Enquadramento

O regime das violações de dados pessoais assenta no RGPD, na lei nacional de execução e em regimes setoriais que impõem deveres paralelos.

Definição legal

O conceito

Nos termos do n.º 12 do artigo 4.º do RGPD, uma violação de dados pessoais é uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso, não autorizados, a dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento.

A definição abrange tanto o ataque informático como o e-mail enviado ao destinatário errado, o portátil perdido ou a indisponibilidade de uma base de dados sem cópia de segurança.

Confidencialidade

Divulgação ou acesso não autorizado ou acidental. Foi o princípio comprometido em 390 dos casos registados pela CNPD em 2025.

Integridade

Alteração não autorizada ou acidental dos dados pessoais.

Disponibilidade

Perda de acesso ou destruição, acidental ou não autorizada, dos dados pessoais.

RGPD

As obrigações centrais

Obrigação	Quem	Quando	Base legal
Notificar a CNPD	Responsável pelo tratamento	Sem demora injustificada e, sempre que possível, até 72 horas após o conhecimento, salvo se a violação não for suscetível de resultar em risco	RGPD, art. 33.º, n.º 1
Justificar o atraso	Responsável pelo tratamento	Quando a notificação ultrapassa as 72 horas	RGPD, art. 33.º, n.º 1
Notificar o responsável	Subcontratante	Sem demora injustificada após ter conhecimento	RGPD, art. 33.º, n.º 2
Comunicar aos titulares	Responsável pelo tratamento	Sem demora injustificada, quando exista elevado risco	RGPD, art. 34.º
Documentar a violação	Responsável pelo tratamento	Sempre, incluindo violações não notificadas	RGPD, art. 33.º, n.º 5

Notificação por fases

Quando não seja possível fornecer toda a informação ao mesmo tempo, esta pode ser fornecida por fases, sem demora injustificada, nos termos do n.º 4 do artigo 33.º do RGPD.

Lei n.º 58/2019

Consequências do incumprimento

A Lei n.º 58/2019 qualifica como contraordenação grave a violação das regras de segurança do artigo 32.º, o incumprimento dos deveres do artigo 33.º e o incumprimento do dever de informar o titular nas situações do artigo 34.º do RGPD. As coimas aplicam-se de igual modo a entidades públicas e privadas.

Dimensão do agente	Coima por contraordenação grave
Grande empresa	De 2.500 a 10.000.000 euros ou 2% do volume de negócios anual a nível mundial, conforme o que for mais elevado
PME	De 1.000 a 1.000.000 euros ou 2% do volume de negócios anual a nível mundial, conforme o que for mais elevado
Pessoa singular	De 500 a 250.000 euros

Fonte: n.º 2 do artigo 38.º da Lei n.º 58/2019. Fora dos casos de dolo, a instauração do processo depende de advertência prévia da CNPD (n.º 3 do artigo 39.º).

Responsabilidade civil pelos danos materiais ou imateriais causados, nos termos do artigo 82.º do RGPD e do artigo 33.º da Lei n.º 58/2019;
Possibilidade de os titulares mandatarem associações sem fins lucrativos para exercerem os seus direitos, nos termos do artigo 35.º da Lei n.º 58/2019;
Responsabilidade criminal por acesso indevido, desvio de dados e violação do dever de sigilo, nos artigos 47.º, 48.º e 51.º da mesma lei.

Articulação

Regimes que se cruzam

Comunicações eletrónicas

O artigo 3.º-A da Lei n.º 41/2004 impõe deveres próprios de notificação à CNPD e aos assinantes.

Cibersegurança

O artigo 79.º do Regime Jurídico da Cibersegurança obriga a autoridade de cibersegurança a informar a CNPD quando a infração possa implicar uma violação notificável.

Ver prazos multirregime

Evolução europeia

A proposta de Digital Omnibus, ainda em procedimento legislativo, prevê notificar apenas violações de elevado risco, em 96 horas, através de um ponto único. Até à sua eventual aprovação, mantém-se o regime atual.

A próxima violação vai encontrar a sua organização preparada?

Comece por um diagnóstico de prontidão de 72 horas e conheça as lacunas antes que um incidente as revele.

Pedir proposta Pedir informação