O que mudou
Desde 15 de setembro de 2026 a CNPD trata como urgentes três tipos de participação relativos a dados pessoais de crianças e jovens. O anúncio é de 17 de setembro. O canal não substitui a notificação de violação de dados prevista no artigo 33.º do RGPD, não substitui os formulários gerais de participação e não é uma interpretação do direito: é um modo diferente de a autoridade trabalhar.
A primeira coisa a perceber é a direção, porque é ela que decide se há ou não alguma coisa a fazer. O canal não cria nenhuma obrigação nova para o responsável pelo tratamento: é um instrumento nas mãos dos cidadãos, serve para participar e não para notificar. O que muda, para quem trata dados de menores, não é mais uma tarefa. É a velocidade com que uma participação que lhe diz respeito chega à autoridade e é assumida.
- Acesso indevido a dados de menores.
- Recolha e divulgação de imagem ou som com conteúdo sensível ou violento, sem consentimento.
- Publicidade direcionada a menores.
O canal pode ser utilizado pelas próprias crianças e jovens e por qualquer cidadão que detete a partilha ilícita destes conteúdos. Não é preciso ser o titular dos dados nem o encarregado de educação: basta dar por isso. É uma opção que alarga muito o conjunto de pessoas que podem dar início a um processo.
O que a CNPD declara poder fazer depois de receber a participação pesa mais do que o canal em si: adotar medidas urgentes para limitar a difusão ilícita na Internet de conteúdos que coloquem em grave risco direitos e liberdades; comunicar a informação a autoridades públicas competentes, designadamente judiciais; e, tratando-se de tratamento transfronteiriço, transmitir os dados às autoridades do Espaço Económico Europeu através do sistema IMI. É este último ponto que faz com que a notícia não seja apenas portuguesa: um responsável italiano ou espanhol que trate dados de menores pode acabar num intercâmbio IMI iniciado por uma participação portuguesa.
Onde se erra
A presença de menores entre os titulares de um tratamento não basta para dizer que esta notícia lhe diz respeito. Se bastasse, acendiam-se ao mesmo tempo a escola, o pediatra, o clube desportivo e o campo de férias, e o DPO deixaria de ler os avisos. O que conta é a operação concreta: filmagens e fotografias de crianças, plataformas utilizadas por menores, publicidade comportamental com menores entre os destinatários, acessos a dados de menores abertos a perfis demasiado amplos.
Na prática, para cada cliente que trate dados de menores vale a pena reler o registo à procura dessas operações e não da palavra «menores». Onde existam, o que merece ficar no processo é curto: que se avaliou a aplicabilidade do canal, a data, a referência da CNPD e o eventual encaminhamento. O formulário oficial preenche-se no sítio da autoridade e não deve ser reproduzido noutro lado, quanto mais não seja porque tem captcha e rejeita certos carateres: uma cópia diverge ao primeiro ajuste. As evidências mantêm-se com acesso restrito, sem duplicar conteúdos sensíveis mais do que o necessário.
As duas vias podem correr juntas
Num caso que envolva dados de menores, o Canal Prioritário e a notificação de violação de dados do artigo 33.º do RGPD podem aplicar-se em simultâneo. O primeiro é uma participação que chega à autoridade do exterior; a segunda é um dever do responsável. Não se excluem nem se substituem.
Procura uma ferramenta para o seu trabalho de EPD?
O DPO Workspace foi construído por um DPO certificado. 30 dias de experiência gratuita.
Começar gratuitamente