(Atualizado em 5 de outubro de 2026.)
A Resolução do Conselho de Ministros n.º 41/2018, de 28 de março, aprovou requisitos técnicos mínimos para redes e sistemas de informação da Administração Pública que tratam dados pessoais. O diploma foi adotado na preparação da aplicação do RGPD e procura aproximar os deveres jurídicos de proteção de dados das decisões técnicas de arquitetura e operação.
Os requisitos são dirigidos aos serviços e entidades da Administração direta e indireta do Estado. A resolução recomenda a sua aplicação também ao setor empresarial do Estado.
O diploma determinou que cada serviço e entidade avaliasse a conformidade dos sistemas em uso com os requisitos do anexo e previsse a sua implementação. O prazo de 18 meses indicado na resolução deve ser entendido no contexto temporal de 2018; não constitui um novo prazo aplicável a projetos atuais.
O anexo distingue requisitos obrigatórios e recomendados e organiza-os pelas camadas de front-end, aplicação e base de dados. Esta estrutura ajuda a distribuir controlos ao longo do sistema, em vez de concentrar a segurança apenas no perímetro da rede.
A resolução exige práticas de desenvolvimento seguro e refere, como exemplo, as boas práticas da OWASP e a realização de testes de segurança. Prevê sessões seguras, recomenda versões atuais do TLS e limita a conservação de informação pessoal no navegador, memória ou disco ao tempo e medida necessários.
Para a comunicação entre camadas, estabelece requisitos de autenticação e proteção do canal. Também desaconselha credenciais embebidas no código ou guardadas em texto simples, prevendo o uso de certificados, cifragem e mecanismos adequados de armazenamento.
Os sistemas devem autenticar e autorizar utilizadores e dispositivos. A resolução recomenda autenticação multifator e fixa requisitos mínimos para palavras-passe, com regras reforçadas para contas administrativas.
Os direitos de acesso devem seguir os princípios do privilégio mínimo, da necessidade de conhecer e da segregação de funções. Cada perfil deve corresponder às funções efetivamente exercidas e ao tipo de operação autorizado sobre os dados.
A atribuição, revisão, renovação e remoção de credenciais deve integrar um processo formal e auditável. Contas inativas, perfis desatualizados e privilégios acumulados representam riscos que exigem monitorização e revisão periódica.
A resolução exige registos de acesso, alteração e remoção que permitam identificar quem atuou, quando, a partir de onde, sobre que dados e com que ação. Os logs apoiam a deteção de incidentes, a investigação e a demonstração de conformidade, mas são eles próprios dados que exigem integridade, controlo de acesso e prazos de conservação.
A segurança deve acompanhar todo o ciclo de vida: recolha, transmissão, utilização, arquivo, cópias de segurança, portabilidade, eliminação e recuperação. A arquitetura deve permitir exercer direitos como apagamento e portabilidade sem comprometer integridade, disponibilidade ou obrigações legais de conservação.
A RCM n.º 41/2018 fornece requisitos técnicos concretos, mas não substitui a avaliação de risco exigida pelo artigo 32.º do RGPD. O responsável e o subcontratante devem escolher medidas adequadas à natureza, âmbito, contexto e finalidades do tratamento, aos riscos para as pessoas, ao estado da técnica e aos custos de execução.
O RGPD refere, conforme adequado, pseudonimização e cifragem, confidencialidade, integridade, disponibilidade, resiliência, capacidade de recuperação e testes regulares. Um controlo previsto em 2018 pode necessitar de ser reforçado ou substituído perante novas ameaças, tecnologias e normas.
Um incidente de cibersegurança e uma violação de dados pessoais são conceitos relacionados, mas não idênticos. Quando um incidente provoque destruição, perda, alteração, divulgação ou acesso não autorizado a dados pessoais, deve ser avaliado à luz dos artigos 33.º e 34.º do RGPD.
A organização deve detetar, conter, preservar evidência, avaliar o risco para as pessoas e documentar todas as violações. A notificação à CNPD é exigida, sempre que possível no prazo de 72 horas após o conhecimento, salvo quando a violação não seja suscetível de resultar em risco. A comunicação aos titulares depende da existência de elevado risco e das condições legais.
A consulta da RCM n.º 41/2018 deve ser conjugada com o quadro vigente. O Decreto-Lei n.º 125/2025 aprovou o atual Regime Jurídico da Cibersegurança e transpôs a Diretiva (UE) 2022/2555. O Regulamento n.º 756/2026 executa matérias como registo e qualificação de entidades, medidas mínimas, níveis de conformidade, gestão de risco e notificação de incidentes.
As obrigações concretas dependem da qualificação da entidade e dos serviços prestados. O cumprimento do regime de cibersegurança não substitui o RGPD: um mesmo incidente pode exigir comunicações a autoridades diferentes, com critérios, conteúdos e prazos próprios.
A BITWOCI utiliza IA na elaboração ou revisão dos seus conteúdos, sempre com revisão humana substantiva e sob a sua responsabilidade editorial [artigo 50.º do Regulamento (UE) 2024/1689 (AI Act)].
Diário da República — Resolução do Conselho de Ministros n.º 41/2018, de 28 de março
Diário da República — Publicação oficial e anexo técnico da RCM n.º 41/2018
EUR-Lex — Regulamento (UE) 2016/679, artigos 25.º e 32.º a 35.º
CNPD — Violação de dados pessoais e notificação
Diário da República — Decreto-Lei n.º 125/2025, de 4 de dezembro
Diário da República — Regulamento n.º 756/2026, de 22 de junho
