O RGPD dá-te direitos concretos sobre tudo o que empresas e serviços sabem sobre ti — e a maioria das pessoas nunca os usou. Este guia mostra quais são, como exercê-los em poucos minutos, o que fazer quando os teus dados aparecem numa fuga e como reclamar à CNPD.
Miguel Fernandes · Editor de Tecnologia & Cibersegurança
O que são dados pessoais
Dados pessoais são quaisquer informações que permitam identificar uma pessoa, direta ou indiretamente: nome, email, NIF, morada, número de telefone, matrícula, endereço IP, cookies de identificação, gravação de voz, fotografia. Há ainda uma categoria especial — saúde, convicções religiosas, opinião política, orientação sexual, dados biométricos e genéticos — cujo tratamento é proibido por regra e só permitido em situações estritas.
Quem trata dados tem de ter um fundamento legal para o fazer: consentimento, execução de um contrato, obrigação legal, interesse vital, interesse público ou interesse legítimo. Se te perguntas por que motivo uma empresa tem o teu número, tens o direito de exigir que ela indique qual destes fundamentos aplica.
Os teus direitos
Direito de acesso
Podes pedir a qualquer empresa uma cópia de todos os dados que tem sobre ti, para que os usa e com quem os partilha. Resposta obrigatória em 1 mês, gratuita.
Direito de retificação
Corrigir dados errados ou incompletos — morada, nome, histórico de faturação. Sem custos e sem justificação necessária.
Direito ao apagamento ('a ser esquecido')
Exigir a eliminação dos teus dados quando já não são necessários, retiraste o consentimento ou foram tratados ilicitamente. Tem limites: obrigações legais de conservação (faturas, saúde) prevalecem.
Direito à portabilidade
Receber os teus dados num formato aberto e legível por máquina, ou pedir a transferência direta para outro fornecedor. Útil ao mudar de banco, operadora ou serviço cloud.
Direito de oposição
Opor-te ao tratamento para marketing direto — e neste caso a empresa tem de parar imediatamente, sem discussão.
Decisões automatizadas e perfis
Direito a não ficar sujeito a decisões exclusivamente automatizadas com efeitos significativos (crédito recusado, seguro negado) e a pedir intervenção humana.
Como exercer os teus direitos, passo a passo
1
Encontra o contacto certo
Procura o Encarregado de Proteção de Dados (DPO) na política de privacidade do site. Se não houver, serve o contacto geral — a empresa é responsável por encaminhar.
2
Escreve por email e sê específico
Identifica-te, indica o direito que invocas (acesso, apagamento, oposição) e pede resposta escrita. Guarda o email enviado: é a prova da data.
3
Conta o prazo
A empresa tem 1 mês para responder, prorrogável por mais 2 em casos complexos — mas tem de te avisar dessa prorrogação dentro do primeiro mês.
4
Se não responderem, reclama à CNPD
A Comissão Nacional de Proteção de Dados aceita reclamações online. Junta o email original e a ausência de resposta. É gratuito.
Os teus dados numa fuga: o que fazer
Fugas de dados são hoje rotina — plataformas grandes e pequenas, operadoras, lojas online. O que muda o desfecho não é evitar a fuga (não depende de ti), é o que fazes nas horas seguintes. Confirma primeiro se estás afetado no nosso verificador de fugas de email.
1
Confirma o alcance da fuga
Descobre que tipo de dados saíram: só email, ou também palavra-passe, morada, NIF, dados de cartão. A gravidade e a resposta mudam completamente conforme o caso.
2
Muda a palavra-passe — e todas as iguais
Começa pelo serviço afetado e passa depois a qualquer conta onde tenhas reutilizado a mesma. É por aqui que uma fuga antiga se transforma num acesso indevido novo.
3
Ativa autenticação de dois fatores
De preferência por aplicação, não por SMS. Mesmo com a palavra-passe roubada, o acesso fica bloqueado.
4
Vigia o que pode ser usado contra ti
Se saíram NIF, morada ou documento de identificação, o risco é de roubo de identidade. Vigia movimentos bancários e comunicações de crédito nos meses seguintes.
5
Exige informação à entidade responsável
Em caso de fuga com risco elevado, a empresa é obrigada a comunicar-te diretamente — e a notificar a CNPD nas 72 horas. Se soubeste pela imprensa, isso por si só é fundamento de reclamação.
Se tens uma empresa
As obrigações não dependem da dimensão: qualquer negócio que trate dados de clientes ou trabalhadores está abrangido. O essencial é um registo das atividades de tratamento, fundamentos legais claros, política de privacidade real (não copiada), contratos com subcontratantes (cloud, faturação, marketing), medidas técnicas mínimas — cifra, controlo de acessos, backups — e um procedimento escrito para notificar a CNPD nas 72 horas em caso de violação. Em setores críticos, acrescenta-se a NIS2. Do lado das ferramentas, vê antivírus para empresas e gestores de palavras-passe empresariais.
Reduzir a exposição no dia a dia
Usa aliases de email em registos não essenciais — se o alias começar a receber spam, sabes exatamente quem vendeu ou perdeu os dados. Vê email seguro.
Uma VPN reduz o rastreio por IP em redes públicas, mas não substitui nada do que está acima.
Perguntas frequentes
O que é o RGPD, em termos práticos?
É o regulamento europeu que define como empresas e organismos públicos podem recolher e usar dados pessoais. Na prática dá-te seis direitos concretos e exigíveis — acesso, retificação, apagamento, portabilidade, oposição e limitação — e obriga quem trata dados a justificar por que o faz.
Quanto custa exercer os meus direitos?
Nada. O exercício é gratuito. Só em pedidos manifestamente excessivos ou repetitivos é que a empresa pode cobrar um custo razoável ou recusar — e tem de fundamentar essa recusa.
Uma empresa pode recusar apagar os meus dados?
Pode, em casos concretos: quando existe obrigação legal de conservação (faturação, registos clínicos), quando os dados são necessários para exercer ou defender um direito em tribunal, ou por motivos de interesse público. Fora disso, tem de apagar.
Os meus dados apareceram numa fuga. Tenho direito a indemnização?
Podes ter. O RGPD prevê o direito a indemnização por danos materiais e não materiais causados por violação do regulamento, mas tens de demonstrar o dano e o nexo causal. A reclamação à CNPD é o passo prévio habitual.
Qual é a diferença entre RGPD e a lei portuguesa?
O RGPD aplica-se diretamente em toda a UE. A Lei 58/2019 executa-o em Portugal, definindo pontos deixados aos Estados-membros — como a idade mínima de consentimento (13 anos), regras em contexto laboral e o regime das coimas. A autoridade de controlo é a CNPD.
E os dados que dou a serviços fora da Europa?
O RGPD segue os dados: qualquer empresa que ofereça bens ou serviços a residentes na UE está abrangida, esteja onde estiver. As transferências para países terceiros exigem garantias adicionais, como cláusulas contratuais-tipo.
Começa por saber o que já está exposto
Antes de exercer direitos, descobre em que fugas o teu email já apareceu. Leva 10 segundos e é gratuito.
