RGPD Portugal: o que o seu site precisa de ter na prática

RGPD em Portugal: por que deve levar isto a sério

Desde 25 de Maio de 2018, o Regulamento Geral sobre a Proteção de Dados (RGPD) é lei aplicável em toda a União Europeia — e Portugal não é excepção. Ainda assim, a grande maioria dos sites portugueses continua a não cumprir os requisitos básicos. Seja uma loja online em Lisboa, um restaurante no Porto com reservas pelo site, ou um freelancer em Braga a promover os seus serviços, o RGPD em Portugal aplica-se a todos os que recolhem dados pessoais online.

As coimas podem chegar aos 20 milhões de euros ou 4% do volume de negócios anual global — valores que, para uma PME portuguesa, podem significar o encerramento da actividade. Mas, mais do que o medo das multas, cumprir o RGPD transmite confiança aos seus clientes e posiciona o seu negócio como profissional e transparente.

Neste artigo, vamos mostrar-lhe, de forma prática e directa, tudo o que o seu site precisa de ter para estar em conformidade. Sem juridiquês desnecessário, com exemplos reais do contexto português.

Política de privacidade: a base de tudo

A política de privacidade é o documento mais importante do seu site no que toca ao RGPD. É onde explica aos visitantes que dados recolhe, porquê, como os trata e quais são os direitos de cada pessoa. Não ter uma política de privacidade — ou ter uma genérica copiada da internet — é um dos erros mais comuns nos sites portugueses.

O que deve constar na política de privacidade

• Identificação do responsável pelo tratamento: nome da empresa ou empresário em nome individual, NIF, morada e contacto de e-mail. Se tem uma empresa registada na Conservatória do Registo Comercial, esses dados devem estar visíveis.
• Dados pessoais recolhidos: liste concretamente o que recolhe — nome, e-mail, número de telefone, NIF (por exemplo, para facturação via Moloni ou outro software certificado pela AT), morada de entrega, dados de pagamento via Multibanco ou MBWay, etc.
• Finalidade do tratamento: explique para que usa cada dado. Enviar encomendas? Enviar newsletters? Emitir facturas? Cada finalidade deve estar discriminada.
• Base legal: o RGPD exige que indique a base jurídica para cada tratamento — consentimento, execução de contrato, obrigação legal (como a facturação obrigatória pela AT) ou interesse legítimo.
• Prazo de conservação: durante quanto tempo guarda os dados. Por exemplo, dados de facturação devem ser conservados durante o prazo legal exigido pela Autoridade Tributária (actualmente 10 anos).
• Direitos dos titulares: acesso, rectificação, apagamento, portabilidade, oposição e limitação do tratamento. Deve indicar como o utilizador pode exercer estes direitos — por exemplo, enviando e-mail para o responsável.
• Contacto do Encarregado de Proteção de Dados (DPO): se aplicável à sua organização.
• Entidade de controlo: em Portugal, a entidade competente é a CNPD — Comissão Nacional de Proteção de Dados. Deve referir que o utilizador pode apresentar queixa junto da CNPD.

Onde colocar a política de privacidade

A política de privacidade deve estar acessível a partir de qualquer página do site — normalmente no rodapé (footer). Use um link claro como "Política de Privacidade" e não o esconda em submenus. Além disso, deve ser referenciada directamente em todos os formulários onde recolhe dados.

Cookies: o banner não é um enfeite

Os cookies são, provavelmente, o aspecto do RGPD mais visível para os utilizadores — e também o mais mal implementado. Aquele banner que diz apenas "Este site usa cookies" com um botão "OK" não cumpre a lei. Nem de perto.

O que o RGPD e a directiva ePrivacy exigem sobre cookies

• Consentimento prévio e informado: antes de activar cookies não essenciais (como os do Google Analytics, Facebook Pixel ou plataformas de publicidade), o utilizador deve dar consentimento explícito. Os cookies técnicos — necessários ao funcionamento do site — podem ser carregados sem consentimento.
• Opção real de recusa: o utilizador deve poder recusar cookies não essenciais com a mesma facilidade com que os aceita. Um botão "Aceitar" grande ao lado de um "Recusar" minúsculo não é considerado conformidade válida.
• Granularidade: idealmente, o utilizador deve poder escolher categorias — cookies analíticos, cookies de marketing, cookies de funcionalidade — em vez de ser um "tudo ou nada".
• Registo do consentimento: deve guardar prova de que o utilizador consentiu, incluindo a data e as categorias aceites.
• Política de cookies detalhada: deve ter uma página (ou secção na política de privacidade) que liste todos os cookies usados, a sua finalidade, quem os emite e o prazo de validade.

Ferramentas práticas para gerir cookies

Existem soluções como o Cookiebot, Complianz ou CookieYes que facilitam a implementação de um banner de cookies em conformidade com o RGPD em Portugal. Se o seu site foi construído à medida por uma empresa como a TechsOn.pt, a conformidade RGPD pode ser integrada directamente. Para outras soluções, a integração é igualmente possível com algumas linhas de código.

O essencial é que o banner bloqueie efectivamente os cookies antes do consentimento — muitos banners são meramente decorativos e os scripts de tracking já estão a correr em segundo plano, o que torna o banner inútil do ponto de vista legal.

Formulários: cada campo conta

Formulários de contacto, de subscrição de newsletter, de pedido de orçamento ou de registo de conta — todos eles recolhem dados pessoais e devem cumprir o RGPD.

Boas práticas para formulários

• Recolha mínima de dados: peça apenas o estritamente necessário. Se só precisa do e-mail para enviar uma newsletter, não peça o número de telefone, a morada e a data de nascimento.
• Checkbox de consentimento: inclua uma caixa de verificação (não pré-seleccionada) onde o utilizador consente com o tratamento dos seus dados. O texto deve ser claro: "Li e aceito a Política de Privacidade".
• Separação de finalidades: se vai usar o e-mail tanto para responder ao contacto como para enviar comunicações de marketing, deve ter checkboxes separadas. O consentimento para uma finalidade não cobre automaticamente outra.
• Confirmação de subscrição (double opt-in): especialmente para newsletters, o double opt-in — onde o utilizador confirma a subscrição através de um e-mail de verificação — é considerado uma boa prática e reforça a prova de consentimento.

Segurança dos dados: HTTPS e muito mais

O RGPD exige que implemente medidas técnicas e organizativas adequadas para proteger os dados pessoais. Na prática, para um site em Portugal, isto significa:

• Certificado SSL (HTTPS): obrigatório. Qualquer site que recolha dados deve usar HTTPS. Além de ser um requisito de segurança, o Google penaliza sites sem SSL nos resultados de pesquisa, o que afecta directamente o seu SEO.
• Palavras-passe seguras: se o site tem área de cliente ou backoffice, as palavras-passe devem ser armazenadas com hashing seguro (bcrypt, por exemplo) e nunca em texto simples.
• Actualizações regulares: plugins, temas e o próprio CMS devem estar sempre actualizados para evitar vulnerabilidades.
• Backups regulares: uma boa política de backups protege contra perda de dados — outro requisito implícito do RGPD.
• Controlo de acessos: nem toda a gente da equipa precisa de aceder a todos os dados. Limite os acessos ao estritamente necessário.

Direitos dos utilizadores: como responder a pedidos

Qualquer pessoa pode exercer os seus direitos ao abrigo do RGPD — e o seu negócio tem de estar preparado para responder. Na prática, os pedidos mais comuns são:

• Direito de acesso: o utilizador quer saber que dados tem sobre ele. Deve conseguir fornecer essa informação no prazo de 30 dias.
• Direito ao apagamento: o utilizador pede que elimine todos os seus dados. Deve cumprir, excepto quando existir uma obrigação legal de conservação (como dados de facturação exigidos pela AT).
• Direito à portabilidade: o utilizador pede os seus dados num formato estruturado e legível por máquina (por exemplo, CSV ou JSON).

Tenha um endereço de e-mail dedicado ou, pelo menos, um procedimento interno claro para tratar estes pedidos. A CNPD tem sido cada vez mais atenta a queixas de cidadãos que não obtêm resposta.

Checklist prática: o seu site cumpre o RGPD?

Use esta lista de verificação para avaliar rapidamente o estado do seu site:

• Tem uma política de privacidade completa e acessível no rodapé?
• O banner de cookies permite aceitar e recusar com a mesma facilidade?
• Os cookies não essenciais são bloqueados antes do consentimento?
• Existe uma página ou secção com a lista detalhada de cookies?
• Os formulários têm checkbox de consentimento não pré-seleccionada?
• Há separação de consentimento para diferentes finalidades?
• O site usa HTTPS com certificado SSL válido?
• Tem um processo para responder a pedidos de acesso, apagamento e portabilidade?
• Os dados de facturação estão a ser conservados conforme as obrigações da AT?
• Se usa serviços como Google Analytics, Meta Pixel ou ferramentas de e-mail marketing, estes estão declarados na política de privacidade?

Se respondeu "não" a qualquer um destes pontos, há trabalho a fazer.

Erros mais frequentes nos sites portugueses

Ao analisar sites de PMEs e profissionais independentes em Portugal — de Faro a Viana do Castelo — encontramos padrões recorrentes:

• Banner de cookies apenas cosmético: o banner aparece, mas os scripts de tracking já estão activos antes de qualquer clique.
• Política de privacidade genérica: textos copiados de templates em inglês ou português do Brasil, sem adaptação à realidade portuguesa nem referência à CNPD.
• Formulários sem consentimento: formulários de contacto que enviam dados directamente por e-mail sem qualquer informação sobre tratamento de dados.
• Ausência de HTTPS: ainda existem sites de negócios portugueses sem certificado SSL — algo imperdoável em 2024.
• Newsletters sem opção de cancelamento: enviar comunicações comerciais sem um link claro de unsubscribe viola não só o RGPD como também a legislação portuguesa de marketing directo.

Conclusão: conformidade não é opcional, é profissional

O RGPD em Portugal não é uma burocracia abstracta — é um conjunto de regras concretas que protegem os seus clientes e, por extensão, a reputação do seu negócio. Ter uma política de privacidade sólida, um sistema de cookies transparente e formulários em conformidade não é apenas uma obrigação legal: é um sinal de profissionalismo que diferencia o seu site da concorrência.

A boa notícia? A maioria destas implementações não exige investimentos avultados. Exige, sim, que o site seja construído de raiz com estas preocupações em mente — e não como remendos posteriores.

Na TechsOn.pt, criamos sites profissionais em 24 horas por apenas orcamento personalizado + precos competitivos, já preparados para cumprir os requisitos do RGPD em Portugal — com política de privacidade, banner de cookies funcional, HTTPS e formulários em conformidade. Porque o seu negócio merece um site que funcione bem e esteja do lado certo da lei.