Numa era cada vez mais digital, o e‑commerce (comércio eletrónico) tem vindo a crescer de forma significativa. Em 2025, cerca de 70% da população residente em Portugal realizou pelo menos uma compra online. Embora este fenómeno ofereça inúmeras vantagens — desde a conveniência à diversidade de produtos — também levanta desafios importantes, sobretudo no que diz respeito à proteção dos dados pessoais dos utilizadores.
Com efeito, dados pessoais como o nome, a morada fiscal, o número de identificação fiscal ou os dados de cartões bancários podem ser alvo de acessos indevidos. Quando ocorre um incidente que provoque a destruição, perda, alteração, divulgação ou acesso não autorizado a dados pessoais, estamos perante uma violação de dados, ou data breach. Exemplos típicos incluem intrusões informáticas ou fugas de informação provenientes de bases de dados.
Imagine‑se, por exemplo, uma loja online de roupa que sofre um ataque informático e vê a sua base de dados comprometida, incluindo os dados dos cartões de crédito dos clientes. Perante uma situação destas, a empresa não pode pura e simplesmente “varrer o problema para debaixo do tapete” e comportar-se como se nada tivesse acontecido. Pelo contrário, existem expectativas claras de transparência e um conjunto de obrigações legais impostas pelo Regulamento Geral sobre a Proteção de Dados (RGPD).
O RGPD, aplicável a qualquer entidade que trate dados pessoais de cidadãos europeus, estabelece que a empresa deve implementar medidas técnicas e organizativas adequadas para garantir um nível de segurança ajustado ao risco. Entre estas medidas incluem‑se a pseudonimização e cifragem dos dados, a garantia da confidencialidade, integridade e resiliência dos sistemas, bem como a capacidade de restaurar rapidamente o acesso aos dados em caso de incidente (artigo 32.º).
Se ocorrer uma violação suscetível de representar riscos para os direitos e liberdades dos titulares — como no caso da fuga de dados de cartões de crédito — o responsável pelo tratamento deve notificar a autoridade de controlo, em Portugal a Comissão Nacional de Proteção de Dados (CNPD), no prazo máximo de 72 horas após ter conhecimento do incidente (artigo 33.º).
Quando a violação implicar um risco elevado para os titulares, a empresa deve ainda comunicar diretamente o incidente aos clientes afetados, de forma clara e sem demora injustificada. Esta comunicação deve explicar as possíveis consequências e indicar as medidas adotadas ou recomendadas, como a substituição do cartão ou a monitorização de movimentos bancários (artigo 34.º).
Por fim, o RGPD exige que o responsável pelo tratamento mantenha um registo atualizado das atividades de tratamento, incluindo as medidas de segurança implementadas (artigo 30.º). Este requisito reforça o princípio da accountability: não basta cumprir a lei, é necessário demonstrar que se cumpre.
Perante uma violação de dados pessoais, especialmente quando envolve informação sensível como dados bancários, o RGPD impõe à empresa uma atuação rápida, transparente e responsável. Deve garantir medidas de segurança adequadas, notificar a autoridade de controlo, informar os titulares quando necessário e manter documentação que comprove o cumprimento das suas obrigações.
O RGPD prevê um regime sancionatório particularmente exigente para as infrações em matéria de proteção de dados. Em termos gerais, o incumprimento das obrigações relativas à segurança do tratamento (art. 32.º), à notificação de violações à autoridade de controlo (art. 33.º), à comunicação aos titulares (art. 34.º) e ao registo das atividades de tratamento (art. 30.º) pode dar lugar à aplicação de coimas administrativas significativas.
As coimas administrativas no RGPD são estruturadas em dois “patamares” máximos, consoante a gravidade e a natureza da infração (designadamente, se afeta princípios fundamentais do tratamento ou deveres mais “procedimentais”). A determinação concreta do montante tem em conta diversos critérios, como a natureza, gravidade e duração da infração, o grau de culpa, as medidas tomadas para atenuar o dano, o nível de cooperação com a autoridade, a categoria de dados em causa (por exemplo, dados bancários) e eventuais infrações anteriores.
Em suma, a proteção de dados não é apenas uma exigência legal, mas um elemento essencial para preservar a confiança dos consumidores num mercado digital cada vez mais central na vida quotidiana