GDPR · Proteção de dados pessoaisObrigação legal

GDPR: uma obrigação para todos, uma certificação só para os tratamentos.

O GDPR aplica-se a quem quer que trate dados pessoais. Não existe uma «certificação GDPR» da empresa: o art. 42 prevê certificações voluntárias dos tratamentos, com esquemas aprovados. O Europrivacy foi o primeiro selo europeu aprovado pelo EDPB, e em Itália a Accredia acredita quem o certifica.

Inscreva-se para GDPR Todas as normas

O que é

Dados tratados com fundamento, protegidos, e direitos respeitados.

O GDPR fixa as regras para tratar dados pessoais: princípios, fundamentos jurídicos, direitos dos titulares dos dados, segurança, transferências para fora da União. Uma certificação ao abrigo do art. 42 diz respeito aos tratamentos, não à empresa no seu todo, e não reduz a responsabilidade do responsável pelo tratamento.

A quem serve

Quem quer que trate dados pessoais de clientes, trabalhadores ou doentes
Quem trata dados por conta de outros, como subcontratante
Quem quer demonstrar um tratamento com uma certificação aprovada
Quem tem a ISO/IEC 27001 e quer saber o que cobre e o que não cobre

O que pede, e o que arrisca

Coimas até 20 milhões de euros ou 4% do volume de negócios anual a nível mundial, consoante o que for mais elevado, por princípios, fundamentos jurídicos, direitos e transferências; até 10 milhões ou 2% pelas outras obrigações.
Reg. (UE) 2016/679, art. 83(4) e 83(5)
Uma certificação aprovada pode servir ao responsável pelo tratamento para demonstrar que cumpre as suas obrigações, e a autoridade tem-na em conta quando decide uma coima.
Reg. (UE) 2016/679, art. 24(3) e art. 83(2)(j)
O Europrivacy foi o primeiro selo europeu aprovado pelo EDPB; em Itália, a Accredia acredita os organismos que o certificam.
EDPB, parecer 28/2022; Accredia, Europrivacy

O percurso

O que tem de fazer, por ordem.

1
Mapear os tratamentos
Que dados, de quem, para quê, com que fundamento jurídico e durante quanto tempo.
2
Medidas de segurança
Medidas técnicas e organizativas adequadas ao risco, e as avaliações de impacto onde forem precisas.
3
Direitos e violações
Respostas aos titulares dos dados dentro dos prazos, e as violações de dados notificadas ao Garante em 72 horas, quando necessário.
4
Certificação, se a quiser
Para tratamentos concretos, com um esquema aprovado ao abrigo do art. 42 e um organismo acreditado. Dura no máximo três anos.

10ISO

Como o 10ISO o vai ajudar

O trabalho que se repete vão fazê-lo os agentes; as decisões continuam a ser suas e de quem o acompanha. O 10ISO está a chegar: isto é o que estamos a construir.

Registo das atividades de tratamento, nomeações e avaliações de impacto: vão chegar com o 10DPO, a expansão do 10Safety para a proteção de dadosEm breve
As evidências em comum com a ISO/IEC 27001, carregadas uma vezEm breve
As violações de dados registadas com os prazos de notificaçãoEm breve
O percurso para uma certificação ao abrigo do art. 42, tratamento a tratamentoEm breve

Para ler em conjunto

Perguntas

As primeiras perguntas que chegam sobre GDPR.

Existe uma «certificação GDPR» da empresa?

Não: certificam-se os tratamentos, com esquemas aprovados ao abrigo do art. 42. O Europrivacy foi o primeiro selo europeu aprovado pelo EDPB, e em Itália a Accredia acredita quem o certifica.

Se estiver certificado, evito as coimas?

Não: a certificação não reduz a responsabilidade do responsável pelo tratamento. Mas a autoridade tem-na em conta quando decide o montante de uma coima.

É um esquema acreditado pela Accredia, mas a 28/09/2026 não consta do registo do EDPB dos mecanismos aprovados ao abrigo do art. 42, por isso não tem esse valor.

Fontes

Cada referência desta ficha vem de uma destas fontes, verificadas a 28/09/2026. Se uma lei ou uma norma mudar, a ficha é atualizada.

Lista de espera

Escrevemos-lhe quando o 10ISO abrir.

Um minuto: quem é, o seu email e a norma que lhe interessa. Não é uma subscrição e não lhe pedimos cartão.