Uma auditoria de minimização de dados pergunta, campo a campo, se a informação é adequada, pertinente e limitada ao necessário para a finalidade. O resultado deve ser uma decisão aplicável: manter, reduzir a precisão, recolher apenas quando uma condição se verifica, deixar de disponibilizar ou eliminar quando já não existe necessidade. Uma política que afirma recolher «apenas o necessário» não substitui esta análise.
Comece por um percurso concreto, como inscrição num evento, compra de um serviço ou pedido de assistência. Identifique a informação recolhida no formulário, nas integrações e nos registos automáticos. Muitos excessos não aparecem no ecrã: são acrescentados pelo sistema ou enviados para outro destinatário durante o processamento.
Relacionar finalidade, quantidade e conservação
O artigo 5.º, n.º 1, alínea c), do RGPD estabelece o princípio da minimização. A adequação exige dados suficientes para a finalidade; a pertinência exige uma relação com essa finalidade; a necessidade limita o conjunto e a precisão. Recolher menos não significa tornar o serviço incapaz de funcionar, mas justificar o que efetivamente precisa de tratar.
A limitação das finalidades responde ao motivo do tratamento. A minimização avalia os dados usados para esse motivo. A conservação determina durante quanto tempo é necessário mantê-los. Estas questões devem ser analisadas juntas, incluindo acesso e divulgação, sem reduzir a minimização à primeira página de um formulário.
As Orientações 4/2019 do CEPD sobre proteção de dados desde a conceção e por defeito ajudam a relacionar quantidade, extensão do tratamento, conservação e acessibilidade com configurações efetivas. O documento é uma orientação final, adotada em outubro de 2020, que deve ser usada com o texto do RGPD.
Definir a necessidade sem inventar uma finalidade posterior
Peça ao responsável pelo processo que explique a finalidade antes de mostrar a lista completa de campos. Se começar pela base existente, é fácil criar uma justificação para cada coluna apenas porque sempre esteve presente. Uma explicação como «pode ser útil mais tarde» não identifica uma necessidade atual suficientemente delimitada.
Uma associação fictícia organiza uma sessão em linha gratuita. Precisa de enviar a ligação e gerir pedidos relacionados com a participação. O formulário antigo exige nome, endereço eletrónico, telefone, morada, data de nascimento e profissão. A associação não emite um certificado nominativo e não realiza uma avaliação que dependa da idade ou da profissão.
A auditoria conclui que a morada e a data de nascimento não têm função demonstrada nesse percurso. O telefone não é necessário para a comunicação planeada. A equipa não acrescenta uma finalidade de publicidade apenas para conservar esses campos: se pretender outra atividade, deve analisá-la separadamente, com informação e fundamento adequados.
Trabalhar com alternativas menos detalhadas
Para cada campo, pergunte se a finalidade pode ser cumprida sem ele ou com menos precisão. Se interessa uma categoria etária, a data completa pode ser excessiva. Se interessa atribuir um pedido ao mesmo processo, uma referência interna pode ser suficiente em vez de um identificador nacional.
A alternativa tem de funcionar no contexto. Um simples campo «sou maior de idade» pode ser insuficiente para uma atividade sujeita a requisitos concretos de verificação. Não substitua uma análise proporcional por uma tabela universal em que determinada forma de verificação é sempre suficiente.
Do mesmo modo, tornar um campo facultativo não legitima automaticamente a recolha. Continua a ser necessário perceber por que motivo é recolhido, em que condições e como será utilizado. Se a organização não tem finalidade pertinente para a informação, a resposta pode ser retirar o campo.
A CNIL apresenta exemplos de minimização na recolha, incluindo redução de precisão quando esta permite cumprir o objetivo. Use esses exemplos como apoio técnico e metodológico, sem transportar obrigações nacionais francesas para uma atividade portuguesa.
Exemplo preenchido: inscrição na sessão em linha
A associação revê o percurso completo. Mantém o endereço eletrónico necessário para enviar a ligação. Retira os campos sem função demonstrada e limita o campo de apoio a dúvidas sobre participação, com indicação para não incluir informação sensível desnecessária. As decisões são verificadas também na exportação enviada ao prestador técnico.
| Campo ou elemento | Decisão no exemplo | Efeito no processo |
|---|---|---|
| Endereço eletrónico | Manter para comunicação da sessão | Envio da ligação e informação operacional |
| Nome completo | Retirar desta inscrição sem certificado nominativo | Não impede o acesso à sessão |
| Morada | Retirar | Nenhuma entrega ou finalidade geográfica prevista |
| Telefone | Retirar do percurso corrente | Apoio mantém o canal eletrónico anunciado |
| Data de nascimento | Retirar | Não existe finalidade etária no serviço descrito |
| Profissão | Retirar | Não é usada para gerir a participação |
| Comentário livre | Delimitar a dúvidas de acesso | Reduzir informação fora do âmbito |
| Dados enviados ao prestador | Limitar aos necessários à operação | Evitar transmissão da exportação antiga completa |
A equipa confirma que o formulário funciona sem os campos retirados e que nenhuma regra escondida bloqueia o envio. Verifica ainda mensagens automáticas, folhas de cálculo e integrações. A eliminação visual de um campo não resolve a recolha se o sistema continua a preencher o valor através de um perfil antigo.
A informação aos participantes é atualizada para descrever o percurso efetivo. A associação não promete anonimato, porque continua a tratar endereços eletrónicos para gerir a sessão.
Aprender com o caso Mousse sem generalizar além dos factos
No acórdão Mousse, C-394/23, de 9 de janeiro de 2025, o Tribunal de Justiça analisou a recolha de um título associado à identidade de género na venda de títulos de transporte. A personalização da comunicação comercial com esse dado não foi considerada objetivamente indispensável à execução do contrato. A publicação oficial do acórdão mostra a importância de justificar mesmo um campo aparentemente pequeno.
A lição operacional é examinar a finalidade e alternativas, em vez de invocar hábitos de comunicação. Não decorre daqui que qualquer campo facultativo equivalente seja automaticamente lícito, nem que todos os dados sobre idade, identidade ou contacto sejam proibidos em todos os serviços. O enquadramento e a necessidade continuam a exigir análise concreta.
Numa auditoria, registe a razão para cada decisão. «Retirado por ser semelhante a outro campo discutido num acórdão» é menos útil do que «retirado porque a comunicação necessária funciona com saudação neutra e o serviço não depende da informação».
Incluir dados invisíveis e acessos internos
Examine IP, identificadores de dispositivo, parâmetros de pedidos, registos de erro e dados recebidos de integrações. A análise do endereço IP como dado pessoal ajuda a separar finalidades de segurança e análise comercial. Uma justificação para registar um evento de segurança não autoriza automaticamente a sua reutilização para segmentação.
Reveja também quem recebe o conjunto. O serviço financeiro pode precisar de certos dados de faturação, enquanto a equipa que gere presença numa sessão não precisa de os consultar. A minimização pode exigir delimitar visualizações, permissões e exportações, mesmo quando a organização tem uma finalidade legítima para conservar informação noutra área.
A cartografia de sistemas e fluxos identifica os pontos onde a redução precisa de ser aplicada. Se um formulário envia automaticamente todos os campos a três fornecedores, a decisão de recolher menos deve ser refletida em cada transmissão relevante.
Tratar anexos, texto livre e cópias de documentos
Um campo de anexo pode recolher muito mais informação do que uma série de campos estruturados. Antes de pedir um documento completo, identifique qual a informação necessária, se pode ser verificada por outro meio e se é preciso conservar uma cópia. A resposta deve atender à regra aplicável e à finalidade concreta.
Em Portugal, a reprodução do Cartão de Cidadão tem condições específicas, que exigem uma análise própria. O guia sobre cópia do Cartão de Cidadão e alternativas desenvolve esse percurso. Não trate um pedido de consentimento como solução universal para qualquer cópia solicitada.
Nos campos livres, dê instruções adequadas e limite a utilização. Numa plataforma de apoio, «descreva o erro» pode levar a incluir dados de clientes ou saúde de trabalhadores. A equipa deve explicar o tipo de informação necessário e oferecer um percurso seguro para situações em que dados adicionais sejam realmente indispensáveis.
Aplicar a decisão aos dados já existentes
Retirar um campo de uma nova versão não decide o destino dos valores antigos. Classifique esses dados segundo a finalidade e as obrigações aplicáveis. Pode ser necessário eliminar, reduzir, separar ou manter por uma razão delimitada. Registe a decisão e verifique cópias e exportações relevantes.
No exemplo da associação, os dados antigos de morada não têm finalidade atual demonstrada nem outra necessidade identificada. A equipa organiza a eliminação nos locais onde foram guardados e confirma que uma importação não os volta a introduzir. O registo da operação conserva a evidência necessária, sem duplicar os próprios dados eliminados.
Quando se pretende manter apenas estatísticas, avalie se o resultado pode ser efetivamente anonimizado. Retirar nomes mantendo combinações raras não basta. Se a análise continuar pessoal, os restantes controlos continuam necessários.
Preservar exatidão e acessibilidade
A minimização deve evitar recolha excessiva sem criar informação enganadora. Não substitua um campo retirado por um valor fictício que depois seja tratado como verdadeiro. Ajuste o modelo de dados e as regras de validação para reconhecer a ausência legítima de informação.
A exatidão dos dados exige distinguir desconhecido, não aplicável e confirmado. Um formulário que obriga todos a escolher uma opção inadequada pode produzir erros sistemáticos. Verifique também se as pessoas conseguem completar o percurso com tecnologias de apoio e compreender que dados são necessários.
A avaliação do formulário deve incluir uma pessoa que não preenche campos facultativos. Se o serviço recusar a inscrição ou reduzir injustificadamente uma funcionalidade anunciada, a indicação «facultativo» pode não corresponder à prática.
Fechar a auditoria com decisões verificadas
Atribua a cada alteração um responsável e uma evidência: campo retirado, integração limitada, acesso revogado ou eliminação confirmada. Atualize o registo de atividades quando a mudança afeta categorias, finalidades ou destinatários descritos. Guarde no dossiê de cumprimento o raciocínio que liga a necessidade à configuração.
A revisão seguinte deve procurar novos campos, exportações e utilizações. Uma funcionalidade acrescentada por um fornecedor pode reintroduzir recolha que tinha sido eliminada. O controlo duradouro consiste em exigir uma finalidade e uma análise de necessidade antes de acrescentar informação ao percurso, com verificação de que o sistema faz aquilo que foi decidido.
Fontes verificadas em 8 de setembro de 2026.