(Atualizado em 5 de outubro de 2026.)
A Lei n.º 59/2019, de 8 de agosto, regula a proteção das pessoas singulares no tratamento de dados pessoais por autoridades competentes para fins de prevenção, deteção, investigação ou repressão de infrações penais, execução de sanções penais e salvaguarda ou prevenção de ameaças à segurança pública.
O diploma transpõe a Diretiva (UE) 2016/680, frequentemente designada Diretiva sobre a Proteção de Dados na Aplicação da Lei. Trata-se de um regime autónomo do RGPD, embora partilhe princípios e várias soluções semelhantes.
A aplicação depende de dois elementos cumulativos: o tratamento deve ser realizado por uma autoridade competente e deve prosseguir uma das finalidades penais ou de segurança pública enumeradas na lei. São autoridades competentes, no âmbito das respetivas atribuições, as forças e serviços de segurança, órgãos de polícia criminal, autoridades judiciárias e serviços prisionais e de reinserção social.
A lei abrange tratamentos automatizados e tratamentos manuais integrados, ou destinados a integrar, um ficheiro estruturado. Não se aplica a tratamentos relacionados com a segurança nacional, que seguem regimes específicos.
A entidade que trata os dados não determina, por si só, o regime. Uma autoridade competente pode realizar tratamentos para finalidades administrativas, laborais, contratuais ou outras que não sejam as previstas na Lei n.º 59/2019. Nesses casos, podem aplicar-se o RGPD e a Lei n.º 58/2019.
O teste deve ser feito para cada operação: quem trata, ao abrigo de que atribuição legal, com que finalidade e em que contexto? Se os dados inicialmente recolhidos para fins penais forem utilizados para uma finalidade diferente legalmente autorizada, é necessário verificar qual o regime aplicável a esse novo tratamento.
Os dados devem ser tratados de forma lícita e leal, para finalidades determinadas, explícitas e legítimas, e limitados ao mínimo necessário. Devem ser exatos, atualizados, conservados apenas durante o período necessário e protegidos por medidas técnicas e organizativas adequadas.
A lei exige, quando possível, a distinção entre categorias de titulares: pessoas suspeitas, pessoas condenadas, vítimas e terceiros, como testemunhas ou contactos. Exige também a distinção entre dados baseados em factos e dados baseados em apreciações pessoais, bem como medidas para verificar a qualidade antes da transmissão.
O tratamento de categorias especiais de dados só é permitido quando estritamente necessário, sujeito a garantias adequadas e baseado numa das condições previstas no artigo 6.º. É proibida a definição de perfis que conduza à discriminação com base nessas categorias.
O titular dispõe de direitos de informação, acesso, retificação, apagamento e limitação, com as condições próprias da Lei n.º 59/2019. A lei permite adiar, limitar ou omitir informação e restringir o acesso quando tal seja necessário e proporcional para proteger investigações, processos, segurança pública, segurança nacional ou direitos de terceiros.
Uma limitação deve ter fundamento legal, ser documentada e respeitar as garantias aplicáveis. Em certas situações, o exercício de direitos pode ocorrer por intermédio da CNPD. Os dados constantes de processos penais, decisões judiciais ou registo criminal seguem também as normas processuais e setoriais relevantes.
As medidas de segurança devem ser adequadas ao risco e abranger controlo de acesso, autenticação, registo de operações, confidencialidade, integridade, disponibilidade, recuperação e testes. A lei contém requisitos específicos para sistemas automatizados, incluindo controlo de equipamentos, suportes, utilizadores, acesso, comunicação, introdução, transporte e recuperação.
Uma violação suscetível de resultar em risco deve ser notificada à autoridade de controlo no prazo de 72 horas após o conhecimento, sempre que possível. Mesmo quando não exista obrigação de notificar, a violação deve ser documentada. Se houver elevado risco, pode ser necessária comunicação ao titular, sem demora injustificada, salvo as exceções legais.
As transmissões entre autoridades competentes e as transferências para países terceiros ou organizações internacionais obedecem a condições próprias. Devem existir fundamento, necessidade, proporcionalidade, verificação da autoridade destinatária e garantias adequadas, sem prejuízo dos mecanismos de cooperação judiciária e policial aplicáveis.
A CNPD fiscaliza o cumprimento da lei, com as especificidades previstas para tribunais e Ministério Público no exercício das suas competências processuais.
A BITWOCI utiliza IA na elaboração ou revisão dos seus conteúdos, sempre com revisão humana substantiva e sob a sua responsabilidade editorial [artigo 50.º do Regulamento (UE) 2024/1689 (AI Act)].
Diário da República — Lei n.º 59/2019, de 8 de agosto
EUR-Lex — Diretiva (UE) 2016/680
Diário da República — Lei n.º 58/2019, de 8 de agosto
CNPD — Direitos dos titulares de dados
CNPD — Diretrizes do Comité Europeu para a Proteção de Dados
