Guia RGPD para
Empresas Portuguesas

O Regulamento Geral de Proteção de Dados (RGPD), ou GDPR em inglês, é o regulamento europeu de proteção de dados pessoais que entrou em vigor a 25 de maio de 2018. Aplica-se a todas as organizações que tratam dados pessoais de cidadãos europeus, independentemente da sua localização geográfica. Em Portugal, o RGPD é complementado pela Lei 58/2019, de 8 de agosto, que adaptou o regulamento europeu ao direito nacional e define as competências da Comissão Nacional de Proteção de Dados (CNPD) como autoridade de controlo.

O RGPD aplica-se a qualquer organização que: • Esteja estabelecida na União Europeia e trate dados pessoais, independentemente de onde o tratamento ocorre • Esteja fora da UE mas ofereça bens ou serviços a cidadãos europeus • Monitorize o comportamento de indivíduos na UE Em Portugal, isto inclui empresas de todas as dimensões — desde microempresas e PMEs até grandes corporações — bem como associações, fundações e entidades públicas.

O RGPD assenta em seis princípios que devem orientar qualquer tratamento de dados pessoais: 1. Licitude, lealdade e transparência — o tratamento deve ter base legal e os titulares devem ser informados 2. Limitação das finalidades — os dados só podem ser usados para as finalidades declaradas 3. Minimização dos dados — recolher apenas o necessário 4. Exatidão — manter os dados atualizados e corretos 5. Limitação da conservação — não guardar mais tempo do que o necessário 6. Integridade e confidencialidade — garantir segurança adequada

Para tratar dados pessoais, a sua organização deve ter uma das seis bases legais previstas no artigo 6.º do RGPD: • Consentimento — livre, específico, informado e inequívoco • Execução de contrato — necessário para cumprir um contrato com o titular • Obrigação legal — cumprimento de obrigação jurídica • Interesses vitais — proteção da vida do titular • Interesse público — missão de interesse público • Interesse legítimo — interesse do responsável ou de terceiros, desde que não prevaleçam os direitos do titular Escolher a base legal correta é fundamental — não pode mudar retroativamente.

O RGPD confere aos indivíduos oito direitos fundamentais que as organizações devem respeitar e facilitar: • Direito de acesso — saber que dados são tratados e como • Direito de retificação — corrigir dados incorretos • Direito ao apagamento ("direito a ser esquecido") • Direito à limitação do tratamento • Direito à portabilidade dos dados • Direito de oposição • Direitos relacionados com decisões automatizadas e definição de perfis • Direito de apresentar reclamação à CNPD As organizações devem responder a pedidos no prazo de 30 dias (prorrogável até 90 dias em casos complexos).

As organizações que tratam dados pessoais têm um conjunto de obrigações concretas: Registo de Atividades de Tratamento (RoPA): documento obrigatório para organizações com mais de 250 colaboradores (e recomendado para todas) que descreve todas as atividades de tratamento. Avaliação de Impacto sobre a Proteção de Dados (DPIA): obrigatória quando o tratamento é suscetível de resultar num risco elevado para os direitos e liberdades dos titulares. Encarregado de Proteção de Dados (DPO): obrigatório para autoridades públicas, organizações que realizam monitorização sistemática em larga escala, ou que tratam categorias especiais de dados em larga escala. Notificação de violações de dados: violações que coloquem em risco os direitos dos titulares devem ser notificadas à CNPD em 72 horas e, quando o risco for elevado, aos próprios titulares.

O RGPD prevê coimas significativas para incumprimento: • Até 10 milhões de euros ou 2% do volume de negócios global anual (o maior dos dois) para violações menos graves • Até 20 milhões de euros ou 4% do volume de negócios global anual (o maior dos dois) para as violações mais graves, como violação dos princípios fundamentais ou dos direitos dos titulares Em Portugal, a CNPD tem competência para investigar, aplicar medidas corretivas e impor coimas. Para além das coimas, as organizações podem enfrentar ações cíveis por parte dos titulares e danos reputacionais significativos.