Um município trata dados de munícipes, trabalhadores, fornecedores e utilizadores dos seus serviços. Cada atividade precisa de finalidade definida, fundamento de licitude, informação aos titulares, segurança e prazo de conservação. O RGPD nos municípios exige ainda uma organização capaz de demonstrar essas escolhas: encarregado de proteção de dados (EPD), registo das atividades e avaliação de riscos quando apropriada. A Lei n.º 58/2019 complementa o regulamento em Portugal, mas não converte todas as tarefas autárquicas num único tratamento nem fornece uma base legal genérica para qualquer reutilização de dados.
Este guia destina-se a serviços municipais e juntas de freguesia que precisam de decidir quem responde por quê. Um pedido de apoio social, uma licença urbanística e uma newsletter facultativa seguem regras diferentes. A videovigilância de um edifício municipal também não é igual a um sistema em espaço público utilizado por forças de segurança. A equipa deve identificar o regime concreto antes de escolher tecnologia ou informar os cidadãos.
Pontos essenciais
- Autoridades e organismos públicos designam um EPD nos termos do artigo 37.º, n.º 1, alínea a), do RGPD; várias autoridades podem partilhar um encarregado se a estrutura e dimensão o permitirem.
- Para poderes públicos, as bases frequentemente pertinentes são obrigação legal ou missão de interesse público, apoiadas no direito aplicável; o interesse legítimo do artigo 6.º, n.º 1, alínea f), não se aplica ao exercício das suas funções.
- A AIPD é exigida quando o tratamento é suscetível de resultar em risco elevado e nos casos exemplificados no artigo 35.º, como controlo sistemático em larga escala de zonas acessíveis ao público.
- A Lei 58/2019 prevê coimas para entidades públicas e um regime transitório de dispensa que tinha prazo de três anos; a avaliação de uma infração concreta depende dos factos e do direito aplicável.
Começar pelo serviço, não pelo formulário
O registo de atividades de tratamento deve refletir os serviços que existem de facto. Para cada processo, indique responsável, finalidade, categorias de pessoas e dados, destinatários, transferências, prazos e medidas de segurança nos termos do artigo 30.º. Um inventário útil separa atendimento, ação social, educação, recursos humanos, receitas, licenciamento e canais digitais; permite identificar quando o mesmo dado passa de um serviço para outro. Se a plataforma informática é comum a vários departamentos, o acesso continua a ter de obedecer à finalidade e às funções de cada utilizador.
O passo seguinte é perguntar que norma atribui à autarquia a tarefa e se o dado pedido é necessário para a executar. Uma lei que permite atribuir determinado apoio não autoriza, por si, o envio da lista de beneficiários a qualquer entidade ou a publicação de todo o processo. Registe a norma e a finalidade concreta, examine categorias especiais de dados nos termos do artigo 9.º e estabeleça quem pode consultar o processo. Para um serviço com procuração ou representante, verifique a identidade e a extensão dos poderes antes de revelar informação do munícipe.
Um exemplo prático: um pedido de apoio social inclui comprovativos económicos e eventualmente dados de saúde. O serviço social precisa de alguns documentos para instruir o pedido; o departamento de comunicação não precisa de os receber para divulgar a existência do programa. No registo, na informação ao titular e nas permissões da aplicação, essa separação deve ser visível. O guia sobre dados sensíveis ajuda a tratar a condição adicional do artigo 9.º, mas não substitui a identificação da norma e das salvaguardas do caso.
Bases de licitude no exercício das funções autárquicas
O artigo 6.º, n.º 1, alíneas c) e e), permite, respetivamente, tratamentos necessários ao cumprimento de obrigação jurídica e ao exercício de funções de interesse público ou autoridade pública de que o responsável esteja investido. O n.º 3 exige um fundamento no direito da União ou do Estado-Membro para essas bases. Escolha a alínea que corresponde à norma e à operação real; não use uma tabela automática que classifique todas as tarefas municipais da mesma maneira. A explicação das bases de licitude é um ponto de partida para a análise de cada serviço.
O consentimento pode ser adequado a uma comunicação facultativa, como uma newsletter cultural independente do acesso aos serviços, se for livre, específico, informado e revogável. Não peça consentimento para uma obrigação fiscal ou um procedimento em que o cidadão não possa realmente recusar o tratamento necessário sem perder um direito ou serviço. Também não utilize o interesse legítimo da alínea f) para fundamentar o tratamento realizado pela autoridade no desempenho das suas funções: o último parágrafo do artigo 6.º, n.º 1, exclui essa aplicação. O teste de interesse legítimo é relevante para outras situações, mas não contorna a exclusão da função pública.
As bases podem variar dentro de um mesmo serviço. A receção do pedido, a cobrança de uma taxa, a comunicação a outra entidade prevista na lei e um inquérito voluntário de satisfação não são necessariamente a mesma operação. Evite a frase «tratamos os seus dados para fins municipais» na informação ao cidadão. Indique finalidades e bases compreensíveis e consulte também as regras especiais de segredo, acesso a documentos administrativos e arquivo quando pertinentes. A existência de um pedido de acesso a informação pública não dispensa uma análise dos dados pessoais de terceiros.
EPD, responsabilidade e cadeia de decisão
O artigo 37.º, n.º 1, alínea a), do RGPD obriga autoridades e organismos públicos a designar um EPD, ressalvados os tribunais no exercício da função jurisdicional. O artigo 37.º, n.º 3, admite um único encarregado para várias entidades públicas, tendo em conta estrutura organizativa e dimensão. Partilhar o EPD pode fazer sentido para várias juntas, mas é preciso garantir disponibilidade, canais de contacto e capacidade de acompanhar os tratamentos de cada uma. Publique os seus contactos e comunique-os à CNPD nos termos do artigo 37.º, n.º 7.
O EPD informa, aconselha, acompanha conformidade e é ponto de contacto com a autoridade, nos termos do artigo 39.º. A autarquia deve envolvê-lo atempadamente, dar-lhe recursos e preservar a independência do artigo 38.º. Isso não transfere para o EPD a decisão sobre licitude de cada tratamento nem o transforma no único responsável por incidentes. Identifique dono do processo em cada serviço, quem aprova acessos, quem recebe pedidos de direitos e quem decide sobre notificações de violações. O guia dedicado ao EPD aprofunda incompatibilidades e funções.
Uma matriz simples evita que os assuntos circulem sem resposta: o balcão recebe, o serviço confirma os factos, o jurídico verifica o fundamento, o EPD aconselha e a direção toma decisões da responsabilidade do município. O prazo do artigo 12.º, n.º 3, para responder a pedidos de direitos é, em regra, um mês, com possível prorrogação nos termos do mesmo preceito; não comece a contar só quando o processo chega ao EPD. Registe também o fundamento e a explicação ao titular quando um direito tem limites legais. O guia do direito de acesso distingue a resposta ao titular da consulta administrativa de documentos.
Videovigilância: distinguir edifícios e espaço público
O artigo 19.º da Lei 58/2019 estabelece limites para sistemas de videovigilância destinados à proteção de pessoas e bens, incluindo restrições sobre a captação de vias públicas, zonas de pagamento e espaços com expectativa especial de privacidade. Não é uma autorização geral para uma câmara municipal filmar ruas. Para sistemas em espaço público utilizados por forças e serviços de segurança, deve ser analisado o regime próprio da Lei n.º 95/2021, que revogou a Lei n.º 1/2005. Primeiro identifique finalidade, entidade que utiliza o sistema e regime de autorização; depois verifique enquadramento de proteção de dados, informação ao público, acesso às imagens e conservação.
A avaliação de impacto não é automaticamente obrigatória para qualquer câmara. O artigo 35.º exige AIPD quando seja provável um risco elevado; o n.º 3 menciona expressamente o controlo sistemático em larga escala de zonas acessíveis ao público. A CNPD explica esta condição e os demais exemplos relevantes. Um sistema limitado à entrada de um edifício e um projeto de monitorização extensiva de uma praça exigem análises diferentes. Mesmo sem AIPD obrigatória, subsistem finalidade legítima, minimização, segurança e informação. O guia de AIPD ajuda a documentar a triagem e a avaliação quando necessária.
Antes de contratar câmaras, descreva ângulos, horários, zonas excluídas, eventual captação de som, acesso em tempo real, cópias, prazo e eliminação. Uma instalação tecnicamente capaz de filmar áreas proibidas não se torna conforme apenas com um cartaz. Se o município usar um prestador para alojamento ou manutenção, documente o papel do prestador e restrinja acessos. Se houver análise automática de imagens, avalie separadamente essa funcionalidade e os seus riscos; a simples existência da câmara não autoriza novas finalidades.
Fornecedores, incidentes e continuidade
Os fornecedores de software podem tratar dados em nome da autarquia e exigir um contrato ou outro ato jurídico vinculativo nos termos do artigo 28.º, n.os 3 e 9, do RGPD. Não basta uma cláusula comercial sobre «confidencialidade»: delimite instruções, medidas de segurança, subcontratantes, assistência em pedidos de direitos e violações, devolução ou eliminação de dados e auditoria. Outros destinatários podem atuar como responsáveis autónomos; a classificação depende dos poderes e finalidades reais. Confronte contrato, registo de atividades e informação ao cidadão antes de pôr o sistema em produção.
Uma falha de acesso ao portal não é necessariamente uma violação de dados pessoais, mas um ataque que exponha dados ou torne inacessíveis ficheiros pessoais pode sê-lo. O artigo 33.º obriga a notificar a autoridade sem demora injustificada e, se possível, até 72 horas após o conhecimento, salvo se for improvável um risco para as pessoas; a notificação posterior deve explicar o atraso. Documente todas as violações de dados pessoais, mesmo sem notificação, e avalie separadamente a comunicação aos titulares em caso de risco elevado. O guia da notificação de violação à CNPD trata o procedimento de envio; a autarquia precisa ainda de contactos internos e de fornecedores que permitam agir a tempo.
Para gerir a continuidade, atribua um proprietário a cada conjunto de dados, reveja permissões quando funcionários mudam de função e verifique a recuperação de backups. O município pode prestar serviços essenciais em balcões e sistemas heterogéneos; uma política central só funciona se cada equipa souber a quem comunicar um erro ou pedido. Registe decisões de conservação por serviço, inclusive para processos arquivados, sem aplicar um prazo único a todos os dados.
Coimas e o caso Lisboa sem generalizações
O artigo 44.º da Lei 58/2019 determina que as coimas se aplicam a entidades públicas e privadas. O n.º 2 previa, durante três anos após a entrada em vigor, a possibilidade de entidades públicas pedirem fundamentadamente dispensa de coimas à CNPD. Essa disposição transitória não constitui isenção permanente nem transforma qualquer sanção futura num valor pré-fixado. O montante concreto depende das infrações, do procedimento, dos critérios aplicáveis e de eventual controlo judicial. A análise das coimas em Portugal pode orientar a leitura, mas consulte a decisão primária para valores e estado processual.
No caso do Município de Lisboa, a CNPD aplicou em 21 de dezembro de 2021 uma coima única de 1.250.000 euros pela divulgação de dados de promotores de manifestações. Segundo a notícia oficial da CNPD de 13 de agosto de 2024, o Tribunal Administrativo de Círculo confirmou a violação em julho de 2024, mas fixou a coima em 1.027.500 euros, excluindo infrações entretanto prescritas. É essencial distinguir a decisão inicial da decisão judicial divulgada; o caso mostra o risco de comunicar dados a destinatários sem fundamento, não uma tabela de coimas para outros municípios.
Um primeiro mês de trabalho que produz evidência
Em vez de tentar resolver todos os serviços com uma declaração única, escolha dois processos com perfis diferentes: por exemplo, licenciamento e apoio social. Para cada um, reúna o formulário usado, a norma aplicável, os destinatários efetivos, os acessos no sistema e o prazo de conservação. Peça ao EPD que identifique questões e entregue ao serviço responsável uma lista curta de decisões pendentes. A direção deve decidir o que cabe à autarquia e financiar correções; a simples assinatura do encarregado não torna uma prática conforme.
Na segunda fase, compare as informações publicadas com o que acontece no balcão e na aplicação. Se o aviso promete apagamento imediato mas o arquivo conserva o processo por obrigação legal, corrija o texto e documente o prazo real. Se o fornecedor consegue consultar processos sem necessidade, reduza permissões e ajuste o contrato. Uma visão geral de software de conformidade RGPD pode orientar requisitos de documentação na contratação, mas a seleção depende dos processos, do orçamento público e da prova de capacidade concreta do fornecedor.
O resultado esperado não é um dossiê vistoso: é uma cadeia verificável entre atribuição legal, dado necessário, pessoa autorizada, informação ao cidadão e resposta a problemas. Quando essa cadeia funciona em dois processos, estenda o método a receitas, educação, recursos humanos e serviços digitais. Reveja-a quando a lei, o procedimento ou a tecnologia mudarem.
Perguntas frequentes
Uma junta de freguesia também precisa de EPD?
Sendo autoridade ou organismo público abrangido pelo artigo 37.º, n.º 1, alínea a), sim. O RGPD permite partilhar um EPD com outras autoridades, considerando estrutura e dimensão. A solução partilhada só é útil se houver meios reais para aconselhar cada entidade e responder aos titulares e à CNPD.
O município deve pedir consentimento para um apoio social?
Em regra, a instrução de um apoio da competência da autarquia assenta na norma que estabelece a função ou obrigação e nos dados necessários, não num consentimento que o requerente não pode recusar livremente. Identifique a base do artigo 6.º e, se houver dados especiais, a condição do artigo 9.º. Uma newsletter independente pode requerer análise diferente.
Toda a videovigilância municipal exige AIPD?
Não automaticamente. AIPD é obrigatória perante risco elevado e nas hipóteses do artigo 35.º, incluindo monitorização sistemática em larga escala de zonas acessíveis ao público. Verifique igualmente se o sistema protege um edifício ou se integra vigilância de espaço público por forças de segurança: os regimes não são intercambiáveis.
As entidades públicas podem receber coimas?
Sim, segundo o artigo 44.º da Lei 58/2019. A possibilidade transitória de pedir dispensa tinha um prazo de três anos. No caso Lisboa, a CNPD publicou a decisão inicial de 2021 e uma notícia sobre a sentença de 2024 com valor reduzido. Nenhum dos montantes determina por si a sanção de outro caso.
Um programa municipal sólido começa com processos reais: serviço responsável, fundamento, destinatários, prazos, acessos e resposta a pedidos ou incidentes. O EPD aconselha e acompanha, mas cada serviço e a direção devem manter decisões rastreáveis. Essa documentação protege o cidadão e permite à autarquia explicar por que utiliza cada dado.