Maurice Müller
Senior Content Manager
Maurice Müller é jornalista e estratega de conteúdos com experiência em meios de comunicação impressos e digitais. Na Formalize, transforma temas complexos relacionados com a conformidade e a regulamentação em conteúdos claros e práticos para profissionais das áreas da conformidade, do risco e da segurança em toda a Europa.
Conclusões principais:
A conformidade com o RGPD abrange muito mais do que avisos de privacidade e banners de cookies: tratamento legal, direitos dos titulares dos dados, registos, AVPD, segurança, fornecedores e gestão de violações.
Aplica-se a organizações na UE e a organizações noutros locais que ofereçam bens ou serviços a pessoas na UE ou que monitorizem o seu comportamento. A dimensão, por si só, não isenta ninguém..
O responsável pelo tratamento é responsável pela conformidade e por a demonstrar. Um responsável pela proteção de dados aconselha e monitoriza, mas não assume pessoalmente essa responsabilidade.
As multas podem atingir 20 milhões de euros ou 4 % do volume de negócios anual a nível mundial, consoante o valor mais elevado, mas as autoridades determinam-nas caso a caso e dispõem de outras ferramentas, desde repreensões a proibições de tratamento.
A mudança está a chegar, mas a maior parte ainda não é lei. O prazo de 72 horas para notificação de violações continua a aplicar-se, apesar de a "Digital Omnibus" propor 96 horas.
Pergunte a uma empresa se está em conformidade com o RGPD e a resposta será, normalmente, sim. Peça-lhe que explique por que razão um determinado fornecedor tem acesso aos dados dos clientes, qual é a base jurídica que abrange a campanha de marketing do último trimestre ou quando foi revista a sua última avaliação de impacto relativa à proteção de dados (DPIA), e a resposta pode demorar semanas.
É este segundo conjunto de perguntas que realmente importa. O princípio da responsabilização do RGPD exige que os responsáveis pelo tratamento cumpram as suas regras e sejam capazes de demonstrar que o fazem. Na prática, isso transforma o regulamento de um texto jurídico que se lê uma vez num conjunto de processos que se executam todos os dias.
O que é a conformidade com o RGPD?
A conformidade com o RGPD significa cumprir as obrigações do Regulamento (UE) n.º 2016/679 que se aplicam à forma como a sua organização trata os dados pessoais e manter os registos que comprovem esse cumprimento. O regulamento está em vigor na UE desde 25 de maio de 2018 e aplica-se também na Islândia, no Liechtenstein e na Noruega, enquanto parte do Espaço Económico Europeu.
O que isso implica depende do que faz com os dados pessoais, mas a maioria dos programas abrange os mesmos aspetos: uma base jurídica para cada atividade de tratamento, informação clara para as pessoas em causa, procedimentos para o exercício dos seus direitos, um registo das atividades de tratamento (RoPA), avaliações de risco, medidas de segurança, supervisão dos fornecedores e um procedimento para lidar com violações. Abrange pessoas, processos, tecnologia e documentação, razão pela qual raramente é da responsabilidade de uma única equipa.
Duas funções definem todo o resto. Um responsável pelo tratamento decide por que motivo e de que forma os dados pessoais são tratados. Um subcontratante trata os dados pessoais em nome do responsável pelo tratamento, como, por exemplo, um prestador de serviços de processamento salarial ou um serviço na nuvem. Uma organização pode atuar como responsável pelo tratamento em algumas atividades e como subcontratante noutras. Veja como o software de conformidade com o RGPD da Formalize ajuda as equipas a gerir registos, responsabilidades e provas.
Quem tem de cumprir o RGPD?
O RGPD tem um âmbito de aplicação mais alargado do que muitas organizações supõem. O seu âmbito territorial estende-se muito para além da UE, e apenas algumas atividades ficam totalmente fora do seu âmbito de aplicação:
Situação | O RGPD é aplicável? | O que é preciso saber |
|---|---|---|
Organização estabelecida na UE que trata dados pessoais | Sim | Isto aplica-se independentemente do local onde o tratamento propriamente dito tenha lugar, incluindo em servidores fora da UE. |
Organização fora da UE que oferece bens ou serviços a pessoas na UE | Sim | Isto aplica-se quer a oferta seja paga ou gratuita. Em geral, têm de nomear um representante na UE, com algumas exceções. |
Organização fora da UE que monitoriza o comportamento das pessoas na UE | Sim | Isto abrange, por exemplo, o rastreio e a criação de perfis online. |
Subcontratante que atua em nome de um responsável pelo tratamento | Sim | Os subcontratantes têm as suas próprias obrigações diretas, incluindo a segurança e a manutenção de registos. |
Pequena ou média empresa | Sim | Algumas obrigações são mais leves, como a isenção relativa aos registos para organizações com menos de 250 colaboradores, mas essa isenção tem exceções importantes. |
Pessoa que atua a título puramente pessoal ou no âmbito do agregado familiar | Não | A isenção para uso doméstico abrange atividades privadas, não atividades comerciais. |
A dimensão da empresa não determina se o RGPD se aplica. O que varia é quais as obrigações específicas que se aplicam, e isso depende do tratamento de dados e do risco associado. Uma empresa cujas atividades principais envolvam a monitorização regular e sistemática de pessoas em grande escala, por exemplo, deve nomear um responsável pela proteção de dados e, normalmente, terá de realizar avaliações de impacto relativas à proteção de dados (DPIA). Uma pequena empresa que trate de dados básicos de contacto dos clientes, normalmente, não precisa de o fazer.
Checklist de conformidade com o RGPD: como alcançar e manter a conformidade
Assim que souber que o RGPD se aplica, o trabalho resume-se a dez passos, desde o mapeamento dos seus dados até à revisão do programa ao longo do tempo:
1. Confirmar se e de que forma o RGPD se aplica
Verifique o seu âmbito de aplicação, identifique em que situações atua como responsável pelo tratamento e em que situações como subcontratante, e verifique se deve nomear um responsável pela proteção de dados (DPO) ou um representante da UE.
2. Mapear os dados pessoais de que trata
Identifique quais os dados pessoais que detém, de onde provêm, em que sistemas estão armazenados, quem tem acesso aos mesmos e para onde são encaminhados, incluindo as transferências para fora do EEE.
3. Criar e manter o seu registo das atividades de tratamento (RoPA)
O artigo 30.º exige a elaboração de um RoPA que abranja as finalidades, as categorias de dados e de pessoas, os destinatários, as transferências, os períodos de conservação e as medidas de segurança. Mesmo nos casos em que se aplica a isenção para pequenas empresas, o RoPA constitui a espinha dorsal de todos os restantes elementos desta lista.
4. Estabelecer e documentar as bases jurídicas
Escolha uma das seis bases jurídicas para cada atividade de tratamento: consentimento, contrato, obrigação legal, interesses vitais, missão de interesse público ou interesses legítimos. Caso se baseie em interesses legítimos, documente a avaliação comparativa. Caso se baseie no consentimento, mantenha um registo do mesmo. No que diz respeito a categorias especiais de dados, tais como dados relativos à saúde, é também necessário que se preencha uma das condições previstas no artigo 9.º.
5. Fornecer informações claras sobre a privacidade
Explique às pessoas o que faz com os seus dados, porquê, com base em que fundamento jurídico e durante quanto tempo, numa linguagem que elas consigam compreender. Essa informação deve ser fornecida no momento em que recolhe os dados ou, caso os obtenha de terceiros, no prazo máximo de um mês.
6. Criar processos relativos aos direitos dos titulares de dados
As pessoas podem solicitar o acesso, a retificação, a eliminação ou a portabilidade dos seus dados, restringir ou opor-se ao tratamento dos mesmos e contestar determinadas decisões automatizadas. Tem um mês para responder, prazo que pode ser prorrogado por mais dois meses no caso de pedidos complexos; por isso, os pedidos têm de ter um responsável, uma etapa de verificação e um mecanismo para acompanhar o prazo.
7. Realizar Avaliações de Impacto sobre a Proteção de Dados (AIPD) sempre que necessário
É obrigatório realizar uma Avaliação de Impacto na Proteção de Dados (DPIA) quando o tratamento de dados for suscetível de implicar um risco elevado para as pessoas, como, por exemplo, a criação de perfis abrangentes com efeitos significativos nas pessoas ou o tratamento em grande escala de dados sensíveis. O nosso guia sobre a Avaliação de Impacto na Proteção de Dados (DPIA) aborda quando e como realizar essa avaliação.
8. Gerir subcontratantes e fornecedores externos
Estabeleça acordos ao abrigo do artigo 28.º, verifique se os fornecedores cumprem os seus requisitos de segurança, aprove e acompanhe os seus subcontratantes e certifique-se de que quaisquer transferências para fora do EEE se baseiam num mecanismo válido. Uma abordagem estruturada à gestão de terceiros evita que este processo se desorganize à medida que a lista de fornecedores cresce.
9. Implementar processos adequados de segurança e de resposta a violações
Aplique medidas de segurança adequadas ao risco e prepare-se para eventuais violações antes que estas ocorram. Uma violação de dados pessoais deve ser comunicada à autoridade de controlo sem demora injustificada e, sempre que possível, no prazo de 72 horas após a sua deteção, a menos que seja improvável que resulte num risco para as pessoas; além disso, as pessoas devem ser informadas diretamente se o risco para elas for elevado. Todas as violações, comunicadas ou não, devem ser documentadas num registo interno. Relacionar as violações com a sua gestão de riscos mais ampla permite identificar onde os controlos precisam de ser melhorados.
10. Formar os funcionários e proceder a uma avaliação contínua
Dê formação às pessoas que tratam de dados pessoais e reveja o programa regularmente. Novos sistemas, novos fornecedores e novas formas de utilização dos dados, como a IA, são os momentos em que os registos e as avaliações ficam, com maior frequência, desatualizados.
Transformar a checklist num programa funcional
Traga o seu RoPA atual, por mais disperso que esteja neste momento. Vamos mostrar-lhe como estas dez etapas se materializam quando executadas como fluxos de trabalho, com os responsáveis e a documentação de apoio anexados.
Quais são os 7 princípios do RGPD?
O artigo 5.º estabelece sete princípios nos quais tudo o resto se baseia. É na terceira coluna que a conformidade se torna concreta: é o que deve ser capaz de demonstrar caso alguém lhe peça.
Princípio | O que significa | O que deve conseguir demonstrar |
|---|---|---|
Legalidade, lealdade e transparência | Tratar os dados com um fundamento jurídico válido, de formas que as pessoas esperariam razoavelmente, e informá-las sobre esse tratamento | Fundamentos jurídicos documentados e avisos de privacidade claros |
Limitação das finalidades | Recolher os dados para finalidades determinadas e não os reutilizar para fins incompatíveis | Finalidades registadas por atividade e avaliações de compatibilidade para novas utilizações |
Minimização dos dados | Recolher apenas os dados que a finalidade realmente exige | Uma justificação para os campos de dados que recolhe |
Exatidão | Manter os dados corretos e atualizados | Processos de retificação e atualização dos registos |
Limitação da conservação | Conservar os dados apenas durante o tempo necessário | Um prazo de conservação e provas de que a eliminação é efetuada |
Integridade e confidencialidade | Proteger os dados com medidas de segurança adequadas | Controlos de acesso, medidas de segurança e registos de incidentes |
Responsabilidade | Assumir a responsabilidade por todos os pontos anteriores e ser capaz de o demonstrar | Todos os pontos anteriores, mantidos atualizados |
Quem é responsável por garantir o cumprimento do RGPD?
Há duas coisas que é fácil confundir neste contexto: a responsabilização e a responsabilidade operacional.
A responsabilização recai sobre o responsável pelo tratamento. A organização que decide por que motivo e de que forma os dados são tratados é responsável pelo cumprimento dos princípios e por demonstrar esse cumprimento. Na prática, isso significa que a direção tem de garantir a existência das estruturas, dos recursos e das responsabilidades adequadas.
Os subcontratantes têm as suas próprias obrigações. Devem trabalhar ao abrigo de um contrato com o responsável pelo tratamento que cumpra o artigo 28.º, garantir a segurança adequada, manter os seus próprios registos e informar o responsável pelo tratamento sobre violações sem demora injustificada.
Um DPO aconselha e supervisiona. O DPO informa a organização sobre as suas obrigações, supervisiona a conformidade, presta aconselhamento sobre as AVPD e atua como ponto de contacto para a autoridade de controlo. A nomeação de um DPO é obrigatória em determinados casos, como no caso das autoridades públicas ou de organizações cujas atividades principais envolvam monitorização em grande escala. No entanto, o DPO não assume pessoalmente a responsabilidade da organização e não deve ser colocado nessa posição como se o fizesse.
O trabalho operacional está distribuído por toda a empresa. As equipas jurídicas e de privacidade interpretam as regras, as equipas de TI e de segurança protegem os sistemas, os RH tratam dos dados dos colaboradores, a área de compras gere os fornecedores e o marketing documenta os objetivos das campanhas, as bases jurídicas e o consentimento, quando necessário. A conformidade com o RGPD funciona quando cada uma destas equipas sabe qual é a sua área de responsabilidade.
O RGPD e a IA: quais são os requisitos de conformidade?
A utilização da IA não suspende a aplicação do RGPD. Sempre que um sistema de IA processa dados pessoais, seja durante o treino, nas instruções introduzidas pelos utilizadores ou nos resultados que produz, o regulamento aplica-se na íntegra.
Existem alguns requisitos que se destacam:
Uma base jurídica para cada fase: O desenvolvimento de um modelo e a sua utilização são atividades de tratamento distintas. O Parecer n.º 28/2024 do Comité Europeu para a Proteção de Dados confirma que os interesses legítimos podem constituir uma base válida, mas apenas após um teste documentado em três etapas, e que um modelo treinado com dados pessoais não é automaticamente anónimo.
Limitação da finalidade e minimização dos dados: Os dados recolhidos para o serviço de apoio ao cliente não se tornam automaticamente dados de treino para um novo modelo.
Transparência: As pessoas precisam de saber quando e como a IA processa os seus dados.
Avaliações de Impacto na Proteção de Dados (AIPD): As novas tecnologias que processam dados pessoais em grande escala atingem frequentemente o limiar de alto risco.
Decisões automatizadas: O artigo 22.º estringe as decisões baseadas exclusivamente no tratamento automatizado que tenham efeitos jurídicos ou de importância semelhante para as pessoas. Nos casos em que tais decisões são permitidas, as pessoas têm direito à intervenção humana e a contestar o resultado.
Fornecedores de IA: Um fornecedor externo de IA atua frequentemente como subcontratante, o que implica a aplicação dos contratos previstos no artigo 28.º e, frequentemente, também transferências internacionais.
A Lei da IA da UE acrescenta os seus próprios requisitos, em vez de substituir qualquer um destes. De acordo com o Omnibus Digital sobre IA, as suas obrigações relativas ao alto risco aplicam-se a partir de 2 de dezembro de 2027 para sistemas autónomos e a partir de 2 de agosto de 2028 para a IA incorporada em produtos regulamentados. A nossa página sobre o Regulamento da IA aborda a forma como as duas legislações se articulam.
Quais são as coimas em caso de incumprimento do RGPD?
As multas chegam às notícias, mas as autoridades de supervisão dispõem de um conjunto de medidas mais vasto. Podem emitir avisos e repreensões, ordenar que uma organização regularize o seu tratamento de dados, limitar o tratamento de forma temporária ou permanente e suspender as transferências de dados para fora do EEE. Os particulares também podem reclamar uma indemnização pelos danos causados por uma infração.
Quando as autoridades aplicam coimas, o artigo 83.º estabelece dois níveis máximos:
Nível | Coima máxima | Infrações típicas |
|---|---|---|
Nível inferior | 10 milhões de euros ou 2 % do volume de negócios anual total a nível mundial, consoante o valor mais elevado | Obrigações como a manutenção de registos, a segurança, as avaliações de impacto relativas à proteção de dados (DPIA) e o papel do responsável pela proteção de dados (DPO) |
Nível superior | 20 milhões de euros ou 4 % do volume de negócios anual total a nível mundial, consoante o valor mais elevado | Os princípios fundamentais, as bases jurídicas, os direitos dos titulares de dados e as transferências internacionais |
Estes são limites máximos, não pontos de partida. As autoridades decidem caso a caso, tendo em conta a natureza, a gravidade e a duração da infração, se foi intencional ou por negligência, as medidas que a organização tomou para limitar os danos e o grau de cooperação demonstrado. Um programa bem documentado não exclui a aplicação de uma coima, mas as medidas que foram tomadas e o grau de cooperação estão entre os fatores que as autoridades têm em conta.
O que vai mudar: o RGPD em 2026 e 2027
A essência do RGPD não sofreu alterações desde 2018, mas há três desenvolvimentos que vale a pena acompanhar:
Novas regras de aplicação transfronteiriça, a partir de 2 de abril de 2027: O Regulamento (UE) n.º 2025/2518 harmoniza a forma como as autoridades tratam os casos transfronteiriços, estabelecendo prazos para as investigações e direitos processuais mais claros para as organizações envolvidas. Não altera os requisitos do RGPD, mas visa agilizar a aplicação transfronteiriça.
O "Digital Omnibus", ainda em fase de proposta. Publicado pela Comissão Europeia em novembro de 2025, este texto restringiria a definição de dados pessoais, alargaria o prazo de notificação de violações para 96 horas no caso de violações de alto risco, introduziria um ponto de contacto único para a notificação de incidentes e clarificaria os interesses legítimos no âmbito da IA. Em setembro de 2026, ainda se encontrava em primeira leitura: as comissões do Parlamento Europeu ainda não votaram a proposta e o Conselho ainda não chegou a acordo sobre a sua posição negocial. Até à sua adoção, aplicam-se as regras atuais.
Transferências para os EUA. O Framework de Proteção de Dados UE-EUA mantém-se válido após o Tribunal Geral da UE o ter confirmado em setembro de 2025, mas está pendente um recurso no Tribunal de Justiça. A pressão tem vindo a aumentar desde uma decisão do Supremo Tribunal dos EUA, em junho de 2026, sobre a independência da Comissão Federal do Comércio (FTC), a agência responsável pela aplicação dos princípios do framework, na sequência da qual a organização de defesa da privacidade "noyb" apelou à Comissão para que o retirasse. As organizações que dependem deste framework devem verificar se cada destinatário possui uma certificação ativa e se essa certificação abrange os dados relevantes, bem como saber qual seria a sua alternativa.
Software de conformidade com o RGPD: o que é e como escolher
O software de conformidade com o RGPD ajuda as organizações a gerir as partes recorrentes de um programa de privacidade num único local: o RoPA, as DPIA, os pedidos dos titulares de dados, as avaliações de fornecedores, os registos de violações e a documentação que os interliga. Por si só, não torna uma organização conforme. As decisões continuam a caber às pessoas, mas o software torna muito mais fácil manter essas decisões atualizadas e apresentá-las quando solicitado.
Ao comparar soluções, algumas perguntas são mais úteis do que uma lista de funcionalidades:
Aborda os seus processos reais, desde a RoPA até ao tratamento de violações, ou apenas uma parte?
Lida com tarefas recorrentes, tais como lembretes de revisão, prazos para pedidos e reavaliações de fornecedores?
Pode ser utilizado por pessoas fora da equipa de privacidade, incluindo RH, TI e compras?
Consegue apresentar provas quando solicitado, com uma linha de auditoria que indique quem decidiu o quê e quando?
Funciona em conjunto com outros frameworks de que dispõe, como a ISO 27001 ou a NIS2, caso também as gere?
Não existe um único software ideal para a conformidade com o RGPD. A escolha certa depende do número de atividades de tratamento que realiza, do número de equipas envolvidas e de tudo o mais que precise de gerir. Para uma visão mais abrangente, consulte o nosso guia sobre software de gestão da conformidade.
Como a Formalize apoia a conformidade com o RGPD
O Formalize foi concebido para a parte da conformidade com o RGPD que nunca termina: manter atualizados o RoPA, os pedidos e os fornecedores, e reunir toda a documentação comprovativa.
Um RoPA com fluxos de trabalho orientados, alinhados com o artigo 30.º, interligado aos seus fornecedores e subcontratantes, e exportável para PDF ou Excel.
Acompanhamento dos pedidos dos titulares de dados desde a receção até ao encerramento, com transferência segura dos dados e eliminação após um período definido.
Auditorias a fornecedores configuráveis e fluxos de trabalho para a Avaliação de Impacto sobre a Proteção de Dados (DPIA) e a Avaliação de Impacto da Transferência (TIA).
Gestão de riscos e incidentes, incluindo violações de dados pessoais, em conjunto com frameworks como a ISO 27001 e a NIS2 no mesmo sistema.
Mais de 8,000 organizações utilizam os produtos da Formalize. Consulte os preços dos planos disponíveis.