O RGPD, Regulamento (UE) 2016/679 (GDPR em inglês), é a norma europeia de proteção de dados pessoais: regula a forma como as organizações recolhem, usam, conservam e partilham dados de pessoas singulares e reconhece a essas pessoas direitos sobre eles. Aplica-se desde 25 de maio de 2018. Exige um encarregado de proteção de dados (EPD, ou DPO em inglês) apenas em alguns casos.
Esta ficha é informação geral e não constitui aconselhamento jurídico. Verificada a 15 de outubro de 2026 face ao Regulamento no Jornal Oficial da UE (cópia publicada pelo BOE espanhol) e à página da CNPD sobre o encarregado de proteção de dados.
Como funciona
Todo o tratamento deve respeitar os princípios do artigo 5.º (licitude, finalidade determinada, minimização, exatidão, conservação limitada, segurança), ter um fundamento jurídico e respeitar direitos como o acesso, a retificação, o apagamento ou a oposição.
A organização deve conseguir demonstrar o que faz: saber que dados trata e para quê, formalizar com cada subcontratante um contrato ou outro ato jurídico e aplicar medidas técnicas e organizativas adequadas ao risco. O responsável pelo tratamento notifica a violação de dados pessoais à autoridade de controlo sem demora injustificada e, sempre que possível, até 72 horas após ter tido conhecimento, exceto se for improvável que a violação implique um risco para os direitos e liberdades das pessoas; o subcontratante deve avisá-lo sem demora. Se for provável um risco elevado, comunica-se também às pessoas afetadas, com exceções (por exemplo, se os dados estavam cifrados).
Encarregado de proteção de dados (EPD)
O artigo 37.º obriga a designá-lo quando o tratamento é feito por uma autoridade ou organismo público (exceto os tribunais no exercício da função jurisdicional), quando a atividade principal exige o controlo regular e sistemático de pessoas em grande escala ou quando consiste no tratamento em grande escala de categorias especiais de dados ou de dados penais. O direito da União ou nacional pode exigi-lo noutros casos. Segundo a CNPD, as entidades públicas estão sempre obrigadas e o artigo 12.º da Lei n.º 58/2019 regula a designação nesses casos. Nos restantes casos é voluntária.
O EPD aconselha, controla o cumprimento e coopera com a autoridade, com independência.
Exemplo
Exemplo ilustrativo, não um caso real. Uma loja online perde um portátil com clientes sem cifragem. Regista que dados lá estavam e avalia se é provável que haja risco para as pessoas: se houver, notifica a autoridade a tempo e, se for elevado, as pessoas; se não, guarda registo da avaliação. A cifragem e as cópias de segurança preparam-se antes.
Limites
Cumprir o RGPD não consiste em publicar uma política nem em comprar uma ferramenta. O EPD aconselha e controla, mas cumprir e demonstrá-lo continua a ser responsabilidade da organização (artigo 24.º).
Quando chamar um especialista
Peça ajuda se não sabe se tem de designar um EPD, ou se sofreu uma violação de dados e o tempo está a contar. Para interpretar a lei no seu caso, consulte um profissional do direito ou um EPD qualificado.
Na Impulso Tecnológico trabalhamos em diagnóstico, controlos técnicos e formação: revemos acessos, cifragem e cópias de segurança, aplicamos os controlos técnicos em falta e formamos a equipa. Não prestamos aconselhamento jurídico; o nosso trabalho é técnico e formativo. Consulte o nosso serviço de cibersegurança, o guia do plano de segurança informática ou conte-nos o seu caso.
Saber mais
Termos relacionados do glossário: DLP, NIS2 e ISO 27001.
Fontes oficiais: a página da CNPD sobre o encarregado de proteção de dados e o Regulamento (UE) 2016/679 no Jornal Oficial (cópia em espanhol).