O novo regulamento processual RGPD vai alterar a forma como são conduzidos os casos transfronteiriços de proteção de dados na União Europeia. Trata-se do Regulamento (UE) 2025/2518 do Parlamento Europeu e do Conselho, de 26 de novembro de 2025, publicado no Jornal Oficial da União Europeia em 12 de dezembro de 2025.
O regulamento prevê normas processuais adicionais relativas à aplicação do Regulamento (UE) 2016/679. Abrange o tratamento de reclamações e a realização de investigações pelas autoridades de controlo, tanto com base em reclamações como em casos iniciados por iniciativa própria, quando estejam em causa tratamentos transfronteiriços. Inclui ainda a determinação da questão de saber se um caso diz respeito a tratamento transfronteiriço. Este âmbito encontra-se definido no artigo 1.º.
Para organizações que operam em vários Estados, recebem reclamações de titulares ou tratam dados através de estruturas internacionais, as novas regras podem ter efeitos na resposta às autoridades, na apresentação de elementos de prova e no exercício dos direitos processuais. A data de entrada em vigor, a data geral de aplicação e a eventual aplicação em 2027 permanecem por anunciar, porque as disposições finais não constam do texto das fontes disponibilizado para esta verificação.
Porque é necessário um regulamento processual RGPD?
O RGPD prevê um sistema descentralizado de aplicação destinado a assegurar uma interpretação e uma aplicação coerentes nos casos relacionados com tratamentos transfronteiriços. Este sistema exige a cooperação entre autoridades de controlo e, quando não seja possível alcançar consenso, prevê a resolução de litígios pelo Comité Europeu para a Proteção de Dados.
De acordo com os considerandos 1 a 4 do Regulamento (UE) 2025/2518, o novo diploma pretende assegurar o funcionamento harmonioso e eficaz dos mecanismos de cooperação e de resolução de litígios previstos nos artigos 60.º e 65.º do RGPD. Procura também garantir que as investigações sejam tratadas em conformidade com o princípio da boa administração, de forma imparcial, equitativa e num prazo razoável.
O regulamento harmoniza matérias como a apresentação e o tratamento de reclamações transfronteiriças, a cooperação entre autoridades, o direito de audição, o acesso ao processo administrativo, a proteção de informações confidenciais e os procedimentos de resolução de litígios. Nas questões que não sejam harmonizadas, continua a aplicar-se o direito processual de cada Estado-Membro, desde que as disposições nacionais não prejudiquem os princípios da efetividade e da equivalência do direito da União, conforme explica o considerando 3.
Para as empresas, esta mudança não se limita ao departamento jurídico. Um processo pode exigir contributos das equipas de privacidade, segurança da informação, tecnologia, recursos humanos, atendimento ao cliente, marketing, compras e gestão de fornecedores. Se estas áreas não estiverem preparadas para localizar e explicar as suas decisões, a organização poderá ter dificuldade em responder de forma completa e coerente.
O que muda nos casos transfronteiriços?
O regulamento estabelece requisitos de admissibilidade das reclamações, regras de cooperação entre autoridades, prazos para determinados atos processuais e garantias para os autores das reclamações e para as partes objeto de investigação. Esta última designação abrange, nos termos do artigo 2.º, o responsável pelo tratamento ou o subcontratante investigado por uma alegada violação do RGPD relacionada com tratamento transfronteiriço.
Apresentação e admissibilidade das reclamações
Nos termos do artigo 4.º, uma reclamação relativa a tratamento transfronteiriço deve incluir o nome e os dados de contacto do autor, informação que facilite a identificação do responsável pelo tratamento ou do subcontratante e uma descrição da alegada violação do RGPD. Quando a reclamação seja apresentada por um organismo, organização ou associação sem fins lucrativos, são ainda exigidos os elementos previstos nesse artigo, incluindo, consoante o caso, a prova da sua constituição e do mandato conferido pelo titular dos dados.
Não podem ser exigidas informações adicionais para a admissibilidade, embora continuem a aplicar-se modalidades e requisitos administrativos previstos no direito processual nacional, como a língua, o prazo de prescrição, os meios de identificação, o formato eletrónico, o modelo específico ou a assinatura. Se faltarem informações obrigatórias, a autoridade à qual a reclamação foi apresentada deve declará-la inadmissível e informar o autor dos motivos no prazo de duas semanas a contar da receção.
Uma reclamação admissível deve, na ausência de resolução antecipada, ser transmitida à autoridade que se presume competente para agir como autoridade de controlo principal, o mais tardar seis semanas após a sua receção. O autor da reclamação deve ser informado dessa transmissão. A determinação da admissibilidade efetuada pela autoridade à qual a reclamação foi apresentada é vinculativa para a autoridade de controlo principal.
A autoridade de controlo principal deve informar sem demora a parte objeto de investigação da apresentação da reclamação e dos seus principais elementos, nos termos do artigo 4.º, n.º 8. O considerando 15 esclarece, contudo, que essa informação pode ser adiada durante o tempo necessário para proteger a integridade da investigação e permitir a condução eficaz das medidas de investigação.
Direito de audição e apresentação de observações
O regulamento estabelece diferentes momentos para o exercício do direito de audição. Se a autoridade principal tencionar recusar ou rejeitar total ou parcialmente uma reclamação, o autor deve poder apresentar por escrito a sua opinião. O prazo fixado não pode ser inferior a três semanas nem superior a seis semanas, conforme o artigo 16.º.
Quando a autoridade principal tencione apresentar um projeto de decisão que constate uma violação do RGPD, deve elaborar conclusões preliminares. Estas devem expor os factos, a lista dos elementos de prova, a apreciação jurídica e, quando aplicável, as medidas corretivas ponderadas ou os principais elementos relevantes para decidir sobre a aplicação e o montante de uma eventual coima. As partes objeto de investigação devem dispor de um prazo entre três e seis semanas para responder por escrito ou ser ouvidas oralmente, nos termos do artigo 19.º.
O autor da reclamação também deve poder apresentar a sua opinião por escrito sobre as conclusões preliminares relativas à questão objeto da reclamação. O artigo 20.º prevê igualmente um prazo não inferior a três semanas nem superior a seis semanas.
Acesso ao processo e confidencialidade
O artigo 24.º define o processo administrativo como o conjunto de documentos obtidos ou apresentados pela autoridade de controlo principal e pelas demais autoridades de controlo interessadas, e reunidos pela autoridade principal durante a investigação, incluindo elementos de prova incriminatórios e ilibatórios. As comunicações internas no âmbito de uma autoridade de controlo não integram esse processo.
A pedido da parte objeto de investigação, ou do autor da reclamação quando a decisão seja suscetível de afetar negativamente os seus interesses, deve ser concedido acesso ao processo para permitir o exercício do direito de audição. Além disso, quando notifica as conclusões preliminares, a autoridade principal deve facultar às partes objeto de investigação o acesso ao processo, nos termos dos artigos 19.º, 24.º e 25.º.
Sem prejuízo de um acesso concedido ao abrigo do direito da União ou do direito nacional, ficam excluídas a correspondência ou as deliberações entre autoridades de controlo e as informações confidenciais abrangidas pelo artigo 25.º. O acesso a objeções pertinentes e fundamentadas só pode ser facultado quando seja necessário para permitir que a parte objeto de investigação ou o autor da reclamação apresente a sua opinião e defenda os seus direitos.
Os segredos comerciais e outras informações confidenciais devem ser claramente identificados e a alegação de confidencialidade deve ser fundamentada. Deve ser apresentada a versão integral da informação e, sempre que possível, uma proposta de versão não confidencial. A autoridade decide se a informação é confidencial e deve limitar a ocultação ao que seja necessário e proporcionado.
Direitos do autor da reclamação e da empresa
O regulamento processual RGPD harmoniza vários direitos processuais, embora as partes objeto de investigação e os autores das reclamações não ocupem a mesma posição no processo.
O autor da reclamação deve ter a possibilidade de comunicar exclusivamente com a autoridade à qual apresentou a reclamação, nos termos do artigo 3.º. O considerando 18 esclarece que esta possibilidade não o impede de comunicar diretamente com outra autoridade de controlo, incluindo a autoridade principal.
O autor deve ser informado da transmissão da reclamação à autoridade principal e pode apresentar a sua opinião antes de uma recusa ou rejeição total ou parcial. Quando seja adotada uma decisão de recusa ou rejeição, deve ser informado do recurso judicial previsto no artigo 78.º do RGPD. O artigo 3.º determina ainda que o tratamento de uma reclamação deve conduzir sempre a uma decisão passível de recurso judicial efetivo.
O autor pode receber uma versão da decisão final que inclua o dispositivo integral e os fundamentos não confidenciais, ou uma exposição sumária com os factos e fundamentos relevantes. Se tiver recebido a exposição sumária, deve ser-lhe facultada, mediante pedido, uma versão com o dispositivo integral e os fundamentos não confidenciais, conforme o artigo 21.º.
Do lado da empresa, enquanto parte objeto de investigação, destacam-se os seguintes aspetos:
- informação sobre a apresentação da reclamação e os seus principais elementos, nos termos do artigo 4.º;
- conhecimento dos factos, elementos de prova e apreciação jurídica constantes das conclusões preliminares, nos termos do artigo 19.º;
- possibilidade de apresentar observações escritas, documentos e argumentos pertinentes para a sua defesa;
- possibilidade de audição oral dentro do prazo fixado pela autoridade;
- acesso ao processo administrativo, com as limitações dos artigos 24.º e 25.º;
- proteção de segredos comerciais e de outras informações confidenciais;
- direito de se pronunciar sobre novos elementos de um projeto de decisão revisto, nos termos do artigo 22.º;
- direito de audição sobre novos elementos factuais ou jurídicos antes de uma decisão vinculativa do Comité adotada ao abrigo do artigo 65.º, n.º 1, alínea a), do RGPD, nos termos do artigo 28.º.
Estes direitos devem ser integrados num procedimento interno que determine quem recebe a comunicação, quem avalia o seu alcance, quem recolhe os factos e quem aprova a resposta. Caso contrário, a existência formal de uma garantia processual pode não se traduzir numa defesa eficaz.
Exemplos práticos de preparação
Os exemplos seguintes são hipotéticos. Não descrevem o resultado de um processo concreto nem substituem a respetiva análise jurídica.
Reclamação sobre uma plataforma utilizada em vários países
Uma empresa disponibiliza o mesmo serviço digital a clientes de vários Estados. Um titular apresenta uma reclamação sobre a utilização dos seus dados. A organização precisa de determinar que entidade decidiu as finalidades e os meios do tratamento, que equipas operam a plataforma, onde se encontra a informação e que fornecedores participaram.
Se estes elementos estiverem dispersos por diferentes departamentos, a resposta poderá tornar-se lenta ou contraditória. Uma preparação adequada inclui um mapa de responsabilidades, contratos acessíveis, registos das decisões e um canal interno para coordenar a investigação.
Pedido de esclarecimentos sobre um fornecedor
Uma autoridade solicita informação relativa a um prestador de serviços tecnológicos. A equipa de privacidade conhece o contrato, mas não dispõe de informação atualizada sobre as configurações técnicas ou os subcontratantes utilizados.
Neste cenário, a organização deve envolver rapidamente as áreas de compras, segurança e tecnologia. Também deve saber que documentos pode pedir ao fornecedor, quem valida a resposta e como são registadas eventuais divergências entre o contrato e a operação real.
Documentos com informação comercial sensível
Durante o processo, a empresa pode ter de apresentar documentos que incluam arquitetura técnica, condições comerciais ou informação relativa a terceiros. O artigo 25.º exige que quem apresenta informação considerada confidencial a identifique claramente e fundamente essa classificação.
A empresa deve, por isso, analisar cada documento, apresentar a versão integral e, sempre que possível, preparar uma versão não confidencial e uma descrição concisa de cada elemento expurgado. Uma classificação genérica de todos os documentos como confidenciais poderá não cumprir o requisito de fundamentação para cada documento, parte de documento, declaração ou parte de declaração previsto no artigo 25.º, n.º 5.
Como preparar-se para o regulamento processual RGPD
A aplicação em 2027 e qualquer período transitório permanecem por anunciar, porque as disposições finais sobre entrada em vigor e aplicação não constam do texto disponibilizado. O considerando 67 estabelece, contudo, o seguinte regime contado a partir de uma data de entrada em vigor que ainda não é possível determinar com estas fontes:
- os capítulos III e IV aplicam-se às investigações por iniciativa própria iniciadas após 15 meses a contar da entrada em vigor e às investigações baseadas em reclamações apresentadas após esse mesmo período;
- esses capítulos não se aplicam às investigações que já estejam em curso no momento da entrada em vigor;
- os capítulos V e VI aplicam-se aos casos submetidos à resolução de litígios após 15 meses a contar da entrada em vigor;
- os capítulos V e VI não se aplicam aos casos que tenham sido submetidos à resolução de litígios antes da entrada em vigor.
- Nomear um responsável pela preparação. Uma pessoa ou equipa deve acompanhar as disposições oficiais e transformar as conclusões jurídicas em procedimentos operacionais.
- Mapear os tratamentos transfronteiriços. Devem ser identificados os serviços, sistemas, entidades e fornecedores que envolvem mais do que um país.
- Rever o circuito das comunicações. Notificações recebidas por diferentes departamentos devem ser encaminhadas imediatamente para as pessoas competentes.
- Definir uma equipa de resposta. Privacidade, jurídico, segurança, tecnologia, compras e gestão devem conhecer as suas responsabilidades e substitutos.
- Organizar os elementos de prova. Decisões, avaliações, contratos, registos, pedidos dos titulares e medidas corretivas devem ser localizáveis e compreensíveis.
- Preparar a gestão da confidencialidade. Devem existir critérios para identificar informação confidencial, fundamentar a classificação e preparar versões não confidenciais.
- Testar o procedimento. Um exercício interno permite medir o tempo necessário para reunir factos, obter aprovações e preparar uma resposta consistente.
- Incorporar os prazos processuais. O artigo 12.º prevê, em regra, 15 meses para a autoridade principal apresentar um projeto de decisão, com uma prorrogação excecional única até 12 meses devido à complexidade do caso. No procedimento de cooperação simples, o prazo é de 12 meses. Se o direito nacional exigir processos nacionais prévios ou subsequentes nas condições do artigo 12.º, n.º 6, este último prazo pode ser prorrogado uma vez por um período não superior a dois meses.
Lista de verificação para os próximos meses
- Existe um ponto de contacto interno para comunicações das autoridades de proteção de dados?
- As equipas distinguem uma reclamação de cliente de uma comunicação formal de uma autoridade?
- Está definido quem informa a administração e quem aprova a resposta?
- É possível identificar rapidamente as entidades, sistemas e fornecedores envolvidos?
- Os contratos e anexos de proteção de dados estão atualizados e acessíveis?
- As decisões relevantes e as respetivas justificações estão documentadas?
- Existe um método para preservar documentos durante uma investigação?
- A empresa consegue reunir informação técnica e jurídica sem produzir versões contraditórias?
- Estão definidos critérios para identificar e fundamentar informação confidencial?
- Os pedidos dirigidos a fornecedores têm responsáveis e prazos internos?
- Existe um registo central das comunicações enviadas e recebidas?
- Foi realizado um exercício de simulação de um caso transfronteiriço?
- Existe um processo para confirmar a entrada em vigor e as datas de aplicação?
As respostas negativas não significam necessariamente incumprimento. Indicam áreas em que a empresa poderá ter dificuldade em exercer os seus direitos, apresentar elementos de prova ou responder dentro dos prazos fixados.
O que deve ser confirmado antes de 2027?
A referência a 2027 depende da data de entrada em vigor e do regime geral de aplicação do Regulamento (UE) 2025/2518, que não podem ser determinados a partir das disposições disponibilizadas. A organização deverá confirmar:
- a data de entrada em vigor;
- a data geral de aplicação;
- as datas concretas de aplicação dos capítulos III a VI referidos no considerando 67;
- o tratamento aplicável às investigações já em curso;
- eventuais orientações, formulários ou modelos oficiais;
- a adaptação dos procedimentos nacionais relevantes;
- os canais e formatos usados pela autoridade competente.
A designação, a versão final, a data de adoção e a publicação estão confirmadas: Regulamento (UE) 2025/2518, de 26 de novembro de 2025, publicado em 12 de dezembro de 2025. O procedimento legislativo encontra-se concluído, conforme o Observatório Legislativo do Parlamento Europeu. O texto oficial pode ser consultado no EUR-Lex.
Recursos que podem interessar-lhe
- Diagnóstico RGPD para Empresas em Portugal
- Avaliação de Conformidade com o RGPD
- Conformidade com o RGPD: Guia Prático para Empresas
- Ver todos os recursos
Conclusão: preparar primeiro, ajustar depois
O regulamento processual RGPD já foi adotado e publicado. O seu objetivo é tornar mais harmoniosos e eficazes vários aspetos dos casos relativos a tratamentos transfronteiriços, incluindo reclamações, cooperação entre autoridades, audição das partes, acesso ao processo e proteção de informação confidencial.
Enquanto não forem confirmadas as datas de entrada em vigor e de aplicação a partir das disposições finais, as empresas podem concentrar-se em medidas que não dependem de um prazo específico. Saber onde estão os dados, quem tomou as decisões, que fornecedores participaram e como reunir elementos de prova é essencial para responder de forma organizada.
A preparação pode incluir uma avaliação da capacidade de resposta, o mapeamento de responsabilidades, a revisão dos procedimentos internos e a realização de exercícios de simulação. O primeiro passo é identificar as lacunas atuais e criar um plano de trabalho ajustável ao calendário legal que vier a ser confirmado.
