O essencial para o EPD
A informação de privacidade é o documento que todos têm e que quase ninguém volta a ler. Em 2026 é o documento para o qual todas as autoridades europeias vão olhar ao mesmo tempo. Quem gere uma carteira de clientes deve relê-las todas este ano - e não em setembro.
Como funciona a ação coordenada
Desde 2022 o CEPD escolhe um tema por ano e as autoridades nacionais verificam-no em paralelo: umas enviam questionários, outras abrem inspeções formais, outras instauram processos. Os resultados alimentam um relatório europeu que passa a ser a referência interpretativa dos anos seguintes. As edições anteriores trataram do papel do EPD, do direito de acesso e do apagamento. Em 2026 é a transparência.
A consequência prática é que não é preciso estar sob os holofotes para entrar na amostra: as autoridades escolhem responsáveis de todas as dimensões e, para muitos, a primeira notícia chega sob a forma de um questionário com prazo.
O que olham realmente
O art. 12.º não exige que a informação exista: exige que seja concisa, transparente, inteligível, de fácil acesso e em linguagem clara e simples. São cinco adjetivos, e cada um é um incumprimento possível. Uma informação completa mas ilegível viola o art. 12.º tal como uma incompleta viola o art. 13.º.
O art. 14.º é o verdadeiro ponto fraco
Quando os dados não vêm do titular mas de outra origem - uma lista comprada, uma base herdada de uma aquisição, um fornecedor que os transmite - a informação continua a ser devida, deve ser prestada no prazo de um mês e tem de indicar DE ONDE vêm os dados. Na prática é a obrigação mais desrespeitada, porque ninguém tem um processo que se ative quando os dados entram por um canal indireto.
As perguntas a fazer sobre cada cliente
- A informação está atualizada face ao que o cliente faz HOJE, ou descreve a empresa de há três anos?
- As finalidades e os fundamentos de licitude coincidem com os do registo do art. 30.º? Divergem mais do que se pensa, e a autoridade compara-os.
- Onde os dados chegam de terceiros, existe informação do art. 14.º e alguém a envia mesmo dentro do mês?
- Os prazos de conservação são indicados com um critério, ou com «pelo tempo necessário», que não informa ninguém?
- A informação está acessível em menos de dois cliques a partir do ponto de recolha?
O que fazer agora, na prática
1) Faça o inventário das informações de todos os clientes com a data da última revisão: as com mais de dois anos são a fila a despachar primeiro. 2) Para cada cliente, cruze as finalidades da informação com as do registo do art. 30.º e anote as divergências - é a primeira verificação da autoridade, porque não custa nada. 3) Procure os fluxos indiretos: listas, parceiros, aquisições, fornecedores que transmitem bases. Cada um exige informação do art. 14.º com indicação da origem. 4) Ponha a revisão no plano do ano com uma data, não como atividade contínua: as atividades contínuas nunca se fazem.
Looking for a workspace for your DPO work?
DPO Workspace is built by a certified DPO. 30-day free trial.
Start free
