A Lei n.º 58/2019 assegura a execução do RGPD em Portugal e acrescenta regras nacionais sobre menores, trabalhadores, videovigilância e determinados dados de pessoas falecidas. Para aplicar essas regras, é necessário ler a lei em conjunto com o regulamento europeu e com as posições da CNPD sobre disposições que considerou incompatíveis com o direito da União. Uma autorização aparente na lei nacional não dispensa a análise da finalidade, da necessidade e dos direitos das pessoas.
Este guia explica as disposições com consequências práticas para organizações portuguesas. Não pretende comentar todos os artigos nem substituir regimes setoriais. O objetivo é permitir que uma empresa, associação ou entidade pública identifique a regra aplicável, escolha medidas proporcionais e conserve a fundamentação das suas decisões.
Como articular a lei portuguesa com o RGPD
O RGPD aplica-se diretamente. A Lei n.º 58/2019, de 8 de agosto concretiza opções nacionais nas matérias em que o regulamento permite intervenção dos Estados-Membros e organiza aspetos da sua execução. Não constitui uma autorização geral para recolher dados nem uma lista completa de todas as obrigações de proteção de dados existentes em Portugal.
Comece pela operação concreta. Quem decide a finalidade? Que pessoas são afetadas? Que dados são necessários? Qual é o fundamento do artigo 6.º do RGPD e, quando aplicável, a condição adicional do artigo 9.º? Só depois procure a disposição nacional relevante. Uma obrigação laboral pode justificar determinados dados de trabalhadores, mas não todos os indicadores que uma aplicação de recursos humanos consegue produzir.
A identificação da lei aplicável também não depende apenas da localização do servidor. Uma organização com atividade internacional deve avaliar o âmbito territorial do RGPD, o estabelecimento envolvido e as regras nacionais relevantes para a operação. A comparação entre LGPD e RGPD ajuda a separar os regimes europeu e brasileiro; a conformidade com um deles não demonstra automaticamente conformidade com o outro.
Menores: o que significa o limite de 13 anos
O artigo 16.º fixa em 13 anos o limite português para a situação específica prevista no artigo 8.º do RGPD: oferta direta de serviços da sociedade da informação a crianças, quando o tratamento assenta no consentimento. Não é uma regra segundo a qual qualquer tratamento de dados de uma pessoa com menos de 13 anos exige autorização parental, nem uma regra geral sobre todos os serviços prestados pela Internet.
Quando essa situação se verifica e a criança tem menos de 13 anos, a lei exige o consentimento dos representantes legais, preferencialmente através de autenticação segura. O responsável deve desenvolver esforços razoáveis para verificar a autorização, tendo em conta a tecnologia disponível, nos termos do artigo 8.º, n.º 2. A verificação deve ser proporcional: recolher cópias integrais de documentos de toda a família pode criar riscos desnecessários e não constitui uma solução obrigatória por defeito.
Há ainda uma qualificação importante. O considerando 38 e as orientações finais do Comité Europeu sobre consentimento, no parágrafo 150, reconhecem a exceção relativa a serviços preventivos ou de aconselhamento oferecidos diretamente à criança, incluindo em linha. Não se deve bloquear mecanicamente esse acesso através de uma exigência parental geral. A qualificação do serviço e do tratamento deve ser documentada.
Aos 13 anos não desaparecem as restantes condições do consentimento. A informação tem de ser compreensível para o público visado, a escolha deve ser livre e a retirada deve ser possível. Também não fica resolvida a capacidade para celebrar um contrato, que é uma questão distinta. Ao adaptar um modelo de consentimento RGPD, identifique a finalidade e a população abrangida antes de acrescentar campos de idade ou de identificação parental.
Dados de pessoas falecidas: proteção com âmbito definido
O artigo 17.º protege determinados dados de pessoas falecidas: os abrangidos pelas categorias especiais do artigo 9.º, n.º 1, do RGPD e os relativos à intimidade da vida privada, à imagem ou às comunicações, ressalvadas as situações legalmente previstas. Não estende indistintamente todas as regras do regulamento a qualquer informação sobre qualquer pessoa falecida.
Os direitos de acesso, retificação e apagamento são exercidos por quem a pessoa tenha designado ou, na falta de designação, pelos herdeiros. A lei também permite que o titular determine a impossibilidade desse exercício após a sua morte. Antes de disponibilizar um arquivo ou eliminar correspondência, a organização deve verificar a legitimidade do pedido, o seu objeto e as disposições deixadas pela pessoa.
Um pedido de um herdeiro pode ainda abranger documentos com dados de pessoas vivas. A qualidade de herdeiro não permite divulgar sem análise informações de terceiros constantes de mensagens, processos clínicos ou dossiers familiares. Separe os conteúdos, examine os direitos em presença e justifique eventuais ocultações. A documentação dessa decisão deve limitar-se ao necessário para demonstrar a legitimidade da resposta.
Videovigilância: desenhar primeiro o campo de captação
O artigo 19.º contém restrições materiais à captação de imagens e articula-se com outros regimes, incluindo o da segurança privada. A instalação de câmaras exige uma finalidade definida e uma análise do espaço efetivamente captado. Um equipamento colocado na propriedade da organização pode captar zonas que esta não pode vigiar livremente.
A lei restringe a captação de vias públicas, propriedades limítrofes e outros locais fora do domínio exclusivo do responsável, admitindo o estritamente necessário para cobrir acessos ao imóvel. Exclui zonas reservadas à privacidade de clientes ou utentes, como instalações sanitárias, zonas de espera e provadores, bem como áreas de trabalhadores destinadas a refeições, descanso, higiene ou mudança de roupa. Nos estabelecimentos de ensino, prevê limites específicos para as áreas interiores e para as finalidades de proteção de determinados equipamentos.
A orientação atual da CNPD sobre videovigilância explica que a utilização comum destes sistemas não depende de uma autorização ou notificação geral à autoridade. Isso transfere para o responsável o dever de verificar a licitude e de demonstrar as escolhas. A ausência de um procedimento prévio não transforma uma câmara inadequada num tratamento permitido.
A captação de som é proibida como regra, com as exceções legais para instalações encerradas sem trabalhadores e para situações previamente autorizadas pela CNPD. Para a conservação, a autoridade indica o regime geral de 30 dias, com eliminação nas 48 horas seguintes, ressalvando legislação específica e preservação no âmbito de processo criminal. Não importe para Portugal um prazo retirado de um guia de outro país, nem conserve todas as gravações indefinidamente porque algumas poderão vir a ser úteis.
Na prática, documente o campo de visão, as máscaras aplicadas, os acessos às gravações, a informação prestada e a eliminação. Avalie a necessidade de uma avaliação de impacto sobre a proteção de dados: o RGPD exige-a, entre outros casos, para controlo sistemático em grande escala de zonas acessíveis ao público. As características e os riscos da operação, juntamente com os critérios e listas aplicáveis, determinam a obrigação.
Trabalhadores: finalidade laboral não é vigilância ilimitada
O artigo 28.º deve ser lido com o Código do Trabalho e com o RGPD. O tratamento necessário ao cumprimento de obrigações laborais não exige que o empregador obtenha consentimento para tudo. Inversamente, a assinatura de uma declaração pelo trabalhador não legitima práticas desproporcionadas. A relação de dependência torna particularmente importante verificar se uma escolha apresentada como voluntária é realmente livre.
A utilização de vigilância à distância para controlar o desempenho profissional é vedada pelo regime laboral. Quanto às imagens e outros dados pessoais registados através desses meios, o artigo 28.º, n.os 4 e 5, estabelece a utilização no âmbito do processo penal e admite utilização para responsabilidade disciplinar na medida em que os dados sejam utilizados nesse âmbito penal. Não se deve resumir este regime como uma permissão geral para usar gravações em qualquer investigação interna.
Imagine que uma equipa de segurança identifica uma ocorrência numa gravação e que a chefia pretende aproveitar o mesmo ficheiro para avaliar a produtividade de todos os trabalhadores presentes. A finalidade inicial de segurança não autoriza essa reutilização. É necessário separar a preservação relativa à ocorrência da proposta de controlo de desempenho e avaliar cada utilização à luz das restrições aplicáveis.
Os dados biométricos dos trabalhadores têm uma regra própria no artigo 28.º, n.º 6: a utilização é admitida para controlo de assiduidade e de acessos às instalações, com representações que não permitam a reversibilidade dos dados. A CNPD esclarece as condições da biometria, incluindo a necessidade de demonstrar essa irreversibilidade. Um fornecedor chamar «template» a uma representação não prova que o requisito está cumprido, nem significa que deixaram de existir dados pessoais.
A finalidade prevista na lei também não dispensa necessidade, proporcionalidade, segurança e a condição aplicável para categorias especiais. A CNPD explica situações em que é exigida avaliação de impacto, incluindo tratamentos de trabalhadores abrangidos pelos critérios da sua lista nacional. Uma organização deve conservar a análise e a documentação técnica pertinente, restringir os acessos e impedir reutilizações incompatíveis, como transformar o sistema de assiduidade num meio genérico de acompanhamento dos movimentos.
Para estruturar estes procedimentos, articule o guia de RGPD nos recursos humanos com a análise dos dados sensíveis do artigo 9.º. Não classifique toda a informação laboral como categoria especial: remunerações, contactos e horários continuam a exigir proteção, mas não pertencem automaticamente às categorias enumeradas nesse artigo.
Conservação e responsabilidades documentadas
O artigo 21.º remete para os prazos fixados por norma legal ou regulamentar e, quando não exista prazo, para o necessário à finalidade. A existência de um prazo obrigatório para um documento não obriga a conservar todas as cópias, todos os campos e todos os dados associados durante o mesmo período. Identifique o objeto da obrigação, o evento que inicia a contagem e o que pode ser eliminado ou reduzido antes.
Quando certos dados tenham de ser preservados para exercício de direitos ou por outra finalidade legítima que subsista, delimite o conjunto conservado e restrinja o uso. A conservação para arquivo de interesse público, investigação ou estatística tem condições e salvaguardas próprias, incluindo as do artigo 89.º do RGPD; não se cria um arquivo ilimitado apenas atribuindo-lhe essa designação.
O registo das atividades de tratamento pode ligar cada atividade às finalidades, destinatários, medidas de segurança e prazos de apagamento previstos, quando possível. Acrescentar a norma nacional e a fundamentação jurídica é uma prática útil para manter a decisão verificável, sem confundir todos esses campos adicionais com os elementos mínimos expressamente enumerados no artigo 30.º.
Na subcontratação, traduzam-se as decisões operacionais no instrumento vinculativo do artigo 28.º, normalmente um contrato escrito, incluindo em formato eletrónico, ou outro ato jurídico vinculativo admitido pelo direito da União ou de um Estado-Membro. Um fornecedor não passa a ser subcontratante apenas por vender um serviço. A qualificação depende do tratamento realizado e da autonomia sobre as suas finalidades e meios essenciais.
Encarregado de proteção de dados e apoio à decisão
A lei portuguesa contém regras sobre o estatuto e as funções do encarregado, mas a necessidade de designação deve ser apurada em conjunto com o artigo 37.º do RGPD. O regulamento prevê a designação por autoridades e organismos públicos, com a exceção dos tribunais no exercício da função jurisdicional, e por entidades cujas atividades principais preencham os critérios de controlo regular e sistemático em grande escala ou de tratamento em grande escala de categorias especiais ou de dados relativos a condenações e infrações.
Não basta contar trabalhadores nem concluir que qualquer uso de dados de saúde torna a designação obrigatória. A dimensão e a natureza das atividades principais são relevantes. A análise de designação e funções do encarregado deve também considerar independência, recursos, acesso à direção e conflitos de interesses. Uma certificação comercial, por si só, não estabelece nem elimina a obrigação legal.
Ferramentas podem ajudar a organizar decisões, revisões e evidências. Na avaliação de software de conformidade RGPD, peça uma demonstração de como se registam exceções nacionais e decisões fundamentadas. A existência de um modelo português não garante que o seu conteúdo acompanha a atividade concreta ou a posição atual da autoridade.
O alcance exato da Deliberação 2019/494
Na Deliberação 2019/494, de 3 de setembro de 2019, a CNPD analisou incompatibilidades de disposições nacionais com o direito da União e declarou que as desaplicaria nos casos concretos que lhe fossem submetidos. Esta posição administrativa não corresponde à revogação formal de toda a lei nem à eliminação de todas as suas regras sancionatórias.
O elenco final identifica os artigos 2.º, n.os 1 e 2; 20.º, n.º 1; 23.º; 28.º, n.º 3, alínea a); 37.º, n.º 1, alíneas a), h) e k), e n.º 2; 38.º, n.º 1, alínea b), e n.º 2; 39.º, n.os 1 e 3; 61.º, n.º 2; e 62.º, n.º 2. O alcance deve ser compreendido com a fundamentação de cada ponto. A deliberação preserva, nomeadamente, a aplicação de determinadas molduras nacionais às infrações exclusivamente previstas na lei portuguesa que identifica.
Uma consequência prática é não tratar a advertência ou o dolo como pressupostos universais de uma coima por violação do RGPD. Outra é não presumir que uma disposição nacional dispensa uma condição europeia do consentimento. A avaliação das coimas aplicadas pela CNPD exige distinguir a norma violada, o regime aplicável, a decisão e a eventual impugnação, em vez de copiar uma tabela de valores sem esse contexto.
O artigo 44.º previa a possibilidade de entidades públicas solicitarem dispensa de coimas durante três anos a contar da entrada em vigor da lei. A Deliberação 2019/495 esclareceu o exercício dessa possibilidade no procedimento concreto, após a acusação. Não existia uma imunidade pública automática; o período transitório histórico também não deve ser apresentado como uma dispensa disponível hoje.
Aplicar as regras a um caso real da organização
Escolha uma operação relevante e percorra o seu ciclo completo. Numa aplicação de assiduidade, por exemplo, identifique os dados recolhidos, a justificação para eventual biometria, a informação aos trabalhadores, os acessos, a duração da conservação e a saída do fornecedor. Verifique se a configuração real corresponde aos documentos, incluindo exportações e acessos de suporte.
Atribua a uma pessoa a responsabilidade por rever a decisão quando houver uma alteração material: nova finalidade, novo destinatário, mudança de tecnologia ou modificação do enquadramento jurídico. O guia da CNPD ajuda a compreender o papel da autoridade e os canais relevantes. Uma política só é útil quando a organização consegue explicar como a executa e apresentar evidência proporcional das decisões tomadas.