Dados e Privacidade — Portugal (2026)

O RGPD é diretamente aplicável. A Lei n.º 58/2019, de 8 de agosto, não transpõe o RGPD, mas «assegura a sua aplicação» em Portugal, preenchendo as margens de discricionariedade que o regulamento deixa aos Estados-Membros (por exemplo, o tratamento de dados no âmbito do emprego, da saúde, dos dados sensíveis e a idade mínima de 13 anos para o consentimento digital de menores).

A Comissão Nacional de Proteção de Dados é a autoridade nacional de proteção de dados, um órgão administrativo independente dotado de personalidade jurídica e autonomia administrativa e financeira, que funciona no âmbito da Assembleia da República. Detém poderes de investigação e de correção, pode aplicar coimas administrativas, emite decisões vinculativas, pareceres sobre legislação e orientações setoriais.

Na Deliberação n.º 494/2019, semanas após a entrada em vigor da Lei n.º 58/2019, a CNPD decidiu não aplicar várias das suas disposições (incluindo aspetos relativos a coimas, retenção de dados e tratamento de dados de interesse público), considerando-as incompatíveis com o RGPD, de aplicação direta, uma característica notável do funcionamento prático do regime.

A Lei n.º 59/2019, de 8 de agosto, regula o tratamento de dados pessoais para efeitos de prevenção, deteção, investigação ou repressão de infrações penais e execução de sanções, transpondo a Diretiva da UE relativa às autoridades responsáveis pela aplicação da lei (Diretiva (UE) 2016/680).

A Lei n.º 41/2004, de 18 de agosto, transpõe a Diretiva relativa à privacidade nas comunicações eletrónicas (2002/58/CE), que regula a privacidade nas comunicações eletrónicas. Os cookies e outros meios de rastreamento semelhantes exigem consentimento prévio e informado, a menos que sejam estritamente necessários para prestar um serviço solicitado pelo utilizador; a CNPD emitiu orientações sobre cookies e marketing direto eletrónico.

Os responsáveis pelo tratamento e os subcontratantes devem respeitar os princípios do RGPD (licitude, transparência, finalidade e minimização de dados, segurança), manter registos, realizar avaliações de impacto relativas à proteção de dados (DPIA), nomear responsáveis pela proteção de dados (DPO) sempre que necessário e comunicar as violações. Os titulares dos dados gozam dos direitos previstos no RGPD — acesso, retificação, apagamento, limitação do tratamento, portabilidade e oposição —, que podem ser exercidos através da CNPD, cujas decisões vinculativas são passíveis de recurso para os tribunais administrativos.