Lei n.º 58/2019 — Execução do RGPD em Portugal

23/07/2021 14:42
- Legislação Informática
- RGPD

(Atualizado em 5 de outubro de 2026.)

A Lei n.º 58/2019, de 8 de agosto, assegura a execução do Regulamento (UE) 2016/679 — Regulamento Geral sobre a Proteção de Dados (RGPD) — na ordem jurídica portuguesa. O RGPD é diretamente aplicável; a lei nacional complementa-o nas matérias em que o regulamento admite ou exige opções dos Estados-Membros.

A aplicação correta exige uma leitura conjunta dos dois diplomas. A Lei n.º 58/2019 não reproduz todas as obrigações do RGPD e não deve ser utilizada como substituto do regulamento europeu.

Âmbito de aplicação

A lei aplica-se aos tratamentos realizados em território nacional, independentemente da natureza pública ou privada do responsável ou do subcontratante. Abrange também certas situações realizadas fora de Portugal, nomeadamente quando o tratamento ocorre no contexto de um estabelecimento situado no território nacional ou afeta titulares em Portugal nas condições do artigo 3.º do RGPD.

Ficam salvaguardadas as exclusões previstas no artigo 2.º do RGPD. Os ficheiros da responsabilidade do Sistema de Informações da República Portuguesa regem-se por legislação específica.

CNPD e encarregado de proteção de dados

A lei confirma a CNPD como autoridade de controlo nacional e define a sua natureza, independência, atribuições e dever de colaboração das entidades fiscalizadas. A CNPD exerce os poderes previstos nos artigos 57.º e 58.º do RGPD, incluindo poderes de investigação, correção e aplicação de sanções.

O encarregado de proteção de dados (EPD ou DPO) é designado com base nas qualificações profissionais e nos conhecimentos especializados em proteção de dados. Não é exigida certificação profissional. O EPD deve exercer as funções com autonomia técnica, manter a confidencialidade, participar atempadamente nas questões relevantes e dispor de recursos adequados.

A designação é obrigatória nas entidades públicas definidas no artigo 12.º e nas situações previstas no artigo 37.º do RGPD. A lei acrescenta funções como a realização de auditorias, a sensibilização para a deteção de incidentes e a relação com os titulares dos dados.

Regras nacionais com maior impacto prático

Crianças: na oferta direta de serviços da sociedade da informação, o consentimento da criança constitui fundamento de licitude a partir dos 13 anos; abaixo dessa idade deve ser prestado pelos representantes legais.
Pessoas falecidas: a lei protege determinadas categorias de dados e regula quem pode exercer direitos, sem prejuízo de o titular ter deixado indicação em contrário.
Portabilidade: abrange os dados fornecidos pelo titular e deve realizar-se, sempre que possível, em formato aberto; na Administração Pública existem regras próprias de interoperabilidade.
Videovigilância: são fixados limites aos locais abrangidos pelas câmaras e à captação de som, sem prejuízo de legislação específica.
Conservação: o prazo resulta da lei ou, na sua ausência, da necessidade para a finalidade; quando a finalidade cessa, os dados devem ser destruídos ou anonimizados, salvo fundamento de conservação.
Publicação oficial e contratação pública: a divulgação deve respeitar a finalidade e a minimização, evitando dados adicionais quando o nome seja suficiente.
Relações laborais: o tratamento deve respeitar o Código do Trabalho e as condições previstas no artigo 28.º, incluindo limites relativos a vigilância e biometria.
Saúde e genética: aplica-se o princípio da necessidade de conhecer, com deveres de confidencialidade, rastreabilidade e medidas de segurança reforçadas.

Entidades públicas e reutilização de dados

O tratamento por entidades públicas para finalidades diferentes das que determinaram a recolha tem natureza excecional. Deve ser devidamente fundamentado, necessário à prossecução do interesse público e compatível com as condições do RGPD.

A transmissão entre entidades públicas para uma finalidade diferente deve igualmente ser excecional e fundamentada. A lei exige um protocolo que distribua as responsabilidades relativas à transmissão e aos tratamentos posteriores. Esta exigência reforça a necessidade de definir finalidades, destinatários, segurança, conservação e direitos antes da partilha.

Responsabilidade, contraordenações e tutela

O diploma contém regras sobre tutela administrativa e jurisdicional, responsabilidade e regime contraordenacional. A apreciação de uma infração depende dos factos, da norma violada, da natureza e gravidade do tratamento, das medidas adotadas e das competências da autoridade ou tribunal interveniente.

O cumprimento não se esgota numa política de privacidade. A organização deve demonstrar que conhece os tratamentos, definiu bases jurídicas, aplica prazos de conservação, gere fornecedores, protege os sistemas, responde a direitos, avalia riscos e documenta incidentes e decisões.

Relação com a Lei n.º 59/2019

A Lei n.º 59/2019 regula um âmbito distinto: tratamentos efetuados por autoridades competentes para prevenção, deteção, investigação ou repressão de infrações penais, execução de sanções penais e proteção contra ameaças à segurança pública. Para outras finalidades, a mesma autoridade pode ficar sujeita ao RGPD e à Lei n.º 58/2019.

A qualificação deve ser feita tratamento a tratamento. A natureza pública da entidade ou a presença de dados relacionados com infrações não basta para afastar automaticamente o RGPD.

Pontos de verificação para organizações

inventariar tratamentos e manter registos atualizados;
identificar finalidade, base jurídica, categorias de dados, titulares e destinatários;
definir prazos de conservação e procedimentos de eliminação ou anonimização;
verificar se é obrigatória a designação de EPD e publicar os respetivos contactos;
formalizar relações com subcontratantes e partilhas entre entidades;
avaliar a necessidade de uma avaliação de impacto antes de iniciar tratamentos de elevado risco;
manter procedimentos de resposta a direitos e de gestão de violações de dados pessoais.

A BITWOCI utiliza IA na elaboração ou revisão dos seus conteúdos, sempre com revisão humana substantiva e sob a sua responsabilidade editorial [artigo 50.º do Regulamento (UE) 2024/1689 (AI Act)].