O Regulamento Geral sobre a Proteção de Dados (RGPD) aplica-se a todas as empresas que realizam tratamento de dados pessoais, independentemente da sua dimensão. Contudo, é frequente ouvir-se que “o RGPD é apenas para as grandes empresas”. Esta ideia é incorreta, pois, embora o cumprimento das regras deva ser proporcional ao tamanho e ao risco inerente ao tratamento, existem obrigações legais essenciais que não podem ser descuradas, mesmo por microempresas com poucos recursos.

Neste artigo, abordamos de forma clara e prática as principais obrigações legais que as microempresas devem cumprir no âmbito do RGPD, bem como algumas boas práticas recomendadas para uma gestão responsável e segura dos dados pessoais.

O que é obrigatório para todas as empresas?

1. Informar os titulares dos dados

A transparência é uma exigência central do RGPD. Os titulares dos dados (clientes, fornecedores, colaboradores) devem ser informados, de forma clara e acessível, sobre:

• que dados são recolhidos,
• para que finalidades,
• qual a base legal do tratamento,
• durante quanto tempo os dados serão conservados,
• com quem podem ser partilhados.

Porquê?
Porque o RGPD assenta nos princípios da transparência e da responsabilização (“accountability”). Os titulares têm o direito de saber o que está a ser feito com os seus dados e de tomar decisões informadas. Além disso, a falta de informação adequada pode invalidar a base legal do tratamento — por exemplo, tornar inválido um consentimento obtido.

2. Identificar a base legal do tratamento

A empresa deve ter uma justificação legal para cada tratamento de dados. As bases legais mais comuns nas microempresas são:

• Execução de um contrato (ex. para prestar um serviço);
• Cumprimento de obrigação legal (ex. emissão de faturas);
• Consentimento (quando exigido, como para envio de newsletters);
• Interesse legítimo (aplicável em algumas situações, com cautela).

Porquê?
Não basta tratar dados com boa intenção. O RGPD exige que cada ação de tratamento tenha um fundamento legal claro. Esta base é o que permite à empresa continuar a tratar os dados em segurança, mesmo em caso de reclamação, auditoria ou fiscalização. Sem base legal, o tratamento é considerado ilícito.

3. Definir prazos de conservação de dados

Os dados pessoais só podem ser conservados enquanto forem necessários para o fim que motivou a sua recolha e não podem ser guardados indefinidamente. A empresa deve definir regras de conservação e procedimentos de eliminação e proceder a limpezas periódicas dos dados que já não são necessários.

Porquê?
Porque o princípio da limitação da conservação estabelecido no RGPD obriga à eliminação dos dados quando estes deixam de ser necessários. Manter dados antigos ou desnecessários aumenta os riscos em caso de violação e pode constituir uma infração.

4. Recolher apenas os dados necessários (princípio da minimização)

As empresas devem limitar a recolha de dados pessoais ao que for estritamente necessário para cumprir a finalidade do tratamento. Não é permitido pedir ou conservar dados excessivos ou irrelevantes face ao objetivo que se pretende atingir.

Porquê?
Porque o princípio da minimização obriga a que os dados recolhidos sejam adequados, pertinentes e limitados ao necessário. Ignorar esta regra aumenta o risco de infrações e pode prejudicar a confiança dos titulares. Além disso, reduz a eficiência e segurança da gestão da informação.

5. Adotar medidas técnicas e organizativas de segurança

Não é obrigatório implementar tecnologias sofisticadas, mas devem existir medidas adequadas para proteger os dados: palavras-passe robustas, backups regulares, controlo de acessos, formação aos colaboradores, entre outras.

Porquê?
Porque as falhas de segurança são uma das principais causas de violação de dados. Mesmo com poucos recursos, medidas simples (como não partilhar passwords ou usar software atualizado) fazem diferença. O RGPD exige medidas proporcionais, não perfeição — mas exige que se faça alguma coisa.

Boas práticas recomendadas (não obrigatórias, mas úteis)

1. Nomear um responsável interno

Mesmo que não haja Encarregado de Proteção de Dados (EPD), é útil ter uma pessoa identificada e preparada para coordenar estas matérias.

Porquê?
Porque centralizar a responsabilidade evita esquecimentos, omissões ou abordagens contraditórias dentro da equipa. Mesmo em empresas muito pequenas, alguém deve acompanhar a evolução da legislação, responder a pedidos dos titulares e articular medidas com os prestadores de serviços.

2. Dar formação à equipa

Mesmo numa estrutura pequena, é importante que todos saibam como lidar com os dados pessoais com responsabilidade. A maioria dos incidentes com dados resulta de erro humano, como enviar um email com destinatários em “CC”, deixar um portátil ligado, partilhar acidentalmente ficheiros com dados pessoais.

Porquê?
Porque uma equipa bem informada sabe como agir corretamente, evita práticas que comprometem a proteção dos dados e consegue identificar e reportar eventuais incidentes a tempo. A formação regular e adaptada à realidade da empresa é fundamental para minimizar riscos e garantir conformidade.

3. Avaliar a necessidade de manter um registo de atividades

As microempresas estão, à partida, dispensadas de manter um registo formal das atividades de tratamento de dados, salvo quando o tratamento for regular, for suscetível de implicar um risco para os direitos e liberdades dos titulares dos dados, ou envolver categorias especiais de dados (como dados de saúde).

Mas, mesmo nos casos em que não é obrigatório, este registo pode ser essencial para dar à empresa uma visão clara sobre o que faz com os dados e para demonstrar a conformidade com o RGPD.

Porquê?
Porque este “mapa” ajuda a empresa a perceber melhor o que faz com os dados e a identificar riscos ou incoerências. É também um apoio relevante em auditorias e em caso de fiscalização pela autoridade de controlo.

4. Rever os contratos com fornecedores

Mesmo em estruturas pequenas, muitas empresas recorrem a serviços externos que implicam o tratamento de dados pessoais, como softwares de faturação, plataformas de e-mail marketing ou serviços de armazenamento em nuvem. É essencial rever os contratos celebrados com estes fornecedores para garantir que incluem cláusulas que asseguram a conformidade com o RGPD.

Porquê?
Porque a responsabilidade pelo tratamento de dados que é feito pela empresa subcontratante permanece, em última instância, com a empresa que a contrata. Sem um contrato com cláusulas específicas que definam as obrigações em matéria de proteção de dados, não há garantias de que o subcontratante cumpre as regras. Em caso de violação, quem responde é a empresa contratante — mesmo que não tenha tido culpa direta.

5. Ter um plano de resposta a incidentes

É improvável que uma microempresa esteja isenta de riscos. Ter um plano de atuação em caso de violação de dados (mesmo básico) pode fazer a diferença.

Porquê?
Porque em caso de falha de segurança, há prazos curtos para comunicar a violação à CNPD e, em alguns casos, aos titulares dos dados. Saber como agir, quem contactar e que informação recolher é essencial para minimizar danos e cumprir a lei.

Conclusão

O cumprimento do RGPD não exige grandes investimentos nem burocracia excessiva — especialmente nas microempresas. Mas ignorar as obrigações legais pode sair caro, tanto do ponto de vista jurídico como reputacional.

Um acompanhamento jurídico adequado ajuda a aplicar o regulamento com proporcionalidade e bom senso, evitando riscos desnecessários.

Se tem dúvidas sobre como aplicar o RGPD na sua empresa, esclarecê-las pode ser o primeiro passo para garantir segurança e tranquilidade no tratamento de dados.

No escritório de Mafalda Correia Advogados apoiamos microempresas e pequenos negócios digitais na avaliação da situação atual, na implementação de procedimentos adequados ao RGPD e na formação prática dos colaboradores, com soluções proporcionais à dimensão e realidade de cada empresa. Se precisar de apoio em matéria de proteção de dados, estamos disponíveis para o ajudar.

Este é um texto meramente informativo. As informações nele contidas são gerais e abstratas e não dispensam a assistência profissional qualificada e dirigida ao caso concreto.

Foto de Campaign Creators / Unsplash

Esta diretriz destina-se aos responsáveis pelo tratamento e aos subcontratantes e tem como objetivo sensibilizá-los para as obrigações que devem cumprir no domínio da segurança dos tratamentos de dados pessoais.

Ataques em crescendo

Neste documento, a CNPD recorda que o número de ataques a sistemas de informação tem crescido de forma significativa nos últimos anos, com impactos graves nos dados pessoais de indivíduos.

Os principais vetores de ataque identificados foram:

• a exploração das vulnerabilidades das infraestruturas;
• a falta de formação dos utilizadores para detetarem campanhas de phishing que permitem depois a distribuição de malware, com especial relevância para os ataques de ransomware;
• e a ausência de consciencialização dos responsáveis pelos tratamentos quanto aos riscos para os direitos dos titulares dos dados que a falta de investimento em mecanismos de segurança acarreta.

A CNPD destaca ainda que, se as organizações tivessem investido em medidas de segurança adequadas, os riscos teriam sido menores e o impacto nos direitos dos titulares dos dados teria sido bem mais reduzido.

Phishing, malware e ramsonware

Termos como o phishing, o malware e o ramsonware já entraram no léxico comum de quem utiliza ou gere sistemas informáticos. Mas nem sempre são devidamente compreendidos. Afinal do que se trata?

O phishing é uma forma de fraude na internet que visa enganar os utilizadores para que revelem informações confidenciais, como senhas, números de cartão de crédito e outras informações pessoais.

Geralmente o golpe começa com uma mensagem de e-mail, SMS ou mensagem instantânea muito parecida com as comunicações legítimas de uma empresa ou organização de confiança, mas na verdade são falsas e projetadas para enganar as vítimas.

O objetivo do phishing é fazer com que a vítima revele informações confidenciais, seja por clicar em anexos ou links maliciosos no correio eletrónico, seja por partilhar dados em páginas fraudulentas. Essas informações podem depois ser usadas pelos criminosos para roubar dinheiro ou identidade da vítima, cometer fraudes financeiras ou outros crimes.

O malware refere-se a qualquer tipo de programa ou código malicioso criado para invadir, danificar ou incapacitar computadores e outros dispositivos, sistemas ou redes, ou até para roubar, encriptar ou apagar dados.

Existem muitos tipos diferentes de malware, como por exemplo vírus, worms, cavalos de Troia, spyware, adware e ransomware. Embora estes tipos funcionem de maneira diferente, todos têm como objetivo prejudicar ou controlar o sistema ou dispositivo afetado de alguma forma.

Os malwares geralmente são distribuídos em e-mails de phishing, downloads de software malicioso disfarçado de programas legítimos, anúncios fraudulentos e outros métodos de engenharia social. Uma vez instalado num sistema, o malware pode executar várias ações, como roubar informações, danificar arquivos, controlar o sistema afetado ou usá-lo para lançar ataques a outras redes.

O ransomware é um tipo específico de malware que encripta os ficheiros armazenados em servidores ou computadores, tornando-os inacessíveis, e exigindo um pagamento para a sua desencriptação. Alguns tipos de ransomware também extraem dados dos computadores afetados, enviando-os para os atacantes.

Medidas de segurança para cumprir RGPD

A CNPD recomenda que os responsáveis pelo tratamento de dados pessoais e os subcontratantes adotem as medidas de segurança elencadas na diretriz, consoante o que for adequado às características e sensibilidade dos tratamentos de dados pessoais efetuados e às especificidades da sua organização, para cumprirem as obrigações previstas no artigo 32.º, n.ºs 1 e 2, do RGPD, quanto à segurança do tratamento de dados pessoais.

Estas medidas devem conferir ao tratamento dos dados pessoais um nível de segurança adequado ao risco, incluindo a capacidade para garantir a confidencialidade, a integridade, a disponibilidade e a resiliência dos sistemas e serviços de tratamento.

Entre essas medidas, destacam-se:

• medidas organizativas, como a definição de um plano de resposta a incidentes e recuperação do desastre, a classificação da informação de acordo com o nível de confidencialidade e sensibilidade, a criação de uma política de gestão de ciclo de vida dos utilizadores, a realização de auditorias de segurança de TI e avaliações de vulnerabilidade, o fomento de uma cultura de privacidade e segurança da informação junto dos trabalhadores e a avaliação periódica das medidas de segurança, técnicas e organizativas internas, entre outras;
• medidas técnicas, incluindo as relativas à autenticação nos sistemas de informação, às infraestruturas e sistemas, às ferramentas de correio eletrónico, à proteção contra malware, à utilização de equipamentos em ambiente externo, ao armazenamento de documentos em papel que contenham dados pessoais e ao transporte de informação que integre dados pessoais.

Notificar as violações de dados

Além das medidas de segurança recomendadas, nesta diretriz, a CNPD recorda ainda que o responsável pelo tratamento tem o dever de notificar a autoridade de controlo de qualquer violação de dados pessoais, até 72 horas após ter tido conhecimento da mesma, nas situações em que a violação seja suscetível de resultar num risco para os direitos e liberdades das pessoas singulares.

A violação de dados pessoais é «uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso, não autorizados, a dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento», conforme indica o artigo 4º alínea 12 do RGPD.

Além da notificação à CNPD, o responsável pelo tratamento poderá ter de dar conhecimento da violação de dados aos titulares dos dados, «quando a violação de dados for suscetível de implicar um elevado risco para os direitos e liberdades das pessoas singulares», e logo que seja razoavelmente possível.

O principal objetivo dessa notificação é prestar informações específicas acerca das medidas que devem tomar para se protegerem das consequências negativas da violação dos seus dados pessoais.

Para obter orientações mais detalhadas sobre as medidas de segurança recomendadas pela CNPD, poderá consultar aqui a Diretriz 2023/1.

Este é um texto meramente informativo. As informações nele contidas são gerais e abstratas e não dispensam a assistência profissional qualificada e dirigida ao caso concreto.

O escritório de Mafalda Correia Advogados tem competência e experiência prática no domínio da Proteção de Dados Pessoais e está preparado para o ajudar a cumprir as regras do RGPD aplicáveis à sua atividade. Caso tenha alguma questão contacte-nos por email (info@advogadosmc.pt).

Foto de Ed Hardie / Unsplash

A Estratégia Europeia de Dados pretende criar um espaço único europeu de dados e, assim, facilitar o acesso de empresas e autoridades públicas a dados de alta qualidade que possam estimular o seu crescimento e criar valor. Segundo a Comissão, com estas condições, a União Europeia poderá tornar-se na “economia de dados mais atraente, mais segura e mais dinâmica do mundo”.

Os espaços europeus de dados

Um dos elementos-chave da Estratégia Europeia de Dados é o desenvolvimento de espaços europeus de dados em sectores económicos estratégicos e em domínios de interesse público, como o da saúde.

Estes espaços de dados combinarão grandes bases de dados, ferramentas técnicas e as infraestruturas necessárias à utilização e ao intercâmbio de dados, bem como mecanismos de governação regidos por um enquadramento horizontal complementado, se necessário, por legislação sectorial para acesso e utilização dos dados.

Big data, responsabilidades acrescidas

No parecer 3/2020 emitido a 16 de junho de 2020, a AEPD afirma que compreende a importância crescente dos dados para a economia e para a sociedade, e que apoia os objetivos estratégicos da União Europeia relativos ao desenvolvimento do mercado único digital e à soberania digital da UE.

Mas, ao mesmo tempo, recorda que “os big data vêm com uma grande responsabilidade” e que, por conseguinte, devem existir salvaguardas adequadas em matéria de proteção de dados. Na perspetiva da AEPD, um dos objetivos da Estratégia Europeia de Dados deve ser o de demonstrar a viabilidade e sustentabilidade de um modelo alternativo de economia de dados, que seja mais aberto, justo e democrático.

Ao contrário do modelo de negócio predominante atualmente, em que os dados estão concentrados num pequeno grupo de poderosos intervenientes e o rastreio é generalizado, o espaço europeu de dados deve servir de exemplo de transparência, de responsabilização efetiva e de equilíbrio entre os interesses dos titulares individuais dos dados e o interesse comum da sociedade no seu conjunto.

No âmbito da crise mundial causada pela pandemia da COVID-19, que afetou todos os aspectos da nossa vida de uma forma nunca vista, a Autoridade Europeia para a Proteção de Dados reitera a sua posição de que a proteção de dados não é um problema, mas sim parte da solução, defendendo que os dados e a tecnologia podem desempenhar um papel importante na superação da crise, em combinação com outros fatores, uma vez que não há “uma solução mágica” para algo tão complexo.

No seu parecer, a AEPD destaca ainda o empenho da Comissão Europeia em assegurar que os direitos e valores fundamentais europeus, incluindo o direito à proteção dos dados pessoais, estejam subjacentes a todos os aspectos da Estratégia Europeia de Dados e à sua implementação. A AEPD valoriza especialmente a garantia dada pela Comissão de que a Estratégia será desenvolvida em plena conformidade com o Regulamento Geral de Proteção de Dados, que fornece uma base sólida, também em virtude da sua abordagem tecnologicamente neutra.

Para conhecer a opinião da Autoridade Europeia de Proteção de Dados, leia aqui o Parecer 3/2020 (em inglês).

Este é um texto meramente informativo. As informações nele contidas são gerais e abstratas e não dispensam a assistência profissional qualificada e dirigida ao caso concreto.

O escritório de Mafalda Correia Advogados tem competência e experiência prática no domínio do Direito da Proteção de Dados e está preparado para ajudar a sua organização a cumprir as regras aplicáveis à sua atividade. Caso tenha alguma questão contacte-nos por email (info@advogadosmc.pt).

Foto de ev / Unsplash

Cookies e perfis

Apesar de serem úteis ao correto funcionamento dos sites e a uma boa experiência na internet, tornando a navegação mais cómoda e funcional, os cookies podem constituir uma ameaça à privacidade individual dos utilizadores.

É o que acontece em particular com os cookies persistentes, que se mantêm ativos durante longos períodos, durante os quais permitem que empresas de publicidade reunam informações detalhadas sobre os utilizadores dos sites, incluindo os seus interesses, comportamentos, hábitos de consumo e estilo de vida.

Os perfis individuais são particularmente valiosos para as redes de publicidade e respetivos anunciantes, que utilizam esse conhecimento para segmentar os utilizadores e lhes apresentar publicidade a produtos e serviços que correspondem aos interesses e comportamentos identificados.

Reconhecendo o potencial dos cookies no âmbito do tratamento de dados pessoais, o Regulamento Geral de Proteção de Dados veio exigir que a sua instalação seja objeto de consentimento sempre que estes ficheiros tenham como finalidade a recolha de informações que permitam identificar o utilizador. 

Consentimento pouco livre…

É aqui que entram em campo os cookie walls. Para obrigar o utilizador a dar o seu consentimento, muitos sites passaram a bloquear o acesso aos conteúdos, por exemplo usando pop-ups que ocupam todo o ecrã, enquanto o utilizador não confirma que aceita a política de cookies, dando permissão para a instalação dos diversos tipos de cookies.

Este mecanismo não permite que os utilizadores façam uma verdadeira escolha, uma vez que o acesso à informação ou serviço depende da aceitação em bloco de todos os cookies que o site pretende instalar.

Logo, esclarece o CEPD, a aceitação da política de cookies pelo utilizador nestas circunstâncias não constitui um consentimento válido, uma vez que este não é dado livremente, tal como o RGPD exige.

…e nada explícito

Outra prática comum é considerar que a permanência do visitante no site equivale a um consentimento. Muitos sites limitam-se a informar o utilizador sobre a utilização de cookies, indicando que “ao continuar a navegar no site, está a concordar com a utilização de cookies no seu navegador”. 

Sobre esta prática, o CEPD esclarece que a mera interação do utilizador com o site, por exemplo quando percorre uma página, não satisfaz os requisitos de uma ação clara e afirmativa de aceitação dos cookies.

O RGPD determina que o consentimento requer uma declaração do titular dos dados ou um ato afirmativo claro, o que significa que deve ser sempre dado de forma ativa.

Além disso, mesmo que o scroll down fosse considerada uma manifestação de vontade válida, este mecanismo não proporcionaria ao utilizador uma maneira de retirar o consentimento tão fácil como a que foi usada para o conceder, algo que o RGPD igualmente exige, no art. 7º nº 3.

Contraordenação muito grave

Esta interpretação do CEPD tem sido seguida por várias autoridades de proteção de dados nacionais em decisões recentes.

Em 2019 a Agência Espanhola de Proteção de Dados, fundamentou a aplicação da coima máxima prevista na lei espanhola para este tipo de infração à companhia de aviação Vueling, na falta de consentimento explícito, como explicámos neste artigo.

Em Portugal, o tratamento de dados pessoais sem um consentimento ou outra condição de legitimidade válidos constitui uma contraordenação muito grave, podendo levar à aplicação de uma coima que poderá atingir os 20 milhões de euros ou 4% do volume de negócio mundial do infrator.

O Comité Europeu para a Proteção de Dados

Composto por representantes das autoridades nacionais para a proteção de dados e a Autoridade Europeia para a Proteção de Dados, o Comité Europeu para a Proteção de Dados é um organismo europeu independente que tem como missão contribuir para a aplicação coerente das regras de proteção de dados na União Europeia e promover a cooperação entre as autoridades de proteção de dados da UE.

As orientações emitidas pelo CEPD ajudam as autoridades nacionais dos Estados Membros da União Europeia a interpretar e aplicar as normas de proteção de dados de maneira uniforme.

Pode consultar aqui o documento do Comité Europeu para a Proteção de Dados.

Guidelines 05/2020 de 4 de maio

Este é um texto meramente informativo. As informações nele contidas são gerais e abstratas e não dispensam a assistência profissional qualificada e dirigida ao caso concreto.

O escritório de Mafalda Correia Advogados tem competência e experiência prática no domínio do Direito da Proteção de Dados e está preparado para ajudar a sua organização a cumprir estas obrigações. Caso tenha alguma questão contacte-nos por email (info@advogadosmc.pt).

Foto de Vitaly Vlasov / Pexels

O que muitos não sabem é que esta não é uma mera formalidade. Trata-se de uma verdadeira obrigação no âmbito da proteção de dados que requer um ato de consentimento positivo e explícito por parte do utilizador do site.

Por efeito de imitação ou ignorância, são muitos os proprietários de sites – grandes e pequenos – que continuam a optar por um cumprimento meramente aparente das regras, ao instalarem sistemas que presumem o consentimento do utilizador, em vez de permitirem uma manifestação de vontade quando à instalação de cookies.

Um desses sites foi a agora sancionado pela Agência Espanhola de Proteção de Dados com uma multa de 30 mil euros, o valor máximo previsto para este tipo de infração na lei espanhola, na sequência de um processo desencadeado por uma queixa de um utilizador do site.

O cookie banner da Vueling

Como muitos dos sites que todos conhecemos, o site da Vueling exibe no rodapé um cookie banner, onde informa que utiliza cookies para memorizar as preferências do utilizador, elaborar estatísticas de utilização e oferecer-lhe publicidade baseada nos seus hábitos de navegação.

A informação é completada com uma presunção de consentimento para a instalação dos cookies, que todos conhecemos de cor: “Se continuar a navegar, consideraremos que aceita a respetiva utilização. Pode obter mais informações consultando a nossa Política de Cookies”. O banner disponibiliza um único botão, que permite “Aceitar e continuar a navegar”.

O que há de errado nesta prática?

Este cookie banner estabelece um mecanismo de consentimento implícito para o tratamento de dados e para a sua transferência para terceiros, sem que em nenhum momento seja apresentada ao utilizador uma opção para ele se opor à instalação dos cookies, nem a informação mínima indispensável a um consentimento informado.

Tal como o define o RGPD, o consentimento é “uma manifestação de vontade, livre, específica, informada e explícita, pela qual o titular dos dados aceita, mediante declaração ou ato positivo inequívoco, que os dados pessoais que lhe dizem respeito sejam objeto de tratamento”.

Neste caso, foram violados todos os pressupostos do consentimento que supostamente foi dado pelo utilizador:

• não foi livre, porque não foi proporcionada ao titular dos dados uma verdadeira escolha e controlo;
• não foi específico, porque não foi apresentado um mecanismo que permita o consentimento granular separado para cada uma das finalidades;
• não foi informado, porque foram fornecidas informações incompletas sobre as finalidades dos tratamentos dos dados e as entidades a quem estes são transmitidos;
• e não foi explícito porque não foi pedido um comportamento ou ato positivo inequívoco por parte do titular dos dados.

Conclusão

Essa multa deve constituir um aviso para as empresas que não ainda implementaram um sistema de gestão de cookies que cumpra as exigências legais. No caso da Vueling, o grau de intencionalidade, o tempo de duração da infração, o número de utilizadores afetados e os benefícios obtidos pela empresa infratora com o tratamento ilegal dos dados obtidos foram os fatores que levaram a Agência Espanhola de Proteção de Dados a aplicar a coima máxima prevista na lei espanhola para este tipo de infração.

Este é um texto meramente informativo. As informações nele contidas são gerais e abstratas e não dispensam a assistência profissional qualificada e dirigida ao caso concreto.

O escritório de Mafalda Correia Advogados tem competência e experiência prática no domínio do Direito da Proteção de Dados e está preparado para ajudar a sua organização a cumprir estas obrigações. Caso tenha alguma questão contacte-nos por email (info@advogadosmc.pt).

Foto de Pietro De Grandi / Unsplash