O Regulamento Geral sobre a Proteção de Dados é a lei de privacidade mais influente do mundo. Aplica-se a todas as organizações que tratem dados pessoais de residentes da UE — e a aplicação está a intensificar-se em todos os Estados-membros.
O Regulamento Geral sobre a Proteção de Dados (GDPR), Regulamento (UE) 2016/679, entrou em vigor a 25 de maio de 2018 e continua a ser a lei de privacidade de dados mais influente do mundo. Estabelece um quadro abrangente sobre como as organizações devem recolher, armazenar, tratar e transferir os dados pessoais de indivíduos na União Europeia e no Espaço Económico Europeu.
O que torna o GDPR incomum — e poderoso — é o seu âmbito extraterritorial. Aplica-se não apenas a organizações estabelecidas na UE, mas a qualquer organização em qualquer parte do mundo que ofereça bens ou serviços a residentes da UE, ou que monitorize o comportamento de indivíduos na UE. Uma empresa SaaS sediada nos EUA com clientes europeus está sujeita ao GDPR. Uma plataforma de e-commerce brasileira que envia para a Alemanha está sujeita ao GDPR. O regulamento segue o titular dos dados, não a morada do responsável pelo tratamento.
O GDPR assenta num conjunto de princípios que regem todo o tratamento de dados pessoais, um catálogo de direitos individuais que as organizações devem ser capazes de cumprir, e uma série de obrigações específicas que abrangem transparência, segurança, responsabilização e transferências transfronteiriças de dados. O incumprimento pode resultar em coimas de até €20 milhões ou 4% do volume de negócios anual global — o que for mais elevado — aplicadas pelas autoridades nacionais de proteção de dados nos 27 Estados-membros da UE.
Desde 2018, as APD nacionais emitiram mais de €4 mil milhões em coimas. A aplicação intensificou-se ano após ano, com tipos recorrentes de infração incluindo consentimento de cookies ilegal, base jurídica insuficiente para marketing, acordos inadequados com subcontratantes e incumprimento dos pedidos de direitos dos titulares de dados dentro do prazo legal de 30 dias.
O GDPR aplica-se a qualquer organização que trate dados pessoais de pessoas singulares que se encontrem na UE ou no EEE, independentemente de onde a organização esteja localizada. Não existe limiar de dimensão de empresa — um trabalhador independente que gere uma lista de email de subscritores da UE está sujeito ao GDPR.
O GDPR distingue dois papéis principais:
Dados pessoais são definidos de forma ampla: qualquer informação que possa direta ou indiretamente identificar uma pessoa singular viva. Inclui nomes, endereços de email, endereços IP, identificadores de cookies, dados de localização, dados biométricos, registos de saúde e muito mais.
O artigo 5.º do GDPR estabelece sete princípios que regem todo o tratamento de dados pessoais. Todas as atividades de tratamento devem cumprir os sete:
O tratamento deve ter uma base jurídica válida (Art. 6.º), ser leal para com o titular dos dados e ser transparente — os indivíduos devem saber que dados são recolhidos e porquê.
Os dados recolhidos para uma finalidade declarada não podem ser reutilizados para uma utilização diferente e incompatível. A utilização secundária exige consentimento ou uma avaliação de finalidade compatível.
Recolher e tratar apenas os dados pessoais estritamente necessários para a finalidade especificada. A recolha de dados "por precaução" não é conforme.
Os dados pessoais devem ser mantidos exatos e, quando necessário, atualizados. As organizações devem tomar medidas razoáveis para apagar ou retificar dados inexatos sem demora.
Os dados pessoais não devem ser conservados mais tempo do que o necessário para a sua finalidade. As organizações necessitam de calendários de retenção documentados e processos de eliminação.
Devem estar em vigor medidas de segurança técnicas e organizativas adequadas para proteger os dados contra acesso não autorizado, perda, destruição ou dano acidental.
O sétimo princípio — Responsabilização — aplica-se a todos os outros. Os responsáveis pelo tratamento não devem apenas cumprir estes princípios, mas devem ser capazes de demonstrar a conformidade a qualquer momento, através de políticas documentadas, registos, avaliações e estruturas de governação.
O GDPR confere aos indivíduos (titulares dos dados) oito direitos aos quais as organizações devem ser capazes de responder, geralmente dentro de 30 dias de calendário a contar da receção. O não cumprimento, ou uma resposta inadequada, constitui em si mesma uma infração ao GDPR.
Os indivíduos podem solicitar uma cópia de todos os dados pessoais que lhes dizem respeito e informações sobre como são tratados.
Os indivíduos podem exigir a correção de dados pessoais inexatos e o aditamento de dados incompletos.
O "direito a ser esquecido" — os indivíduos podem solicitar o apagamento dos seus dados em determinadas circunstâncias, incluindo a retirada do consentimento.
Os indivíduos podem solicitar os seus dados num formato estruturado e legível por máquina para transferência para outro prestador de serviços.
O tratamento pode ser limitado (mas não apagado) enquanto a exatidão está a ser contestada ou uma avaliação de interesses legítimos está pendente.
Os indivíduos podem opor-se ao tratamento baseado em interesses legítimos ou para fins de marketing direto — este último é um direito absoluto.
Os indivíduos têm o direito de não ficar sujeitos a decisões exclusivamente automatizadas que produzam efeitos significativos sobre eles, salvo se condições específicas estiverem preenchidas.
Quando o consentimento é a base jurídica do tratamento, deve ser tão fácil retirar como dar. A retirada deve ter efeito imediato.
O GDPR estabelece um regime de sanções em dois níveis. As coimas são determinadas com base na natureza, gravidade e duração da infração, no número de titulares de dados afetados, no grau de cooperação com a autoridade de controlo e nas medidas tomadas pela organização para mitigar o dano.
| Nível | Coima Máxima | Infrações aplicáveis |
|---|---|---|
| Nível 1 | €10 milhões ou 2% do volume de negócios anual global (o que for mais elevado) | Infrações às obrigações do responsável/subcontratante (Art. 8.º, 11.º, 25.º–39.º, 42.º–43.º), incluindo requisitos de segurança de dados, notificação de violações e acordos DPA |
| Nível 2 | €20 milhões ou 4% do volume de negócios anual global (o que for mais elevado) | As infrações mais graves: violação dos princípios básicos (Art. 5.º–7.º, 9.º), direitos dos titulares de dados (Art. 12.º–22.º), transferências internacionais (Art. 44.º–49.º) e incumprimento de ordens da autoridade de controlo |
Para além das coimas, as APD nacionais podem emitir advertências, proibições temporárias ou permanentes do tratamento e ordens de conformidade. Os titulares dos dados também podem apresentar pedidos de indemnização por danos não patrimoniais (angústia, ansiedade) para além de danos materiais. As queixas representativas de tipo ação coletiva são cada vez mais frequentes.
Passe da compreensão do GDPR para a sua implementação.
Fontes e legislação primária
Verifique esta página contra as fontes primárias acima. Monitorizamos o EUR-Lex, as orientações do EDPB e as decisões da CNPD regularmente. O RGPD é um Regulamento (diretamente aplicável) e não foi materialmente alterado desde a sua adoção; a orientação de aplicação continua a evoluir através do EDPB e das APD nacionais.