(Atualizado em 10 de outubro de 2026.)
A iniciativa dos Selos de Maturidade Digital abrange quatro dimensões: Cibersegurança, Privacidade e Proteção de Dados Pessoais, Acessibilidade e Sustentabilidade. Cada uma tem requisitos próprios e pode ser certificada separadamente. Existe ainda um Selo Global, que exige, pelo menos, o nível Bronze nas quatro dimensões.
Este artigo trata exclusivamente da dimensão Privacidade e Proteção de Dados Pessoais.
A DNP TS 4577-2:2024 — Maturidade digital — Selo digital — Parte 2: Proteção de dados pessoais — Requisitos estabelece os critérios de auditoria e o sistema de reconhecimento desta dimensão. O Instituto Português da Qualidade (IPQ) indica que o documento se encontra em vigor e que se destina a organizações públicas ou privadas, com ou sem fins lucrativos, de diferentes setores e dimensões.
A Comissão Nacional de Proteção de Dados (CNPD) identifica este referencial como um esquema de certificação no quadro do artigo 42.º do Regulamento Geral sobre a Proteção de Dados (RGPD). A CNPD é a entidade parceira da dimensão; a avaliação concreta deve ser conduzida por uma entidade habilitada para o esquema e o âmbito respetivo.
O âmbito publicado pelo IPQ refere os tratamentos de dados pessoais necessários às finalidades das atividades organizacionais, mas prevê exclusões expressas. Ficam fora do âmbito do documento os tratamentos que incidam sobre crianças, sobre os dados pessoais relativos a condenações penais e infrações referidos no artigo 10.º do RGPD e sobre tratamentos que recorram a tecnologias emergentes ou delas decorram. O texto do IPQ considera também excluídas as decisões individuais automatizadas, incluindo definição de perfis, abrangidas pelo artigo 22.º do RGPD.
Estas exclusões são decisivas para interpretar o selo. Uma organização que realize tratamentos excluídos pode ter de cumprir integralmente o RGPD quanto a esses tratamentos; o selo não permite afirmar que todos os seus tratamentos foram certificados. É indispensável consultar o certificado e o âmbito efetivamente reconhecido.
Tal como nas outras dimensões, o esquema prevê níveis Bronze, Prata e Ouro, com requisitos progressivamente mais exigentes. Um nível superior pressupõe o cumprimento dos requisitos dos níveis inferiores. O nível é determinado pela avaliação do referencial, não por uma autoavaliação ou por uma declaração genérica de «conformidade com o RGPD».
O selo desta dimensão é autónomo. O Selo Global apenas pode ser obtido quando a organização tenha, pelo menos, Bronze nas quatro dimensões.
A organização deve obter a versão aplicável da DNP TS 4577-2, delimitar os tratamentos que pretende submeter ao esquema e comparar as práticas existentes com os requisitos do nível pretendido. É especialmente importante documentar as exclusões do âmbito.
Como exemplos de preparação, e não como transcrição dos requisitos do referencial, podem ser úteis:
Os requisitos concretos, as evidências aceites e a delimitação do âmbito devem ser confirmados na norma e no processo de avaliação. Não se deve apresentar esta lista ilustrativa como uma checklist oficial para obter Bronze, Prata ou Ouro.
O interessado consulta a norma, prepara os tratamentos abrangidos e contacta uma entidade certificadora competente para o esquema. A candidatura é analisada, são verificadas as evidências e é tomada uma decisão sobre a certificação e o nível. A emissão e utilização do selo seguem as regras da plataforma da INCM e do respetivo Regulamento de Utilização da Marca.
Esse regulamento prevê validade máxima de três anos, dependente da validade da certificação e das decisões da entidade certificadora. A marca deve identificar a entidade certificada e ser utilizada apenas no âmbito autorizado. Em suportes digitais, deve ser acompanhada da ligação de verificação disponibilizada pela INCM.
O selo pode demonstrar que determinados tratamentos e práticas foram avaliados segundo o referencial aplicável. Não equivale a uma aprovação global da organização pela CNPD, nem substitui a análise de cada tratamento, da sua base legal ou das obrigações específicas do responsável e do subcontratante.
O artigo 42.º, n.º 4, do RGPD estabelece que a certificação não reduz a responsabilidade do responsável pelo tratamento ou do subcontratante e não prejudica as atribuições e competências das autoridades de controlo. O selo deve, por isso, ser apresentado com o seu âmbito e nível, sem alegações de conformidade universal com o RGPD.
A BITWOCI utiliza IA na elaboração ou revisão dos seus conteúdos, sempre com revisão humana substantiva e sob a sua responsabilidade editorial [artigo 50.º do Regulamento (UE) 2024/1689 (AI Act)].
IPQ — DNP TS 4577-2:2024, Proteção de dados pessoais — Requisitos e âmbito
CNPD — Relatório de Atividades de 2025, referência ao esquema de certificação
EUR-Lex — Regulamento (UE) 2016/679, artigo 42.º
Direção-Geral da Economia — Selos de Maturidade Digital
