O que é a proteção de dados, o que diz a lei em Portugal e como podes construir uma carreira nesta área

A proteção de dados é o conjunto de princípios e regras que regula a forma como os dados pessoais são recolhidos, utilizados, armazenados, partilhados e protegidos. Em Portugal, aplica-se principalmente o Regulamento Geral sobre a Proteção de Dados (RGPD), complementado pela Lei n.º 58/2019, de 8 de agosto, e fiscalizado pela Comissão Nacional de Proteção de Dados (CNPD).

A importância do tema tem vindo a crescer de forma constante em Portugal e na União Europeia (UE): segundo o «Relatório de Atividades de 2024» da CNPD, a entidade aplicou 23 coimas num total de 138.375 € e abriu 19 processos de consulta prévia sobre avaliações de impacto, um aumento de 216,7% face ao ano anterior.

Estas regras aplicam-se a entidades públicas e privadas que tratem dados pessoais, desde informações como o nome, a morada ou o endereço de e-mail até dados de saúde, dados biométricos ou informações de localização.

A proteção de dados está também cada vez mais relacionada com outras áreas da regulação digital, como a cibersegurança e a inteligência artificial. Diplomas europeus como a NIS2 e o Regulamento da Inteligência Artificial introduzem obrigações que podem coexistir com as previstas no RGPD.

Neste artigo, vais perceber o que distingue dados pessoais de dados sensíveis, quais os direitos garantidos pelo RGPD, o papel do Encarregado de Proteção de Dados (Data Protection Officer – DPO) e que novas obrigações resultam da NIS2 e do «AI Act». Ficarás ainda a conhecer as principais saídas profissionais nesta área em Portugal e como podes especializar-te na mesma.

O que é a proteção de dados?

A aplicação das regras de proteção de dados começa por identificar que tipo de informação está a ser tratada. O RGPD distingue os dados pessoais em geral de determinadas categorias de dados que beneficiam de proteção reforçada.

A proteção de dados pessoais assenta na distinção entre dois tipos de informação:

• Dados pessoais: qualquer informação relativa a uma pessoa singular identificada ou identificável, como o nome, a morada, o endereço de e-mail ou dados de localização.
• Categorias especiais de dados pessoais: incluem, entre outros, dados que revelem a origem racial ou étnica, opiniões políticas, convicções religiosas ou filosóficas ou filiação sindical, bem como dados genéticos, biométricos utilizados para identificar uma pessoa, dados relativos à saúde, vida sexual ou orientação sexual.

Dados pessoais, dados pseudonimizados e dados anónimos são a mesma coisa?

Não. Dados pessoais são informações relacionadas com uma pessoa identificada ou identificável. Quando os dados são pseudonimizados, os identificadores diretos são substituídos ou separados, mas continua a ser possível associar a informação a uma pessoa através de dados adicionais. Por esse motivo, os dados pseudonimizados continuam sujeitos ao RGPD.

Já os dados efetivamente anonimizados deixam de permitir a identificação da pessoa por meios razoavelmente suscetíveis de serem utilizados. Quando a anonimização é verdadeiramente irreversível, essa informação deixa de ser considerada dado pessoal para efeitos do RGPD.

Esta distinção é particularmente relevante em áreas como investigação, saúde, análise de dados e desenvolvimento de sistemas de inteligência artificial.

Quais são os principais direitos previstos pelo RGPD?

O RGPD reconhece aos titulares dos dados vários direitos relativamente à utilização da sua informação pessoal:

• Direito de acesso: permite saber se os dados pessoais estão a ser tratados e obter informação sobre esse tratamento.
• Direito de retificação: permite solicitar a correção de dados inexatos ou completar informação incompleta.
• Direito ao apagamento: permite solicitar a eliminação dos dados em determinadas circunstâncias previstas no RGPD.
• Direito à limitação do tratamento: permite restringir temporariamente determinadas operações realizadas sobre os dados.
• Direito à portabilidade: em determinadas situações, permite receber os dados num formato estruturado, de uso corrente e de leitura automática, e transmiti-los a outro responsável.
• Direito de oposição: permite opor-se a determinados tratamentos, incluindo, em particular, o tratamento para efeitos de marketing direto.
• Direitos relacionados com decisões individuais automatizadas: o RGPD estabelece proteção relativamente a determinadas decisões baseadas exclusivamente em tratamento automatizado que produzam efeitos jurídicos ou afetem significativamente uma pessoa.

Qual é o impacto do RGPD em Portugal e na União Europeia?

O Regulamento Geral sobre a Proteção de Dados (RGPD) é o regulamento europeu que estabelece as principais regras relativas ao tratamento e à proteção de dados pessoais na União Europeia. É aplicável desde maio de 2018 e vincula diretamente as organizações públicas e privadas abrangidas pelo seu âmbito de aplicação.

Em Portugal, o RGPD é complementado pela Lei n.º 58/2019, de 8 de agosto. A Comissão Nacional de Proteção de Dados (CNPD) é a autoridade de controlo nacional responsável por fiscalizar o cumprimento das regras de proteção de dados.

O RGPD assenta em seis princípios que qualquer entidade que trate dados pessoais tem de respeitar:

1. Licitude, lealdade e transparência: o tratamento tem de ter uma base legal e ser claro para o titular.
2. Limitação das finalidades: os dados só podem ser usados para os fins que justificaram a sua recolha.
3. Minimização dos dados: só devem ser recolhidos os dados estritamente necessários.
4. Exatidão: os dados têm de estar corretos e atualizados.
5. Limitação da conservação: os dados não podem ser guardados para além do tempo necessário.
6. Integridade e confidencialidade: os dados têm de estar protegidos contra acessos não autorizados, perda ou destruição.

A dimensão da fiscalização é ainda mais evidente à escala europeia. De acordo com o «GDPR Fines and Data Breach Survey» de janeiro de 2026, da DLA Piper, as coimas aplicadas ao abrigo do RGPD desde maio de 2018 já ultrapassam os 7,1 mil milhões de euros.

Estes números ajudam a demonstrar que a proteção de dados não corresponde apenas a um conjunto de princípios jurídicos: implica também obrigações concretas de conformidade, avaliação de risco e responsabilização das organizações.

A par disto, novas regras como a Diretiva «Network and Information Security 2» (NIS2) e o Regulamento da Inteligência Artificial («AI Act») estão a alargar o âmbito da conformidade digital, tornando a proteção de dados uma área cada vez mais procurada no mercado de trabalho.

Quais são as bases legais para o tratamento de dados pessoais?

Para que o tratamento de dados pessoais seja lícito, não basta que uma organização tenha acesso à informação: é necessário existir um fundamento jurídico que legitime a sua utilização.

O RGPD prevê diferentes bases legais para o tratamento de dados pessoais, entre as quais:

• Consentimento: o titular autoriza o tratamento dos seus dados para uma ou mais finalidades específicas.
• Execução de um contrato: o tratamento é necessário para executar um contrato com o titular ou realizar diligências pré-contratuais solicitadas por este.
• Obrigação jurídica: os dados têm de ser tratados para que o responsável cumpra uma obrigação legal.
• Proteção de interesses vitais: o tratamento é necessário para proteger interesses essenciais à vida do titular ou de outra pessoa.
• Interesse público ou exercício de autoridade pública: o tratamento é necessário ao exercício de determinadas funções de interesse público.
• Interesses legítimos: em determinadas circunstâncias, uma organização pode tratar dados para prosseguir interesses legítimos, desde que estes não prevaleçam sobre os direitos e liberdades fundamentais do titular.

O consentimento é, portanto, apenas uma das possíveis bases legais previstas pelo RGPD. A base adequada depende da finalidade, do contexto e das características de cada tratamento.

Quem é responsável pela proteção dos dados pessoais numa organização?

O RGPD distingue diferentes intervenientes no tratamento de dados pessoais. O responsável pelo tratamento é a entidade que determina as finalidades e os meios do tratamento. Já o subcontratante trata dados pessoais por conta do responsável pelo tratamento.

Por exemplo, uma empresa que recolhe dados dos seus clientes para gerir vendas pode atuar como responsável pelo tratamento. Se contratar um fornecedor de serviços tecnológicos para alojar ou processar esses dados segundo as suas instruções, esse fornecedor poderá atuar como subcontratante.

Esta distinção é importante porque o RGPD atribui responsabilidades e obrigações específicas a cada interveniente.

O que é um Encarregado de Proteção de Dados (DPO)?

O Encarregado de Proteção de Dados (DPO, na sigla inglesa de Data Protection Officer) é o profissional responsável por informar e aconselhar uma organização sobre determinadas obrigações de proteção de dados e por acompanhar o cumprimento do RGPD.

Entre as suas funções estão a sensibilização interna, o acompanhamento da conformidade, o aconselhamento relativamente às avaliações de impacto sobre a proteção de dados e a cooperação com a autoridade de controlo. O DPO funciona também como ponto de contacto para a CNPD e para os titulares dos dados nas matérias relacionadas com o tratamento da sua informação.

Cabe-lhe monitorizar o cumprimento interno das regras de proteção de dados, informar e aconselhar a organização e os seus colaboradores e servir de ponto de contacto tanto com a CNPD como com os titulares dos dados.

Nem todas as organizações são, contudo, obrigadas a nomear um DPO; segundo o RGPD, essa nomeação é imperativa para:

• Autoridades ou organismos públicos, com exceção dos tribunais no exercício da função jurisdicional.
• Entidades cuja atividade principal implique a monitorização regular e sistemática de titulares em grande escala.
• Entidades cuja atividade principal envolva o tratamento em grande escala de categorias especiais de dados ou de dados relativos a condenações penais.

Na prática, isto abrange toda a administração pública e um número crescente de empresas privadas como bancos, seguradoras, operadoras de telecomunicações e unidades de saúde, entre outras.

Preparares-te para esta função requer uma base sólida em Direito da Proteção de Dados, mas cada vez mais também em Cibersegurança e em Inteligência Artificial (IA), já que estas três áreas se cruzam no dia a dia de um DPO.

A Pós-Graduação Online em Proteção de Dados, IA & Cibersegurança da Universidade Europeia capacita-te precisamente para esta interseção, abrangendo o RGPD, a NIS2, o «AI Act» e a realização de Avaliações de Impacto sobre a Proteção de Dados (AIPD/DPIA) numa ótica aplicada, preparando-te para assumires funções de DPO ou de liderança em compliance, risco e governação da informação.

O que muda com a NIS2, o «AI Act» e o novo quadro regulatório europeu?

A proteção de dados deixou de se esgotar no RGPD; nos últimos dois anos, a UE aprovou um conjunto de novas regras que reforçam e cruzam obrigações com o RGPD, de entre as quais se destacam:

A Diretiva NIS2 (segurança das redes e dos sistemas de informação)

Em Portugal, foi transposta pelo Decreto-Lei n.º 125/2025, de 4 de dezembro, que criou o Regime Jurídico da Cibersegurança (RJC), em vigor desde 3 de abril de 2026.

O Centro Nacional de Cibersegurança (CNCS) passou a ser a autoridade nacional de cibersegurança, com poderes para fiscalizar entidades essenciais e importantes em 18 setores de atividade.

As coimas podem atingir 10 milhões de euros ou 2% do volume de negócios anual mundial nos casos mais graves e a gestão de topo das organizações passa a ser diretamente responsável pelo cumprimento das obrigações de cibersegurança.

O «AI Act» (Regulamento da Inteligência Artificial)

Este regulamento europeu entrou em vigor em agosto de 2024 e será plenamente aplicável a partir de 2 de agosto de 2026, com obrigações já em vigor para práticas proibidas e para os modelos de IA de finalidade geral.

O diploma regula os sistemas de IA consoante o seu nível de risco e tem implicações diretas na proteção de dados sempre que a IA processa informação pessoal (por exemplo, em contextos de recrutamento, crédito ou saúde).

Os «Data Governance Act» e «Data Act»

Estes documentos completam o quadro europeu ao regularem, respetivamente, a partilha fiável de dados através de intermediários e o acesso justo aos dados gerados por produtos conectados, mantendo sempre uma subordinação às regras de proteção de dados pessoais.

Este conjunto de diplomas está a criar obrigações complementares às do RGPD e a reforçar a procura por profissionais com uma visão transversal, capazes de compreenderem simultaneamente o Direito, a tecnologia e a gestão do risco.

RGPD, NIS2 e AI Act aplicam-se às mesmas situações?

Não necessariamente. O RGPD, a NIS2 e o AI Act regulam matérias diferentes, embora possam aplicar-se em simultâneo à mesma organização, sistema ou atividade.

O RGPD centra-se no tratamento de dados pessoais e na proteção dos direitos das pessoas. Consoante a “Diretiva (UE) 2022/2555 do Parlamento Europeu e do Conselho de 14 de dezembro de 2022”, a NIS2 tem como principal objetivo reforçar a cibersegurança das entidades abrangidas, através de requisitos relacionados com a gestão de riscos, a segurança dos sistemas de rede e informação e a comunicação de incidentes.

Já o AI Act estabelece regras específicas para o desenvolvimento, disponibilização e utilização de sistemas e modelos de inteligência artificial, com obrigações que variam consoante o tipo de sistema e o respetivo nível de risco.

Por isso, a aplicação de um destes diplomas não exclui necessariamente os restantes. A própria NIS2 determina que as regras europeias de proteção de dados continuam a aplicar-se aos tratamentos de dados pessoais realizados no seu âmbito. Da mesma forma, o AI Act não substitui o RGPD quando um sistema de inteligência artificial envolve o tratamento de dados pessoais.

Por exemplo, uma organização que utilize um sistema de inteligência artificial para analisar dados pessoais pode ter de cumprir simultaneamente requisitos do RGPD e do AI Act.

Se essa organização estiver também abrangida pelo regime da NIS2, terá ainda de assegurar o cumprimento das obrigações aplicáveis em matéria de gestão do risco de cibersegurança e segurança dos seus sistemas de rede e informação.

Na prática, os três regimes podem cruzar-se da seguinte forma:

Quais são as saídas profissionais em proteção de dados em Portugal?

O crescimento da regulamentação tem um reflexo direto no mercado de trabalho; entre as principais funções procuradas em Portugal, destacam-se:

• Data Protection Officer (DPO).
• Consultor de Privacidade e Compliance.
• Auditor de Proteção de Dados.
• Privacy by Design Specialist.
• Especialista em Gestão de Risco Digital.

Os setores com maior procura por estes perfis incluem a administração pública (no âmbito da qual a nomeação de um DPO é obrigatória), a saúde, a banca, os seguros, a tecnologia e a consultoria jurídica especializada em Direito Digital.

Esta procura tende a intensificar-se: por um lado, a CNPD tem vindo a reforçar a sua atividade fiscalizadora, como mostra o aumento de processos de consulta prévia e de averiguação nos últimos relatórios de atividades; por outro, a entrada em vigor da NIS2 e do «AI Act» está a obrigar milhares de organizações a reverem a sua conformidade digital.

A nível global, o cenário é semelhante: segundo o «2024 ISC2 Cybersecurity Workforce Study», a escassez mundial de profissionais de cibersegurança ultrapassa os 4,7 milhões de postos por preencher, um problema que se reflete também nas áreas próximas da proteção de dados e da privacidade.

Como podes especializar-te em proteção de dados em Portugal

Em suma, a proteção de dados combina Direito, tecnologia e gestão de risco, sendo que a sua importância só tende a crescer à medida que o RGPD passa a conviver com a NIS2, o «AI Act» e outras regras europeias cada vez mais exigentes.

A Universidade Europeia disponibiliza uma oferta formativa alinhada com esta procura, tanto para quem está a iniciar a carreira como para quem já é profissional e pretende especializar-se:

Como trabalhar na área da proteção de dados?

Não existe um único percurso para trabalhar em proteção de dados. Os profissionais desta área podem ter formação de base em Direito, Gestão, Tecnologias da Informação, Cibersegurança ou outras áreas relacionadas, dependendo das funções que pretendem desempenhar.

Para funções com forte componente jurídica e de compliance, é particularmente relevante compreender o RGPD, a legislação nacional e outros instrumentos do quadro regulatório digital. Já funções relacionadas com segurança, risco tecnológico ou governação da informação podem exigir conhecimentos adicionais de sistemas de informação e cibersegurança.

A evolução da NIS2, do AI Act e de outros instrumentos europeus reforça ainda a importância de competências multidisciplinares, capazes de relacionar Direito, tecnologia, gestão de risco e governação de dados.