RGPD: os seus direitos sobre os seus dados pessoais

O Regulamento Geral sobre a Proteção de Dados (RGPD) é o texto europeu que fixa regras para quem recolhe e usa dados pessoais e direitos para as pessoas a quem os dados dizem respeito. Este guia explica, com base na CNPD e no texto do regulamento, o que pode pedir, a quem, em que prazo e o que fazer se a resposta não chegar.

O que são dados pessoais

O artigo 4.º do RGPD define dados pessoais como qualquer informação relativa a uma pessoa singular identificada ou identificável. É identificável a pessoa que possa ser reconhecida, direta ou indiretamente, em especial por referência a um identificador: um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou elementos próprios da sua identidade.

Na prática, o seu nome, o endereço de e-mail, o número de telemóvel, a morada ou um identificador de conta são dados pessoais. A entidade que decide para que e como esses dados são usados chama-se «responsável pelo tratamento». É a ela que dirige os pedidos.

Os direitos que tem

A página da CNPD sobre direitos dos titulares enumera os seguintes:

1. Acesso. Pode obter a confirmação de que os seus dados são tratados e aceder-lhes, bem como a informações como as finalidades do tratamento, as categorias de dados, os destinatários e, se for possível, o prazo de conservação (artigo 15.º). Se os dados não foram recolhidos junto de si, tem também direito às informações disponíveis sobre a origem dos dados.
2. Retificação. Pode pedir a correção de dados inexatos e que os incompletos sejam completados (artigo 16.º).
3. Apagamento. Pode pedir que apaguem os seus dados quando se aplique um dos motivos do artigo 17.º, como dados que deixaram de ser necessários, retirada do consentimento sem outro fundamento, oposição ao tratamento ou tratamento ilícito.
4. Limitação do tratamento. Em certas situações, por exemplo enquanto contesta a exatidão dos dados, pode pedir que o tratamento fique limitado (artigo 18.º).
5. Portabilidade. Pode receber os dados que forneceu num formato estruturado, de uso corrente e de leitura automática, e transmiti-los a outro responsável, quando o tratamento se baseie em consentimento ou contrato e seja feito por meios automatizados (artigo 20.º).
6. Oposição. Pode opor-se, por motivos relacionados com a sua situação particular, a certos tratamentos (artigo 21.º, n.º 1). Quando os dados são usados para marketing direto, pode opor-se a qualquer momento (artigo 21.º, n.º 2), e os dados deixam de ser tratados para esse fim (n.º 3).

A CNPD refere também direitos específicos ligados ao sistema Schengen, ao Sistema de Informação sobre Vistos e ao acordo TFTP. Para a maioria das pessoas, os seis acima são o essencial.

As regras que as entidades têm de cumprir

Os seus direitos existem porque o RGPD impõe regras a quem trata dados. O artigo 5.º enumera os princípios. Os dados pessoais devem ser:

• tratados de forma lícita, leal e transparente;
• recolhidos para finalidades determinadas, explícitas e legítimas, sem uso posterior incompatível com elas;
• adequados, pertinentes e limitados ao que é necessário («minimização»);
• exatos e atualizados, devendo os dados inexatos ser apagados ou retificados sem demora;
• conservados apenas durante o período necessário para as finalidades;
• tratados de forma a garantir a sua segurança.

Estes princípios ajudam a perceber quando um pedido tem fundamento. Se uma entidade guarda dados que já não precisa de guardar, ou usa os seus dados para algo que não anunciou, está a pôr em causa o princípio da limitação das finalidades ou da conservação.

Em que casos uma entidade pode tratar os seus dados

O artigo 6.º diz que o tratamento só é lícito se se verificar pelo menos uma destas situações:

1. deu o seu consentimento para uma ou mais finalidades específicas;
2. o tratamento é necessário para a execução de um contrato em que é parte, ou para diligências pré-contratuais a seu pedido;
3. é necessário para cumprir uma obrigação jurídica da entidade;
4. é necessário para defender interesses vitais seus ou de outra pessoa;
5. é necessário ao exercício de funções de interesse público ou de autoridade pública;
6. é necessário para efeito de interesses legítimos da entidade ou de terceiros, exceto se prevalecerem os seus interesses ou direitos e liberdades fundamentais.

Conhecer a base ajuda a escolher o direito certo. Se o tratamento assenta no consentimento, retirá-lo pode fundamentar o apagamento (artigo 17.º, n.º 1, alínea b). Se assenta em interesses legítimos, pode usar o direito de oposição. Se assenta numa obrigação legal, o apagamento pode não ser possível.

Consentimento: dar e retirar

Quando o tratamento depende do seu consentimento, o artigo 7.º reforça duas ideias. A primeira é que retirar o consentimento deve ser tão fácil quanto dá-lo. A segunda é que, ao avaliar se o consentimento foi dado livremente, há que verificar com a máxima atenção se a execução de um contrato, ou a prestação de um serviço, está subordinada a um consentimento que não é necessário para esse contrato.

Para serviços da sociedade da informação oferecidos diretamente a crianças, o artigo 8.º prevê que o consentimento válido exige pelo menos 16 anos, ou autorização dos titulares das responsabilidades parentais, mas admite que os Estados-Membros fixem uma idade inferior.

A informação que deve receber

Antes de exercer qualquer direito, convém saber o que a entidade lhe deve dizer. Quando os dados são recolhidos junto de si, o artigo 13.º manda facultar, no momento da recolha, a identidade e os contactos do responsável, os contactos do encarregado da proteção de dados (se existir), as finalidades e o fundamento jurídico, os interesses legítimos invocados, se for o caso, e os destinatários dos dados. Quando os dados não vêm de si, o artigo 14.º exige informações equivalentes, incluindo as categorias de dados e o prazo de conservação ou os critérios para o fixar.

É por isso que a política de privacidade é o primeiro sítio onde procurar: costuma conter o contacto a usar no pedido.

Decisões automáticas

O artigo 22.º reconhece o direito de não ficar sujeito a uma decisão tomada exclusivamente com base em tratamento automatizado, incluindo a definição de perfis, que produza efeitos na sua esfera jurídica ou o afete significativamente de forma similar. Tem exceções, por exemplo quando a decisão é necessária para celebrar ou executar um contrato ou é autorizada por lei com salvaguardas. O direito de acesso inclui ainda a existência dessas decisões e informações úteis sobre a lógica subjacente (artigo 15.º, n.º 1, alínea h).

Se os seus dados foram expostos numa fuga

Quando uma violação de dados pessoais for suscetível de implicar um elevado risco para os direitos e liberdades das pessoas, o artigo 34.º obriga o responsável a comunicá-la ao titular sem demora injustificada, em linguagem clara e simples. Há exceções, por exemplo se já tinham sido aplicadas medidas de proteção adequadas aos dados afetados. Veja o que fazer a seguir no guia sobre fugas de dados e contas hackeadas.

Como exercer os direitos, passo a passo

1. Identifique quem trata os dados. Procure a política de privacidade do site, da aplicação ou da empresa. Costuma indicar o responsável e o contacto, por vezes um encarregado da proteção de dados.
2. Use o canal indicado. A CNPD recomenda, preferencialmente, o canal específico que a entidade indicar.
3. Escreva o pedido. Diga qual o direito que exerce (por exemplo, acesso, ou apagamento) e identifique-se de forma clara. A entidade pode pedir prova da sua identidade se tiver dúvidas razoáveis.
4. Guarde prova. Conserve o e-mail ou o comprovativo de envio com a data. Conta para o prazo.
5. Aguarde a resposta. A resposta deve ser concisa, clara e simples, e, se pediu por via eletrónica, deve ser dada por essa via sempre que possível.

Quer saber que informação sobre si está visível online antes de escrever a uma entidade? O Remove Me oferece uma análise gratuita, sem inscrição, que verifica o que é visível publicamente, as fugas de dados conhecidas (Have I Been Pwned) e um registo de corretores de dados. O código de 6 dígitos enviado por e-mail desbloqueia o relatório. O Remove Me ainda não envia pedidos de apagamento por si; o pedido junto das entidades faz-se como descrito acima. Iniciar a minha análise gratuita.

Modelo de pedido

Não há um texto obrigatório. Um pedido eficaz é curto e inclui:

• o seu nome e um meio de contacto, e, se a entidade o exigir, a prova de identidade;
• o direito que exerce, com a referência ao artigo do RGPD se quiser (por exemplo, «ao abrigo do artigo 15.º do RGPD, peço acesso aos meus dados pessoais e às informações sobre a sua origem»);
• os dados ou a conta a que se refere, para evitar dúvidas;
• a data do pedido e a indicação de que aguarda resposta no prazo legal;
• um pedido de confirmação de receção.

Envie pelo canal indicado na política de privacidade e guarde uma cópia.

Quanto custa e quanto tempo demora

A CNPD indica que o exercício dos direitos é gratuito. A resposta deve chegar no prazo de um mês a contar da receção do pedido. Se for necessário, tendo em conta a complexidade do pedido e o número de pedidos, o prazo pode ser prorrogado até mais dois meses, mas a entidade tem de o informar da prorrogação e dos motivos da demora dentro do primeiro mês (artigo 12.º, n.º 3).

Há limites. A CNPD e o regulamento admitem que uma entidade recuse pedidos manifestamente infundados ou excessivos, por exemplo repetitivos, ou cobre uma taxa razoável pelos custos administrativos. Se a entidade não der seguimento ao pedido, tem de lhe dizer as razões, o mais tardar no prazo de um mês, e informá-lo de que pode reclamar a uma autoridade de controlo e recorrer a tribunal (artigo 12.º, n.º 4).

O direito ao apagamento tem exceções

O artigo 17.º chama-lhe «direito a ser esquecido», mas não é absoluto. Segundo o n.º 3, não se aplica na medida em que o tratamento seja necessário, entre outros casos, ao exercício da liberdade de expressão e de informação ou ao cumprimento de uma obrigação legal que exija o tratamento. Por isso, um banco pode ter de conservar certos dados durante o tempo que a lei exigir.

Quando a entidade tornou os dados públicos e tem de os apagar, o n.º 2 pede-lhe medidas razoáveis para informar quem os trata de que pediu o apagamento das ligações, cópias ou reproduções. Se os dados já tiverem sido transmitidos a destinatários, o artigo 19.º obriga a comunicar o apagamento a cada um, salvo se for impossível ou exigir esforço desproporcionado. Para pedidos aos motores de pesquisa, veja o artigo sobre o direito ao esquecimento no Google.

E se os seus dados estão em empresas que nunca contactou?

Algumas entidades recolhem dados de fontes públicas e não diretamente de si. Nesses casos, o artigo 14.º obriga-as a informá-lo (identidade e contactos, finalidades, categorias de dados, destinatários, prazo de conservação), e o artigo 15.º dá-lhe direito às informações disponíveis sobre a origem dos dados. Perceba como funcionam estas empresas no guia sobre corretores de dados.

Se a entidade não responder: queixa à CNPD

O artigo 77.º reconhece a todos os titulares o direito de apresentar reclamação a uma autoridade de controlo, em especial no Estado-Membro da sua residência habitual, do local de trabalho ou do local da alegada infração, se considerarem que o tratamento viola o regulamento. Em Portugal, a autoridade é a CNPD.

O site da CNPD tem formulários para spam (marketing não solicitado), dados biométricos e videovigilância, mais um formulário geral. A CNPD pede que descreva os factos e que indique se tem documentos ou provas. Pode também enviar um pedido de informação se só quiser esclarecer uma dúvida. O passo a passo está em como apresentar queixa à CNPD.

Para o telemarketing, existe um instrumento separado: a lista de oposição da AMD.

Exemplos do dia a dia

Eis como os direitos se ligam a situações comuns:

• Recebe publicidade que não pediu. Pode opor-se ao tratamento para marketing direto, a qualquer momento, e os dados deixam de ser tratados para esse fim (artigo 21.º, n.os 2 e 3). Se continuar a receber mensagens, a CNPD tem um formulário próprio para marketing não solicitado (spam). Veja também o artigo sobre spam por SMS e e-mail.
• Quer saber o que uma empresa tem sobre si. Peça acesso (artigo 15.º). Se os dados não vieram de si, pode pedir também a origem.
• Há um dado errado. Peça a retificação (artigo 16.º).
• Já não quer ter uma conta. O pedido de apagamento pode aplicar-se se os dados deixaram de ser necessários ou se retirou o consentimento sem outro fundamento (artigo 17.º, n.º 1).
• Quer mudar de serviço. A portabilidade permite receber os dados que forneceu num formato estruturado e transmiti-los a outro responsável, nas condições do artigo 20.º.

Em todos os casos, o pedido segue o mesmo caminho: escrever à entidade, guardar prova e aguardar um mês.

Compensação por danos

O artigo 82.º, n.º 1, prevê que quem sofreu danos materiais ou imateriais por causa de uma violação do regulamento tem direito a receber uma indemnização do responsável pelo tratamento ou do subcontratante. O texto geral não explica como calcular o valor nem como avançar num caso concreto; para isso, procure aconselhamento jurídico.

Situações especiais

Segundo a CNPD:

• Crianças. Os pais ou representantes legais exercem os direitos em nome da criança, embora esta possa exercê-los diretamente, consoante a idade e a maturidade.
• Pessoas falecidas. Para certos dados, os direitos são exercidos por pessoa designada pelo falecido ou, na falta, pelos herdeiros.
• Responsáveis conjuntos. Pode exercer os direitos contra qualquer um deles.
• Processos penais. Os direitos sobre dados em processos penais, decisões judiciais ou registo criminal seguem o direito processual penal, e a Lei n.º 59/2019 permite certas restrições.

O que este guia não substitui

Este texto resume fontes oficiais e não é aconselhamento jurídico. Cada responsável pelo tratamento tem as suas regras e canais, e a resposta pode variar. Em caso de dúvida concreta, a CNPD, através do pedido de informação, e um advogado são os interlocutores adequados.

Fontes

Consultadas a 31 de outubro de 2026.

• CNPD: Direitos dos titulares
• CNPD: Participações
• CNPD: Formulário geral de participação
• Regulamento (UE) 2016/679 (RGPD), EUR-Lex