O essencial
Em 2025 a CNPD aplicou 2 coimas, no valor total de 47.000€ — e não por haver menos incumprimento. No mesmo ano abriu 2.037 processos de averiguação e instaurou 88 processos de contraordenação que, nas contas do próprio relatório, poderiam ter dado origem a cerca de 90 coimas. As notificações de violação de dados subiram 42%, para 472, face a 332 em 2024 (Relatório de Atividades da CNPD, 2025). O processo aberto não desaparece porque a coima demora. Esta checklist cobre 12 pontos: base legal, DPO, registo de tratamentos, transferências para os EUA, resposta a incidentes e notificação quando exigida, e a sobreposição com a NIS2.
O que a lei portuguesa acrescenta ao RGPD
A maior parte do que se lê sobre RGPD é escrita ao nível europeu e serve para os 27 Estados-Membros. O RGPD deixa deliberadamente várias decisões a cada país, e Portugal fez escolhas que não são as de Espanha, França ou Alemanha. O texto que as fixa é a Lei n.º 58/2019, de 8 de agosto.
A autoridade é a CNPD. A lei é direta: "A Comissão Nacional de Proteção de Dados (CNPD) é a autoridade de controlo nacional para efeitos do RGPD e da presente lei" (artigo 3.º). É à CNPD que chegam as reclamações dos teus utilizadores e são as deliberações dela que definem o que é aceitável no teu mercado.
Em certas situações, a criança pode consentir a partir dos 13 anos. A regra portuguesa aplica-se quando o tratamento se baseia no consentimento e está ligado à oferta direta de serviços da sociedade da informação a crianças (artigo 16.º, n.os 1 e 2). Não é uma idade geral para qualquer consentimento online. Abaixo dos 13 anos, esse tratamento só é lícito se o consentimento for dado pelos representantes legais da criança.
O encarregado de proteção de dados não precisa de certificação profissional. A lei diz expressamente que o DPO é designado com base nos requisitos do n.º 5 do artigo 37.º do RGPD, "não carecendo de certificação profissional para o efeito" (artigo 9.º, n.º 1). O que conta são o conhecimento especializado, a capacidade para desempenhar a função e a autonomia técnica no exercício do cargo.
Em Portugal, o DPO tem funções acrescidas. Para além dos artigos 37.º a 39.º do RGPD, cabe-lhe "assegurar a realização de auditorias, quer periódicas, quer não programadas" (artigo 11.º). A lei exige que o DPO assegure a realização dessas auditorias, mas não fixa neste artigo um calendário ou uma frequência concreta.
Os 12 pontos
- Base legal por atividade.
- Registo de tratamentos (artigo 30.º).
- DPO se a atividade principal exigir monitorização sistemática.
- Política de privacidade em português.
- Consentimento de cookies não essenciais.
- DPA com todos os subcontratantes (artigo 28.º).
- Mecanismo de transferência adequado para cada destinatário nos EUA: o Quadro de Privacidade de Dados UE–EUA pode aplicar-se a destinatários certificados; nos restantes casos, avalia cláusulas contratuais-tipo ou outro mecanismo previsto no RGPD.
- Processo de resposta a violações que avalia o risco e permite notificar a CNPD sem demora injustificada e, quando exequível, até 72 horas depois de ter conhecimento, salvo se for improvável que a violação resulte num risco para os direitos e liberdades das pessoas.
- Fluxo de direitos dos titulares em 30 dias.
- DPIA quando o tratamento, incluindo uma funcionalidade de IA, for suscetível de resultar num elevado risco. Usar IA, por si só, não torna a DPIA automática.
- Retenção documentada.
- Formação periódica, ajustada aos riscos e às funções, com evidência. É uma boa prática de conformidade, não uma obrigação legal universal de formação anual.
Sobreposição com a NIS2
Se entras no âmbito da NIS2 (50+ trabalhadores ou 10M€+): notificação em 24h (não 72h), responsabilidade pessoal do órgão de gestão, segurança da supply chain.
Fontes
Lei n.º 58/2019, de 8 de agosto, artigos 3.º, 9.º, 11.º e 16.º (consultada a 11 de agosto de 2026). Regulamento Geral sobre a Proteção de Dados, artigos 33.º e 35.º (consultado a 11 de agosto de 2026). Comissão Europeia — transferências de dados UE–EUA, Quadro de Privacidade de Dados e destinatários certificados (consultado a 11 de agosto de 2026). Estatísticas de 2025: Relatório de Atividades da CNPD, ligação acima.
Informativo, não substitui aconselhamento jurídico. Este guia foi preparado pela Outlex a partir de fontes públicas. Para a tua situação concreta, fala com um advogado.
