RGPDRegulamento Geral sobre a Proteção de Dados

O que é

O Regulamento (UE) 2016/679, cujo título abreviado oficial é «Regulamento Geral sobre a Proteção de Dados», foi adotado em 27 de abril de 2016, publicado no Jornal Oficial (JO L 119) em 4 de maio de 2016 e aplica-se desde 25 de maio de 2018. Revogou a Diretiva 95/46/CE. Por ser um regulamento, vale diretamente em todos os Estados-Membros, sem transposição.

A quem se aplica

• A responsáveis e subcontratantes estabelecidos na UE, mesmo que o tratamento ocorra fora dela (art. 3.º, n.º 1).
• Aos não estabelecidos na UE quando oferecem bens ou serviços a pessoas que estão na União ou controlam o seu comportamento ali (art. 3.º, n.º 2).

Os dados de saúde

O art. 4.º, ponto 15, define os «dados relativos à saúde» como dados pessoais sobre a saúde física ou mental de uma pessoa, incluindo a prestação de serviços de saúde, que revelem informações sobre o seu estado de saúde. O art. 9.º, n.º 1, proíbe tratá-los, junto com os dados genéticos e biométricos, salvo nas hipóteses do art. 9.º, n.º 2:

O art. 9.º, n.º 4, permite que cada Estado-Membro mantenha ou introduza condições adicionais para dados genéticos, biométricos ou de saúde; por isso, as regras concretas variam entre países.

Supervisão e sanções

Cada Estado-Membro tem uma autoridade de controlo independente; o Comité Europeu para a Proteção de Dados zela pela aplicação coerente. As infrações aos princípios e aos arts. 6.º, 7.º e 9.º admitem coimas de até 20 milhões de euros ou 4 % do volume de negócios anual a nível mundial, o que for mais elevado (art. 83.º, n.º 5). As violações de dados são notificadas à autoridade, em regra, em até 72 horas (art. 33.º).

Situação em outubro de 2026

Segundo o EUR-Lex, o texto só recebeu retificações; não existe versão consolidada posterior à original. Há duas propostas da Comissão de 2025 que o alterariam, COM(2025) 501 e COM(2025) 837 (o «ómnibus digital»). Nenhuma foi adotada.

Equívocos comuns

• Achar que a assistência à saúde exige consentimento. O art. 9.º, n.º 2, oferece outras bases, como a alínea h.
• Achar que só afeta empresas europeias. O art. 3.º, n.º 2, alcança organizações de outros continentes.
• Confundi-lo com o EEDS. O Regulamento (UE) 2025/327 especifica e complementa os direitos do RGPD sobre dados eletrônicos de saúde; não o substitui.