O que é o RGPD?
O Regulamento Geral sobre a Proteção de Dados, habitualmente designado por RGPD, é a principal lei da União Europeia que rege o processamento de dados pessoais. Foi concebido para proteger os direitos fundamentais dos indivíduos, criando simultaneamente um quadro de proteção de dados consistente em toda a Europa. O RGPD é aplicável desde 25 de maio de 2018 e afeta a forma como as organizações recolhem, utilizam, partilham, protegem, conservam e eliminam dados pessoais.
O regulamento não é apenas um requisito de TI ou jurídico. Afeta o design de produtos, marketing, recursos humanos, apoio ao cliente, aprovisionamento, segurança, finanças e todas as outras equipas que lidam com informações relativas a uma pessoa identificável. O cumprimento eficaz depende, portanto, de uma responsabilidade clara, registos fiáveis e fluxos de trabalho repetíveis em toda a organização.
A quem se aplica o RGPD?
O RGPD aplica-se aos responsáveis pelo tratamento e subcontratantes estabelecidos na UE ou no EEE quando processam dados pessoais no contexto das suas atividades. Pode também aplicar-se a organizações fora da Europa quando estas oferecem bens ou serviços a pessoas na UE ou no EEE, ou monitorizam o seu comportamento nesses territórios.
Um responsável pelo tratamento decide por que motivo e de que forma os dados pessoais são processados. Um subcontratante processa dados pessoais em nome de um responsável pelo tratamento. Uma organização pode atuar como responsável pelo tratamento em algumas atividades e como subcontratante noutras, pelo que as funções devem ser avaliadas para cada operação de processamento e refletidas nos contratos e registos.
Os dados pessoais incluem qualquer informação relativa a uma pessoa identificada ou identificável. Nomes e endereços de e-mail são exemplos óbvios, mas identificadores, dados de localização, atividade online, informações de dispositivos e combinações de dados também podem identificar alguém. Dados de categorias especiais, como informações de saúde, dados biométricos utilizados para identificação, opiniões políticas ou convicções religiosas, recebem proteção adicional. Regras separadas também se aplicam a dados pessoais relacionados com condenações penais e infrações.
Os sete princípios do RGPD
Estes princípios constituem a base de todas as obrigações do RGPD. As organizações devem segui-los e ser capazes de demonstrar que o fazem.
- Licitude, lealdade e transparência: processar dados com base num fundamento jurídico válido, tratar as pessoas de forma justa e explicar o processamento com clareza.
- Limitação da finalidade: recolher dados para finalidades específicas, explícitas e legítimas, e não os reutilizar de forma incompatível.
- Minimização de dados: limitar os dados pessoais ao que é adequado, relevante e necessário.
- Precisão: manter os dados pessoais precisos e corretos ou eliminar informações imprecisas sem demora.
- Limitação de armazenamento: retenha dados pessoais identificáveis apenas pelo tempo necessário.
- Integridade e confidencialidade: utilize medidas técnicas e organizacionais apropriadas para proteger os dados.
- Responsabilidade: assuma a responsabilidade pela conformidade e mantenha evidências de decisões, controles e resultados.
Bases legais para o tratamento
A maioria dos tratamentos exige uma das seis bases legais. A base apropriada depende do propósito e do contexto e deve ser selecionada antes que o tratamento comece.
- Consentimento: a pessoa fornece uma indicação de concordância livre, específica, informada e inequívoca.
- Contrato: o tratamento é necessário para executar um contrato com a pessoa ou para tomar medidas pré-contratuais solicitadas.
- Obrigação legal: o tratamento é necessário para cumprir uma obrigação legal.
- Interesses vitais: o tratamento é necessário para proteger a vida de alguém.
- Tarefa pública: o tratamento é necessário para uma tarefa de interesse público ou para o exercício de autoridade oficial.
- Interesses legítimos: o tratamento é necessário para um interesse legítimo, a menos que os interesses, direitos ou liberdades da pessoa prevaleçam sobre ele.
A base legal influencia as informações de transparência, a retenção, os direitos individuais e a forma como o tratamento deve ser documentado. Dados de categorias especiais normalmente exigem tanto uma base legal do Artigo 6 quanto uma condição separada do Artigo 9.
Key GDPR obligations for organisations
Provide clear and accessible information
People should understand who is processing their data, why it is being used, the lawful basis, who receives it, how long it is retained, whether it is transferred internationally, and how they can exercise their rights. Privacy notices should be concise, easy to find and kept aligned with actual processing.
Maintain records of processing activities
Records of processing activities, commonly called a RoPA, create an operational inventory of processing across the organisation. Depending on the organisation’s role, records may include purposes, categories of individuals and personal data, recipients, international transfers, retention periods and security measures. Even where a limited exemption may apply, reliable records are often essential for accountability, risk management and responding to regulators or individuals.
Apply data protection by design and by default
Privacy should be considered when systems, products and processes are first planned—not added after launch. Default settings should limit collection, access, use, retention and disclosure to what is necessary for each purpose. Decisions should be documented throughout the lifecycle.
Manage processors, vendors and contracts
Controllers must use processors that provide sufficient guarantees and must put required contractual terms in place. Organisations should assess vendors before onboarding, understand data locations and subprocessors, control access, monitor changes and keep evidence of due diligence. Roles and responsibilities between controllers, joint controllers and processors should be clearly documented.
Protect personal data
Security measures should be appropriate to the risk and may include access controls, encryption or pseudonymisation, resilience, backups, monitoring, testing, incident response and staff training. The correct measures depend on the nature, scope, context and purposes of processing, as well as the potential impact on individuals.
Complete DPIAs for high-risk processing
A Data Protection Impact Assessment is required before processing that is likely to result in a high risk to people’s rights and freedoms. A DPIA should describe the planned processing, assess necessity and proportionality, identify risks and document measures to reduce them. It should be treated as a living assessment and reviewed when the processing or risk changes.
Appoint a Data Protection Officer when required
A DPO is required in certain circumstances, including where a public authority or body processes data, where core activities involve regular and systematic monitoring on a large scale, or where core activities involve large-scale processing of special-category or criminal-offence data. The DPO must be able to perform the role independently and receive appropriate access, resources and support.
Control international data transfers
Transfers of personal data outside the EEA require a valid transfer mechanism unless the destination benefits from an adequacy decision. Depending on the transfer, organisations may need contractual safeguards, a transfer impact assessment and supplementary technical or organisational measures.
Prepare for personal data breaches
Organisations should be able to detect, contain, assess and document security incidents involving personal data. A controller must notify the relevant supervisory authority without undue delay and, where feasible, within 72 hours after becoming aware of a breach, unless it is unlikely to result in a risk to individuals. When a breach is likely to result in a high risk, affected people may also need to be informed without undue delay.
Data subject rights under the GDPR
The GDPR gives individuals meaningful control over their personal data. Rights include:
- the right to be informed about processing;
- the right of access to personal data and related information;
- the right to correct inaccurate or incomplete data;
- the right to erasure in applicable circumstances;
- the right to restrict processing;
- the right to data portability where the legal conditions are met;
- the right to object to certain processing, including direct marketing; and
- rights relating to decisions based solely on automated processing, including profiling.
Requests generally need to be handled without undue delay and within one month, although the period may be extended for complex or numerous requests when the individual is informed. Teams need a secure process for intake, identity verification, searching connected systems, coordinating responses, recording decisions and meeting deadlines.
GDPR enforcement and fines
Supervisory authorities have investigative and corrective powers, including warnings, reprimands, processing restrictions and administrative fines. The highest fine tier can reach €20 million or 4% of total worldwide annual turnover from the preceding financial year, whichever is higher. A lower tier of up to €10 million or 2% may apply to other infringements. The actual response depends on factors such as severity, duration, intent, mitigation, cooperation and previous infringements.
Financial penalties are only one risk. Poor privacy practices can also lead to operational disruption, claims, contract issues and loss of customer or employee trust.
A practical GDPR compliance checklist
- Assign clear ownership across privacy, legal, security, engineering, procurement and business teams.
- Map systems, vendors, data assets and personal-data flows.
- Maintain an accurate RoPA connected to real operational information.
- Document lawful bases, purposes, retention periods and transparency requirements.
- Review privacy notices and consent or preference mechanisms.
- Embed privacy reviews and DPIAs into project and vendor onboarding workflows.
- Put appropriate processor and international-transfer safeguards in place.
- Maintain a tested process for data subject requests and identity verification.
- Implement proportionate security, breach response and escalation procedures.
- Train relevant teams and keep evidence of reviews, approvals, risks and remediation.
- Monitor business and regulatory changes and update the programme continuously.
How TrustWorks supports GDPR operations
TrustWorks helps privacy teams convert policy requirements into connected operational workflows. Rather than maintaining separate spreadsheets, inboxes and documents, organisations can manage evidence, ownership and collaboration in one platform.
- Data mapping and discovery: identify internal systems, third-party tools, data assets and processing locations to improve visibility over personal-data flows.
- Processing activities and RoPA: maintain structured records, collaborate with business teams and identify missing or outdated information.
- DPIAs and privacy assessments: use centralised workflows, templates, intelligent surveys and risk mapping to assess new and changing processing.
- Data subject requests: consolidate intake channels, track deadlines, support identity checks and coordinate fulfilment across teams and systems.
- Vendor and risk oversight: connect vendor information, assessments and risks so privacy teams can prioritise action and maintain evidence.
- Cross-functional collaboration: assign owners, request input, document decisions and maintain an audit-ready history of privacy work.
TrustWorks supports the management of GDPR compliance workflows. It does not provide legal advice, and organisations should assess their specific obligations with qualified counsel and reference applicable regulator guidance.
