O registo de atividades de tratamento previsto no artigo 30.º do RGPD é a documentação estruturada de todos os tratamentos de dados pessoais que uma organização realiza. Deve conter as finalidades do tratamento, as categorias de titulares e de dados pessoais, os destinatários, eventuais transferências para países terceiros, os prazos de conservação previstos e uma descrição das medidas técnicas e organizativas de segurança. Nos termos do artigo 30.º, n.º 4, o registo deve ser disponibilizado à autoridade de controlo a pedido. Ajuda a organizar a informação necessária para demonstrar o cumprimento e para responder a uma fiscalização da CNPD. Este guia explica o que o registo deve conter, quando é obrigatório e como construir um que resista.
O que exige o artigo 30.º?
O artigo 30.º do RGPD obriga tanto os responsáveis pelo tratamento como os subcontratantes a manter um registo. Os dois papéis mantêm registos distintos.
O registo do responsável (art. 30.º, n.º 1) deve conter:
- Nome e contactos do responsável e, se aplicável, do encarregado de proteção de dados
- As finalidades do tratamento
- As categorias de titulares e de dados pessoais
- As categorias de destinatários
- Eventuais transferências para países terceiros e as garantias aplicáveis
- Os prazos previstos para o apagamento
- Uma descrição geral das medidas técnicas e organizativas de segurança (art. 32.º)
O registo do subcontratante (art. 30.º, n.º 2) é mais limitado e descreve as categorias de tratamento efetuadas por conta de cada responsável.
Quando é obrigatório?
O artigo 30.º, n.º 5, prevê uma aparente isenção para organizações com menos de 250 trabalhadores. Na prática, a isenção é quase sempre inaplicável, pois não se aplica se o tratamento:
- não for ocasional, ou
- for suscetível de implicar um risco para os direitos dos titulares, ou
- incluir categorias especiais de dados (art. 9.º) ou dados relativos a condenações penais.
Qualquer organização que tenha trabalhadores, opere um sítio web com ferramentas de análise ou mantenha uma base de clientes realiza tratamentos regulares e está, por isso, abrangida. Na prática, quase todas as empresas portuguesas precisam de um registo.
O que o registo deve conter? Visão dos campos
| Campo | Descrição | Exemplo |
|---|---|---|
| Nome do tratamento | Designação breve | Processamento salarial |
| Finalidade | Porque se tratam os dados | Pagamento de salários |
| Fundamento jurídico | Base do art. 6.º (e art. 9.º) | Obrigação legal |
| Titulares | Categorias de pessoas | Trabalhadores |
| Dados pessoais | Categorias de dados | Nome, NIF, dados bancários |
| Destinatários | Com quem se partilham | Banco, Autoridade Tributária |
| Transferências | País e garantia | Nenhuma / CCT |
| Prazo de conservação | Quando se apagam | Exemplo fictício: 5 anos após cessação, apenas se validado para a categoria documental e obrigação aplicável |
| Segurança | Medidas técnicas e organizativas (art. 32.º) | Controlo de acessos, cifragem |
Modelo prático e método de trabalho
Um registo funcional constrói-se tratamento a tratamento. Comece por mapear os processos da organização — recursos humanos, salários, gestão de clientes, marketing, TI — e documente cada tratamento segundo os campos acima. Um erro comum é descrever sistemas em vez de tratamentos: o registo deve responder ao porquê do tratamento, não apenas ao onde os dados são armazenados.
Para confirmar o percurso real dos dados, associe cada atividade às aplicações e aos fluxos correspondentes numa cartografia dos sistemas de informação. Esse mapa ajuda a identificar integrações, acessos de suporte e dependências que uma lista de finalidades, isoladamente, não revela.
As folhas de cálculo servem para uma primeira versão, mas ficam depressa desatualizadas. O registo é um documento vivo, a atualizar sempre que surgem novos tratamentos, mudam prazos de conservação ou se contratam novos fornecedores. Ao avaliar uma solução de gestão do RGPD, confirme como permite atribuir responsáveis, rever alterações e exportar o registo. Peça uma demonstração com uma atividade da organização: a ferramenta deve permitir identificar o que mudou e quem validou a informação. A atualização depende também de os serviços comunicarem mudanças nos tratamentos.
O registo liga-se a dois outros documentos: os contratos de subcontratação, que regem os destinatários e subsubcontratantes que o registo identifica, e a avaliação sobre a necessidade de um encarregado de proteção de dados, que assenta nos tratamentos que o registo revela. Um registo completo torna, ainda, mais simples a escolha do software RGPD, por revelar o volume real.
Exemplo: um registo típico para recursos humanos
Para tornar concreto, é assim que um registo para a gestão de pessoal pode surgir quando está completo:
- Tratamento: Gestão de pessoal
- Finalidade: Administrar a relação laboral, salários e benefícios
- Fundamento jurídico: Execução de contrato (art. 6.º, n.º 1, al. b) para a relação laboral; obrigação legal (art. 6.º, n.º 1, al. c) para as obrigações fiscais e laborais
- Titulares: Trabalhadores, antigos trabalhadores, candidatos
- Dados pessoais: Nome, NIF, contactos, dados bancários, recibos de vencimento; em caso de baixa, também dados de saúde (art. 9.º)
- Destinatários: Contabilista ou empresa de processamento salarial (subcontratante), Autoridade Tributária, Segurança Social, fundos de pensões
- Transferências: Verificar os países dos destinatários, os acessos remotos por outras entidades e as transferências subsequentes; o alojamento na UE, por si só, não demonstra a inexistência de transferências. Um acesso de uma entidade destinatária num país terceiro pode preencher os critérios do capítulo V, enquanto o acesso de um trabalhador integrado no próprio responsável exige uma análise distinta, conforme as Orientações 05/2021 do CEPD.
- Prazo de conservação: Documentos de suporte conservados pelo período legal aplicável; candidaturas de não admitidos eliminadas dentro de um prazo após o fim do recrutamento
- Segurança: Controlo de acessos, cifragem, registo de acessos
Repare que um único tratamento tem, muitas vezes, vários fundamentos jurídicos para partes diferentes, e que os dados sensíveis (saúde) exigem um fundamento adicional do artigo 9.º. É precisamente esta nuance que um modelo vazio em folha de cálculo raramente capta.
O registo numa fiscalização
Numa fiscalização, o registo pode ajudar a explicar as atividades e a localizar os documentos associados. A obrigação do artigo 30.º, n.º 4, é disponibilizá-lo à autoridade de controlo a pedido; não estabelece uma ordem universal de solicitação de documentos. Lacunas ou informação desatualizada devem ser corrigidas e podem exigir explicações sobre os tratamentos em causa. Mantenha, por isso, o registo atualizado de forma contínua, e não à pressa perante uma fiscalização iminente — e documente quem é responsável pela atualização e com que periodicidade. É esta atualidade permanente, e não a primeira versão, que distingue um registo valioso de um registo meramente formal.
Organize os documentos associados num dossiê de evidências de responsabilidade, com a decisão, o responsável, a versão e a prova de execução de cada medida.
Perguntas frequentes
As pequenas empresas têm de manter um registo?
Na prática, sim. A isenção para organizações com menos de 250 trabalhadores não se aplica a tratamentos regulares, a tratamentos que possam implicar risco ou a tratamentos de dados sensíveis — e quase toda a atividade normal com trabalhadores e clientes cai em, pelo menos, uma destas condições.
Quanto custa manter um registo?
Calcule as horas de levantamento, validação e revisão, os custos de licença ou implementação e a formação dos utilizadores. Uma folha de cálculo pode já estar disponível, mas continua a exigir tempo de manutenção e controlo de versões. Para comparar propostas, use o guia de custos de software RGPD como apoio à identificação de componentes e peça uma proposta para o número real de entidades, atividades e utilizadores. Compare também as condições de exportação e de saída.
O que acontece se a CNPD pedir o registo e ele não existir?
A ausência de registo é, por si só, uma violação do artigo 30.º e pode dar origem a uma coima. A avaliação de um registo incompleto ou desatualizado depende das obrigações aplicáveis e dos factos. A documentação deve permitir explicar as lacunas, as medidas corretivas e o seu estado; a incompletude não deve ser apresentada como uma agravante automática.
Conclusão
O registo de atividades de tratamento organiza informação essencial sobre os tratamentos e deve poder ser disponibilizado à CNPD a pedido. Deve documentar cada tratamento com finalidade, fundamento jurídico, categorias, destinatários, prazos de conservação e medidas de segurança — tratamento a tratamento. A isenção para organizações menores é, na prática, inaplicável, pelo que quase todas as empresas portuguesas precisam de um registo. Construa-o a partir das finalidades e não dos sistemas, indique prazos de conservação concretos e mantenha-o vivo. A escolha do suporte deve considerar o volume de atividades, o processo de atualização e a capacidade de conservar versões e exportar a informação.
Leituras relacionadas: