Conteúdo
Aviso: este conteúdo é informativo e não substitui aconselhamento jurídico profissional.
1) O que é o RGPD
O Regulamento Geral sobre a Proteção de Dados (RGPD – Regulamento (UE) 2016/679) estabelece regras para o tratamento de dados pessoais na União Europeia e no Espaço Económico Europeu, com foco em transparência, segurança e controlo por parte dos titulares. Aplica-se a pessoas singulares ou coletivas, de direito público ou privado, que realizem operações de tratamento (recolha, utilização, partilha, conservação, entre outras).
O RGPD é uma referência internacional em proteção de dados e inspira outras legislações pelo mundo, como a LGPD brasileira, promovendo práticas de privacidade desde a conceção e por defeito e de governação de dados.
2) Porque é que o RGPD existe
- Proteger direitos fundamentais de liberdade, privacidade e proteção de dados.
- Dar controlo aos titulares sobre os seus dados (acesso, retificação, apagamento, etc.).
- Promover transparência nas relações entre organizações e pessoas.
- Reduzir riscos de violações de dados e utilizações indevidas.
- Estimular inovação responsável e a economia digital com confiança.
3) Quem é responsável: papéis e deveres
- Titular: a pessoa singular a quem os dados pessoais dizem respeito.
- Responsável pelo tratamento: decide as finalidades e os meios do tratamento de dados.
- Subcontratante (Processador): realiza operações de tratamento em nome do Responsável pelo tratamento, seguindo as suas instruções.
- Encarregado de Proteção de Dados (DPO): canal de comunicação entre o Responsável pelo tratamento, os titulares e a autoridade de controlo; orienta a organização e recebe reclamações/solicitações.
- Autoridade de controlo (ex.: CNPD em Portugal): fiscaliza, orienta, regulamenta e pode aplicar sanções.
Numa mesma organização, diferentes áreas ou entidades podem atuar como Responsáveis pelo tratamento ou Subcontratantes, consoante o contexto. Ter papéis e responsabilidades claramente definidos e documentados é essencial.
4) Direitos dos titulares (DSARs)
Entre os direitos previstos encontram-se:
- Confirmação da existência de tratamento e acesso aos dados;
- Retificação de dados incorretos, incompletos ou desatualizados;
- Limitação, anonimização, bloqueio ou apagamento de dados desnecessários ou excessivos;
- Portabilidade dos dados para outro Responsável pelo tratamento, quando aplicável;
- Informação sobre partilhas e sobre a possibilidade de não prestar consentimento e respetivas consequências;
- Retirada do consentimento e revisão de decisões tomadas exclusivamente com base em tratamento automatizado.
As solicitações (DSARs) exigem verificação de identidade e resposta dentro de prazos razoáveis. Alguns pedidos podem ter exceções legais (ex.: obrigação jurídica, interesses públicos relevantes, prevenção à fraude).
5) Obrigações para empresas
- Base jurídica adequada (consentimento, contrato, obrigação jurídica, interesse legítimo, entre outras).
- Transparência (Política de Privacidade clara, acessível e atualizada).
- Minimização (recolher e manter apenas o que é necessário).
- Segurança (medidas técnicas e organizativas, gestão de incidentes).
- Governança (registos de operações, inventário de dados, DPIAs quando aplicável).
- Gestão de consentimentos e preferências (incluindo cookies, quando existirem).
- Atendimento a DSARs com processos, responsabilidades e prazos definidos.
- Contratos com subcontratantes contendo cláusulas específicas de proteção de dados.
- Formação e sensibilização contínuas para equipas internas.
6) RGPD na visão da empresa
Conformidade não é apenas jurídico — envolve pessoas, processos e tecnologia. O foco é reduzir riscos, reforçar a confiança do cliente e habilitar um crescimento sustentável.
Mapeamento & inventário
Levante sistemas, dados, finalidades, bases jurídicas, partilhas e prazos de retenção.
Políticas & contratos
Atualize políticas, avisos de privacidade e aditivos com subcontratantes e parceiros.
Segurança & controlos
TLS, controlo de acessos (RBAC), 2FA, cópias de segurança, logs de auditoria, gestão de incidentes e testes periódicos.
Consentimento & cookies
Gere preferências por categoria, registe provas de consentimento e permita revogação fácil.
DSARs & prazos
Crie um fluxo padronizado de receção, verificação de identidade e resposta às solicitações.
Formação & cultura
Capacite equipas e defina responsáveis. A privacidade é um esforço contínuo.
Passo a passo recomendado
- Nomeie um Encarregado de Proteção de Dados (DPO) e crie um comité de privacidade.
- Realize inventário de dados e Data Mapping (sistemas, finalidades, bases jurídicas).
- Reveja políticas, contratos e consentimentos (incluindo cookies).
- Implemente controlos de segurança e monitorize acessos (logs/auditoria).
- operacionalize DSARs (SOP, prazos, modelos de resposta).
- Crie trilhas de auditoria e relatórios executivos.
- Forme as equipas e reavalie periodicamente (ciclo PDCA).
7) RGPD na visão do titular de dados
Tem o direito de saber como os seus dados são utilizados e de pedir acesso, retificação e apagamento, entre outros. As organizações devem explicar de forma clara as finalidades e as bases jurídicas de cada tratamento.
Como exercer os seus direitos
- Use o formulário de contacto ou escreva para o DPO.
- Descreva o seu pedido (ex.: acesso, retificação, apagamento, portabilidade) e comprove a sua identidade.
- Guarde o registo/protocolo de resposta da empresa para referência.
Dicas de privacidade
- Reveja preferências de cookies e comunicações de marketing.
- Utilize palavras-passe fortes e 2FA sempre que possível.
- Solicite explicações sobre decisões automatizadas, quando aplicável.
8) Como a Unova ajuda
DSARs sem fricção
Fluxos para receber, verificar identidade e responder solicitações com trilhas de auditoria.
Gestão de consentimento
Registo de bases jurídicas, provas de consentimento e preferências (incluindo cookies).
Minimização & retenção
Inventário de dados, regras de retenção e alertas para exclusão/anonimização.
Segurança & auditoria
RBAC, 2FA, logs, relatórios executivos e indicadores de conformidade.
O RGPD aplica-se a qualquer empresa?
Regra geral, sim — sempre que haja tratamento de dados pessoais no contexto da União Europeia ou relativamente a titulares localizados na UE. Existem exceções específicas previstas no próprio regulamento.
O consentimento é sempre necessário?
Não. Existem diversas bases jurídicas possíveis (contrato, obrigação jurídica, interesse legítimo, entre outras). A escolha correta depende sempre da finalidade do tratamento.
