As coimas RGPD em Portugal exigem distinguir o limite legal, a decisão da CNPD e o resultado de um eventual recurso. Os máximos de 10 ou 20 milhões de euros não são valores automaticamente cobrados. A dimensão da organização, a infração, a culpa e as circunstâncias concretas influenciam a análise, mas uma pequena empresa não beneficia de uma imunidade geral.
Há ainda uma particularidade portuguesa essencial: a CNPD decidiu desaplicar determinadas disposições da Lei 58/2019 por incompatibilidade com o RGPD. Por isso, uma tabela que reproduza os limites nacionais para PME sem explicar essa decisão pode induzir em erro. Este guia examina o regime aplicável, dois processos documentados e a preparação de uma organização perante uma fiscalização, com informação verificada em setembro de 2026.
O que significam os máximos do artigo 83.º
O artigo 83.º do RGPD distingue grupos de infrações. Certas violações das obrigações dos responsáveis e subcontratantes, incluindo segurança e registos, estão sujeitas ao máximo de 10 milhões de euros ou, tratando-se de uma empresa, 2% do volume de negócios anual mundial do exercício anterior, consoante o montante mais elevado. Outros incumprimentos, como os relativos aos princípios, à licitude e aos direitos dos titulares, podem atingir 20 milhões ou 4%.
A comparação entre montante fixo e percentagem determina o limite máximo aplicável, não a coima concreta. Uma empresa cujo limite seja 20 milhões não recebe necessariamente essa quantia por uma informação incompleta. A autoridade tem de fundamentar a aplicação de uma coima e o respetivo valor, que devem ser efetivos, proporcionados e dissuasivos nas circunstâncias do caso.
O volume de negócios relevante não se confunde automaticamente com o faturado pelo departamento responsável pelo incidente. A análise de uma empresa inserida num grupo pode envolver o conceito europeu de empresa. Para estimar a exposição, é necessário reunir a estrutura societária e os dados financeiros pertinentes, além de identificar a infração. Multiplicar uma receita escolhida informalmente por 4% não produz uma avaliação jurídica fiável.
Também não se somam mecanicamente os máximos de todos os artigos citados num procedimento. O artigo 83.º, n.º 3, prevê uma regra para violações dolosas ou negligentes das mesmas operações de tratamento ou de operações ligadas entre si. A qualificação dos factos e a relação entre as operações importam. Um conjunto de falhas pode ser grave sem que cada referência normativa gere uma coima máxima autónoma.
Lei 58/2019: texto nacional e posição da CNPD
A Lei 58/2019 contém categorias de contraordenações, regras processuais e disposições sancionatórias. Os artigos 37.º e 38.º incluem molduras diferenciadas por dimensão e natureza do infrator. Porém, estas disposições devem ser lidas com a Deliberação 494/2019 da CNPD, aprovada em 3 de setembro de 2019.
Nessa deliberação, a CNPD anunciou a desaplicação de várias normas nacionais nas situações concretas que apreciasse, para assegurar o primado e a efetividade do RGPD. Entre elas encontram-se os n.os 2 dos artigos 37.º e 38.º, relativos às molduras, e os n.os 1 e 3 do artigo 39.º. A fundamentação distingue, contudo, infrações já sancionadas pelo artigo 83.º e infrações nacionais fora desse âmbito, para as quais mantém determinadas regras.
A consequência prática é clara: não se deve apresentar o teto nacional de 2 milhões para PME como um limite seguro para toda a infração ao RGPD. Também não se deve afirmar que a lei inteira foi anulada. Desaplicação pela autoridade num quadro de primado europeu, revogação legislativa e anulação judicial são fenómenos diferentes. A relação entre a Lei 58/2019 e o RGPD merece atenção precisamente nestas zonas de articulação.
Outro ponto relevante é a advertência prévia. O artigo 39.º, n.º 3, condiciona a instauração do processo de contraordenação a uma advertência prévia, exceto em caso de dolo. A CNPD inclui essa disposição na desaplicação. Uma organização não deve, portanto, planear a sua conformidade supondo que receberá sempre uma primeira oportunidade sem processo ou sem coima. A escolha das medidas corretivas depende dos poderes europeus e da avaliação concreta.
Como se determina a coima concreta
O artigo 83.º, n.º 2, exige ponderar fatores como natureza, gravidade e duração da infração, finalidades do tratamento, número de titulares afetados e danos sofridos. Considera ainda o caráter doloso ou negligente, as medidas tomadas para atenuar os danos, o grau de responsabilidade, antecedentes pertinentes e cooperação com a autoridade. A lista impede que o valor resulte apenas do tamanho da entidade.
Pense-se numa clínica que descobre contas de antigos profissionais ainda ativas. A análise deve apurar desde quando existiam, quais os dados acessíveis, se houve utilização e que medidas de desativação e investigação foram tomadas. Uma política escrita de acessos é relevante, mas vale pouco se ninguém a executava. A prova deve permitir relacionar a organização prevista com o funcionamento real dos sistemas.
A cooperação também exige precisão. Responder ao que a CNPD legalmente solicita é um dever; não garante uma redução automática. Medidas concretas que limitam as consequências, informações úteis e correções demonstráveis podem ser consideradas no quadro legal. Não existe uma percentagem universal de desconto por entregar documentos rapidamente ou por contratar um consultor depois dos factos.
A existência de um incidente não prova, por si só, a violação de todas as obrigações de segurança. É necessário examinar a adequação das medidas ao risco e os restantes factos. Inversamente, a ausência de incidente conhecido não torna lícito um tratamento sem fundamento ou uma conservação excessiva. A prevenção deve abranger tanto a segurança técnica como as decisões sobre recolha, utilização e partilha.
Entidades públicas: não há uma exclusão geral
O artigo 44.º da Lei 58/2019 estabelece a aplicação das coimas a entidades públicas e privadas. O n.º 2 desse artigo permitiu às entidades públicas solicitar à CNPD, mediante pedido fundamentado, dispensa de coimas durante três anos a contar da entrada em vigor da lei; o artigo 59.º previu a reavaliação dessa possibilidade. Esse período inicial terminou em 2022; não constitui uma dispensa geral e atual para novos incumprimentos em 2026.
Não se deve importar para Portugal o modelo de outro Estado-Membro. O artigo 83.º, n.º 7, do RGPD admite escolhas nacionais quanto às multas de autoridades e organismos públicos, e essas escolhas não são uniformes. Um município português precisa de avaliar o regime português, a sua atuação concreta e os poderes da CNPD, sem presumir que a natureza pública do orçamento exclui uma sanção pecuniária.
Além da coima, podem existir ordens para alterar ou suspender operações, satisfazer direitos ou corrigir práticas. O pagamento não dispensa o cumprimento de um dever ainda possível, como explicita o artigo 43.º da lei nacional. O guia sobre a CNPD ajuda a separar fiscalização, orientação, reclamação e exercício dos poderes corretivos.
Município de Lisboa: decisão original e evolução em 2026
A Deliberação 1569/2021 aplicou ao Município de Lisboa uma coima única de 1.250.000 euros, num processo relativo ao tratamento de dados de promotores de manifestações. A existência desse processo demonstra que o setor público português pode sofrer sanções pecuniárias. Não é necessário qualificá-lo como a maior coima nacional ou pública para compreender a sua relevância.
Em 27 de janeiro de 2026, a CNPD comunicou o resultado da reclamação no Tribunal Constitucional: o Acórdão 22/2026, de 14 de janeiro, indeferiu a reclamação do município, mantendo-se a condenação no processo relacionado com a transmissão de dados de manifestantes à Embaixada da Rússia. Esta atualização deve acompanhar a referência à decisão administrativa de 2021.
O ensinamento operacional é verificar quem recebe dados recolhidos para uma finalidade administrativa e com que fundamento. Um destinatário habitual, uma lista de correio antiga ou uma rotina herdada não substituem essa verificação. Quando os dados permitem inferir posições políticas ou expõem pessoas a consequências relevantes, a análise da necessidade da comunicação e das garantias deve ser particularmente cuidada.
INE e Censos 2021: a contratação também exige diligência
Na comunicação publicada em 12 de dezembro de 2022, a CNPD anunciou uma coima única de 4,3 milhões de euros ao Instituto Nacional de Estatística, pela prática de cinco contraordenações no âmbito dos Censos 2021. A deliberação é identificada como 2022/1072. O valor refere-se à decisão da autoridade; não deve ser apresentado, sem confirmação adicional, como resultado judicial definitivamente encerrado.
A CNPD identificou questões de licitude relativas a dados de saúde e religião, informação aos participantes, escolha do subcontratante, transferências internacionais e avaliação de impacto. Quanto à contratação, salientou que a diligência não se limita à existência de cláusulas padronizadas. A identidade da contraparte contratual e as condições efetivas de circulação dos dados precisam de corresponder às garantias invocadas.
Para uma organização que contrata hoje, a análise tem de usar o quadro jurídico atual das transferências. Não basta transportar sem adaptação todas as conclusões de um processo sobre operações de 2021. O caso continua útil para formular perguntas concretas: quem recebe os dados, onde os trata, que acessos existem e que medidas foram realmente avaliadas antes da escolha do fornecedor?
O contrato com subcontratante do artigo 28.º e a avaliação de impacto sobre a proteção de dados respondem a necessidades diferentes. Um contrato, ou outro ato jurídico vinculativo admitido pelo RGPD, organiza as obrigações da relação de subcontratação; uma AIPD examina o risco elevado do tratamento e as medidas para o enfrentar. Um documento não substitui o outro quando ambos são exigíveis.
Preparar a resposta a uma fiscalização
Uma preparação útil começa por identificar o tratamento investigado, o período em causa e as questões formuladas. Não existe uma sequência universal em que a CNPD peça sempre o mesmo documento em primeiro lugar. A resposta deve ser completa e verificável, com responsáveis internos que consigam explicar os factos e localizar as evidências, respeitando o prazo e o âmbito da solicitação recebida.
O registo de atividades de tratamento ajuda a localizar finalidades, destinatários, prazos e medidas. A exceção do artigo 30.º, n.º 5, para organizações com menos de 250 trabalhadores é condicionada: não abrange as atividades não ocasionais, suscetíveis de implicar risco para os direitos e liberdades ou que incluam dados dos artigos 9.º ou 10.º. Não é uma dispensa global das pequenas empresas.
Depois, liguem as declarações a provas operacionais: permissões atribuídas, revisões de acessos, contratos, informações prestadas, respostas a titulares e decisões sobre conservação. Em clínicas e hospitais, por exemplo, interessa demonstrar por que razão determinado perfil acedia a certa informação clínica. Uma exportação indiscriminada de todos os registos pode criar riscos adicionais e dificultar a compreensão do que foi efetivamente solicitado.
Se houver lacunas, distingam os documentos contemporâneos dos produzidos na investigação ou correção posterior. Reconstruir uma cronologia com fontes identificadas é diferente de apresentar como antiga uma política que acabou de ser criada. Um plano de correção deve atribuir tarefas, prazos e critérios de conclusão; afirmar apenas que os colaboradores receberam sensibilização não demonstra que uma configuração defeituosa foi corrigida.
Incidentes, direitos e responsáveis internos
O procedimento de violação de dados pessoais deve separar a contenção, a avaliação do risco e a notificação. A autoridade é notificada sem demora injustificada e, quando possível, até 72 horas após o conhecimento da violação, salvo se esta não for suscetível de resultar num risco para os direitos e liberdades. Uma notificação posterior deve incluir os motivos do atraso. Todas as violações de dados pessoais são documentadas, mesmo quando não notificadas.
A comunicação aos titulares depende do risco elevado e das condições do artigo 34.º. Não se confunde com a notificação à CNPD nem com uma mensagem genérica sobre indisponibilidade do serviço. Manter os factos, as consequências e as medidas documentados permite rever a decisão quando surgem novos elementos, sem esperar que a investigação técnica esteja totalmente concluída para cumprir os deveres aplicáveis.
O encarregado de proteção de dados, quando obrigatório ou voluntariamente designado, aconselha e acompanha, mas a responsabilidade do tratamento continua na organização. A equipa jurídica, os serviços operacionais e a segurança precisam de contribuir. Se a gestão rejeitar uma recomendação relevante, convém que os motivos e a decisão fiquem claros, para que a avaliação do risco não se perca numa troca informal de mensagens.
Decisão, impugnação e acompanhamento
Uma comunicação de abertura de procedimento não é uma decisão final de aplicação de coima. A organização deve compreender os factos imputados, as normas invocadas e a oportunidade de defesa. Quando existe uma decisão, importa separar a discussão da infração, a fundamentação do montante e as medidas corretivas. Cada parte pode exigir argumentos e elementos de prova diferentes.
O artigo 34.º da Lei 58/2019 atribui aos tribunais administrativos competência para ações contra decisões da CNPD, incluindo as de natureza contraordenacional. O Tribunal dos Conflitos, no processo 013/22, de 14 de julho de 2022, afirmou essa competência. A via processual, o prazo e os efeitos da impugnação devem ser apurados a partir da decisão notificada e do regime aplicável, sem pressupor suspensão automática de todas as obrigações.
Ao acompanhar um caso, conservem a decisão original, os atos de notificação, as peças de impugnação e os resultados posteriores. Um comunicado de imprensa pode descrever apenas uma fase. A gestão deve saber se o valor ainda é discutido, se existem ordens com execução exigível e quem controla os prazos, mesmo quando a defesa judicial é assegurada externamente.
Ferramentas e perguntas frequentes
Um software de conformidade RGPD pode ser avaliado pela capacidade de organizar responsáveis, versões e evidências de execução. A escolha deve responder às necessidades da equipa e permitir recuperar os elementos relevantes. Não existe uma ferramenta que garanta ausência de coimas, nem a documentação, por si só, transforma um tratamento ilícito em lícito.
Uma PME tem sempre um teto inferior ao do RGPD?
Não. A CNPD desaplica as molduras nacionais incompatíveis com o artigo 83.º nos termos da Deliberação 494/2019. A dimensão continua relevante na avaliação concreta, mas os limites para PME escritos na lei nacional não devem ser tratados como proteção automática para infrações já sancionadas pelo RGPD.
A CNPD tem de advertir antes de multar?
Não existe essa garantia geral. A deliberação de 2019 inclui a desaplicação da condição nacional de advertência prévia. A autoridade deve exercer os seus poderes de forma proporcionada, mas isso não equivale a um direito a cometer uma primeira infração sem procedimento.
Pagar a coima resolve o incumprimento?
Não. Podem subsistir ordens corretivas e deveres ainda executáveis. É necessário verificar o dispositivo da decisão, os prazos e as provas de cumprimento. A reparação dos efeitos, a defesa no procedimento e a prevenção de repetição são trabalhos relacionados, mas distintos.