RGPD.
Trate dados pessoais licitamente, proteja os direitos e demonstre a implementação de forma rastreável.
- Regulamento (UE) 2016/679 · BDSG
- Por Derya Altinay
- Atualizado em: 22/10/2026
- Tempo de leitura: 10 min.
Resposta breve.
O RGPD regula o tratamento de dados pessoais no âmbito europeu. As empresas precisam de fundamentos jurídicos adequados, informação transparente, procedimentos para os direitos dos titulares e proteção proporcional ao risco. O artigo 5.º estabelece a responsabilidade dos responsáveis pelo tratamento: devem poder demonstrar o cumprimento dos princípios. Os subcontratantes têm obrigações próprias e apoiam esse cumprimento.
RGPD: proteção de dados para além da segurança informática.
O Regulamento Geral sobre a Proteção de Dados é direito da UE diretamente aplicável que protege as pessoas singulares no tratamento dos seus dados pessoais. O Regulamento (UE) 2016/679 aplica-se desde 25 de maio de 2018; GDPR é a sua sigla inglesa. Na Alemanha, o enquadramento europeu é complementado, em particular, pela lei federal de proteção de dados (BDSG) e por disposições setoriais.
O RGPD pergunta primeiro se um tratamento é lícito e para que finalidades. Uma base de dados segura ainda não responde se a informação recolhida é necessária ou durante quanto tempo pode ser conservada. Os artigos 5.º e 6.º do RGPD relacionam princípios e fundamentos jurídicos; o artigo 32.º trata, neste quadro, a segurança do tratamento.
A proteção de dados continua a ser uma tarefa permanente, porque as finalidades, os fluxos de dados e os serviços utilizados mudam. Segundo o artigo 24.º do RGPD, o responsável pelo tratamento deve adotar medidas adequadas, verificar a sua adequação e atualizá-las quando necessário. Um documento preenchido uma única vez não substitui esta avaliação contínua.
Empresas às quais o RGPD se aplica.
Segundo o artigo 2.º, o RGPD aplica-se ao tratamento de dados pessoais aí abrangido, independentemente da dimensão da empresa. Inclui, por exemplo, dados de clientes, candidaturas ou conteúdos de suporte com dados pessoais. Os dados pseudonimizados continuam a ser pessoais quando uma pessoa pode ser identificada com informação adicional; a informação efetivamente anónima tem um enquadramento diferente.
O âmbito territorial decorre do artigo 3.º do RGPD. Além dos tratamentos no contexto de um estabelecimento na UE, podem estar abrangidas determinadas ofertas a pessoas na UE ou a monitorização do seu comportamento por empresas fora da UE. A localização do servidor ou a acessibilidade de um sítio Web, por si só, não determinam a questão.
O papel é determinado para a atividade concreta: os responsáveis pelo tratamento decidem as finalidades e os meios; os subcontratantes tratam dados por conta de outrem. Uma organização pode ter papéis diferentes conforme a atividade. Os artigos 26.º e 28.º do RGPD exigem disposições adequadas para a responsabilidade conjunta e a subcontratação, respetivamente; o título de um contrato, por si só, não esclarece o papel real.
Requisitos do RGPD para as empresas.
Os requisitos do RGPD ligam decisões jurídicas à operação real do tratamento. Sete áreas de trabalho servem de orientação; as obrigações especiais adicionais dependem do papel, dos dados, da atividade e dos riscos para as pessoas em causa.
Definir princípios e fundamentos jurídicos.
Os artigos 5.º e 6.º do RGPD exigem um tratamento lícito, limitado às finalidades e rastreável. Limite os dados e a conservação ao necessário e mantenha a informação exata. O consentimento é um possível fundamento jurídico; as suas condições não podem ser ignoradas, tal como as de outros fundamentos.
Viabilizar a transparência e os direitos dos titulares.
Os artigos 12.º a 22.º do RGPD dizem respeito a informação compreensível e a direitos como acesso, retificação ou apagamento. Os direitos têm condições e exceções diferentes. As responsabilidades, a pesquisa de dados, a verificação da identidade e a resposta segura devem estar articuladas; uma política de privacidade, por si só, não trata um pedido.
Organizar as responsabilidades e os prestadores.
Os artigos 24.º a 30.º do RGPD regulam obrigações organizativas, a proteção de dados desde a conceção, os papéis e os registos. A subcontratação segundo o artigo 28.º exige, além de uma base contratual adequada, garantias suficientes do prestador. A avaliação deve incluir os outros subcontratantes e os percursos dos dados efetivamente utilizados, além das condições contratuais gerais.
Traduzir o artigo 32.º do RGPD em medidas eficazes.
As medidas técnicas e organizativas devem criar um nível de segurança adequado ao risco. O artigo 32.º do RGPD considera o contexto do tratamento, o estado da técnica, os custos e a probabilidade e gravidade das possíveis consequências para as pessoas. Conforme o risco, incluem-se proteção de acessos, cifragem, capacidade de recuperação e verificação regular da eficácia; uma lista universal fixa não é suficiente.
Analisar riscos especiais e aconselhamento.
É necessária uma avaliação de impacto sobre a proteção de dados segundo o artigo 35.º do RGPD antes de um tratamento suscetível de implicar um risco elevado para os direitos e liberdades. Verifique também as condições para designar encarregados da proteção de dados segundo o artigo 37.º e, complementarmente, o § 38 BDSG. A função de aconselhamento não substitui a responsabilidade pelo tratamento.
Avaliar e notificar violações de dados pessoais.
O artigo 33.º do RGPD exige, em princípio, a notificação à autoridade de controlo competente, salvo se a violação não for suscetível de implicar um risco para os direitos e liberdades. O artigo 34.º regula separadamente a comunicação aos titulares quando seja suscetível de existir risco elevado. Os subcontratantes informam o responsável pelo tratamento sem demora injustificada; a documentação do incidente continua a ser uma obrigação própria.
Proteger separadamente as transferências para países terceiros.
O capítulo V do RGPD estabelece requisitos adicionais para as transferências para países terceiros. Verifique os destinatários reais, os acessos e o mecanismo de transferência relevante. Uma transferência lícita não substitui o fundamento jurídico do tratamento nem as restantes obrigações de proteção de dados; mesmo o alojamento na UE não responde a todas as questões sobre acessos externos.
A implementação do RGPD como processo contínuo.
Delimitar os tratamentos e os papéis.
Como ponto de partida prático, registe as finalidades, os titulares, os dados, os sistemas e os destinatários de uma atividade concreta e esclareça quem é responsável por cada decisão.
Verificar a licitude e a informação.
Avalie os fundamentos jurídicos, a necessidade e a conservação e compare o tratamento real com a informação fornecida aos titulares.
Avaliar os riscos e as obrigações especiais.
Analise os riscos para as pessoas e as condições relativas à avaliação de impacto, aos encarregados da proteção de dados, à subcontratação e às transferências para países terceiros antes de introduzir ou alterar substancialmente o tratamento.
Implementar e verificar as medidas.
Relacione as decisões jurídicas e organizativas com medidas técnicas adequadas e verifique se, por exemplo, as regras de acesso, o apagamento e a recuperação funcionam no serviço considerado.
Preparar na prática os direitos e os incidentes.
Teste como os pedidos e as violações de dados pessoais são detetados, escalados, avaliados e tratados dentro dos prazos, incluindo as passagens de responsabilidade entre empresas e prestadores.
Atualizar a documentação com as alterações.
Atualize as decisões e as evidências quando se alterarem as finalidades, os destinatários ou os riscos e defina quem acompanha as medidas em aberto e desencadeia a próxima revisão.
Evidências RGPD e certificação voluntária.
Segundo o artigo 5.º, n.º 2, do RGPD, a responsabilidade significa poder explicar e demonstrar o cumprimento dos princípios. A documentação adequada pode incluir registos de atividades de tratamento, fundamentos jurídicos justificados, contratos, informações de proteção de dados, avaliações de impacto e verificações das medidas de proteção. É determinante que reflita o tratamento real e permita identificar que decisão foi tomada e com que fundamento.
A autoridade de controlo tem poderes de investigação e correção segundo o artigo 58.º do RGPD. Por isso, a documentação deve ser localizável, compreensível e atual. O regulamento não cria uma obrigação geral de certificação com a qual uma empresa possa dar por concluído todo o trabalho de proteção de dados; a responsabilidade permanece com o responsável pelo tratamento e os intervenientes sujeitos a cada obrigação.
A certificação segundo o artigo 42.º do RGPD é voluntária e refere-se a operações de tratamento com base em critérios aprovados. Segundo o n.º 4, não reduz a responsabilidade legal; o n.º 7 limita a sua validade a um máximo de três anos, com possibilidade de renovação. Um certificado de segurança da informação não é automaticamente uma certificação de proteção de dados deste tipo.
A decisão de notificar uma violação de dados pessoais deve ser comprovada separadamente. O artigo 33.º prevê a notificação sem demora injustificada e, sempre que possível, até 72 horas após tomar conhecimento, salvo se se aplicar a exceção de risco. A documentação segundo o n.º 5 abrange também as violações não notificadas; a comunicação segundo o artigo 34.º segue o seu próprio limiar de risco e as exceções aí previstas.
Saiba mais no blogue.
- RGPD e segurançaRelacione os tratamentos, a avaliação jurídica e as medidas de proteção na operação.
- Analisar a subcontrataçãoCompare os compromissos contratuais com os percursos reais dos dados do prestador.
- Notificar uma violação de dados pessoaisPrepare com maior detalhe a avaliação do incidente, a decisão de notificação e a documentação.
- Tratar pedidos de acessoOrganize a pesquisa, a verificação e a transmissão segura de uma resposta de acesso.
RGPD e outros referenciais.
A ISO 27001 apoia a organização da segurança da informação, mas não substitui a análise dos fundamentos jurídicos e dos direitos dos titulares. A NIS2 tem destinatários e obrigações de notificação próprios; um incidente pode exigir avaliações separadas segundo ambos os regimes. O Regulamento da IA da UE complementa os requisitos de determinados sistemas de IA sem substituir a análise de proteção de dados dos tratamentos pessoais.
No Secani.
O Secani oferece um perfil de proteção de dados para papéis, contexto do tratamento e transferências, bem como um catálogo editorial de avaliação do RGPD. O perfil regista dados da empresa e apoia um levantamento estruturado. A avaliação técnica do tratamento real e da sua licitude continua a ser uma tarefa autónoma; o perfil não é uma autorização oficial nem uma análise jurídica automática.
Próximo passo.
Comece por um tratamento claramente delimitado, como o tratamento de pedidos de suporte. Descreva a finalidade, os dados, os titulares, os serviços envolvidos e os destinatários e analise o fundamento jurídico adequado com os especialistas responsáveis. Registe depois as medidas de proteção e os procedimentos para direitos e incidentes efetivamente necessários.
Fontes.
- Regulamento (UE) 2016/679: Regulamento Geral sobre a Proteção de Dados
- BfDI: RGPD — BDSG, Informação 1, versão de março de 2026
- Comissão Europeia: âmbito de aplicação e papéis no RGPD
- Comissão Europeia: princípios do tratamento
- Comissão Europeia: obrigações das empresas
- CEPD: segurança dos dados pessoais
- CEPD: violações de dados pessoais
- CEPD: direitos dos titulares dos dados
- § 38 BDSG: encarregados da proteção de dados em entidades não públicas
Perguntas frequentes.
Não. O artigo 6.º do RGPD prevê diferentes fundamentos jurídicos com condições próprias. O fundamento adequado depende da finalidade e das circunstâncias concretas; os requisitos adicionais, por exemplo para categorias especiais de dados, devem ser analisados separadamente.
Não. Segundo o artigo 33.º do RGPD, a notificação à autoridade pode ser dispensada quando a violação não for suscetível de implicar um risco para os direitos e liberdades. Ainda assim, a violação deve ser documentada; a comunicação aos titulares segundo o artigo 34.º deve ser avaliada separadamente.
Não. Um SGSI pode apoiar a segurança do tratamento, mas não responde automaticamente a questões de fundamento jurídico, transparência ou direitos dos titulares. O seu âmbito e o tratamento real devem ser analisados separadamente.
Sim, se o seu tratamento estiver abrangido pelo âmbito material e territorial. A dimensão da empresa, por si só, não cria uma exceção geral; determinadas obrigações dependem de condições adicionais.
Organize o trabalho de proteção de dados de forma rastreável.
Conheça o perfil de proteção de dados e o catálogo editorial RGPD no Secani.
Esta página oferece um enquadramento geral e não substitui uma análise jurídica do caso concreto. Prevalecem as disposições legais em vigor e o tratamento concreto.