RGPD para PMEs em Portugal: o checklist completo
Guia detalhado sobre o que uma PME portuguesa precisa de fazer para cumprir o RGPD e a Lei n.º 58/2019: registo de tratamentos, política de privacidade, cookies, DPO e contratos.
O Regulamento Geral de Proteção de Dados (Regulamento (UE) 2016/679) aplica-se a todas as empresas que tratem dados pessoais, independentemente da sua dimensão. Em Portugal, a Lei n.º 58/2019 executa o RGPD na ordem jurídica interna e a CNPD tem aplicado coimas significativas a PMEs por incumprimentos básicos — a maior parte facilmente evitáveis com um esforço inicial moderado.
1. Registo das atividades de tratamento
O artigo 30.º do RGPD obriga ao registo interno de todas as atividades de tratamento, com indicação do responsável, finalidades, categorias de titulares e dados, destinatários, transferências internacionais, prazos de conservação e medidas de segurança.
Embora exista uma derrogação aparente para empresas com menos de 250 trabalhadores, esta cai sempre que o tratamento não seja ocasional, envolva categorias especiais ou possa implicar risco — o que abrange, na prática, quase todas as PMEs com colaboradores e clientes.
2. Política de privacidade e informação aos titulares
Os artigos 13.º e 14.º do RGPD impõem deveres de informação extensos: identidade do responsável, finalidades, base de licitude, destinatários, prazos, direitos dos titulares, possibilidade de reclamar à CNPD.
A política de privacidade deve estar visível no site, ser redigida em português claro e adaptada à realidade concreta da empresa — não basta copiar de outro site, prática que tem motivado coimas autónomas por informação enganosa.
3. Bases de licitude do tratamento
Cada tratamento deve estar suportado por uma das bases do artigo 6.º: consentimento, execução de contrato, obrigação legal, interesse vital, interesse público ou interesse legítimo. Para categorias especiais (saúde, biometria, opiniões políticas, etc.), aplica-se o artigo 9.º com requisitos reforçados.
O consentimento exige manifestação livre, específica, informada e inequívoca, podendo ser retirado a qualquer momento com a mesma facilidade com que foi dado. Caixas pré-marcadas e consentimento agrupado para várias finalidades são inválidos.
4. Cookies e tecnologias de rastreio
A CNPD publicou orientações específicas sobre cookies (Diretrizes 2022) que impõem: banner com aceitação granular por categoria, recusa tão fácil como aceitação, ausência de pré-marcação, inexistência de cookies não essenciais antes do consentimento, e registo do consentimento.
A aceitação por mero scroll ou continuação da navegação não é válida. O incumprimento tem motivado intervenções inspetivas frequentes.
5. Contratos com subcontratantes (artigo 28.º)
Qualquer fornecedor que trate dados pessoais por conta da empresa — alojamento cloud, faturação eletrónica, marketing automation, payroll, análise web — é subcontratante e exige contrato escrito com o conteúdo mínimo do artigo 28.º, n.º 3.
É também necessário avaliar transferências internacionais (artigos 44.º e seguintes), particularmente para os EUA (Data Privacy Framework) e outros países terceiros sem decisão de adequação.
6. Direitos dos titulares e violações de segurança
A empresa deve ter procedimento documentado para responder a pedidos de acesso, retificação, apagamento, portabilidade, oposição e limitação, no prazo legal de 30 dias (prorrogável até 90 em casos complexos, com fundamentação).
Em caso de violação de segurança (data breach), há obrigação de notificar a CNPD em 72 horas (artigo 33.º) e, se houver risco elevado, comunicar aos titulares (artigo 34.º). A ausência de procedimento prévio é uma das principais causas de coimas agravadas.
7. DPO e Avaliação de Impacto
A nomeação de Encarregado de Proteção de Dados (DPO) é obrigatória para entidades públicas e para responsáveis cuja atividade principal envolva controlo regular e sistemático em larga escala ou tratamento em larga escala de categorias especiais.
A Avaliação de Impacto sobre a Proteção de Dados (DPIA) é exigida sempre que o tratamento seja suscetível de implicar risco elevado — a CNPD publicou lista de tratamentos sujeitos a DPIA obrigatória (videovigilância, profiling, biometria, etc.).
Para a maior parte das PMEs portuguesas, basta uma intervenção pontual e bem estruturada de um advogado para deixar a empresa em conformidade — e depois manutenção anual com revisão de contratos, atualização de políticas e formação interna. As coimas do RGPD podem chegar a 20 milhões de euros ou 4% do volume de negócios mundial — investir na conformidade é, claramente, o cenário mais económico.
Aviso: este artigo tem caráter exclusivamente informativo e não dispensa a consulta de um(a) advogado(a) para análise do caso concreto. A legislação portuguesa pode ter sido alterada após a data de publicação.
Precisa de apoio jurídico?
Marque uma consulta com a Dra. Ana Marques
Acompanhamento jurídico próximo, personalizado e rigoroso para clientes particulares e empresariais em Portugal.
Solicitar Contacto