A CNPD fiscaliza sob a Lei n.º 58/2019
A Lei n.º 58/2019, de 8 de agosto, assegura a execução do RGPD na ordem jurídica portuguesa e atribui à CNPD poderes de inspeção, de decisão e de aplicação de coimas. O registo de atividades de tratamento e a avaliação de impacto são, invariavelmente, os primeiros documentos pedidos quando a CNPD abre um processo -- estarem em ordem antes desse momento é o que separa uma inspeção de rotina de um processo contraordenacional.
O que deve incluir um software RGPD
- Registo de atividades de tratamento (art. 30.º RGPD) para cada cliente
- Avaliação de impacto sobre a proteção de dados (art. 35.º RGPD) com assistente guiado
- Gestão de violações de dados com contador de 72 horas (art. 33.º e 34.º RGPD)
- Arquivo de documentos com histórico de versões, pronto para inspeção
- Calendário de prazos para revisões periódicas e obrigações legais
- AI Act: mapa de obrigações e modelos de documentos para quem utiliza sistemas de IA
Para um EPD externo que acompanha dez ou vinte mandatos, o que importa não é a extensão da lista de funcionalidades, mas a separação dos dados de cada cliente com uma visão de conjunto sobre todos os prazos -- algo que uma coleção de ficheiros separados simplesmente não garante.
Cada cliente, o seu registo, os seus prazos
No DPO Workspace, cada cliente tem o seu próprio registo de atividades de tratamento, ligado à avaliação de impacto, às violações de dados e aos documentos -- com histórico de versões para uma eventual inspeção. 30 dias grátis, sem cartão de crédito.
Experimentar grátisPerguntas frequentes
É obrigatório nomear um Encarregado de Proteção de Dados em Portugal, seja qual for a dimensão da empresa?
Não existe um limiar de número de trabalhadores como em alguns outros Estados-Membros. A obrigação de designar um EPD resulta do art. 37.º do RGPD: aplica-se a entidades e organismos públicos, a entidades cuja atividade principal consista na observação regular e sistemática de titulares de dados em grande escala, e a entidades que tratem em grande escala categorias especiais de dados. A dimensão da empresa não afasta a obrigação quando a natureza do tratamento preenche estes critérios.
O software RGPD substitui o Encarregado de Proteção de Dados?
Não. O software organiza o trabalho do dia a dia -- registo, prazos, documentos, avaliação de impacto -- mas não substitui a avaliação técnica do EPD nem a responsabilidade do responsável pelo tratamento nos termos dos art. 24.º e 32.º do RGPD.
Uma folha de cálculo chega para um EPD externo com vários clientes?
Para um único responsável pelo tratamento com poucas atividades de tratamento, muitas vezes sim. Quando se somam vários clientes, prazos de revisão recorrentes e ligações entre o registo, a avaliação de impacto e as violações de dados, a folha de cálculo torna-se o ponto onde a conformidade se perde: as versões desalinham-se, os prazos passam despercebidos, e não há rasto documental para uma inspeção da autoridade de controlo.
Que autoridade fiscaliza o cumprimento do RGPD em Portugal?
A Comissão Nacional de Proteção de Dados (CNPD). A CNPD realiza inspeções, profere decisões e aplica coimas ao abrigo da Lei n.º 58/2019, de 8 de agosto, que assegura a execução, na ordem jurídica interna, do RGPD.
O registo de atividades de tratamento é mesmo o primeiro documento pedido numa inspeção?
Na prática, sim: é o mapa de que a autoridade parte para perceber o que a organização faz com dados pessoais antes de aprofundar qualquer outro ponto. Um registo desatualizado ou inexistente é, por si só, um indício de incumprimento -- independentemente do que se venha a apurar sobre o resto.
O que tem o Regulamento europeu sobre IA (AI Act) a ver com o software RGPD?
A partir de 2 de agosto de 2026 aplicam-se as obrigações de transparência do art. 50.º do AI Act. As obrigações para os sistemas de risco elevado foram adiadas pelo pacote Digital Omnibus para 2 de dezembro de 2027 (anexo III) e 2 de agosto de 2028 (anexo I). As práticas proibidas e o dever de literacia em IA (art. 4.º) já se aplicam desde 2 de fevereiro de 2025. Muitas das evidências exigidas sobrepõem-se à documentação RGPD -- registo, avaliação de risco -- por isso o DPO Workspace junta os dois temas no mesmo perfil de cliente, em vez de os tratar em separado.
Registo, avaliação de impacto e violações -- num só lugar
Para cada cliente, com os prazos certos e sem folhas de cálculo dispersas.
Começar grátis