(Atualizado em 23 de agosto de 2026.)
O Regulamento (UE) 2021/784, de 29 de abril de 2021, relativo ao combate à difusão de conteúdos terroristas em linha, foi publicado no Jornal Oficial da União Europeia em 17 de maio de 2021.
O regulamento entrou em vigor em 6 de junho de 2021 e tornou-se aplicável em 7 de junho de 2022.
O seu objetivo é combater a utilização abusiva dos serviços de alojamento virtual para difundir conteúdos terroristas ao público, garantindo simultaneamente a segurança jurídica dos prestadores, a proteção dos utilizadores e o respeito pela liberdade de expressão e de informação.
O Regulamento (UE) 2021/784 estabelece um regime específico para os conteúdos terroristas em linha.
Coexiste com o Regulamento (UE) 2022/2065, conhecido como Digital Services Act ou DSA. O artigo 2.º, n.º 4, alínea c), do DSA determina expressamente que este se aplica sem prejuízo do Regulamento (UE) 2021/784.
O regulamento aplica-se igualmente sem prejuízo das Diretivas 2000/31/CE e 2010/13/UE. Relativamente aos serviços de comunicação social audiovisual abrangidos pela Diretiva 2010/13/UE, prevalece esta última, nos termos do artigo 1.º, n.º 5.
As regras gerais do DSA sobre serviços intermediários, conteúdos ilegais, decisões das autoridades, transparência e reclamações continuam, por isso, a ser relevantes, mas o Regulamento (UE) 2021/784 contém o regime especial aplicável às decisões de supressão de conteúdos terroristas e ao respetivo prazo de execução.
O regulamento aplica-se aos prestadores de serviços de alojamento virtual que prestem serviços na União Europeia e difundam informações ao público, independentemente do país onde tenham o seu estabelecimento principal.
Considera-se prestador de serviços de alojamento virtual o prestador de serviços da sociedade da informação que armazena informações fornecidas por um utilizador, denominado fornecedor de conteúdos, a pedido deste.
Para ficar abrangido pelo regulamento, o serviço deve, além dessa armazenagem, permitir a difusão da informação ao público, isto é, a sua disponibilização a um número potencialmente ilimitado de pessoas.
Podem estar abrangidos, dependendo do funcionamento concreto do serviço:
Redes sociais;
Serviços de partilha de vídeos, imagens ou áudio;
Serviços de alojamento e partilha pública de ficheiros;
Plataformas de publicação de conteúdos;
Serviços de alojamento de sítios Web;
Determinados serviços de computação em nuvem utilizados, a pedido direto do fornecedor de conteúdos, para disponibilizar ao público a informação armazenada.
O alojamento de um sítio Web pode, portanto, ficar abrangido quando o prestador armazena os conteúdos fornecidos pelo cliente e permite a sua disponibilização ao público. A qualificação depende das funções efetivamente desempenhadas pelo serviço e não apenas da designação comercial utilizada.
Em regra, não ficam abrangidos os serviços que não armazenem e difundam ao público conteúdos fornecidos pelos respetivos utilizadores, designadamente:
Serviços de simples transporte de dados;
Serviços de armazenagem temporária ou caching;
Registos e agentes de registo de nomes de domínio;
Sistemas de nomes de domínio ou DNS;
Serviços de proteção de pagamentos;
Serviços de proteção contra ataques distribuídos de negação de serviço;
Correio eletrónico e serviços de mensagens privadas;
Serviços de infraestrutura de computação em nuvem que apenas beneficiem indiretamente o fornecedor dos conteúdos e não sejam utilizados, a pedido direto deste, para os disponibilizar ao público.
Quando um prestador disponibilize vários serviços, o regulamento aplica-se apenas aos serviços que preencham os respetivos requisitos.
Um prestador estabelecido fora da União fica abrangido quando os seus serviços tenham uma ligação substancial com um ou mais Estados-Membros.
Essa ligação pode resultar:
Do estabelecimento do prestador na União;
Da existência de um número significativo de utilizadores num ou mais Estados-Membros;
Da orientação das atividades do prestador para um ou mais Estados-Membros.
A simples possibilidade técnica de aceder ao serviço a partir da União não é, por si só, suficiente. Devem existir elementos concretos que demonstrem uma ligação substancial com o mercado europeu.
O artigo 2.º considera conteúdo terrorista o material que, designadamente:
Incite à prática de infrações terroristas, incluindo através da glorificação de atos de terrorismo quando daí resulte o risco de prática de uma ou mais infrações;
Induza pessoas a praticar ou contribuir para a prática de infrações terroristas;
Induza pessoas a participar nas atividades de um grupo terrorista;
Forneça instruções sobre o fabrico ou utilização de explosivos, armas, substâncias perigosas ou outros métodos destinados à prática ou contribuição para infrações terroristas;
Constitua uma ameaça de prática de uma infração terrorista.
Esta definição deve ser interpretada em articulação com a Diretiva (UE) 2017/541, relativa à luta contra o terrorismo.
Não são considerados conteúdos terroristas os materiais difundidos ao público para fins:
Educativos;
Jornalísticos;
Artísticos;
Científicos ou de investigação;
De prevenção ou combate ao terrorismo;
De debate público, incluindo a expressão de opiniões polémicas ou controversas.
O verdadeiro objetivo da publicação deve ser avaliado considerando o contexto e a finalidade da difusão. A expressão de opiniões radicais, polémicas ou controversas não constitui, por si só, conteúdo terrorista.
A aplicação do regulamento deve respeitar a liberdade de expressão e de informação, a liberdade e o pluralismo dos meios de comunicação social, a liberdade artística, a proteção de dados pessoais e os restantes direitos fundamentais.
As autoridades competentes dos Estados-Membros podem emitir decisões de supressão que determinem a um prestador de serviços de alojamento virtual que suprima determinado conteúdo terrorista ou bloqueie o acesso ao mesmo em todos os Estados-Membros.
O prestador deve executar a decisão logo que possível e, em qualquer caso, no prazo máximo de uma hora após a sua receção.
O prazo de uma hora não constitui uma obrigação geral de remover autonomamente qualquer conteúdo suspeito. Aplica-se quando o prestador recebe uma decisão formal de supressão emitida por uma autoridade competente ao abrigo do regulamento.
Quando uma autoridade nunca tenha anteriormente emitido uma decisão de supressão dirigida ao prestador, deve informá-lo dos procedimentos e prazos aplicáveis pelo menos 12 horas antes de emitir a primeira decisão.
A informação prévia de 12 horas pode ser dispensada em casos urgentes devidamente justificados.
As decisões devem seguir o modelo constante do anexo I do regulamento e incluir, nomeadamente:
Identificação e autenticação da autoridade emitente;
Fundamentação suficientemente detalhada da qualificação do material como conteúdo terrorista;
Identificação do tipo de conteúdo terrorista em causa;
URL exato e, quando necessário, outras informações que permitam localizar o conteúdo;
Referência ao Regulamento (UE) 2021/784 como base jurídica;
Data, hora e assinatura eletrónica da autoridade;
Informação sobre as vias e prazos de recurso;
Eventual decisão de não divulgar temporariamente informações ao fornecedor dos conteúdos.
A decisão é dirigida ao estabelecimento principal do prestador ou ao representante legal designado na União e transmitida eletronicamente através do respetivo ponto de contacto.
Depois de executar a decisão, o prestador informa a autoridade competente, sem demora injustificada, da supressão ou do bloqueio, incluindo a respetiva data e hora.
Se o prestador não puder cumprir a decisão por motivo de força maior ou por impossibilidade de facto que não lhe seja imputável, incluindo razões técnicas ou operacionais objetivamente justificáveis, deve informar a autoridade competente sem demora injustificada.
O prazo de uma hora começa a correr quando deixarem de existir os motivos que impediam o cumprimento.
Quando a decisão contenha erros manifestos ou não inclua informações suficientes para identificar ou suprimir o conteúdo, o prestador deve pedir os esclarecimentos necessários. O prazo começa a correr quando esses esclarecimentos forem recebidos.
O regulamento contém modelos próprios para comunicar a execução da decisão e a impossibilidade de a executar.
Uma autoridade pode emitir uma decisão dirigida a um prestador cujo estabelecimento principal ou representante legal se encontre noutro Estado-Membro.
Nesse caso, a autoridade emitente envia simultaneamente uma cópia da decisão à autoridade competente do Estado-Membro do estabelecimento principal ou do representante legal.
Esta última autoridade pode, por iniciativa própria e no prazo de 72 horas, analisar se a decisão infringe grave ou manifestamente o regulamento ou os direitos e liberdades fundamentais.
O prestador e o fornecedor dos conteúdos podem também, no prazo de 48 horas, pedir fundamentadamente essa análise. A autoridade deve decidir no prazo de 72 horas após receber o pedido.
Se a autoridade concluir que existe uma infração grave ou manifesta, a decisão de supressão deixa de produzir efeitos jurídicos. O prestador deve repor imediatamente o conteúdo ou desbloquear o respetivo acesso, sem prejuízo da possibilidade de continuar a aplicar os seus termos e condições quando exista outro fundamento legítimo.
As obrigações relativas às medidas específicas não se aplicam automaticamente a todos os prestadores.
Um prestador é considerado exposto a conteúdos terroristas quando a autoridade competente do Estado-Membro do seu estabelecimento principal ou do seu representante legal adote e lhe notifique uma decisão baseada em fatores objetivos.
Entre esses fatores pode encontrar-se a receção de duas ou mais decisões definitivas de supressão durante os 12 meses anteriores.
Depois de receber a decisão, o prestador deve tomar medidas específicas para proteger os seus serviços contra a difusão de conteúdos terroristas ao público.
A escolha das medidas cabe ao prestador e pode incluir:
Recursos humanos ou técnicos adequados para identificar e suprimir rapidamente conteúdos terroristas;
Mecanismos acessíveis para os utilizadores denunciarem ou sinalizarem conteúdos;
Mecanismos de moderação e sensibilização dos utilizadores;
Outras medidas consideradas adequadas ao serviço e ao risco existente.
As medidas específicas devem ser:
Eficazes;
Orientadas para o risco identificado;
Proporcionadas à gravidade da exposição;
Adequadas à capacidade financeira, técnica e operacional do prestador;
Aplicadas de forma diligente e não discriminatória;
Compatíveis com a liberdade de expressão, a privacidade e a proteção de dados.
Quando sejam utilizadas medidas técnicas ou automatizadas, devem existir garantias adequadas, incluindo supervisão e verificação humana, para assegurar a exatidão das decisões e evitar a remoção de material lícito.
O regulamento não impõe:
Uma obrigação geral de monitorização dos conteúdos;
Uma obrigação geral de procurar ativamente atividades ilícitas;
A utilização obrigatória de ferramentas automatizadas.
O prestador considerado exposto deve comunicar à autoridade as medidas específicas adotadas e as que pretende adotar:
No prazo de três meses após receber a decisão;
Posteriormente, todos os anos, enquanto continuar a ser considerado exposto.
Se a autoridade considerar as medidas insuficientes, pode determinar a adoção das medidas necessárias para assegurar o cumprimento. O prestador conserva o direito de escolher o tipo concreto de medidas.
O prestador pode pedir a qualquer momento a reavaliação, alteração ou revogação da decisão. A autoridade dispõe de três meses para responder através de decisão fundamentada.
Os conteúdos suprimidos ou bloqueados na sequência de uma decisão de supressão ou de medidas específicas, bem como os dados conexos necessários, devem ser conservados durante seis meses.
A conservação destina-se exclusivamente:
A processos de recurso administrativo ou judicial e ao tratamento de reclamações;
À prevenção, deteção, investigação e repressão de infrações terroristas.
A pedido da autoridade ou de um tribunal, a conservação pode ser prolongada pelo período adicional necessário a processos de recurso em curso.
Os dados conservados devem ser protegidos através de medidas técnicas e organizativas adequadas e apenas podem ser acedidos e tratados para as finalidades previstas no regulamento.
Os prestadores devem definir claramente nos respetivos termos e condições a política seguida para combater os conteúdos terroristas, incluindo uma explicação sobre as medidas específicas e a eventual utilização de ferramentas automatizadas.
O prestador que tenha adotado medidas ou recebido decisões ao abrigo do regulamento durante um determinado ano civil deve publicar um relatório de transparência antes de 1 de março do ano seguinte.
O relatório deve incluir, nomeadamente:
Medidas utilizadas para identificar, suprimir ou bloquear conteúdos;
Medidas destinadas a evitar o reaparecimento de conteúdos anteriormente removidos;
Número de conteúdos suprimidos ou bloqueados;
Decisões que não puderam ser executadas e respetiva fundamentação;
Número e resultado das reclamações;
Processos administrativos ou judiciais;
Casos em que os conteúdos foram repostos ou desbloqueados.
Os prestadores devem estabelecer mecanismos eficazes e acessíveis para permitir que os fornecedores contestem a supressão ou o bloqueio resultante de medidas específicas adotadas pelo próprio prestador.
As reclamações devem ser examinadas de forma expedita. Quando a supressão ou o bloqueio sejam injustificados, o conteúdo deve ser reposto ou desbloqueado sem demora indevida.
O reclamante deve ser informado do resultado no prazo de duas semanas após a receção da reclamação. Se a reclamação for indeferida, devem ser indicados os respetivos fundamentos.
Este mecanismo não substitui o direito de recurso administrativo ou judicial.
Quando suprima ou bloqueie conteúdos, o prestador deve informar o respetivo fornecedor.
A pedido deste, deve ainda indicar os fundamentos da decisão, explicar o direito de contestação ou fornecer uma cópia da decisão de supressão.
A autoridade pode determinar que estas informações não sejam divulgadas quando a restrição seja necessária e proporcional por razões de segurança pública, prevenção, investigação ou repressão de infrações terroristas.
A não divulgação pode vigorar durante seis semanas e ser prorrogada por mais seis semanas quando continue a justificar-se.
Cada prestador abrangido deve designar ou criar um ponto de contacto que permita:
Receber decisões de supressão por via eletrónica;
Assegurar o seu tratamento expedito nos termos dos artigos 3.º e 4.º;
Comunicar com as autoridades competentes no âmbito das decisões e das correspondentes trocas de informações.
As informações relativas ao ponto de contacto devem ser disponibilizadas ao público.
O prestador deve indicar as línguas oficiais da União que podem ser utilizadas nas comunicações. Pelo menos uma deve ser uma língua oficial do Estado-Membro onde se encontre o estabelecimento principal ou o representante legal.
Quando um prestador tome conhecimento de conteúdos terroristas que impliquem uma ameaça iminente à vida, deve informar imediatamente as autoridades responsáveis pela investigação e repressão de infrações penais nos Estados-Membros em causa.
Se não for possível identificar os Estados-Membros afetados, o prestador deve notificar o ponto de contacto do Estado-Membro do estabelecimento principal ou do representante legal e transmitir a informação à Europol.
O prestador que não tenha estabelecimento principal na União deve designar por escrito uma pessoa singular ou coletiva como representante legal.
O representante deve:
Residir ou estar estabelecido num Estado-Membro onde o prestador ofereça os seus serviços;
Dispor dos poderes e meios necessários para receber e executar decisões;
Cooperar com as autoridades competentes;
Ser comunicado à autoridade competente;
Ter a sua identificação e contactos disponibilizados ao público.
O representante legal pode ser responsabilizado pelas infrações ao regulamento, sem prejuízo da responsabilidade do próprio prestador.
Os prestadores e os fornecedores de conteúdos têm direito a recursos efetivos contra as decisões que afetem os respetivos direitos.
O recurso de uma decisão de supressão deve ser apresentado nos tribunais do Estado-Membro da autoridade que a emitiu. As decisões relativas à análise transfronteiriça ou às medidas específicas são recorríveis nos tribunais do Estado-Membro da autoridade que as adotou.
Os procedimentos concretos são definidos pelo direito nacional.
Cada Estado-Membro deve estabelecer sanções efetivas, proporcionadas e dissuasivas aplicáveis às infrações expressamente enumeradas no artigo 18.º, n.º 1, do regulamento.
Na determinação da sanção devem ser considerados, nomeadamente:
Natureza, gravidade e duração da infração;
Caráter intencional ou negligente;
Infrações anteriores;
Capacidade financeira do prestador;
Grau de cooperação com as autoridades;
Natureza e dimensão do prestador;
Medidas técnicas e organizativas adotadas para cumprir o regulamento.
O incumprimento sistemático ou persistente da obrigação de executar decisões de supressão no prazo de uma hora deve ser passível de sanções pecuniárias até 4 % do volume de negócios global do prestador no exercício anterior.
Em Portugal, as autoridades competentes, os procedimentos nacionais e as coimas aplicáveis foram estabelecidos pelo Decreto-Lei n.º 25/2026, de 28 de janeiro.
29 de abril de 2021: adoção do Regulamento (UE) 2021/784;
17 de maio de 2021: publicação no Jornal Oficial da União Europeia;
6 de junho de 2021: entrada em vigor;
7 de junho de 2022: início da aplicação do regulamento;
28 de janeiro de 2026: publicação do Decreto-Lei n.º 25/2026, que adapta a ordem jurídica portuguesa;
29 de março de 2026: entrada em vigor do Decreto-Lei n.º 25/2026.
Os prestadores potencialmente abrangidos devem, de acordo com as características concretas dos respetivos serviços:
Confirmar se armazenam conteúdos a pedido dos utilizadores e se os difundem ao público;
Identificar os serviços abrangidos e separar os serviços de infraestrutura que ficam fora do regulamento;
Designar e publicar um ponto de contacto;
Definir mecanismos de autenticação, receção, registo e escalamento das decisões;
Preparar um procedimento operacional compatível com o prazo de uma hora;
Utilizar os modelos europeus para confirmar o cumprimento ou comunicar a impossibilidade de execução;
Conservar conteúdos e dados conexos durante o prazo legal e aplicar medidas de segurança adequadas;
Atualizar os termos e condições;
Implementar mecanismos de reclamação;
Documentar a supervisão humana de eventuais ferramentas automatizadas;
Preparar os relatórios de transparência aplicáveis;
Estabelecer procedimentos para comunicar ameaças iminentes à vida;
Designar um representante legal quando não exista estabelecimento principal na União;
Conservar evidências das decisões recebidas, ações realizadas, comunicações e fundamentos adotados.
Regulamento (UE) 2021/784 — combate à difusão de conteúdos terroristas em linha
Diretiva (UE) 2017/541 — luta contra o terrorismo
Regulamento (UE) 2022/2065 — Regulamento dos Serviços Digitais
Relatório da Comissão Europeia sobre a aplicação do Regulamento (UE) 2021/784
Decreto-Lei n.º 25/2026, de 28 de janeiro — execução em Portugal
