(Atualizado em 5 de outubro de 2026.)
As entidades da Administração Pública tratam grandes volumes de dados pessoais no exercício de competências legais e na prestação de serviços aos cidadãos. O cumprimento do RGPD exige ligar as normas de proteção de dados ao procedimento administrativo, à gestão documental, à segurança da informação, à contratação pública e às regras setoriais de cada serviço.
O regime principal resulta do RGPD e da Lei n.º 58/2019. Podem ainda aplicar-se legislação sobre acesso a documentos administrativos, arquivo, saúde, educação, trabalho, fiscalidade, segurança social, videovigilância, cibersegurança ou tratamento de dados para fins penais.
Cada tratamento deve ter uma finalidade determinada e uma base jurídica identificada antes da recolha. Nas entidades públicas, os fundamentos mais frequentes são o cumprimento de obrigação jurídica e o exercício de funções de interesse público ou de autoridade pública. A norma que atribui a competência deve permitir determinar a finalidade e os elementos essenciais do tratamento.
O consentimento raramente é a base adequada quando o cidadão não dispõe de verdadeira liberdade de escolha perante a autoridade. Mesmo quando seja utilizado, deve ser livre, específico, informado, inequívoco e revogável sem prejuízo.
A alteração da finalidade exige análise própria. O artigo 23.º da Lei n.º 58/2019 estabelece que o tratamento por entidades públicas para finalidades diferentes tem natureza excecional e deve ser fundamentado para assegurar um interesse público que não possa ser protegido de outra forma.
A entidade deve conhecer os tratamentos sob a sua responsabilidade: serviços responsáveis, finalidades, titulares, categorias de dados, bases jurídicas, destinatários, sistemas, fornecedores, transferências, prazos de conservação e medidas de segurança.
O registo previsto no artigo 30.º do RGPD deve ser um instrumento de gestão atualizado, não um documento criado apenas para fiscalização. Deve ligar-se ao inventário de sistemas, às políticas de conservação, aos contratos, às avaliações de risco e aos procedimentos de direitos e incidentes.
As entidades públicas estão obrigadas a designar encarregado de proteção de dados (EPD). A Lei n.º 58/2019 concretiza a designação no Estado, regiões autónomas, autarquias, entidades administrativas independentes, institutos públicos, ensino superior público, setor empresarial público e associações públicas.
O EPD deve ser envolvido atempadamente, atuar com independência, reportar ao nível de direção mais elevado e dispor de recursos e acesso à informação. A função é consultiva e de fiscalização; a responsabilidade pelas decisões continua a pertencer ao responsável pelo tratamento.
Devem ser evitados conflitos de interesses. Quem determina finalidades ou meios de tratamento não deve fiscalizar as próprias decisões enquanto EPD. Os contactos do encarregado devem ser publicados, comunicados aos titulares e notificados à CNPD.
A informação deve ser clara, acessível e adaptada ao contexto. Deve explicar identidade e contactos do responsável e do EPD, finalidades, fundamento, destinatários, conservação, direitos, possibilidade de reclamação, origem dos dados e existência de decisões automatizadas quando aplicável.
A entidade necessita de um circuito interno que receba, autentique, distribua e responda aos pedidos no prazo de um mês. A pesquisa deve abranger os serviços e sistemas relevantes, evitando respostas incompletas. Qualquer limitação deve ter fundamento legal, ser necessária, proporcional e devidamente explicada.
O acesso a documentos administrativos que contenham dados pessoais deve ser articulado com a Lei n.º 26/2016. O regime de acesso a documentos e o direito de acesso do titular previsto no RGPD têm objetos, pressupostos e procedimentos distintos.
Antes de partilhar dados com outra entidade pública, devem ser definidos finalidade, base jurídica, necessidade, categorias de dados, destinatários, segurança, conservação e responsabilidades. Quando a transmissão sirva finalidade diferente da recolha, a Lei n.º 58/2019 exige caráter excecional, fundamentação e protocolo entre as entidades.
Na contratação de serviços tecnológicos, a entidade deve determinar se o fornecedor atua como subcontratante, responsável conjunto ou responsável autónomo. O contrato de subcontratação deve cumprir o artigo 28.º do RGPD e regular instruções, confidencialidade, medidas de segurança, assistência, subcontratação posterior, auditorias e destino dos dados no final.
A localização dos dados, o acesso remoto e a cadeia de fornecedores devem ser analisados para identificar transferências internacionais e aplicar os mecanismos do capítulo V do RGPD quando necessário.
Novos sistemas, formulários, portais, aplicações, projetos de interoperabilidade e mecanismos de inteligência artificial devem integrar a proteção de dados desde a conceção e por defeito. As configurações iniciais devem limitar dados, acessos, divulgação e conservação ao necessário.
A avaliação de impacto sobre a proteção de dados é obrigatória quando o tratamento seja suscetível de resultar em elevado risco, nomeadamente em certos casos de monitorização sistemática, decisões automatizadas ou tratamento em larga escala de categorias especiais. Deve ser realizada antes do tratamento e revista quando se alterem riscos, tecnologia, finalidades ou medidas.
Se, apesar das medidas previstas, permanecer elevado risco, o responsável deve consultar previamente a CNPD nas condições do artigo 36.º do RGPD.
A segurança deve ser adequada ao risco e incluir governação, inventário de ativos, controlo de acessos, autenticação multifator, cifragem, segregação de funções, logs, cópias de segurança, recuperação, continuidade, testes, gestão de vulnerabilidades, formação e supervisão de fornecedores.
A RCM n.º 41/2018 contém requisitos técnicos dirigidos à Administração Pública. Deve ser aplicada em conjunto com o artigo 32.º do RGPD e com o atual Regime Jurídico da Cibersegurança, aprovado pelo Decreto-Lei n.º 125/2025 e executado pelo Regulamento n.º 756/2026.
Perante uma potencial violação de dados, a entidade deve detetar, conter, investigar, preservar evidência, avaliar o risco para as pessoas e documentar a decisão. A notificação à CNPD deve ocorrer, quando exigida, sem demora injustificada e, sempre que possível, até 72 horas após o conhecimento. Incidentes de cibersegurança podem gerar obrigações adicionais perante outras autoridades.
Os prazos de conservação devem resultar de norma aplicável ou da necessidade para a finalidade. A seleção para arquivo de interesse público e a eliminação documental devem articular-se com o regime arquivístico, com medidas que protejam direitos e evitem a conservação indiscriminada.
A publicação em sítios institucionais, jornais oficiais, atas, procedimentos concursais ou contratação pública deve respeitar a minimização. A publicidade legal de um ato não legitima automaticamente a divulgação de todos os dados constantes do processo nem a sua indexação indefinida por motores de busca.
A responsabilidade pelo cumprimento pertence à entidade. O EPD aconselha e fiscaliza, a área de segurança protege os sistemas e os serviços operacionais devem incorporar as regras nos processos quotidianos.
A BITWOCI utiliza IA na elaboração ou revisão dos seus conteúdos, sempre com revisão humana substantiva e sob a sua responsabilidade editorial [artigo 50.º do Regulamento (UE) 2024/1689 (AI Act)].
EUR-Lex — Regulamento (UE) 2016/679, texto consolidado em português
Diário da República — Lei n.º 58/2019, de 8 de agosto
CNPD — Registo de atividades de tratamento
CNPD — Encarregado de proteção de dados
CNPD — Avaliação de impacto sobre a proteção de dados
CNPD — Violação de dados pessoais e notificação
Diário da República — Resolução do Conselho de Ministros n.º 41/2018
Diário da República — Decreto-Lei n.º 125/2025, Regime Jurídico da Cibersegurança
Diário da República — Regulamento n.º 756/2026, de 22 de junho
