segurança, transparência, cookies). O montante segue a gravidade e a dimensão, não o inverso.
Na Europa, cada país tem as suas próprias autoridades. Eis, para os 30 países do Espaço Económico Europeu, a autoridade de proteção de dados (o seu interlocutor RGPD) e a autoridade nacional de cibersegurança. Cada nome remete para o site oficial.
Fontes: sites oficiais das autoridades e lista dos membros do EDPB (edpb.europa.eu), consultados em 18 de julho de 2026. Autoridades de proteção de dados confirmadas: 30/30. Autoridades de cibersegurança confirmadas: 28/30. As menções «a confirmar» assinalam uma fonte oficial ainda não consolidada até à data.
Escreva-nos para um enquadramento inicial e um orçamento personalizado, sem compromisso.
Gratuito: o seu score + os seus desvios. O relatório detalhado e a certificação: 499 € + IVA, apenas se assim o decidir.
contact@syaga.eu