Roubo de identidade: como reagir e proteger-se

Descobrir que alguém usou os seus dados pessoais sem autorização é desagradável, mas há passos concretos a seguir. A ordem conta: primeiro limitar os danos, depois documentar, depois queixar-se e, por fim, tratar dos dados que continuam a circular. Este guia reúne o que dizem fontes oficiais portuguesas, sem prometer o que nenhuma delas promete.

O que é o roubo de identidade

A GNR define o roubo (ou furto) de identidade como a apropriação da identidade de outra pessoa ou de informações pessoais, que podem depois servir fins ilícitos. A página da GNR dá exemplos de como os dados podem ser obtidos: acesso indevido a aparelhos digitais, ao e-mail ou a contas de redes sociais.

O Centro Internet Segura acrescenta uma nuance útil. Em Portugal, o furto de identidade não corresponde a um tipo de crime em si, mas a um fenómeno a que se aplicam diferentes tipos de crime. Abrange três coisas: a obtenção não consentida de dados pessoais ou privados da vítima, a posse ou transferência desses dados com intuito criminoso e a sua utilização para cometer crimes. Para ser «online», pelo menos uma destas condutas tem de ser praticada através da Internet.

Na prática, isto significa que o seu caso pode ser tratado como burla, como uso de documento de identificação alheio ou como outro crime, consoante o que foi feito com os seus dados.

Para que podem servir os seus dados

Segundo a GNR, quando recolhem informação suficiente, os criminosos podem:

• abrir contas bancárias em nome da vítima;
• fazer transferências a partir da conta bancária;
• pedir cartões de crédito e de débito;
• pedir empréstimos bancários;
• fazer-se passar pela vítima em sites e redes sociais.

O Centro Internet Segura distingue três famílias de crimes: os que não visam diretamente a vítima mas são praticados em seu nome, os que procuram enriquecer o autor ou um terceiro e os que causam danos diretos à vítima ou visam difamá-la.

Sinais de que pode ter sido vítima

As fontes consultadas não fornecem uma lista fechada de sinais. Os exemplos acima sugerem o que vigiar:

• movimentos ou despesas que não reconhece na conta bancária;
• contas, cartões ou créditos que não pediu;
• atividade estranha nas suas redes sociais ou no seu e-mail, ou perfis que usam o seu nome;
• tentativas de acesso às suas contas que não foram feitas por si.

A GNR recomenda monitorizar a atividade do seu perfil e verificar com regularidade os extratos bancários. Se algo não bater certo, avance já para as primeiras ações.

O que fazer primeiro

Estes passos seguem as indicações da GNR e do serviço de Queixa Eletrónica. A ordem é uma sugestão de bom senso, não uma sequência oficial.

1. Guarde as provas. Faça capturas de ecrã de mensagens, perfis falsos, movimentos bancários e e-mails. Anote datas e horas. Serão úteis na queixa.
2. Avise o banco. A GNR indica que deve comunicar ao banco despesas ou movimentos suspeitos. Se alguém lhe ligou a dizer que era do banco, desligue e volte a ligar para o número que consta da sua lista telefónica, conselho da própria GNR. Sobre este tipo de chamada, leia também o nosso guia sobre chamadas falsas do banco.
3. Mude as palavras-passe e as definições de privacidade. A GNR aconselha a alterar as palavras-passe de acesso e as definições de privacidade se um perfil de rede social puder estar comprometido. Se usa a mesma palavra-passe noutros sítios, mude-a também aí.
4. Avise a plataforma onde o perfil falso aparece. As redes sociais têm normalmente meios de denúncia de perfis que se fazem passar por outra pessoa. Os passos variam de plataforma para plataforma e não foram verificados para este artigo; use o centro de ajuda oficial de cada serviço.
5. Apresente queixa. Veja a secção seguinte.

Ver o que é visível a seu respeito

Quanto mais informação pessoal estiver acessível, mais fácil é a alguém fazer-se passar por si. O Remove Me oferece uma análise gratuita, sem inscrição, que verifica o que é visível publicamente a seu respeito, as fugas de dados conhecidas (através do Have I Been Pwned) e um registo de corretores de dados. O código de 6 dígitos enviado por e-mail desbloqueia o relatório. O Remove Me ainda não envia pedidos de apagamento por si e não substitui a queixa às autoridades. Iniciar a minha análise gratuita.

Onde apresentar queixa

O serviço de Queixa Eletrónica do Ministério da Administração Interna permite apresentar queixas eletrónicas à GNR ou à PSP por certos crimes. A lista inclui, entre outros, «Burla» e «Uso de documento de identificação ou de viagem alheio». Para o usar:

• tem de ser uma pessoa singular identificada, residente ou presente em território nacional;
• tem de se autenticar, por Cartão de Cidadão, Chave Móvel Digital, via CTT ou identificação presencial;
• o serviço não serve para emergências nem para crimes em curso: nesses casos, ligue 112;
• as queixas só seguem para a autoridade competente depois de validadas e de a identidade ser confirmada.

Se o seu caso não se enquadrar nos tipos disponíveis, o serviço indica que deve dirigir-se à autoridade policial mais próxima ou usar os canais tradicionais. O nosso artigo sobre a queixa eletrónica explica melhor este serviço, e o guia sobre burla online cobre o que fazer se também perdeu dinheiro.

Dados pessoais em circulação: o que o RGPD lhe permite fazer

Mesmo depois da queixa, os seus dados podem continuar numa base de dados, num site ou numa conta falsa. O Regulamento Geral sobre a Proteção de Dados (RGPD) dá-lhe instrumentos, que se dirigem à entidade que trata os dados, não ao burlão.

• Retificação (artigo 16.º): pode pedir a correção de dados inexatos que lhe digam respeito.
• Apagamento (artigo 17.º): tem direito a obter o apagamento dos seus dados quando se aplique um dos motivos previstos, por exemplo se os dados foram tratados ilicitamente ou deixaram de ser necessários para a finalidade que motivou a recolha. O direito tem exceções, como o exercício da liberdade de expressão e de informação ou o cumprimento de uma obrigação legal.
• Prazo (artigo 12.º): a entidade deve informá-lo das medidas tomadas no prazo de um mês a contar da receção do pedido. O prazo pode ser prorrogado até dois meses, em função da complexidade e do número de pedidos, e a entidade tem de o avisar dentro do primeiro mês.
• Recusa: se a entidade não der seguimento, deve dizer-lhe as razões e que pode apresentar reclamação a uma autoridade de controlo.

A CNPD (Comissão Nacional de Proteção de Dados) recomenda dirigir o pedido, de preferência, ao canal que a entidade indica na sua política de privacidade, identificar-se de forma clara e guardar prova do envio. O exercício dos direitos é gratuito. Para um guia completo, veja os seus direitos no RGPD.

Quando queixar-se à CNPD

Se a entidade não responder ou recusar sem motivo claro, o artigo 77.º do RGPD reconhece o direito de apresentar reclamação a uma autoridade de controlo, em especial no Estado-Membro da sua residência habitual. Em Portugal, é a CNPD. Existe um formulário geral de participação e a CNPD pede que descreva os factos, sem necessidade de argumentação jurídica: a análise é feita por ela. Veja o passo a passo em como apresentar queixa à CNPD.

A queixa à CNPD tem um objeto diferente da queixa criminal. Trata de como uma entidade tratou os seus dados pessoais. Não substitui a queixa por burla ou por uso de documento alheio.

Como reduzir o risco de roubo de identidade

Prevenir é mais simples do que reparar. Reduzir a quantidade de informação pessoal exposta, e dificultar o acesso às suas contas, diminui o material de que um burlão precisa.

A GNR reúne estes conselhos, que fazem sentido em qualquer caso:

• utilize sites seguros nas compras online;
• evite publicar informação pessoal;
• use palavras-passe com oito ou mais carateres que combinem letras, números e símbolos, e não as partilhe;
• não responda a chamadas ou e-mails de bancos que peçam palavras-passe ou dados pessoais;
• desconfie de e-mails com ligações que pedem acesso;
• confira regularmente os extratos bancários.

O Centro Internet Segura sugere ainda uma atitude crítica na partilha de informação nas redes sociais e a adoção de medidas robustas de segurança e privacidade. Um gestor de palavras-passe ajuda a ter uma palavra-passe diferente em cada conta. Se o seu e-mail aparecer numa fuga, o guia sobre fugas de dados e contas hackeadas indica os passos.

Como preparar a queixa

Uma queixa bem documentada facilita o trabalho de quem a recebe. Reúna, antes de começar:

• uma descrição cronológica do que aconteceu e de quando descobriu;
• capturas de ecrã de perfis falsos, mensagens e e-mails, com data e hora;
• extratos ou comprovativos de movimentos que não reconhece;
• o nome das entidades envolvidas (banco, plataforma) e o que já lhes comunicou;
• o documento com que se vai autenticar na Queixa Eletrónica, que pode ser o Cartão de Cidadão ou a Chave Móvel Digital.

Não altere nem apague as mensagens recebidas, mesmo que sejam desagradáveis: são prova. Se precisar de ajuda para escrever, a autoridade policial a quem se dirigir pode orientá-lo.

Queixa ou denúncia: o que muda

O serviço de Queixa Eletrónica explica uma distinção que também pode importar no seu caso. Alguns crimes, como o furto ou a ofensa à integridade física simples, só são perseguidos se a vítima, ou o seu representante legal, apresentar queixa. Nos crimes públicos, como a violência doméstica, qualquer cidadão pode fazer uma denúncia. A página não indica em que categoria cai cada situação de roubo de identidade, e o Centro Internet Segura recorda que o fenómeno pode corresponder a vários tipos de crime. Por isso, o mais seguro é apresentar queixa o quanto antes e deixar a qualificação para as autoridades.

As queixas eletrónicas são tratadas, depois de validadas e de confirmada a identidade, como as feitas presencialmente junto de uma força de segurança. O serviço permite também consultar o estado de uma queixa já apresentada.

Quem pode fazer o quê

Cada entidade tem um papel diferente. Convém não esperar que uma faça o trabalho da outra:

• O banco pode analisar movimentos suspeitos. A GNR indica que deve comunicar-lhe despesas ou movimentos que não reconhece.
• A plataforma ou rede social controla o perfil falso ou a conta comprometida. Os procedimentos de denúncia variam e devem ser consultados na ajuda oficial de cada serviço.
• A GNR ou a PSP, através da Queixa Eletrónica ou presencialmente, recebem a queixa por burla, por uso de documento de identificação alheio ou por outro crime.
• A entidade que trata os seus dados pode ser chamada a retificar ou apagar dados, ao abrigo do RGPD.
• A CNPD recebe participações sobre o modo como os dados pessoais são tratados, o que não substitui a queixa criminal.

Quando a origem é uma fuga de dados

Em alguns casos, os dados usados pelo burlão saíram de uma fuga numa empresa ou serviço. O artigo 34.º do RGPD obriga o responsável a comunicar a violação ao titular dos dados, sem demora injustificada, quando for suscetível de implicar um elevado risco para os seus direitos e liberdades, em linguagem clara e simples. Há exceções, por exemplo se os dados afetados estavam protegidos por medidas adequadas.

Se recebeu essa comunicação, trate-a como um aviso a levar a sério: mude as palavras-passe e vigie contas e extratos. Se suspeita que os seus dados foram expostos sem ter recebido aviso, pode pedir à entidade informações sobre o tratamento dos seus dados (direito de acesso) e, se não obtiver resposta, queixar-se à CNPD. O guia sobre fugas de dados e contas hackeadas detalha o percurso.

Pedir informação à entidade: o direito de acesso

O artigo 15.º dá-lhe o direito de saber se uma entidade trata dados seus e de aceder a eles, com informações como as finalidades, as categorias de dados, os destinatários, o prazo de conservação previsto e, se os dados não foram recolhidos junto de si, a origem disponível. No contexto de um roubo de identidade, isto serve para perceber onde os seus dados estão e a quem foram comunicados. Quanto mais concreto for o pedido, mais útil será a resposta.

Indemnização por danos

O artigo 82.º, n.º 1, do RGPD reconhece a quem tenha sofrido danos materiais ou imateriais devido a uma violação do regulamento o direito a receber uma indemnização do responsável pelo tratamento ou do subcontratante. Isto aplica-se à violação das regras de proteção de dados, não ao crime em si, e a forma de reclamar um valor concreto exige, em regra, aconselhamento jurídico.

O que fazer nas semanas seguintes

O roubo de identidade pode ter consequências que só aparecem mais tarde. Sem prometer prazos que as fontes não dão, algumas práticas de bom senso:

• continue a conferir os extratos bancários com regularidade, como aconselha a GNR;
• revise as definições de privacidade das suas contas e reduza a informação pessoal publicada;
• guarde todas as comunicações com o banco, as plataformas e as autoridades, com datas;
• se mudou palavras-passe, confirme que cada conta tem uma palavra-passe diferente;
• desconfie de novos contactos que citem informação que só a própria pessoa devia saber: pode ser uma segunda tentativa.

Uma nota sobre perfis falsos e a sua imagem

O Centro Internet Segura inclui entre os crimes associados ao furto de identidade os que causam danos diretamente à vítima ou visam difamá-la. Se descobrir um perfil que usa o seu nome ou fotografias, não responda ao suposto autor nem tente confrontá-lo. Documente o perfil com capturas de ecrã que mostrem o endereço da página, denuncie-o à plataforma e, se houver mensagens que o prejudiquem, inclua-as na queixa às autoridades. Avise também as pessoas de confiança de que esse perfil não é seu, para que não aceitem pedidos nem enviem dinheiro ou informação.

O que as fontes consultadas não dizem

As páginas oficiais lidas não dão estatísticas sobre a frequência do roubo de identidade em Portugal, nem prazos oficiais para recuperar uma conta ou obter reembolso. Cada caso é diferente e este artigo não constitui aconselhamento jurídico: para uma situação concreta, fale com a autoridade policial ou com um advogado.

Fontes

Consultadas a 31 de outubro de 2026.

• GNR: Furto de identidade
• Centro Internet Segura: Roubo de identidade e/ou perfil
• Queixa Eletrónica (Ministério da Administração Interna)
• CNPD: Direitos dos titulares
• CNPD: Participações
• Regulamento (UE) 2016/679 (RGPD), EUR-Lex