Guia Segurança

A sua empresa recolhe e-mails de clientes? Guarda dados de funcionários? Usa um sistema de videovigilância? Se respondeu sim a qualquer destas perguntas, o RGPD PME Portugal aplica-se a si — e o incumprimento pode custar entre €2.000 e €20 milhões em coimas. A boa notícia: cumprir as regras do RGPD não é assim tão complicado quando se sabe por onde começar. Neste artigo, apresentamos um checklist prático e directo para PMEs portuguesas que querem estar em conformidade com a lei de proteção de dados.

O Que É o RGPD e a Quem Se Aplica?

O Regulamento Geral sobre a Protecção de Dados (RGPD) é uma lei europeia em vigor desde maio de 2018 que regula a forma como as organizações tratam dados pessoais de cidadãos da União Europeia. Em Portugal, é aplicado e fiscalizado pela Comissão Nacional de Protecção de Dados (CNPD), a autoridade de supervisão nacional.

Ao contrário do que muitas PMEs pensam, o RGPD não se aplica apenas a grandes empresas. Aplica-se a qualquer organização — independentemente da dimensão — que trate dados pessoais de residentes na UE. Isto inclui lojas online, clínicas, escritórios de contabilidade, restaurantes, agências de marketing e qualquer empresa com funcionários. Dados pessoais incluem: nome, morada, e-mail e telefone de clientes ou colaboradores; dados de navegação recolhidos via cookies; imagens de videovigilância; dados de saúde ou financeiros; e qualquer informação que permita identificar directamente ou indirectamente uma pessoa.

Se a sua PME faz qualquer uma destas coisas — e a maioria faz — precisa de cumprir o RGPD. A boa notícia é que a conformidade não precisa de ser cara nem complicada: basta saber o que se exige.

As 10 Obrigações RGPD que Toda a PME Portuguesa Deve Cumprir

Muitas PMEs ficam perdidas perante a extensão do regulamento. Por isso, resumimos as obrigações essenciais num formato claro e accionável.

1. Ter uma base legal para tratar dados
Não pode simplesmente recolher dados porque lhe é útil. Precisa de uma base legal válida: consentimento do titular, execução de contrato, obrigação legal, interesse legítimo, entre outras. Para newsletters e marketing directo, o consentimento explícito e documentado é obrigatório.

2. Informar os titulares dos dados
Toda a pessoa cujos dados recolhe tem direito a saber: quem recolhe os dados, para que fins, durante quanto tempo são guardados e quais os seus direitos. Esta informação deve constar na sua Política de Privacidade — publicada de forma clara e acessível no seu site.

3. Garantir os direitos dos titulares
O RGPD confere aos cidadãos vários direitos: acesso aos seus dados, rectificação de erros, apagamento (o chamado “direito a ser esquecido”), portabilidade e oposição ao tratamento. A sua PME tem de ser capaz de responder a estes pedidos em 30 dias.

4. Gerir o consentimento correctamente
O consentimento tem de ser livre, específico, informado e inequívoco. Uma caixa pré-marcada num formulário não constitui consentimento válido — a CNPD tem aplicado coimas por esta prática. Em Portugal, a idade mínima para consentimento digital é 13 anos.

5. Manter o Registo de Actividades de Tratamento (RAT)
A maioria das PMEs está obrigada a manter um registo interno das suas actividades de tratamento de dados. Este documento lista: categorias de dados tratados, finalidades do tratamento, prazos de conservação e medidas de segurança aplicadas. A CNPD pode pedi-lo a qualquer momento numa inspeição.

6. Aplicar medidas técnicas e organizativas de segurança
Devem implementar medidas adequadas ao risco para proteger os dados pessoais: encriptação de dados sensíveis, controlo de acessos, backups regulares e seguros, gestão rigorosa de passwords. A segurança de dados é um pilar central do RGPD — e também da boa gestão de cibersegurança empresarial. Se ainda não tem um plano de segurança para a sua empresa, leia o nosso artigo sobre O que fazer se foi hackeado para perceber os riscos reais de uma quebra de segurança.

7. Notificar violações de dados em 72 horas
Se ocorrer uma quebra de segurança que afecte dados pessoais — como um ataque informático, roubo de equipamento ou acesso não autorizado — tem apenas 72 horas para notificar a CNPD. Se o risco for elevado para os titulares, também tem de os informar directamente e sem demora injustificada.

8. Gerir fornecedores e subcontratantes (DPA)
Se partilha dados pessoais com fornecedores externos — software de contabilidade, plataformas de e-mail marketing, serviços cloud, empresas de limpeza com acesso às instalações — precisa de um Contrato de Tratamento de Dados (DPA) com cada um deles. Este contrato define as responsabilidades de cada parte no tratamento dos dados.

9. Avaliar a necessidade de nomear um DPO
A maioria das PMEs não é obrigada a nomear um Encarregado de Protecção de Dados (DPO ou EPD). A obrigação existe quando: (a) o núcleo da actividade envolve monitorização sistemática de pessoas em grande escala, ou (b) são tratadas categorias especiais de dados como dados de saúde ou dados biométricos. Mesmo quando não é obrigatório, pode ser uma boa prática nas PMEs de maior dimensão.

10. Fazer avaliações de impacto (AIPD) quando necessário
Para tratamentos de alto risco — videovigilância em larga escala, perfilamento de clientes para decisões automáticas, sistemas biométricos — é obrigatória uma Avaliação de Impacto sobre a Protecção de Dados (AIPD) antes de iniciar o tratamento.

Quais as Coimas por Incumprimento do RGPD em Portugal?

O RGPD prevê dois níveis de coimas, aplicadas em Portugal pela CNPD. As coimas graves atingem até €10 milhões ou 2% do volume de negócios anual global (o que for mais elevado), e aplicam-se a infracções como não cumprir os princípios de privacy by design ou não ter contratos DPA. As coimas muito graves atingem até €20 milhões ou 4% do volume de negócios anual global, e aplicam-se a violações dos princípios fundamentais ou dos direitos dos titulares.

Para PMEs portuguesas, a legislação nacional prevê coimas mínimas de €1.000 a €2.000, escalando para €2 milhões nas infracções mais graves. A CNPD é legalmente obrigada a emitir uma advertência prévia antes da primeira coima, salvo em casos de dolo deliberado — o que dá às empresas uma oportunidade de corrigir a situação. Mas as coimas não são o único risco: o dano reputacional e a perda de confiança dos clientes podem ter um impacto muito maior no negócio a longo prazo.

RGPD e NIS2: Complementos Obrigatórios para PMEs

O RGPD não existe no vácuo. Com a entrada em vigor da Directiva NIS2 em Portugal a 3 de abril de 2026, muitas PMEs passaram a ter obrigações adicionais de cibersegurança que se sobrepõem directamente com os requisitos do RGPD. Ambas as leis exigem medidas técnicas de segurança, gestão estruturada de incidentes e notificação de violações às autoridades competentes.

Se a sua empresa opera em sectores considerados essenciais ou importantes — energia, saúde, transporte, infraestruturas digitais, entre outros — pode já estar abrangida pela NIS2. Leia o nosso artigo completo sobre NIS2 em Portugal: o que muda para a sua PME para perceber se se aplica ao seu caso e o que precisa de fazer.

Checklist RGPD para PMEs: Os 10 Pontos a Verificar Hoje

Use esta lista para fazer uma primeira avaliação rápida do estado de conformidade da sua empresa:

• ☐ Identifiquei todos os dados pessoais que a minha empresa recolhe e trata
• ☐ Tenho uma base legal definida e documentada para cada tipo de tratamento de dados
• ☐ A minha Política de Privacidade está actualizada, completa e publicada no site
• ☐ Os formulários de recolha de dados têm consentimento claro e não pré-marcado
• ☐ Tenho um processo definido para responder a pedidos de titulares em 30 dias
• ☐ Mantenho um Registo de Actividades de Tratamento (RAT) actualizado
• ☐ Tenho contratos DPA assinados com todos os fornecedores que tratam dados por minha conta
• ☐ Tenho medidas de segurança implementadas: passwords fortes, 2FA, backups, encriptação
• ☐ Tenho um plano de resposta a incidentes para notificar a CNPD em 72h
• ☐ Avaliei se a minha empresa precisa de nomear um DPO

Se marcou menos de 7 pontos, a sua empresa tem trabalho a fazer em matéria de conformidade com o RGPD PME Portugal. O primeiro passo é sempre fazer um mapeamento completo dos dados que trata e das finalidades de cada tratamento.

Conclusão: Conformidade RGPD não é Opção, é Obrigação

O RGPD existe há oito anos, mas muitas PMEs portuguesas ainda não estão plenamente conformes. A fiscalização pela CNPD tem vindo a intensificar-se nos últimos anos, e o desconhecimento da lei não é uma defesa válida perante as autoridades. A boa notícia é que cumprir o RGPD, na maioria dos casos, não requer investimentos avultados — requer sobretudo organização, processos claros e uma cultura de respeito pelos dados das pessoas.

Comece pelo checklist acima. Identifique os pontos críticos na sua empresa. E se precisar de ajuda para construir um plano de segurança e conformidade completo para a sua PME, temos o recurso certo para si.

Conhece alguém que precisa de proteger o negócio? Partilhe este artigo com um colega empresário.