(Atualizado em 23.08.2026).
O Regulamento (UE) 2023/2854, de 13 de dezembro de 2023, conhecido como Data Act ou Regulamento dos Dados, foi publicado no Jornal Oficial da União Europeia em 22 de dezembro de 2023 e entrou em vigor em 11 de janeiro de 2024.
O regulamento é aplicável, em geral, desde 12 de setembro de 2025.
Contudo, a obrigação específica prevista no artigo 3.º, n.º 1, relativa à conceção dos produtos conectados e dos serviços conexos, aplica-se aos produtos e serviços colocados no mercado após 12 de setembro de 2026.
Esta data não corresponde ao início de aplicação de todo o Data Act. Os direitos de acesso, utilização e partilha dos dados, as regras aplicáveis aos serviços cloud e várias outras disposições do regulamento são já aplicáveis desde setembro de 2025.
O Data Act pode abranger, designadamente:
Fabricantes de produtos conectados;
Prestadores de serviços conexos;
Empresas que detenham dados gerados por produtos conectados;
Vendedores e locadores desses produtos;
Utilizadores profissionais e consumidores;
Empresas que recebam dados a pedido dos utilizadores;
Prestadores de serviços cloud, edge, SaaS, PaaS e IaaS;
Participantes em espaços de dados;
Vendedores de contratos inteligentes;
Organismos públicos que solicitem dados com fundamento numa necessidade excecional.
Existem exclusões e regimes específicos para determinadas microempresas, pequenas empresas e empresas que tenham adquirido recentemente a condição de média empresa. A aplicação dessas exceções depende, entre outros fatores, das relações existentes com empresas parceiras ou associadas e da eventual utilização de subcontratantes.
Considera-se produto conectado um produto capaz de obter, gerar ou recolher dados sobre a sua utilização ou o ambiente envolvente e de comunicar esses dados através de uma ligação física, de um serviço de comunicações eletrónicas ou de acesso no próprio dispositivo.
Podem estar abrangidos, por exemplo:
Veículos conectados;
Equipamentos médicos e dispositivos de monitorização;
Relógios e equipamentos de fitness;
Equipamentos domésticos inteligentes;
Máquinas industriais ou agrícolas;
Sistemas de energia e climatização;
Robôs e equipamentos de automação;
Assistentes virtuais, quando utilizados como interface de um produto conectado.
Um serviço conexo é um serviço digital que influencia o comportamento ou as funções do produto conectado, como uma aplicação utilizada para controlar a iluminação, regular a temperatura de um equipamento ou executar remotamente determinadas funções.
Serviços autónomos de consultoria, manutenção, análise ou financiamento que não afetem o funcionamento do produto não são, por esse simples facto, serviços conexos.
O regime abrange, principalmente:
Dados em bruto gerados pela utilização do produto;
Dados objeto de pré-tratamento destinado a torná-los compreensíveis e utilizáveis;
Dados produzidos por sensores;
Dados sobre o estado, funcionamento ou utilização do equipamento;
Dados sobre anomalias e desempenho;
Metadados necessários para interpretar e utilizar esses dados;
Dados gerados durante a prestação de um serviço conexo.
Em princípio, não estão abrangidos os dados inferidos ou derivados através de análises complexas ou de investimentos adicionais substanciais, nem o conteúdo armazenado ou transmitido através do produto, como ficheiros, mensagens ou conteúdos audiovisuais.
Os produtos conectados colocados no mercado após 12 de setembro de 2026 devem ser concebidos e fabricados de modo que os dados relativos ao produto, os dados dos serviços conexos e os metadados necessários à sua utilização sejam acessíveis ao utilizador:
Por defeito;
De forma fácil e segura;
Gratuitamente;
Num formato abrangente, estruturado e de uso corrente;
Num formato de leitura automática;
Diretamente, quando tal seja pertinente e tecnicamente viável.
Esta obrigação não determina que os fabricantes passem a recolher ou conservar dados que o produto não foi concebido para gerar. Também não afasta o princípio da minimização dos dados pessoais previsto no Regulamento Geral sobre a Proteção de Dados.
Antes da aquisição ou locação de um produto conectado, o utilizador deve receber informação clara e compreensível sobre:
O tipo e o formato dos dados que o produto pode gerar;
O volume estimado desses dados;
A possibilidade de geração contínua ou em tempo real;
A conservação dos dados no dispositivo ou num servidor remoto;
A duração prevista da conservação;
A forma como o utilizador pode aceder aos dados, recuperá-los ou, quando aplicável, apagá-los.
Antes da contratação de um serviço conexo, devem ainda ser prestadas informações sobre a identidade do potencial detentor dos dados, as finalidades previstas para a sua utilização e a forma de solicitar a sua partilha com terceiros.
Estas informações podem ser disponibilizadas através de um endereço eletrónico estável ou de um código QR, desde que sejam fornecidas antes da celebração do contrato.
Quando os dados não sejam diretamente acessíveis através do produto ou do serviço conexo, o detentor dos dados deve disponibilizar ao utilizador os dados prontamente disponíveis:
Sem demora injustificada;
Com qualidade idêntica àquela de que dispõe;
De forma fácil e segura;
Gratuitamente;
Num formato estruturado, de uso corrente e de leitura automática;
De forma contínua e em tempo real, quando pertinente e tecnicamente viável.
O utilizador pode utilizar esses dados ou pedir que sejam disponibilizados a um terceiro, por exemplo para efeitos de reparação, manutenção, análise, seguros ou prestação de serviços pós-venda.
Os dados obtidos ao abrigo destas regras não podem ser utilizados para desenvolver um produto conectado concorrente. Esta limitação não impede, em princípio, o desenvolvimento de serviços pós-venda ou de outros serviços baseados nos dados.
O detentor dos dados apenas pode utilizar os dados não pessoais prontamente disponíveis com fundamento num contrato celebrado com o utilizador.
A classificação dos dados como segredo comercial não determina automaticamente a recusa do respetivo acesso.
O detentor dos dados e o utilizador ou terceiro devem acordar medidas proporcionadas destinadas a preservar a confidencialidade, como:
Acordos de confidencialidade;
Protocolos rigorosos de acesso;
Controlos técnicos;
Limitações de utilização;
Normas técnicas ou códigos de conduta;
Identificação dos dados protegidos nos respetivos metadados.
A disponibilização dos dados pode ser suspensa ou recusada em circunstâncias limitadas, designadamente quando as medidas acordadas não sejam aplicadas ou quando exista uma probabilidade elevada, objetivamente demonstrada, de prejuízos económicos graves resultantes da divulgação do segredo comercial.
Também podem ser estabelecidas limitações quando a utilização ou partilha dos dados comprometa requisitos legais de segurança do produto e possa provocar efeitos negativos graves na saúde ou segurança das pessoas.
As decisões de retenção, suspensão ou recusa devem ser fundamentadas e, nos casos previstos no regulamento, comunicadas à autoridade competente.
As regras relativas à mudança de fornecedor aplicam-se aos prestadores de serviços de tratamento de dados, incluindo serviços cloud e edge.
Os prestadores devem remover os obstáculos comerciais, técnicos, contratuais e organizativos que dificultem:
A mudança para outro fornecedor;
A transferência para uma infraestrutura informática local;
A utilização simultânea de serviços de diferentes fornecedores;
A transferência dos dados exportáveis e dos ativos digitais do cliente;
A continuidade do serviço durante a mudança.
Os contratos devem estabelecer claramente os direitos do cliente e o processo de mudança, incluindo:
Um pré-aviso máximo de dois meses para iniciar o processo;
Um período de transição que, em regra, não pode exceder 30 dias consecutivos;
Assistência razoável durante a mudança;
Manutenção da continuidade e da segurança do serviço;
Identificação dos dados e ativos digitais que podem ser transferidos;
Um período mínimo de 30 dias para recuperação dos dados após o período de transição;
Eliminação dos dados exportáveis após a conclusão do processo e o termo do prazo de recuperação.
Quando o período de 30 dias seja tecnicamente inviável, o prestador deve informar e justificar essa impossibilidade no prazo de 14 dias úteis. O período alternativo não pode exceder sete meses. O cliente também pode prorrogar uma vez o período de transição.
Os prestadores de SaaS e PaaS devem disponibilizar interfaces abertas e permitir, pelo menos, a exportação dos dados num formato de uso corrente e de leitura automática.
Os prestadores de IaaS devem tomar medidas razoáveis para facilitar a equivalência funcional quando o cliente mude para outro serviço do mesmo tipo. A equivalência funcional significa obter resultados materialmente comparáveis nas funcionalidades partilhadas, não uma reprodução integral ou idêntica do serviço anterior.
Até 11 de janeiro de 2027, inclusive, o prestador pode exigir encargos reduzidos diretamente relacionados com o processo de mudança. Esses encargos não podem exceder os custos efetivamente suportados pelo prestador.
A partir de: 12 de janeiro de 2027
os prestadores de serviços de tratamento de dados deixam de poder cobrar ao cliente encargos pelo processo de mudança, incluindo encargos de saída dos dados quando associados a essa mudança.
Esta proibição não abrange as tarifas normais de utilização do serviço nem penalizações proporcionadas pela cessação antecipada de contratos de duração determinada. Também deve ser distinguida dos encargos de saída resultantes da utilização contínua e simultânea de vários serviços.
A Comissão Europeia disponibiliza uma explicação prática das regras de mudança entre serviços cloud e publicou modelos não vinculativos de cláusulas contratuais para acesso a dados e contratos cloud.
Quando uma empresa seja legalmente obrigada a disponibilizar dados a outra empresa, as condições devem ser:
Justas;
Razoáveis;
Não discriminatórias;
Transparentes.
O detentor dos dados pode solicitar uma compensação razoável, que pode incluir uma margem.
Quando o destinatário seja uma PME ou uma organização de investigação sem fins lucrativos que não esteja associada a uma empresa de maior dimensão, a compensação não pode exceder os custos diretamente relacionados com a disponibilização dos dados, nomeadamente os custos de formatação, transmissão eletrónica e conservação.
O Data Act protege as empresas contra cláusulas relativas ao acesso e utilização de dados que lhes tenham sido impostas unilateralmente e sejam abusivas.
São, designadamente, abusivas as cláusulas destinadas a:
Excluir ou limitar a responsabilidade por atos intencionais ou negligência grosseira;
Eliminar as vias de recurso da outra parte em caso de incumprimento;
Conceder exclusivamente à parte que impôs a cláusula o poder de interpretar o contrato ou determinar a conformidade dos dados.
Outras cláusulas presumem-se abusivas, nomeadamente quando limitam inadequadamente a responsabilidade ou as vias de recurso, impedem a utilização dos dados gerados pela própria empresa, dificultam a obtenção de uma cópia dos dados ou permitem alterações substanciais sem fundamento e sem direito de cessação.
A cláusula abusiva não vincula a empresa à qual foi imposta. Quando seja possível separar essa cláusula das restantes, o contrato mantém-se em vigor.
Este regime aplica-se aos contratos celebrados após 12 de setembro de 2025.
A partir de 12 de setembro de 2027, aplica-se também aos contratos anteriores que:
Tenham duração indeterminada; ou
Apenas expirem dez ou mais anos depois de 11 de janeiro de 2024.
Um organismo do setor público, a Comissão Europeia, o Banco Central Europeu ou um órgão da União pode solicitar dados detidos por uma empresa quando demonstre uma necessidade excecional.
Esta possibilidade pode ser utilizada, nomeadamente:
Para responder a uma emergência pública;
Para executar uma missão específica de interesse público prevista na lei, quando os dados não possam ser obtidos por outros meios.
Os pedidos devem ser específicos, transparentes, proporcionais e devidamente fundamentados. Os dados devem ser protegidos e eliminados quando deixem de ser necessários.
Numa emergência pública devem ser solicitados prioritariamente dados não pessoais. Os dados pessoais apenas devem ser solicitados quando os dados não pessoais sejam insuficientes, devendo ser anonimizados ou pseudonimizados quando aplicável.
O Data Act não substitui nem afasta o Regulamento Geral sobre a Proteção de Dados.
Quando os dados gerados pelo produto conectado sejam dados pessoais, o respetivo tratamento continua sujeito ao RGPD e às regras aplicáveis à privacidade nas comunicações eletrónicas.
Se o utilizador que solicita os dados não for a pessoa a quem esses dados dizem respeito, a disponibilização exige um fundamento jurídico válido nos termos do RGPD. A mesma exigência se aplica à transmissão dos dados a terceiros.
O Data Act também não constitui, por si só, um novo fundamento jurídico para o tratamento de dados pessoais.
O Data Act não estabelece uma coima máxima única aplicável a todas as infrações. Compete aos Estados-Membros definir sanções efetivas, proporcionadas e dissuasivas e designar uma ou mais autoridades competentes.
Quando existam várias autoridades, deve ser designado um coordenador de dados que funcione como ponto de contacto nacional.
Relativamente às infrações dos capítulos II, III e V que envolvam dados pessoais e se encontrem dentro da competência das autoridades de proteção de dados, podem ser aplicadas coimas segundo o artigo 83.º do RGPD, até ao limite previsto no respetivo n.º 5:
20 milhões de euros; ou
4% do volume de negócios anual total a nível mundial do exercício anterior, no caso de uma empresa,
consoante o montante que seja mais elevado.
22 de dezembro de 2023 — publicação no Jornal Oficial da União Europeia;
11 de janeiro de 2024 — entrada em vigor;
12 de setembro de 2025 — início da aplicação geral;
Após 12 de setembro de 2026 — obrigação do artigo 3.º, n.º 1, aplicável aos novos produtos conectados e serviços conexos colocados no mercado;
12 de janeiro de 2027 — proibição dos encargos associados à mudança de fornecedor de serviços de tratamento de dados;
12 de setembro de 2027 — aplicação das regras sobre cláusulas contratuais abusivas a determinados contratos anteriores.
As entidades potencialmente abrangidas devem:
Inventariar os produtos conectados e serviços conexos que disponibilizam na União Europeia;
Identificar os dados gerados por cada produto ou serviço;
Distinguir dados em bruto, dados pré-tratados, dados inferidos e conteúdos;
Avaliar se os novos produtos cumprem os requisitos de acesso por defeito aplicáveis após 12 de setembro de 2026;
Preparar interfaces, portais ou mecanismos seguros de acesso aos dados;
Rever a informação fornecida antes da aquisição, locação ou contratação;
Definir procedimentos para pedidos de acesso e partilha com terceiros;
Documentar as bases jurídicas aplicáveis ao tratamento de dados pessoais;
Criar medidas de proteção dos segredos comerciais;
Rever contratos de partilha de dados e eliminar cláusulas potencialmente abusivas;
Rever os contratos cloud e documentar o processo de mudança e saída;
Testar a exportação dos dados e dos ativos digitais;
Preparar a eliminação dos encargos de mudança até 12 de janeiro de 2027;
Definir procedimentos para responder a pedidos de organismos públicos;
Conservar evidências das decisões, recusas, suspensões e medidas de segurança aplicadas.
A fase aplicável em setembro de 2026 não deve ser confundida com o início integral do Data Act. Nessa data entra especificamente em aplicação a obrigação de conceção prevista no artigo 3.º, n.º 1, para os produtos conectados e serviços conexos colocados no mercado após 12 de setembro de 2026. A generalidade das restantes disposições é já aplicável desde 12 de setembro de 2025.
Regulamento (UE) 2023/2854 — Data Act
Data Act explained — Comissão Europeia
