Desde 12 de agosto de 2026 é aplicável o Regulamento (UE) 2025/40 relativo às embalagens e resíduos de embalagens, conhecido por PPWR (Packaging and Packaging Waste Regulation). O novo Regulamento abrange praticamente todas as embalagens colocadas no mercado da União Europeia, incluindo as embalagens dos produtos e as caixas, envelopes ou outros materiais utilizados para enviar encomendas.

As novas regras não entram, porém, todas em vigor ao mesmo tempo. Para a generalidade das lojas online de produtos não alimentares, importa distinguir o que deve ser feito agora das alterações às embalagens que só serão exigidas nos próximos anos.

O que muda para uma loja online?

O impacto do PPWR depende da posição que a empresa ocupa na cadeia de comercialização.

Uma loja que compra em Portugal produtos já embalados e se limita a revendê-los estará, em regra, numa posição diferente de uma empresa que importa produtos, os vende com marca própria ou encomenda embalagens fabricadas especificamente com a sua marca.

Também as caixas e outras embalagens utilizadas para expedir encomendas estão abrangidas. O PPWR define expressamente como «embalagem de comércio eletrónico» a embalagem de transporte utilizada para entregar produtos vendidos online ou através de outras formas de venda à distância.

Por isso, não basta saber quem fabricou a embalagem. É necessário perceber quem a coloca no mercado e em que país.

Vendas para outros países da UE exigem atenção

Uma das alterações mais relevantes para o comércio eletrónico respeita ao conceito de «produtor» para efeitos da responsabilidade alargada do produtor (EPR), isto é, o operador que assume as obrigações relacionadas com a gestão dos resíduos das embalagens colocadas no mercado.

Nas vendas à distância, uma empresa estabelecida em Portugal que forneça diretamente produtos embalados ou determinadas embalagens a utilizadores finais de outro Estado-Membro pode ser considerada produtor nesse país.

Assim, uma loja portuguesa que envia uma encomenda diretamente para um consumidor em Espanha pode ficar sujeita ao sistema espanhol de responsabilidade pelas embalagens. O mesmo pode acontecer nas vendas para outros Estados-Membros.

Esta responsabilidade não se limita necessariamente à caixa utilizada para expedir a encomenda. Pode abranger também as embalagens dos produtos colocados pela primeira vez no mercado do país de destino.

A responsabilidade alargada do produtor não nasceu com o PPWR: já existia nos regimes nacionais. O Regulamento harmoniza agora a definição de produtor e várias regras de registo e reporte, mas não elimina os sistemas de cada país.

Não existe, por isso, um único registo europeu através do qual uma empresa possa cumprir todas as suas obrigações. Uma loja que venda para Portugal, Espanha, França e Alemanha pode ter de cumprir diferentes procedimentos de registo, adesão a sistemas de responsabilidade alargada, pagamento de contribuições e reporte.

Atenção especial às vendas para Espanha

Espanha é um dos mercados onde estas obrigações têm maior impacto prático para as empresas portuguesas.

Desde 12 de agosto de 2026, o Ministério espanhol para a Transição Ecológica (MITECO) passou a aplicar a nova definição de produtor do PPWR. Uma empresa portuguesa que faça a primeira comercialização direta de produtos embalados a utilizadores finais em Espanha é considerada produtor para efeitos do regime espanhol.

Na situação atualmente prevista pelas autoridades espanholas, a empresa deve designar um representante autorizado em Espanha, inscrever-se no Registro de Productores de Producto – Sección Envases, participar num sistema de responsabilidade alargada do produtor e declarar as embalagens colocadas no mercado espanhol.

O número de registo deve ainda constar das faturas e de outra documentação que acompanhe as transações comerciais abrangidas.

Para as empresas que apenas passaram a ser consideradas produtoras com a aplicação do PPWR, relativamente a 2026 devem ser declaradas as embalagens comercializadas pela primeira vez em Espanha entre 13 de agosto e 31 de dezembro. O prazo de reporte decorre entre 2 de janeiro e 31 de março de 2027.

Quem vende diretamente para Espanha deve, portanto, verificar esta situação agora e não esperar pelas alterações às características físicas das embalagens previstas para os próximos anos.

Vendas através de marketplaces

Vender através de um marketplace não transfere automaticamente para a plataforma as responsabilidades do vendedor.

O PPWR impõe às plataformas que permitem celebrar contratos à distância com consumidores deveres de verificação. Terão, designadamente, de obter informação sobre o registo do produtor no Estado-Membro relevante e uma declaração de que este cumpre as obrigações de responsabilidade alargada do produtor.

Em Espanha, o MITECO já esclareceu que os marketplaces devem verificar o registo do vendedor no RPP e a informação relativa ao cumprimento do sistema aplicável.

Na prática, isto significa que a falta de regularização pode ter consequências comerciais antes mesmo de existir uma fiscalização: a plataforma pode exigir números de registo e outros comprovativos para permitir ao vendedor continuar a comercializar os produtos.

PPWR e lojas online: o que é preciso fazer agora

Nesta fase, uma loja online não deve começar por redesenhar todas as embalagens. Deve começar por conhecer a sua cadeia de fornecimento e os mercados onde vende.

É aconselhável:

• identificar os países da UE para onde vende e distinguir as vendas a distribuidores das vendas diretamente a consumidores ou outros utilizadores finais;
• identificar as embalagens utilizadas, incluindo a embalagem do produto, caixas de envio, envelopes, sacos e materiais de proteção;
• verificar quem é o produtor responsável em Portugal e em cada mercado de destino;
• confirmar os registos, sistemas de responsabilidade alargada e obrigações de reporte aplicáveis;
• no caso de vendas para Espanha, verificar de imediato a representação, o registo no RPP e a adesão ao sistema correspondente;
• reunir informação sobre o material e o peso das embalagens e conservar os elementos necessários aos reportes;
• solicitar aos fornecedores a documentação necessária para demonstrar a conformidade, sobretudo quando existem produtos ou embalagens de marca própria;
• preparar os comprovativos que possam ser solicitados pelos marketplaces.

Para uma loja que apenas revenda, em Portugal, produtos adquiridos a fornecedores portugueses, a análise será normalmente mais simples. Já uma empresa que importe produtos, utilize marca própria ou venda diretamente para outros Estados-Membros pode assumir responsabilidades adicionais.

O que pode mudar mais tarde

A entrada em aplicação do PPWR não significa que todas as embalagens tenham de cumprir já os requisitos previstos para 2030. As novas exigências são aplicadas de forma faseada.

A partir de 2028, ou em data posterior dependente dos atos de execução da Comissão, começarão a aplicar-se novas regras harmonizadas de rotulagem das embalagens, destinadas a informar sobre a sua composição e facilitar a separação dos resíduos.

A partir de 2030 começam também a aplicar-se requisitos de reciclabilidade e, em determinados casos, de conteúdo mínimo de material reciclado, bem como exigências acrescidas de minimização do peso e volume das embalagens.

Para o comércio eletrónico há uma regra particularmente relevante: o espaço vazio nas embalagens de transporte, agrupadas e de comércio eletrónico não poderá exceder, em princípio, 50% do volume total. O papel, plástico de bolhas, almofadas de ar e outros materiais utilizados para preencher a caixa contam como espaço vazio. Esta obrigação será aplicável a partir de 1 de janeiro de 2030 ou três anos após a entrada em vigor da metodologia europeia de cálculo, se esta data for posterior.

Isto não significa que seja necessário substituir já todas as caixas. Significa que, quando forem tomadas novas decisões sobre embalagens, fornecedores ou logística, faz sentido ter já em conta as exigências que se aproximam.

O que muda, afinal, em 2026?

Para a maioria das lojas online, o principal trabalho a fazer agora não está no design da caixa: está na organização jurídica e documental da atividade.

É preciso saber quem é responsável pelas embalagens, em que países a empresa assume a qualidade de produtor, se os registos e sistemas EPR necessários estão assegurados e se existe informação suficiente sobre as embalagens utilizadas.

As alterações físicas mais exigentes podem ser preparadas progressivamente. As obrigações de responsabilidade alargada do produtor, sobretudo nas vendas transfronteiriças, não devem ser adiadas.

Para as lojas online, o PPWR não significa mudar imediatamente todas as embalagens, mas exige desde já uma análise das responsabilidades da empresa em Portugal e nos restantes mercados onde vende.

O escritório de Mafalda Correia Advogados presta apoio a empresas e negócios digitais na análise das obrigações decorrentes do PPWR e dos regimes nacionais de responsabilidade alargada do produtor, incluindo a identificação das obrigações aplicáveis às vendas para outros países da União Europeia e, em particular, para Espanha. Caso tenha alguma questão contacte-nos por email (info@advogadosmc.pt).

Este é um texto meramente informativo. As informações nele contidas são gerais e abstratas e não dispensam a assistência profissional qualificada e dirigida ao caso concreto.

Foto de SHVETS production/Pexels

Este modelo de trabalho oferece vantagens claras: aumento da produtividade, redução de custos operacionais, maior flexibilidade na gestão de equipas e acesso a talento global. No entanto, para que estas vantagens não se transformem em riscos, é essencial que o teletrabalho seja adequadamente regulado. Sem um contrato de trabalho estruturado, a empresa expõe-se a riscos jurídicos, fiscais e laborais que podem comprometer o seu crescimento.

O contrato de trabalho em regime de teletrabalho: exigência legal

O contrato de trabalho é o instrumento jurídico que estabelece os termos da relação entre empregador e trabalhador. Em regra, o contrato pode ser celebrado de forma verbal ou escrita, mas há situações em que a forma escrita é obrigatória. Uma delas é precisamente o regime de teletrabalho.

Quando o trabalho é prestado fora das instalações da empresa, com recurso a tecnologias de informação e comunicação, o Código do Trabalho determina que é obrigatório um acordo escrito entre o empregador e o trabalhador para regular as condições da prestação remota.

Esta formalização não é apenas uma exigência normativa: é também uma forma de clarificar direitos, deveres e expectativas de ambas as partes desde o início da relação.

Sem este enquadramento contratual, torna-se mais difícil gerir o tempo de trabalho, controlar resultados, aplicar sanções disciplinares ou mesmo cessar o vínculo com fundamento legal.

Cláusulas específicas a incluir nos contratos de teletrabalho

A par dos elementos essenciais em qualquer contrato de trabalho, como a identificação das partes, categoria profissional, retribuição, local e horário de trabalho, os contratos celebrados com trabalhadores que vão exercer a sua atividade em regime de teletrabalho devem conter cláusulas específicas que reflitam a realidade da prestação de trabalho à distância.

A seguir, destacamos alguns dos pontos que devem constar no contrato.

1. Local de trabalho habitual

Deve ser identificado expressamente o local habitual onde o trabalhador irá exercer as suas funções, mesmo que se trate da sua residência. Esta informação pode ter múltiplas implicações, nomeadamente quanto à:

• Aplicação de normas sobre segurança e saúde no trabalho;
• Determinação do tribunal territorialmente competente em caso de litígio laboral;
• Definição de políticas de deslocações ou ajudas de custo.

Além disso, se o trabalhador se encontrar fora de Portugal, o local de trabalho declarado pode ter implicações fiscais e contributivas, podendo levar à sujeição a regimes de segurança social e de impostos do país em que o trabalhador reside.

2. Duração do regime de teletrabalho

O contrato deve esclarecer se o teletrabalho é adotado de forma permanente ou temporária.

O Código do Trabalho permite que o acordo de teletrabalho seja revogado por qualquer das partes, com um pré-aviso de 60 dias, salvo quando o regime é adotado por motivos específicos (como proteção na parentalidade ou por questões de saúde), em que o trabalhador goza de maior proteção. Assim, a inclusão de uma cláusula clara sobre a reversibilidade do regime evita dúvidas e permite maior flexibilidade na gestão futura da relação.

É igualmente importante definir se o regime pode ser revisto, renegociado ou alterado, mediante determinadas condições ou com base na evolução da atividade da empresa.

3. Horário de trabalho e disponibilidade

Apesar da perceção de flexibilidade, o regime de teletrabalho continua sujeito ao cumprimento do período normal de trabalho, ou seja do número de horas de trabalho a prestar pelo trabalhador. No contrato, é fundamental indicar:

• O período normal de trabalho diário e semanal;
• O horário de trabalho e os intervalos de descanso;
• O respeito pelo direito a desligar;
• Informação sobre os mecanismos de controlo do tempo de trabalho aplicáveis (aplicações de registo, relógios de ponto digitais, sistemas automáticos, etc.).

Estas informações são particularmente relevantes para a empresa evitar o trabalho suplementar não autorizado e para demonstrar cumprimento das obrigações legais em caso de fiscalização.

4. Responsabilidade pelos equipamentos e sistemas

O contrato deve especificar quem é responsável por fornecer e manter os equipamentos e serviços necessários à prestação do trabalho, como por exemplo o computador e periféricos, as licenças de software, a serviço de internet e o acesso a redes seguras.

Na maioria dos casos, esta responsabilidade recai sobre o empregador. Contudo, é possível estabelecer no acordo que o trabalhador irá utilizar os seus próprios meios, desde que esse uso não imponha encargos adicionais ao trabalhador, nem comprometa a proteção de dados ou a cibersegurança.

É recomendável prever também um inventário dos bens fornecidos, com regras claras sobre a sua conservação, utilização e devolução, e informar o trabalhador sobre a política de cibersegurança que deverá cumprir na utilização dos equipamentos.

5. Despesas associadas ao teletrabalho

O empregador é responsável por suportar todas as despesas adicionais em que o trabalhador incorra por força do teletrabalho, como eletricidade, internet ou consumíveis, salvo se as partes acordarem de forma diferente.

A forma mais prática de o fazer é prevendo um valor fixo mensal compensatório. Em alternativa, pode estabelecer-se um sistema de reembolso das despesas efetuadas, mediante apresentação de comprovativos.

Seja qual for o modelo adotado, ele deve constar do contrato para prevenir dúvidas e evitar litígios. A ACT tem vindo a fiscalizar o cumprimento deste dever, sobretudo em situações em que o teletrabalho é prolongado ou imposto unilateralmente pela empresa.

6. Direito à privacidade e controlo à distância

É legítimo que o empregador pretenda acompanhar a produtividade e resultados do trabalhador, mas essa monitorização deve respeitar a privacidade do trabalhador, nos termos do Código do Trabalho e da legislação de proteção de dados pessoais.

O contrato deve indicar, de forma clara e transparente:

• Uma descrição dos meios utilizados (login, sistemas de produtividade, registo de acessos, etc.);
• A justificação da necessidade desses meios e os limites da monitorização;
• As informações sobre o tratamento de dados pessoais gerados em contexto laboral remoto, nos termos do RGPD e da Lei n.º 58/2019.

A monitorização abusiva, intrusiva ou desproporcional pode dar origem a sanções pela Comissão Nacional de Proteção de Dados (CNPD) e a processos judiciais por violação de direitos fundamentais do trabalhador.

7. Segurança e saúde no trabalho

O empregador continua responsável por garantir condições de segurança e saúde, mesmo quando o trabalhador está em regime de teletrabalho. Para tal, deve:

• Fornecer informação e formação sobre ergonomia e boas práticas posturais;
• Realizar avaliações de risco do posto de trabalho, sempre que possível, com consentimento do trabalhador;
• Facultar o contacto do trabalhador com os serviços de medicina no trabalho.

O contrato pode incluir cláusulas que reforcem o dever de cooperação do trabalhador neste domínio.

Riscos de não formalizar corretamente o teletrabalho

A informalidade pode parecer conveniente, mas as empresas que contratam trabalhadores remotos sem formalizar adequadamente o vínculo laboral estão expostas a múltiplos riscos jurídicos e financeiros. Ignorar a necessidade de formalizar um contrato de trabalho remoto pode ter implicações sérias, nomeadamente:

• Presunção de contrato sem termo: na ausência de contrato escrito, a relação é presumida como permanente, mesmo que ambas as partes tenham acordado um vínculo a termo;
• Reconhecimento judicial de vínculo laboral: trabalhadores contratados como prestadores de serviços ou freelancers podem recorrer aos tribunais para solicitar o reconhecimento da relação laboral e a obtenção das compensações devidas em matéria de retribuições, férias, subsídios e antiguidade, com efeitos retroativos;
• Coimas da ACT: a ausência de contrato escrito ou de cláusulas obrigatórias constitui contraordenação grave ou muito grave, punível com coimas entre 612,00€ e 61.200,00€, consoante a gravidade e a dimensão da empresa;
• Responsabilidade contributiva e fiscal: uma relação laboral encapotada pode originar correções pela Segurança Social e pela Autoridade Tributária, obrigando ao pagamento de coimas e de liquidações adicionais, com juros;
• Impacto reputacional: práticas laborais informais podem afetar a reputação da empresa junto de investidores, parceiros comerciais, clientes institucionais e entidades reguladoras.

Teletrabalho internacional: riscos acrescidos

Com a crescente mobilidade dos trabalhadores, começa a ser frequente a contratação de colaboradores que residem noutros países. Nestes casos, a empresa deverá ter especial atenção a:

• Leis laborais locais: o trabalhador pode estar sujeito à legislação do país onde reside, o que obriga a uma análise jurídica multijurisdicional;
• Segurança social: a empresa deve verificar se é possível manter o enquadramento na segurança social portuguesa ao abrigo do regime aplicável aos trabalhadores deslocados (A1);
• Fiscalidade: é necessário avaliar se a residência do trabalhador num país estrangeiro implica obrigações fiscais para a empresa nesse país.

Nestes casos, é essencial recorrer a uma assessoria jurídica e fiscal especializada, sob pena de a empresa incorrer em riscos graves não antecipados.

Conte com o apoio certo para formalizar o teletrabalho

Na Mafalda Correia Advogados, ajudamos as empresas a estruturar contratos de teletrabalho sólidos, seguros e conformes com a legislação nacional. A nossa experiência no setor digital permite-nos antecipar riscos e adaptar cláusulas à realidade de cada cliente.

Podemos também prestar apoio especializado a empresas que pretendam contratar trabalhadores noutros países em regime de teletrabalho, contando com a colaboração de advogados locais experientes que integram a nossa rede de parceiros internacionais.

A assessoria jurídica preventiva é essencial para garantir segurança, conformidade e estabilidade interna. Se a sua empresa pretende contratar colaboradores remotos ou regularizar situações já existentes, conte com a nossa experiência.

Este é um texto meramente informativo. As informações nele contidas são gerais e abstratas e não dispensam a assistência profissional qualificada e dirigida ao caso concreto.

Foto de ilya / Unsplash

Até agora, a acessibilidade digital era obrigatória apenas para entidades públicas, ao abrigo do DL n.º 83/2018. Com o novo regime, a obrigação estende-se ao setor privado — incluindo empresas que operam lojas online, aplicações móveis, eBooks, serviços de streaming, plataformas de reservas de viagens e transportes, apps de mobilidade, serviços bancários digitais, terminais de pagamento, entre outros.

O objetivo é claro: garantir que todas as pessoas, independentemente das suas limitações funcionais, possam utilizar os serviços e aceder aos produtos digitais com autonomia, segurança e igualdade.

Quais os produtos e serviços abrangidos?

A lei aplica-se a qualquer empresa que disponibilize produtos ou serviços a consumidores finais, nomeadamente:

• Computadores e sistemas operativos;
• Terminais de pagamento e caixas multibanco;
• Smartphones e equipamentos de comunicação;
• Leitores e softwares de eBooks;
• Serviços de comunicações eletrónicas (como chamadas e mensagens);
• Serviços bancários ao consumidor;
• Plataformas de media e conteúdos audiovisuais;
• Websites e apps de comércio eletrónico;
• Serviços de transporte com bilhética eletrónica.

Para cada uma destas categorias, a lei impõe requisitos de acessibilidade digital que devem ser tidos em conta no design, desenvolvimento e disponibilização de produtos e serviços a partir de 28 de junho de 2025.

Quem está obrigado?

A lei aplica-se a fabricantes, importadores e distribuidores de produtos, bem como a prestadores de serviços. No entanto, as microempresas prestadoras de serviços (menos de 10 trabalhadores e volume de negócios anual inferior a 2 milhões de euros) estão isentas das obrigações relativas aos serviços abrangidos.

Note-se que a isenção de acessibilidade digital se aplica apenas aos serviços. No caso dos produtos abrangidos, como como smartphones, tablets ou software, mesmo as microempresas devem garantir a conformidade com os requisitos indicados na lei.

Além disso, continuam a ser aplicáveis outras normas nacionais já em vigor sobre acessibilidade, proteção de dados ou igualdade no trabalho.

A Portaria n.º 220/2023, publicada em 31 de julho de 2023, veio complementar este regime, detalhando os requisitos técnicos de acessibilidade para os produtos e serviços referidos.

Requisitos específicos para o comércio eletrónico

As interfaces digitais (sites, apps, plataformas) devem cumprir requisitos de acessibilidade funcional, assegurando que podem ser utilizadas por pessoas com limitações físicas, sensoriais ou cognitivas — permanentes ou temporárias.

Embora a legislação não mencione expressamente normas técnicas como as WCAG 2.1, a sua adoção (nível AA) é amplamente reconhecida como uma boa prática internacional para garantir a conformidade com os princípios de acessibilidade digital definidos no Decreto-Lei n.º 82/2022 e no Anexo I da Diretiva 2019/882.

Na prática, isso implica assegurar:

• Texto com contraste adequado;
• Possibilidade de navegação por teclado;
• Alternativas textuais para conteúdos visuais;
• Compatibilidade com tecnologias de apoio (ex.: leitores de ecrã);
• Informação compreensível, previsível e estruturada.

Nos serviços de comércio eletrónico, a Portaria n.º 220/2023 exige que os sites e aplicações digitais assegurem:

1. Informações sobre acessibilidade dos produtos e serviços

Sempre que o fabricante ou operador económico forneça essas informações, elas devem estar disponíveis de forma clara e não podem ser suprimidas.

2. Acessibilidade nas funcionalidades de identificação, segurança e pagamento

Quando estas funcionalidades fazem parte de um serviço, devem ser percetíveis, operáveis, compreensíveis e robustas. Exemplo: garantir que a interface de pagamento está disponível por voz, permitindo compras autónomas a pessoas cegas.

3. Métodos acessíveis de identificação e pagamento

Os métodos disponibilizados devem respeitar os mesmos princípios de acessibilidade. Exemplo: ecrãs compatíveis com leitores de ecrã nos processos de login ou autenticação.

O que deve fazer?

A lei entrou em vigor em 2022. O início de aplicação foi adiado para 28 de junho de 2025, para que as empresas se pudessem preparar.

Para melhorar a acessibilidade dos produtos e serviços digitais, é recomendável:

1. Avaliar os seus canais digitais

Faça uma auditoria técnica aos seus sites, apps e plataformas, com base nas WCAG 2.1, identificando barreiras de acessibilidade digital.

2. Planear a correção das falhas

Desenvolva um plano de conformidade com as regras da acessibilidade digital, envolvendo equipas técnicas, de design e de conteúdo.

3. Formar a sua equipa

É essencial que os colaboradores adquiram conhecimentos em acessibilidade digital, para que possam aplicar boas práticas em todas as fases de desenvolvimento e manutenção dos canais digitais.

4. Incluir a acessibilidade nos contratos

Se recorre a fornecedores externos para gerir os seus canais digitais, assegure-se de que os contratos incluem cláusulas sobre acessibilidade digital e conformidade legal.

Note-se que, em casos devidamente justificados, a empresa pode invocar a desproporcionalidade do cumprimento, nos termos definidos na lei. Mas esta avaliação deve ser documentada e fundamentada.

O que acontece em caso de incumprimento?

A fiscalização caberá, consoante o setor, a entidades como a ASAE – que supervisionará a maioria dos produtos que não se destinem a comunicações eletrónicas – e a ANACOM, sendo esta última a entidade a quem foi atribuída a fiscalização das empresas de comércio eletrónico e dos equipamentos de comunicações eletrónicas.

Noutras áreas, a fiscalização poderá ainda caber à Entidade Reguladora para a Comunicação Social (ERC), à Autoridade Nacional da Aviação Civil (ANAC), ao Instituto da Mobilidade e dos Transportes, ao Banco de Portugal, à Comissão do Mercado de Valores Mobiliários, à Inspeção-Geral das Atividades Culturais e aos municípios.

Para as pessoas coletivas, as coimas podem atingir:

• Contraordenação grave: 12 000€ a 24 000€
• Contraordenação muito grave: 24 000€ a 44 891,81€

Além disso, a lei obriga à divulgação da decisão condenatória em dois jornais de âmbito nacional, devendo o infrator pagar os custos.

Mais do que uma obrigação legal

Cumprir esta lei não é apenas uma imposição — é também uma oportunidade para:

• Aumentar o alcance do seu negócio: há 1,1 milhões de consumidores com deficiência em Portugal e 101 milhões no espaço europeu;
• Melhorar a experiência de todos os utilizadores, não apenas de pessoas com deficiência;;
• Reduzir riscos jurídicos e reputacionais;
• Promover a inclusão digital;
• Reforçar a imagem e reputação da empresa e das suas marcas.

Se tem uma loja online, presta serviços digitais ou gere plataformas acessíveis ao público, esta é a altura de agir. A acessibilidade digital passará a ser critério obrigatório de legalidade — e um diferencial competitivo para negócios responsáveis.

No escritório da Mafalda Correia Advogados, apoiamos microempresas, PME e negócios digitais na interpretação das novas regras de acessibilidade digital, na avaliação da sua aplicação prática e na validação de medidas proporcionais, com soluções jurídicas adaptadas à realidade de cada empresa. Se precisar de apoio, estamos disponíveis para o acompanhar neste processo.

Este é um texto meramente informativo. As informações nele contidas são gerais e abstratas e não dispensam a assistência profissional qualificada e dirigida ao caso concreto.

Foto de  Elizabeth Woolner / Unsplash

O Regulamento Geral sobre a Proteção de Dados (RGPD) aplica-se a todas as empresas que realizam tratamento de dados pessoais, independentemente da sua dimensão. Contudo, é frequente ouvir-se que “o RGPD é apenas para as grandes empresas”. Esta ideia é incorreta, pois, embora o cumprimento das regras deva ser proporcional ao tamanho e ao risco inerente ao tratamento, existem obrigações legais essenciais que não podem ser descuradas, mesmo por microempresas com poucos recursos.

Neste artigo, abordamos de forma clara e prática as principais obrigações legais que as microempresas devem cumprir no âmbito do RGPD, bem como algumas boas práticas recomendadas para uma gestão responsável e segura dos dados pessoais.

O que é obrigatório para todas as empresas?

1. Informar os titulares dos dados

A transparência é uma exigência central do RGPD. Os titulares dos dados (clientes, fornecedores, colaboradores) devem ser informados, de forma clara e acessível, sobre:

• que dados são recolhidos,
• para que finalidades,
• qual a base legal do tratamento,
• durante quanto tempo os dados serão conservados,
• com quem podem ser partilhados.

Porquê?
Porque o RGPD assenta nos princípios da transparência e da responsabilização (“accountability”). Os titulares têm o direito de saber o que está a ser feito com os seus dados e de tomar decisões informadas. Além disso, a falta de informação adequada pode invalidar a base legal do tratamento — por exemplo, tornar inválido um consentimento obtido.

2. Identificar a base legal do tratamento

A empresa deve ter uma justificação legal para cada tratamento de dados. As bases legais mais comuns nas microempresas são:

• Execução de um contrato (ex. para prestar um serviço);
• Cumprimento de obrigação legal (ex. emissão de faturas);
• Consentimento (quando exigido, como para envio de newsletters);
• Interesse legítimo (aplicável em algumas situações, com cautela).

Porquê?
Não basta tratar dados com boa intenção. O RGPD exige que cada ação de tratamento tenha um fundamento legal claro. Esta base é o que permite à empresa continuar a tratar os dados em segurança, mesmo em caso de reclamação, auditoria ou fiscalização. Sem base legal, o tratamento é considerado ilícito.

3. Definir prazos de conservação de dados

Os dados pessoais só podem ser conservados enquanto forem necessários para o fim que motivou a sua recolha e não podem ser guardados indefinidamente. A empresa deve definir regras de conservação e procedimentos de eliminação e proceder a limpezas periódicas dos dados que já não são necessários.

Porquê?
Porque o princípio da limitação da conservação estabelecido no RGPD obriga à eliminação dos dados quando estes deixam de ser necessários. Manter dados antigos ou desnecessários aumenta os riscos em caso de violação e pode constituir uma infração.

4. Recolher apenas os dados necessários (princípio da minimização)

As empresas devem limitar a recolha de dados pessoais ao que for estritamente necessário para cumprir a finalidade do tratamento. Não é permitido pedir ou conservar dados excessivos ou irrelevantes face ao objetivo que se pretende atingir.

Porquê?
Porque o princípio da minimização obriga a que os dados recolhidos sejam adequados, pertinentes e limitados ao necessário. Ignorar esta regra aumenta o risco de infrações e pode prejudicar a confiança dos titulares. Além disso, reduz a eficiência e segurança da gestão da informação.

5. Adotar medidas técnicas e organizativas de segurança

Não é obrigatório implementar tecnologias sofisticadas, mas devem existir medidas adequadas para proteger os dados: palavras-passe robustas, backups regulares, controlo de acessos, formação aos colaboradores, entre outras.

Porquê?
Porque as falhas de segurança são uma das principais causas de violação de dados. Mesmo com poucos recursos, medidas simples (como não partilhar passwords ou usar software atualizado) fazem diferença. O RGPD exige medidas proporcionais, não perfeição — mas exige que se faça alguma coisa.

Boas práticas recomendadas (não obrigatórias, mas úteis)

1. Nomear um responsável interno

Mesmo que não haja Encarregado de Proteção de Dados (EPD), é útil ter uma pessoa identificada e preparada para coordenar estas matérias.

Porquê?
Porque centralizar a responsabilidade evita esquecimentos, omissões ou abordagens contraditórias dentro da equipa. Mesmo em empresas muito pequenas, alguém deve acompanhar a evolução da legislação, responder a pedidos dos titulares e articular medidas com os prestadores de serviços.

2. Dar formação à equipa

Mesmo numa estrutura pequena, é importante que todos saibam como lidar com os dados pessoais com responsabilidade. A maioria dos incidentes com dados resulta de erro humano, como enviar um email com destinatários em “CC”, deixar um portátil ligado, partilhar acidentalmente ficheiros com dados pessoais.

Porquê?
Porque uma equipa bem informada sabe como agir corretamente, evita práticas que comprometem a proteção dos dados e consegue identificar e reportar eventuais incidentes a tempo. A formação regular e adaptada à realidade da empresa é fundamental para minimizar riscos e garantir conformidade.

3. Avaliar a necessidade de manter um registo de atividades

As microempresas estão, à partida, dispensadas de manter um registo formal das atividades de tratamento de dados, salvo quando o tratamento for regular, for suscetível de implicar um risco para os direitos e liberdades dos titulares dos dados, ou envolver categorias especiais de dados (como dados de saúde).

Mas, mesmo nos casos em que não é obrigatório, este registo pode ser essencial para dar à empresa uma visão clara sobre o que faz com os dados e para demonstrar a conformidade com o RGPD.

Porquê?
Porque este “mapa” ajuda a empresa a perceber melhor o que faz com os dados e a identificar riscos ou incoerências. É também um apoio relevante em auditorias e em caso de fiscalização pela autoridade de controlo.

4. Rever os contratos com fornecedores

Mesmo em estruturas pequenas, muitas empresas recorrem a serviços externos que implicam o tratamento de dados pessoais, como softwares de faturação, plataformas de e-mail marketing ou serviços de armazenamento em nuvem. É essencial rever os contratos celebrados com estes fornecedores para garantir que incluem cláusulas que asseguram a conformidade com o RGPD.

Porquê?
Porque a responsabilidade pelo tratamento de dados que é feito pela empresa subcontratante permanece, em última instância, com a empresa que a contrata. Sem um contrato com cláusulas específicas que definam as obrigações em matéria de proteção de dados, não há garantias de que o subcontratante cumpre as regras. Em caso de violação, quem responde é a empresa contratante — mesmo que não tenha tido culpa direta.

5. Ter um plano de resposta a incidentes

É improvável que uma microempresa esteja isenta de riscos. Ter um plano de atuação em caso de violação de dados (mesmo básico) pode fazer a diferença.

Porquê?
Porque em caso de falha de segurança, há prazos curtos para comunicar a violação à CNPD e, em alguns casos, aos titulares dos dados. Saber como agir, quem contactar e que informação recolher é essencial para minimizar danos e cumprir a lei.

Conclusão

O cumprimento do RGPD não exige grandes investimentos nem burocracia excessiva — especialmente nas microempresas. Mas ignorar as obrigações legais pode sair caro, tanto do ponto de vista jurídico como reputacional.

Um acompanhamento jurídico adequado ajuda a aplicar o regulamento com proporcionalidade e bom senso, evitando riscos desnecessários.

Se tem dúvidas sobre como aplicar o RGPD na sua empresa, esclarecê-las pode ser o primeiro passo para garantir segurança e tranquilidade no tratamento de dados.

No escritório de Mafalda Correia Advogados apoiamos microempresas e pequenos negócios digitais na avaliação da situação atual, na implementação de procedimentos adequados ao RGPD e na formação prática dos colaboradores, com soluções proporcionais à dimensão e realidade de cada empresa. Se precisar de apoio em matéria de proteção de dados, estamos disponíveis para o ajudar.

Este é um texto meramente informativo. As informações nele contidas são gerais e abstratas e não dispensam a assistência profissional qualificada e dirigida ao caso concreto.

Foto de Campaign Creators / Unsplash

No entanto, tão importante como a ambição de crescer é a preparação para o fazer de forma segura, cumprindo todas as obrigações legais e protegendo o seu investimento. Conheça as principais regras de ouro para lançar a sua loja online com confiança.

1. Utilize plataformas seguras

Escolha fornecedores de alojamento e plataformas de e-commerce reconhecidas, que garantam segurança e estabilidade. Prefira soluções que ofereçam atualizações automáticas, backups regulares e proteção contra ataques informáticos.

Uma loja online segura começa na infraestrutura: investir numa plataforma de qualidade não só protege o seu negócio como transmite uma imagem profissional e fiável aos seus clientes.

2. Proteja os dados dos clientes

Na sua loja online, implemente sistemas de encriptação de dados (como SSL) e respeite o Regulamento Geral sobre a Proteção de Dados (RGPD). Recolha apenas a informação necessária e adote medidas rigorosas para evitar fugas ou acessos não autorizados.

A proteção de dados é, além de uma obrigação legal, um fator essencial para ganhar a confiança dos consumidores, que cada vez mais valorizam a segurança das suas informações pessoais.

3. Tenha políticas claras e acessíveis

Disponibilize de forma visível nas páginas da sua loja online as condições de venda, a política de privacidade e os procedimentos de trocas, devoluções e garantias. Uma comunicação transparente aumenta a confiança e evita conflitos futuros.

A lei obriga ainda a prestar informações como a identidade e contactos do vendedor, a existência do livro de reclamações eletrónico e as entidades de resolução alternativa de litígios disponíveis, informação que deve constar no seu site de forma permanente e destacada.

4. Ofereça métodos de pagamento seguros

Integre soluções de pagamento com certificação de segurança reconhecida, como MB WAY, cartões de crédito com autenticação reforçada ou plataformas como PayPal. Garanta que o cliente sente confiança no momento da compra.

Facilitar pagamentos seguros, diversificados e adequados aos hábitos dos compradores não só minimiza o risco de fraude como também melhora a experiência do utilizador, aumentando as taxas de conversão da loja.

5. Verifique a identidade dos fornecedores

Se trabalhar com fornecedores externos, confirme a sua fiabilidade e reputação no mercado. Exija contratos claros e evite depender de fontes pouco credíveis, que podem comprometer a qualidade dos seus produtos ou serviços.

Lembre-se de que, perante o cliente, é a sua loja online que assume a responsabilidade pela qualidade e conformidade dos produtos vendidos. Por isso, a escolha dos fornecedores deve ser criteriosa e acompanhar padrões elevados de exigência.

6. Esteja atento a fraudes

Implemente mecanismos para monitorizar e detetar padrões de compra anormais, como moradas incoerentes ou compras de elevado valor em nome de terceiros. Quanto mais cedo identificar potenciais fraudes, menores serão os prejuízos.

A monitorização contínua e o uso de ferramentas de deteção de fraudes são investimentos essenciais para proteger o seu negócio e manter a credibilidade junto dos seus clientes.

7. Tenha atenção às entregas

Escolha transportadoras fiáveis e defina prazos de entrega realistas, contando com o tempo necessário para as atividades de preparação e embalagem da encomenda.

Disponibilize informações claras sobre os custos, prazos e condições de envio, e mantenha os clientes informados em caso de atrasos.

O cumprimento dos prazos de entrega é determinante para a satisfação do cliente. Uma boa gestão logística contribui para a construção de uma relação de confiança e para a fidelização.

8. Mantenha-se atualizado sobre as ameaças online

A cibersegurança está em constante evolução. Manter-se atualizado é essencial para garantir a segurança no e-commerce e proteger o seu negócio contra ameaças digitais.

Faça atualizações regulares dos seus sistemas, realize auditorias de segurança e esteja atento a novas ameaças e boas práticas de proteção.

Estar informado e antecipar riscos permite proteger a sua loja online de ataques e transmitir uma imagem de profissionalismo e responsabilidade aos seus clientes.

9. Invista na confiança

A confiança é fundamental no comércio eletrónico. Use certificações de segurança, exiba opiniões verificadas de clientes e garanta um serviço de apoio ao cliente rápido, transparente e acessível.

Lembre-se de que um cliente que se sente em segurança e é bem atendido não só regressa como recomenda a sua loja a outros consumidores, ajudando o seu negócio a crescer.

10. Consulte um advogado

Antes de iniciar a sua atividade online, procure o apoio de um advogado especializado. Um acompanhamento jurídico adequado irá ajudá-lo a identificar e cumprir as leis aplicáveis à sua área de atividade e às vendas online, protegendo o seu negócio desde o primeiro momento.

Além de o esclarecer sobre as obrigações legais a cumprir, um advogado pode ajudá-lo a estruturar corretamente o seu negócio, redigir documentos essenciais, como termos e condições e políticas, e antecipar riscos legais que poderiam comprometer a sua operação.

Conquistar a confiança dos clientes é o verdadeiro segredo para criar uma loja online de sucesso. Um projeto que respeita as regras de segurança, proteção de dados e transparência legal transmite profissionalismo e fiabilidade — fatores decisivos para o consumidor na hora da compra.

Ao investir na segurança, na conformidade e num serviço de qualidade, estará também a construir uma marca sólida, credível e preparada para crescer de forma sustentável no mercado digital.

Este é um texto meramente informativo. As informações nele contidas são gerais e abstratas e não dispensam a assistência profissional qualificada e dirigida ao caso concreto.

Foto de Kaboompics.com/ Pexels

O escritório de Mafalda Correia Advogados tem competência e experiência prática no domínio do E-Commerce e está preparado para o ajudar a cumprir as regras da proteção de dados aplicáveis às suas comunicações de marketing. Caso tenha alguma questão contacte-nos por email (info@advogadosmc.pt).

Nos últimos anos, são muitos os cidadãos que têm participado à Comissão Nacional de Proteção de Dados (CNPD) o recebimento de comunicações de marketing eletrónicas não solicitadas, a maior parte das quais promovidas por entidades com quem os titulares não têm qualquer relação, e a quem não deram consentimento para esse fim. Essas ações de marketing são frequentemente descritas pelos titulares dos dados como intrusivas pela sua frequência e insistência.

Isto acontece porque muitas das empresas e profissionais desconhecem as regras aplicáveis ao envio de comunicações de marketing e/ou confiam em interpretações “criativas” dessas regras, que têm pouco a ver com a realidade.

As regras aplicáveis

Em Portugal, as comunicações eletrónicas de marketing direto são regidas pela Lei da Privacidade nas Comunicações Eletrónicas (Lei n.º 41/2004 de 18 de agosto na sua versão atual), pelo Regulamento Geral sobre a Proteção de Dados (RGPD) e pela Lei n.º 58/2019, de 8 de agosto.

Estas normas aplicam-se às diferentes formas de comunicações de marketing direto, qualquer que seja o canal: e-mail, SMS, MMS, aplicações de mensagens instantâneas como o WhatsApp e o Messenger, chamadas telefónicas automáticas ou com intervenção humana. 

Abaixo, destacam-se os principais aspetos legais que empresas e profissionais devem observar para assegurar uma prática de marketing alinhada com a proteção de dados e evitar riscos de sanções.

Bases legais para comunicações de marketing

O envio de comunicações de marketing direto requer uma base legal válida, essencial para a conformidade legal. Em Portugal, as bases legais permitidas para comunicações de marketing direto são apenas duas: o interesse legítimo e o consentimento explícito do destinatário.

Estes dois fundamentos não são alternativos, nem podem ser objeto de uma escolha arbitrária do responsável pelo tratamento. É a lei que indica os pressupostos de aplicação de cada um deles.

O interesse legítimo

O interesse legítimo pode ser invocado como fundamento para o envio de comunicações de marketing quando estas se dirigem a clientes, com os quais a entidade já estabeleceu uma relação comercial.

Para aplicar esta base legal, é necessário que se verifiquem as seguintes condições:

• os dados do cliente terem sido recolhidos no contexto da venda de um produto ou serviço;

• a comunicação de marketing dizer respeito a produtos ou serviços semelhantes aos que foram adquiridos anteriormente pelo cliente;

• ter sido facultado ao cliente o exercício do direito de oposição, ou seja, de o cliente indicar que não quer receber esse tipo de comunicações, tanto no momento em que ocorreu a recolha dos seus dados, como em cada mensagem de marketing que lhe for enviada.

O consentimento

Caso não exista uma relação anterior ou se as comunicações de marketing se referem a produtos diferentes dos que foram antes adquiridos pelo cliente, o envio das comunicações​​ exige que se obtenha o consentimento prévio do titular dos dados.

Esta é uma base legal muito exigente. Segundo o RGPD, o consentimento deve “ser dado mediante um ato positivo claro que indique uma manifestação de vontade livre, específica, informada e inequívoca de que o titular de dados consente no tratamento dos dados que lhe digam respeito”.

 Em termos práticos, o consentimento tem de ser:

• Prévio – O consentimento tem de ser obtido antes da comunicação de marketing;

• Livre – O titular de dados deve poder livremente aceitar ou recusar cada operação de tratamento, sem pressão ou condições;

• Informado – O responsável pelo tratamento deve prestar todas as informações relevantes, como a sua identidade e contactos, o envio de comunicações eletrónicas de marketing como finalidade do tratamento, o consentimento como respetivo fundamento de legitimidade, o direito de retirar o consentimento em qualquer altura e o prazo de conservação dos dados pessoais. Estas informações devem ser apresentadas de forma sucinta e fácil de entender, utilizando uma linguagem clara, de modo que o titular consiga antecipar as consequências resultantes do tratamento dos seus dados.

• Um ato positivo – O titular dos dados tem de manifestar a sua vontade de através de uma ação clara, como a seleção de uma opção​​ ou o preenchimento de um formulário. O consentimento exigido como contrapartida para o fornecimento de um bem ou serviço ou obtido através de um formulário com as opções pré-selecionadas é inválido.

• Específico – A cada finalidade concreta deve corresponder um consentimento. Se os dados forem recolhidos para serem transmitidos a terceiros, é necessário especificar quem são e obter um consentimento para cada uma dessas entidades poder utilizar os dados para comunicações de marketing. Terá ainda de ser dada ao titular a possibilidade de aceitar autonomamente cada uma das operações de tratamento, sem forçar o consentimento em bloco para diferentes finalidades de tratamento e/ou diferentes entidades.

• Leal e transparente – É essencial que o tratamento de dados pessoais para comunicações de marketing assente numa relação transparente, pautada pela lealdade e a boa-fé. Abordagens menos claras que impedem o titular de compreender as reais finalidades das operações de tratamento de dados, como é o caso de concursos e passatempos cujo principal objetivo é construir bases de dados para venda, não são admitidas.

Subcontratantes e a responsabilidade da empresa

No marketing digital, é comum que as empresas recorram a agências ou profissionais de marketing para executar as suas campanhas de comunicação.

Atuando por conta da empresa e segundo as instruções por ela transmitidas, estas agências e profissionais assumem, no âmbito do RGPD, a posição de subcontratantes, sendo a empresa que os contrata a responsável pelo tratamento.

Como a sua designação indica, a responsabilidade principal pela proteção dos dados pessoais dos destinatários das campanhas permanece com a empresa que promove os seus produtos e serviços, é ela a responsável pelo tratamento dos dados.

Para se salvaguardar de eventuais riscos associados à atuação dos seus subcontratantes, a entidade responsável pelo tratamento deve ter alguns cuidados básicos:

• Avaliar e escolher subcontratantes qualificados, selecionandoos parceiros com base na sua capacidade de cumprir as regras do RGPD;

• Fornecer ao subcontratante instruções claras sobre a forma de realizar as comunicações de marketing, assegurando que a sua atuação respeita a lei;

• Formalizar a relação através de um contrato escrito que regule a atuação do subcontratante e garanta o cumprimento dos requisitos de proteção de dados;

• Monitorizar o cumprimento, controlandoa atuação do subcontratante e avaliando qualquer nova subcontratação que venha a ser envolvida no tratamento de dados​.

Venda e utilização de bases de dados

A compra de bases de dados para usar em campanhas de marketing direto é uma prática que apresenta questões éticas e legais significativas, especialmente no contexto do cumprimento do RGPD.

Os dados pessoais inicialmente recolhidos para um propósito específico não podem ser transmitidos ou comercializados para fins de marketing de entidades terceiras sem que seja garantida a conformidade com as expectativas do titular dos dados.

Para garantir a conformidade, é essencial ser transparente no momento em que é solicitado o consentimento, informando o titular de que os seus dados poderão ser utilizados para marketing por terceiros e identificando claramente essas entidades. Práticas como concursos e passatempos, cujo principal objetivo é construir bases de dados para venda, devem ser evitadas, pois podem induzir em erro os titulares, violando os princípios de transparência e boa-fé.

As entidades interessadas em adquirir bases de dados devem verificar, antes da compra, se os dados foram legitimamente recolhidos, ou seja, se foram obtidos após um consentimento livre, informado, explícito e inequívoco, assegurando-se de os titulares foram informados sobre a partilha dos seus dados e sobre a sua utilização em comunicações de marketing.

Para esse efeito, é recomendável que realizem auditorias rigorosas às base de dados, avaliando se os dados foram recolhidos com base num consentimento válido e se este é adequado ao uso pretendido, averiguando também sobre a qualidade dos processos de recolha de dados e sobre a existência de documentação relativa aos consentimentos obtidos.

É igualmente importante confirmar que os dados mantidos nas bases estão atualizados e são relevantes para as finalidades a que se destinam, evitando retenções desnecessárias ou dados desatualizados que possam comprometer a privacidade dos titulares.

Boas práticas de conformidade

As entidades que tratam dados para comunicações de marketing têm de poder demonstrar continuamente a sua conformidade com o RGPD e com a Lei da Privacidade nas Comunicações Eletrónicas.

Os procedimentos essenciais para esse efeito incluem:

• Manter documentação completa sobre as campanhas de marketing realizadas.

• Conservar registos sobre o consentimento dado pelos titulares de dados para as comunicações de marketing, incluindo informações sobre o contexto em que foi obtido e, no caso de clientes, manter uma lista atualizada dos que não se opuseram à receção de comunicações de marketing.

• Manter uma lista de todos os fornecedores envolvidos nas campanhas, juntamente com os contratos ou acordos de proteção de dados com eles celebrados.

• Estabelecer procedimentos internos de revisão e atualização regular das práticas de conformidade, atendendo às orientações da CNPD e ao quadro normativo aplicável.

Para finalizar, é crucial que as empresas promovam uma cultura de conformidade contínua, assegurando que todos os colaboradores e parceiros compreendem e aplicam as normas de proteção de dados nas suas comunicações de marketing. Realizar formações frequentes e rever regularmente as políticas e procedimentos internos, ajuda a reforçar uma prática transparente e responsável.

Cumprir as boas práticas de conformidade não é apenas uma obrigação legal, mas também uma forma de construir confiança junto dos clientes e preservar a reputação da empresa no mercado digital.

Este é um texto meramente informativo. As informações nele contidas são gerais e abstratas e não dispensam a assistência profissional qualificada e dirigida ao caso concreto.

Foto de Tumisu / Pixabay

O escritório de Mafalda Correia Advogados tem competência e experiência prática no domínio da Proteção de Dados Pessoais e está preparado para o ajudar a cumprir as regras da proteção de dados aplicáveis às suas comunicações de marketing. Caso tenha alguma questão contacte-nos por email (info@advogadosmc.pt).

Contudo, há riscos associados. Nem sempre uma avaliação favorável reflete a experiência real de um cliente. Há casos em que as opiniões são manipuladas, outros em que as avaliações publicadas são de indivíduos pagos para tal ou que receberam benefícios, como produtos gratuitos ou descontos. E há situações em que as avaliações de consumidores negativas são eliminadas ou ocultadas por algoritmos que favorecem as críticas positivas.

Estas práticas não só manipulam a perceção dos consumidores, levando-os a adquirir produtos ou serviços que podem não ser os mais adequados às suas necessidades ou ter a qualidade pretendida, como também comprometem a confiança nas plataformas de e-commerce.

É neste contexto que surge a necessidade de um enquadramento legal rigoroso, que atribui às lojas online a responsabilidade de assegurar a transparência e fiabilidade das avaliações de consumidores.

Em Portugal, existem normas que visam garantir a autenticidade das avaliações publicadas em lojas online desde 2021, mas são poucos os que as conhecem. Cumprir estas exigências não só evita coimas significativas, como também contribui para um ambiente de comércio eletrónico mais seguro e transparente.

Verificação de Transações Comerciais

Uma das principais obrigações que a loja online tem de cumprir é a de verificar se existe uma transação comercial anterior à publicação de uma avaliação que alegue ter por base a aquisição de um produto ou serviço.

Esta medida visa proteger a autenticidade das avaliações de consumidores, garantindo que as opiniões são publicadas por clientes que efetivamente compraram o produto ou serviço.

Identificação de Avaliações Remuneradas

É igualmente crucial identificar avaliações que tenham sido feitas em troca de algum benefício. Se a loja online souber, ou devesse saber, que uma avaliação foi incentivada por uma compensação, esta deve ser claramente sinalizada.

Este é um requisito de transparência essencial para que os consumidores possam avaliar a credibilidade das opiniões publicadas.

Publicação e Edição das Avaliações

A lei impõe que as avaliações de consumidores sejam publicadas sem demora e que o autor tenha a possibilidade de editar o seu conteúdo a qualquer momento.

As avaliações iniciais podem ser influenciadas por fatores como a expectativa do consumidor ou uma experiência de uso limitada. Ao permitir que os clientes atualizem suas opiniões, garante-se que as avaliações refletem de forma mais precisa a sua experiência real com o produto ou serviço e que quaisquer alterações relevantes nessa experiência possam ser comunicadas.

Disponibilidade das Avaliações de Consumidores

Todas as avaliações de consumidores, positivas ou negativas, devem permanecer disponíveis por um período idêntico, que é, no mínimo, de seis meses.

Esta disposição da lei pretende impedir que as lojas manipulem a visibilidade das avaliações para favorecer as que são mais positivas, obrigando-as a manter todas as opiniões acessíveis aos consumidores por um tempo razoável.

Critério de Ordenação das Avaliações

Tendo em vista evitar o risco de manipulação através da forma como as avaliações de consumidores são exibidas, a lei recomenda que as avaliações sejam apresentadas preferencialmente por ordem cronológica.

Se optar pelo uso de outros critérios para ordenar as avaliações, como por exemplo a relevância ou a pontuação atribuída pelo consumidor, a loja online tem de indicar claramente qual é o critério que está a ser utilizado.

Mecanismos de Reporte e Resposta

Outra das obrigações das lojas online é a disponibilização de mecanismos que permitam aos consumidores reportar avaliações falsas ou abusivas.

Além disso, a loja online tem de disponibilizar ferramentas de resposta dos fornecedores de bens ou prestadores de serviços às avaliações publicadas.

Este mecanismo assume especial importância nos marketplaces, que incluem diversos fornecedores de bens ou prestadores de serviços.

Consequências do Incumprimento

O incumprimento destas regras constitui uma contraordenação económica grave, sancionada com coimas que podem atingir valores significativos:

• até 3 mil euros para microempresas,
• 8 mil euros para pequenas empresas,
• 16 mil euros para médias empresas e
• 24 mil euros para grandes empresas.

Estas sanções sublinham a importância de cumprir rigorosamente as normas legais e de assegurar que as avaliações nas lojas online são geridas de forma adequada.

Se tem uma loja online, é altamente recomendável que reveja os seus sistemas de avaliação e implemente as medidas necessárias para assegurar a conformidade com a legislação vigente.

Este é um texto meramente informativo. As informações nele contidas são gerais e abstratas e não dispensam a assistência profissional qualificada e dirigida ao caso concreto.

O escritório de Mafalda Correia Advogados possui vasta experiência no domínio do Direito do e-Commerce e está preparado para ajudar a sua empresa a cumprir com as obrigações legais da sua loja online. Para mais informações, não hesite em contactar-nos pelo email info@advogadosmc.pt.

Foto de Biljana Jovanovic / Pixabay

Este apoio, integrado no PRR – Plano de Recuperação e Resiliência, visa estimular as exportações online de produtos e serviços portugueses, impulsionando o desenvolvimento económico e a projeção das marcas portuguesas a nível internacional.

O incentivo à Internacionalização via E-Commerce destina-se a PME, de qualquer natureza ou sob qualquer forma jurídica, com sede em qualquer área do território nacional, incluindo as regiões autónomas da Madeira e dos Açores.

Projetos apoiados

O incentivo à Internacionalização via E-Commerce contempla projetos para desenvolvimento da presença direta das PME nos canais online, designadamente a criação de lojas próprias e/ou a adesão a marketplaces, bem como a conceção e implementação de campanhas de promoção online.

O incentivo a conceder é um apoio a fundo perdido, no montante de 50% das despesas elegíveis, que poderão ser relativas aos seguintes tipos de custos:

• Compra de equipamentos e software diretamente relacionados com a implementação do projeto;
• Aquisição de serviços de conceção e implementação de estratégias para canais digitais, UX design, criação, desenvolvimento e otimização de plataformas de e-commerce, gestão de conteúdos, CRM e gestão de campanhas, criação de lojas online próprios e inscrição e otimização da presença em marketplaces, atividades de SEO e SEA, Social Media Marketing, Content Marketing, Display Advertising, Mobile Marketing, Business Inteligence ou Web Analytics;
• Contratação de recursos humanos qualificados e com competências em e-commerce afetos à implementação do projeto;
• Outras despesas de investimento em atividades relevantes para o desenvolvimento do projeto.

Não são elegíveis para o apoio as despesas relacionadas com transações e operações de suporte às vendas, como taxas, impostos, encargos financeiros, comissões sobre vendas, fees e portes, custos com intervenção de ROC/CC na certificação de despesas. As despesas com a elaboração do Plano de E-commerce Internacional também não serão consideradas elegíveis.

Apoio de 12 milhões de euros

A dotação total para esta edição do apoio à Internacionalização via E-Commerce é de 12 milhões de euros, um montante que será repartido pelas duas fases do concurso. Dos 6 milhões de euros disponíveis em cada fase, 4,5 milhões serão atribuídos a projetos enquadrados na tipologia Novas Exportadoras e 1,5 milhões a projetos da tipologia Mais Mercados.

Na tipologia Novas Exportadoras serão apoiados projetos com uma despesa mínima de 10 mil euros e máxima de 25 mil euros. Já na tipologia Mais Mercados, os limiares mínimos e máximos de despesa são de 25 mil e 85 mil euros.

A tipologia Mais Mercados será aplicável aos projetos que tenham obtido uma pontuação final igual ou superior a 75 pontos no resultado do Diagnóstico E-commerce realizado. Os projetos que tenham obtido uma pontuação final igual ou superior a 20 pontos e inferior a 75 pontos, serão enquadrados na tipologia Novas Exportadoras.

Como submeter uma candidatura

Antes de submeter a candidatura ao incentivo à Internacionalização via E-Commerce, as PME interessadas devem seguir três etapas cruciais:

1. Realizar um Diagnóstico de E-Commerce no website Portugal Exporta. Esse diagnóstico fornecerá orientações para a elaboração de um Plano de E-Commerce Internacional bem estruturado, definindo também se a candidatura se enquadra na tipologia Novas Exportadoras ou na Mais Mercados.
2. Desenvolver um Plano de E-Commerce Internacional detalhado, seguindo as diretrizes estabelecidas no Anexo I do Aviso de Abertura de Concurso n.º 14/C16-i02/2023. Este plano servirá como base para a candidatura.
3. Submeter a Candidatura utilizando o formulário eletrónico disponível na página eletrónica do IAPMEI e/ou da AICEP. É fundamental que a empresa tenha efetuado registo e autenticação no Balcão e que assinale a tipologia de projeto à qual está a candidatar-se, baseando-se na avaliação do seu Diagnóstico de E-Commerce.

Quando se candidatar

O período de candidaturas decorre em duas fases de acordo com a data de realização do diagnóstico pelas empresas:

• Fase 1: de 24/08/2023 até 15/09/2023, exclusivamente para os candidatos que efetuaram o Diagnóstico entre 24 de agosto de 2022 e 30 de junho de 2023.
• Fase 2: 16/09/2023 até 20/10/2023, para os restantes candidatos, com Diagnóstico realizado, com data de 24 de Agosto de 2022 ou posterior.

O prazo para a apresentação de candidaturas mantém-se aberto até à receção do número de candidaturas limite apurado em função da dotação orçamental definida no Aviso n.º 14/C16-i02/2023.

Informações adicionais

Antes de decidir submeter a candidatura, é importante estudar a legislação que suporta esta medida e a informação constante no aviso de abertura do concurso.

• Consulte aqui a informação disponibilizada pela Aicep.

• Leia aqui o Aviso n.º 14/C16-i02/2023.

Este é um texto meramente informativo. As informações nele contidas são gerais e abstratas e não dispensam a assistência profissional qualificada e dirigida ao caso concreto.

O escritório de Mafalda Correia Advogados tem competência e experiência prática no domínio do Direito do e-Commerce e está preparado para o ajudar na análise da informação e normas que enquadram este apoio. Caso tenha alguma questão contacte-nos por email (info@advogadosmc.pt).

Foto de Mark König / Unsplash

A 2 de abril de 2023, entra em vigor a lei nº 10/2023 que, entre outras novidades, traz novas exigências quanto aos elementos obrigatórios de informação pré-contratual que devem ser disponibilizados aos consumidores pelas lojas online.

Até agora, as normas aplicáveis às vendas à distância exigiam apenas que as lojas online indicassem a identidade do fornecedor de bens ou do prestador de serviços, incluindo o seu nome, firma ou denominação social e o endereço físico do local onde o comerciante se encontra estabelecido. O e-mail e o nº de telefone eram opcionais, devendo ser indicados apenas nos casos em que a loja quisesse disponibilizar esses meios para contacto do consumidor.

Com as alterações legislativas introduzidas, a indicação de um número de telefone e um endereço de e-mail deixam de ser opcionais, o que significa que as lojas online que ainda não têm essas informações no site, as devem passar a disponibilizar, de forma clara e acessível nas páginas da loja.

Defesa dos consumidores reforçada

Esta medida, que resulta da transposição parcial para a ordem jurídica nacional da Diretiva (UE) 2019/2161, relativa à defesa dos consumidores, visa garantir que o consumidor tem acesso rápido e fácil às informações que lhe permitam entrar em contacto com o fornecedor ou prestador de serviços em caso de necessidade, o que é especialmente importante num ambiente de comércio eletrónico, onde a comunicação é geralmente feita apenas por meios digitais.

Estes elementos de contacto contribuem para uma maior transparência nas transações comerciais online e, por essa via, asseguram maior proteção dos direitos dos consumidores.

Uma transposição em duas fases

Com o propósito de assegurar uma melhor aplicação e a modernização das regras europeias em matéria de defesa dos consumidores, a Diretiva (UE) 2019/2161 dá especial enfoque ao reforço dos direitos dos consumidores em linha, introduzindo regras que contribuem para uma maior transparência das plataformas e lojas online, e reforçando também as sanções aplicáveis em caso de violação dos direitos dos consumidores.  

Uma parte significativa dessas novas regras europeias de proteção dos consumidores já tinha sido transposta para o ordenamento jurídico nacional em 2021, através do Decreto-Lei nº 109-G/2021, de 10 de Dezembro.

Entre as regras alteradas por esse diploma, que entrou em vigor em maio de 2022, destacam-se as aplicáveis a:

• Indicação de preços de venda a retalho
• Práticas comerciais com redução de preço
• Cláusulas contratuais gerais abusivas
• Práticas comerciais desleais e ações enganosas
• Publicação de avaliações e classificações efetuadas por consumidores
• Fornecimento ou prestação de serviços digitais ou de serviços com conteúdos digitais
• Alargamento dos deveres informativos nas lojas online

Coimas mais altas para quem não cumpre

A principal mudança introduzida pela Lei nº 10/2023 refere-se à alteração do valor das coimas aplicadas às contraordenações previstas para o não cumprimento das normas aplicáveis às áreas acima indicadas.

O limite máximo das coimas a aplicar poderá corresponder a 4% do volume de negócios anual da empresa em causa ou, quando não esteja disponível informação sobre esse volume de negócios, a dois milhões de Euros, se as contraordenações corresponderem a infrações generalizadas ou a infrações generalizadas ao nível da União Europeia.

Além disso, são fixados novos critérios para determinação da coima a aplicar pela prática das contraordenações, para além dos previstos no Regime Jurídico das Contraordenações Económicas, os quais incluem, entre outros:

• a natureza, gravidade, dimensão e duração da infração cometida;
• as medidas eventualmente adotadas pelo infrator para atenuar ou reparar os danos causados aos consumidores;
• as eventuais infrações cometidas anteriormente pelo infrator em causa;
• os benefícios financeiros obtidos ou os prejuízos evitados pelo infrator em virtude da infração cometida, se os dados em causa estiveram disponíveis; e
• nas situações transfronteiriças, as sanções impostas ao infrator pela mesma infração noutros Estados-Membros, caso essa informação esteja disponível.

O que é preciso fazer

Os fornecedores de bens e prestadores de serviços que operam através de lojas online devem ter as informações publicadas nas suas páginas sempre atualizadas. Para evitar coimas, é essencial cumprir todas as normas aplicáveis, seja quanto aos documentos legais, seja quanto às indicações fornecidas nas páginas.

Por isso, é recomendável rever estes textos e verificar se estão a cumprir as normas que entretanto foram publicadas. É também importante rever os procedimentos da loja, relativos às vendas, marketing e comunicação com o consumidor, de modo a garantir que tudo está conforme às novas exigências.

Este é um texto meramente informativo. As informações nele contidas são gerais e abstratas e não dispensam a assistência profissional qualificada e dirigida ao caso concreto.

O escritório de Mafalda Correia Advogados tem competência e experiência prática no domínio do Direito do e-Commerce e está preparado para o ajudar na identificação e cumprimento das suas obrigações e na atualização dos documentos legais da sua loja online. Caso tenha alguma questão contacte-nos por email (info@advogadosmc.pt).

Foto de Karolina Grabowska / Pexels

Esta diretriz destina-se aos responsáveis pelo tratamento e aos subcontratantes e tem como objetivo sensibilizá-los para as obrigações que devem cumprir no domínio da segurança dos tratamentos de dados pessoais.

Ataques em crescendo

Neste documento, a CNPD recorda que o número de ataques a sistemas de informação tem crescido de forma significativa nos últimos anos, com impactos graves nos dados pessoais de indivíduos.

Os principais vetores de ataque identificados foram:

• a exploração das vulnerabilidades das infraestruturas;
• a falta de formação dos utilizadores para detetarem campanhas de phishing que permitem depois a distribuição de malware, com especial relevância para os ataques de ransomware;
• e a ausência de consciencialização dos responsáveis pelos tratamentos quanto aos riscos para os direitos dos titulares dos dados que a falta de investimento em mecanismos de segurança acarreta.

A CNPD destaca ainda que, se as organizações tivessem investido em medidas de segurança adequadas, os riscos teriam sido menores e o impacto nos direitos dos titulares dos dados teria sido bem mais reduzido.

Phishing, malware e ramsonware

Termos como o phishing, o malware e o ramsonware já entraram no léxico comum de quem utiliza ou gere sistemas informáticos. Mas nem sempre são devidamente compreendidos. Afinal do que se trata?

O phishing é uma forma de fraude na internet que visa enganar os utilizadores para que revelem informações confidenciais, como senhas, números de cartão de crédito e outras informações pessoais.

Geralmente o golpe começa com uma mensagem de e-mail, SMS ou mensagem instantânea muito parecida com as comunicações legítimas de uma empresa ou organização de confiança, mas na verdade são falsas e projetadas para enganar as vítimas.

O objetivo do phishing é fazer com que a vítima revele informações confidenciais, seja por clicar em anexos ou links maliciosos no correio eletrónico, seja por partilhar dados em páginas fraudulentas. Essas informações podem depois ser usadas pelos criminosos para roubar dinheiro ou identidade da vítima, cometer fraudes financeiras ou outros crimes.

O malware refere-se a qualquer tipo de programa ou código malicioso criado para invadir, danificar ou incapacitar computadores e outros dispositivos, sistemas ou redes, ou até para roubar, encriptar ou apagar dados.

Existem muitos tipos diferentes de malware, como por exemplo vírus, worms, cavalos de Troia, spyware, adware e ransomware. Embora estes tipos funcionem de maneira diferente, todos têm como objetivo prejudicar ou controlar o sistema ou dispositivo afetado de alguma forma.

Os malwares geralmente são distribuídos em e-mails de phishing, downloads de software malicioso disfarçado de programas legítimos, anúncios fraudulentos e outros métodos de engenharia social. Uma vez instalado num sistema, o malware pode executar várias ações, como roubar informações, danificar arquivos, controlar o sistema afetado ou usá-lo para lançar ataques a outras redes.

O ransomware é um tipo específico de malware que encripta os ficheiros armazenados em servidores ou computadores, tornando-os inacessíveis, e exigindo um pagamento para a sua desencriptação. Alguns tipos de ransomware também extraem dados dos computadores afetados, enviando-os para os atacantes.

Medidas de segurança para cumprir RGPD

A CNPD recomenda que os responsáveis pelo tratamento de dados pessoais e os subcontratantes adotem as medidas de segurança elencadas na diretriz, consoante o que for adequado às características e sensibilidade dos tratamentos de dados pessoais efetuados e às especificidades da sua organização, para cumprirem as obrigações previstas no artigo 32.º, n.ºs 1 e 2, do RGPD, quanto à segurança do tratamento de dados pessoais.

Estas medidas devem conferir ao tratamento dos dados pessoais um nível de segurança adequado ao risco, incluindo a capacidade para garantir a confidencialidade, a integridade, a disponibilidade e a resiliência dos sistemas e serviços de tratamento.

Entre essas medidas, destacam-se:

• medidas organizativas, como a definição de um plano de resposta a incidentes e recuperação do desastre, a classificação da informação de acordo com o nível de confidencialidade e sensibilidade, a criação de uma política de gestão de ciclo de vida dos utilizadores, a realização de auditorias de segurança de TI e avaliações de vulnerabilidade, o fomento de uma cultura de privacidade e segurança da informação junto dos trabalhadores e a avaliação periódica das medidas de segurança, técnicas e organizativas internas, entre outras;
• medidas técnicas, incluindo as relativas à autenticação nos sistemas de informação, às infraestruturas e sistemas, às ferramentas de correio eletrónico, à proteção contra malware, à utilização de equipamentos em ambiente externo, ao armazenamento de documentos em papel que contenham dados pessoais e ao transporte de informação que integre dados pessoais.

Notificar as violações de dados

Além das medidas de segurança recomendadas, nesta diretriz, a CNPD recorda ainda que o responsável pelo tratamento tem o dever de notificar a autoridade de controlo de qualquer violação de dados pessoais, até 72 horas após ter tido conhecimento da mesma, nas situações em que a violação seja suscetível de resultar num risco para os direitos e liberdades das pessoas singulares.

A violação de dados pessoais é «uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso, não autorizados, a dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento», conforme indica o artigo 4º alínea 12 do RGPD.

Além da notificação à CNPD, o responsável pelo tratamento poderá ter de dar conhecimento da violação de dados aos titulares dos dados, «quando a violação de dados for suscetível de implicar um elevado risco para os direitos e liberdades das pessoas singulares», e logo que seja razoavelmente possível.

O principal objetivo dessa notificação é prestar informações específicas acerca das medidas que devem tomar para se protegerem das consequências negativas da violação dos seus dados pessoais.

Para obter orientações mais detalhadas sobre as medidas de segurança recomendadas pela CNPD, poderá consultar aqui a Diretriz 2023/1.

Este é um texto meramente informativo. As informações nele contidas são gerais e abstratas e não dispensam a assistência profissional qualificada e dirigida ao caso concreto.

O escritório de Mafalda Correia Advogados tem competência e experiência prática no domínio da Proteção de Dados Pessoais e está preparado para o ajudar a cumprir as regras do RGPD aplicáveis à sua atividade. Caso tenha alguma questão contacte-nos por email (info@advogadosmc.pt).

Foto de Ed Hardie / Unsplash