Parecer n.º 48/2026

OUTROS/2026/3 1 A /2 d 1. No âmbito do Grupo de Trabalho da Proteção de Dados do Conselho da União Europeia foi solici- tado aos Estados- Proposta de Regulamento do Parla- mento Europeu e do Conselho que altera o Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses da- dos ntada pela Comissão Europeia com o objetivo, entre outros, de assegurar uma apli- cação coerente da proteção de dados a todas as instituições, órgãos e organismos da UE, em particular no que respeita ao tratamento de dados pessoais operacionais e no setor da justiça penal e da aplicação da lei, incluindo os tratamentos efetuados pela Procuradoria Europeia, pela Agência da União Europeia para a Cooperação Policial (Europol) e pela Agência da União Europeia para a Cooperação Judiciária Penal (Eurojust). 2. Assim, considerando o objeto da Proposta de Regulamento, bem como as atribuições da Comis- são Nacional de Proteção de Dados, pela Exma. Sr.ª Diretora-Geral da Direção-Geral da Política da Justiça foi solicitado à CNPD o envio de comentários à referida proposta, tendo em vista a incorporação dos mesmos nos contributos a apresentar por Portugal. 3. Tendo em consideração os prazos que nos foram transmitidos, solicita-se resposta até ao dia 29 de julho. 4. Apesar da limitação que decorre do prazo para a nossa análise, ainda assim, a CNPD não pode deixar de referir que acolhe favoravelmente a proposta, por contribuir para a harmonização e sim- plificação do regime de proteção de dados aplicável aos órgãos e organismos da União que atuam no domínio da justiça penal e da aplicação da lei, designadamente através da redução da frag- mentação normativa atualmente existente entre o Regulamento (UE) 2018/1725 e os atos cons- titutivos da Europol, Eurojust e Procuradoria Europeia. 5. A CNPD apoia, assim, o objetivo de harmonização do quadro jurídico aplicável ao tratamento de dados pessoais operacionais pelas instituições, órgãos e organismos da União, entendendo, po- rém, que essa harmonização não deverá traduzir-se numa redução das garantias substantivas conferidas aos titulares dos dados nem dos mecanismos de supervisão previstos no direito da União.  OUTROS/2026/3 2 6. Sem prejuízo da avaliação globalmente favorável da proposta, a CNPD considera que algumas das alterações projetadas justificam reflexão adicional, atentos os seus potenciais efeitos sobre o exercício dos direitos dos titulares dos dados, sobre o quadro de supervisão e sobre o funcio- namento global do sistema europeu de proteção de dados. 7. A CNPD considera igualmente importante assegurar que o objetivo de simplificação administra- tiva não conduza, ainda que de forma indireta, a uma redução do nível de proteção dos direitos fundamentais garantidos pelo Regulamento (UE) 2018/1725 nem à diminuição da coerência do sistema europeu de proteção de dados. 8. Finalmente, sem prejuízo do objeto específico da presente proposta, a CNPD entende oportuno assinalar algumas lacunas sistemáticas do Regulamento (UE) 2018/1725 que, embora não dire- tamente abrangidas pela revisão em curso, poderão justificar ponderação pelo legislador da União em futuras alterações ou, sempre que adequado, no âmbito da presente iniciativa legislativa. e e o c 9. A proposta justifica a inexistência de uma avaliação de impacto autónoma com o caráter limitado e predominantemente técnico das alterações propostas, o seu âmbito restrito aos órgãos e orga- nismos da União no domínio da justiça penal e da aplicação da lei, bem como com a circunstância de essas entidades já se encontrarem sujeitas a avaliações específicas e estar prevista uma nova avaliação do Regulamento (UE) 2018/1725 em 2027. 10. Não obstante essa fundamentação, a CNPD observa que algumas das alterações projetadas in- cidem sobre matérias centrais para a proteção dos direitos fundamentais, designadamente os direitos dos titulares dos dados, as transferências internacionais de dados pessoais operacionais e os mecanismos de supervisão. Nestas condições, seria desejável uma explicitação mais desen- volvida dos impactos esperados dessas alterações sobre os direitos fundamentais e sobre o fun- cionamento do sistema europeu de proteção de dados. 11. Uma análise mais desenvolvida desses impactos contribuiria para uma melhor apreciação da proporcionalidade das soluções propostas e da respetiva incidência sobre os direitos fundamen- tais, bem como sobre o funcionamento do sistema europeu de supervisão.  OUTROS/2026/3 3 es e c ç ões 12. A CNPD considera útil que a Comissão explicite de forma mais detalhada as razões operacionais que justificam a alteração proposta ao artigo 92.º, n.º 1, do Regulamento (UE) 2018/1725, que alarga de 72 para 96 horas o prazo para notificação à Autoridade Europeia para a Proteção de Dados das violações de dados pessoais suscetíveis de implicar um elevado risco para os direitos e liberdades das pessoas singulares. Importaria igualmente avaliar o efeito cumulativo desta al- teração com a elevação do limiar de notificação para situações suscetíveis de implicar um ele- vado risco para os direitos e liberdades das pessoas singulares, uma vez que tal poderá reduzir a visibilidade da autoridade de supervisão sobre incidentes relevantes e limitar a deteção precoce de padrões sistémicos de incumprimento. e s e es 13. A CNPD considera que a redação proposta para o artigo 78.º, n.º 4, poderá beneficiar de maior densificação normativa. A referência à utilização do direito de acesso para fins diversos da pro- teção dos dados pessoais suscita dúvidas interpretativas suscetíveis de afetar a efetividade deste direito fundamental. 14. Importaria clarificar os critérios objetivos que permitam qualificar um pedido como manifesta- mente infundado ou abusivo, assegurando uma aplicação uniforme e restritiva desta exceção. E í o do d de o u d m n ã r u 15. O artigo 78.º, n.º 4, do Regulamento (UE) 2018/1725 deve ser interpretado/reescrito restritiva- mente, não permitindo a recusa de pedidos de acesso senão quando se encontrem demonstrados os pressupostos legais do seu carácter manifestamente infundado, excessivo ou abusivo. 16. O ónus da prova da verificação desses pressupostos recai sobre o responsável pelo tratamento, devendo essa prova ser efetiva, documentada e verificável. os c  OUTROS/2026/3 4 17. A CNPD considera importante assegurar que as transferências diretas para destinatários não públicos estabelecidos em países terceiros, previstas no artigo 94.º-D, sejam objeto de interpre- tação estrita e acompanhadas de mecanismos robustos de documentação, fundamentação e fis- calização, devendo tais mecanismos revestir natureza excecional, ser objeto de interpretação es- trita e ficar sujeitos a documentação e fiscalização particularmente exigentes. e ê c e c ) ên a d g ni deq 18. O artigo 94.º-B do Regulamento (UE) 2018/1725 exige que as transferências de dados pessoais operacionais para países terceiros ou organizações internacionais assentem em garantias ade- quadas, asseguradas através de instrumentos juridicamente vinculativos ou de uma avaliação suficiente do responsável pelo tratamento. Tais garantias devem assegurar um nível de proteção substancialmente equivalente ao garantido pelo direito da União, incluindo salvaguardas adequa- das quanto aos direitos dos titulares dos dados, mecanismos de supervisão e vias de recurso efetivas. n e a ea m og 19. O artigo 94.º-C do Regulamento (UE) 2018/1725 deve ser interpretado/clarificado no sentido de que as derrogações nele previstas revestem caráter excecional e não podem servir de fundamento a regimes regulares, permanentes ou sistemáticos de transferência de dados pessoais operacio- nais para países terceiros. Essas derrogações devem permanecer limitadas a situações concre- tas em que a transferência se revele estritamente necessária para as finalidades especialmente previstas pelo regulador europeu. 20. Embora a reciprocidade ou a existência de mecanismos equivalentes de cooperação possam constituir elementos relevantes de contexto, tais fatores não constituem critérios autónomos de licitude previstos no Regulamento, devendo a apreciação centrar-se na necessidade, proporcio- nalidade e adequação da transferência à luz dos direitos fundamentais garantidos pela ordem jurídica da União. õ s d g  OUTROS/2026/3 5 21. Atendendo à crescente utilização de instrumentos automatizados de análise e avaliação de risco no domínio da aplicação da lei e da justiça penal, a CNPD entende que importa assegurar garan- tias efetivas de intervenção humana significativa, bem como mecanismos que assegurem a ex- plicabilidade suficiente das decisões, a possibilidade de contestação efetiva e a realização de auditorias adequadas aos sistemas utilizados. c os ee e e o 22. O artigo 95.º-A proposto deve ser interpretado no sentido de que os poderes de supervisão e investigação da Autoridade Europeia para a Proteção de Dados abrangem a apreciação integral da conformidade do tratamento de dados pessoais operacionais objeto de reclamação ou inves- tigação, não ficando circunscritos às violações especificamente invocadas pelo titular dos dados, desde que sejam respeitados os direitos de defesa, o princípio do contraditório e as exigências de boa administração. ss õ s pe e o me 7 ç re á e e 23. A CNPD entende que a mudança de responsável pelo tratamento não deve constituir fundamento para presumir a subsistência automática dos consentimentos anteriormente recolhidos. Sempre que a alteração da entidade responsável seja suscetível de afetar as expectativas razoáveis do titular dos dados quanto à utilização dos seus dados pessoais, deverá ser assegurada informação adequada e, quando necessário, obtido novo consentimento. 2 e re e s e me r c s 24. Embora a presente proposta não introduza alterações ao regime do direito de oposição previsto no Regulamento (UE) 2018/1725, a CNPD considera oportuno assinalar a necessidade de asse- gurar uma articulação mais clara entre os direitos substantivos conferidos aos titulares dos dados e os mecanismos sancionatórios destinados a garantir a sua efetividade.  OUTROS/2026/3 6 25. Em particular, importa evitar situações em que a violação de um mesmo direito do titular dos dados fique sujeita a regimes de tutela ou de sancionamento diferenciados, insuficientemente articulados ou geradores de dúvidas quanto à determinação das consequências jurídicas aplicá- veis. 26. A efetividade do direito de oposição pressupõe não apenas o reconhecimento formal desse di- reito, mas também a existência de mecanismos de fiscalização e sancionamento adequados, pro- porcionais e dissuasores em caso de incumprimento. 27. A CNPD considera, por isso, desejável que futuras revisões do Regulamento contribuam para uma maior coerência entre o regime dos direitos dos titulares, os deveres dos responsáveis pelo tratamento e os mecanismos sancionatórios associados à respetiva violação, evitando lacunas suscetíveis de comprometer a efetividade da proteção conferida pelo direito da União. e s s s s 28. A CNPD entende que o artigo 67.º do Regulamento deve ser interpretado e revisto de forma a preservar o efeito útil do regime harmonizado de tutela dos direitos dos titulares dos dados pre- visto no Regulamento (UE) 2018/1725, evitando soluções que permitam contornar, por vias indi- retas, as opções expressamente adotadas pelo legislador da União quanto aos sujeitos legitima- dos e às condições de exercício desses direitos. 29. A CNPD considera igualmente desejável que o artigo 67.º do Regulamento esclareça expressa- mente que não é admissível que empresas de cobrança ou outras entidades com fins lucrativos exerçam judicialmente, em nome próprio, o direito à indemnização previsto no artigo 65.º do Re- gulamento com fundamento numa cessão de créditos efetuada pelos titulares dos dados. Com efeito, o direito à proteção de dados pessoais constitui um direito fundamental de natureza emi- nentemente pessoal, destinado a assegurar a autodeterminação informativa do titular. Embora a sua violação possa originar um direito à indemnização, este não se autonomiza relativamente ao direito fundamental violado, permanecendo funcionalmente ligado à tutela dos direitos do titular dos dados e não constituindo um direito patrimonial autónomo suscetível de circulação jurídica independente do direito fundamental cuja violação lhe dá origem. Admitir a cessão desses direitos indemnizatórios a entidades com fins lucrativos permitiria contornar a opção do legislador da União de reservar a representação dos titulares aos organismos, organizações ou associações sem fins lucrativos previstos no artigo 67.º, esvaziando o efeito útil desta disposição e  OUTROS/2026/3 7 transformando um regime de representação restrita num modelo de substituição processual ge- neralizada. e ec r r e c ex s e e e s 30. O regime sancionatório previsto no Regulamento (UE) 2018/1725 permanece incompleto em di- versos aspetos estruturantes do direito das contraordenações, não disciplinando matérias essen- ciais como a responsabilidade pessoal dos decisores, o concurso de contraordenações, as san- ções acessórias ou a perda das vantagens obtidas através da infração. A ausência de regras so- bre estas matérias compromete a previsibilidade, a coerência e a aplicação uniforme do regime sancionatório da União, justificando a sua densificação pelo legislador europeu. ) n d p d ó o o de 31. Um sistema contraordenacional europeu não deve assentar exclusivamente na responsabilidade institucional quando as decisões que originam a infração são tomadas por pessoas determina- das. 32. No artigo 66.º do Regulamento e na proposta não se esclarece devidamente o regime da respon- sabilidade contraordenacional. 33. Dever-se-ia prever expressamente que a imputação às instituições e aos órgãos da União das contraordenações praticadas no exercício das respetivas funções, não exclui, por si só, a respon- sabilidade pessoal dos titulares desses órgãos, definindo expressamente os pressupostos da im- putação pessoal dos titulares de órgãos e dos demais centros funcionais de decisão. 34. Deveria existir uma norma de imputação funcional, permitindo responsabilizar os responsáveis individuais por factos praticados em nome do órgão, sob pena de impunidade, ainda que os ele- mentos típicos pertençam formalmente a esta. 35. O artigo 30.º do Regulamento cumpre função complementar relevante, ao evidenciar a distinção estrutural entre níveis decisórios e níveis meramente executivos da atividade de tratamento. 36. A responsabilidade contraordenacional dos representantes em matéria de proteção de dados não decorre automaticamente da titularidade do cargo, mas da sua atuação concreta enquanto cen- tros funcionais de decisão, direção, organização ou controlo da atividade da pessoa coletiva. 37. Uma interpretação que excluísse, em termos gerais, a responsabilidade pessoal dos titulares de órgãos sociais criaria um risco de dissociação entre os centros efetivos de decisão e a imputação  OUTROS/2026/3 8 jurídica das infrações, incompatível com a estrutura funcional do Regulamento e com os princí- pios gerais do direito sancionatório. ) m ç o d da m e d v na 38. Na determinação da medida da coima dever-se-ia prever expressamente: que na determinação da medida da coima se deve atender ao benefício económico que o agente individual retirou da prática da contraordenação; que se o agente individual retirou da infração um benefício económico calculável superior ao limite máximo da coima, e não existirem outros meios de o eliminar, pode este elevar-se até ao montante do benefício, não devendo, todavia, a elevação exceder um terço do limite máximo legalmente estabelecido, sem prejuízo da aplicação do regime da perda de vanta- gens; quando houver lugar à atenuação especial da punição por contraordenação, os limites má- ximo e mínimo da coima devem ser reduzidos para metade. ncu o de n d n ç 39. O Regulamento prevê infrações, coimas, critérios de determinação da coima e poderes sancio- natórios, mas não diz o que sucede quando são praticadas várias infrações. Estamos perante uma verdadeira lacuna e um problema de segurança jurídica. 40. Dever-se-ia prever expressamente que: Quem tiver praticado várias contraordenações é punido com uma coima cujo limite máximo resulta da soma das coimas concretamente aplicadas às infrações em concurso; A coima aplicável não pode exceder o dobro do limite máximo mais elevado das contraorde- nações em concurso; A coima a aplicar não pode ser inferior à mais elevada das coimas concretamente aplicadas às várias contraordenações. d) me n õ ó 41. Dever-se-ia prever um regime de sanções acessórias em função da gravidade da infração e da culpa do agente individual, prazo e sua publicidade.  OUTROS/2026/3 9 n um e n m c or n çõ 42. Deve ser previsto um regime supletivo para quando a coima não consiga acomodar o benefício obtido. 43. Devem ser declarados perdidos a favor da União Europeia: a) Os produtos de facto ilícito típico contraordenacional, considerando-se como tal todos os objetos que tiverem sido produzidos pela sua prática; e b) As vantagens de facto ilícito típico contraordenacional, considerando-se como tal todas as coisas, direitos ou vantagens que constituam vantagem económica, direta ou indire- tamente resultante desse facto, para o agente ou para outrem. 44. O disposto nesta alínea b) deve abranger a recompensa dada ou prometida aos agentes de um facto ilícito típico, já cometido ou a cometer, para eles ou para outrem. 45. A perda dos produtos e das vantagens referidos nos pontos anteriores tem lugar ainda que os mesmos tenham sido objeto de eventual transformação ou reinvestimento posterior, abrangendo igualmente quaisquer ganhos quantificáveis que daí tenham resultado. 46. Se os produtos ou vantagens referidos nos números anteriores não puderem ser apropriados em espécie, a perda é substituída pelo pagamento à União Europeia do respetivo valor, podendo essa substituição operar a todo o tempo, mesmo em fase executiva, fixando-se prazo prescricional limite equivalente ao previsto para a contraordenação concretamente aplicada. 47. O disposto nos números anteriores deve ter lugar ainda que nenhuma pessoa determinada possa ser punida pelo facto contraordenacional, incluindo em caso de morte do agente. 48. O aqui proposto não deve prejudicar os direitos dos ofendidos. i ig nci s investig ç intrusiv s em pr ce iment c ntr r en ci n 49. O regime em vigor e o proposto refere ordens, mas tratando-se de buscas ou de outras diligências probatórias particularmente intrusivas, o Regulamento deveria prever um quadro de garantias equivalente ao exigido pelo Tribunal de Justiça para ingerências graves nos direitos fundamen- tais, designadamente através da intervenção de uma autoridade judicial ou de mecanismos de controlo jurisdicional que assegurem proteção efetiva contra abusos e arbitrariedade.  OUTROS/2026/3 10 50. O dever de cooperação previsto no artigo 32.º, 51.º, 66.º, n.º 1 (com a alteração proposta) e 83.º do Regulamento abrange a prestação de informações, o acesso a instalações e a documentação relativa ao tratamento de dados pessoais. 51. Mas o dever de cooperação não implica um dever de autoincriminação (cf. art.º 6.º e 47.º da Carta dos Direitos Fundamentais da União Europeia). 52. Se existe o dever de facultar acesso a instalações e a documentos, sem prejuízo da reserva de juiz (cf. Considerando 129 do RGPD), não existe dever de responder a perguntas ou de responder com verdade que conduzam ao reconhecimento da existência da infração. 53. O dever de colaboração não pode ser interpretado no sentido de impor, por exemplo, a um cidadão a abertura coerciva do seu domicílio sob ameaça de aplicação de coima, sob pena de violação do artigo 52.º, n.º 1, da Carta dos Direitos Fundamentais da União Europeia (cf. princípio da propor- cionalidade em sentido amplo). 54. Seria manifestamente desproporcional sancionar a recusa de colaboração quando esta implica- ria, na prática, a renúncia forçada à inviolabilidade do domicílio, sendo constitucionalmente exi- gido, mesmo no processo penal, mandado judicial de busca. 55. No Acórdão do Tribunal de Justiça (Grande Secção) de 16 de julho de 2026, Processos apensos C-258/23 a C-260/23, decidiu-se que os artigos 7.° e 8.° da Carta dos Direitos Fundamentais de- vem ser interpretados no sentido de que não se opõem à apreensão sem prévia autorização emi- tida por um juiz de mensagens de correio eletrónico trocadas entre os colaboradores e os admi- nistradores de uma empresa, quando de uma inspeção efetuada por uma autoridade nacional da concorrência nas instalações profissionais ou comerciais de empresas suspeitas de terem come- tido infrações aos artigos 101.° ou 102.° TFUE, desde que estejam previstos um enquadramento legal estrito dos poderes dessa autoridade, bem como garantias adequadas e suficientes contra os abusos e a arbitrariedade, mo um ca i d n xp d d m u a 56. A CNPD aprecia favoravelmente a proposta, por considerar que a mesma contribui para uma maior coerência e harmonização do regime de proteção de dados aplicável aos órgãos e organis- mos da União ativos no domínio da justiça penal e da aplicação da lei. 57. Sem prejuízo desta apreciação globalmente positiva, entende que merecem reflexão adicional:  OUTROS/2026/3 11 a) o alargamento do prazo de notificação de violações de dados pessoais e a elevação do limiar de notificação; b) a redação proposta para o regime dos pedidos de acesso considerados manifestamente in- fundados ou abusivos; c) o regime das transferências diretas de dados pessoais operacionais para destinatários não públicos estabelecidos em países terceiros; d) as garantias aplicáveis à adoção de decisões baseadas exclusivamente em tratamento auto- matizado; e) a necessidade de reforçar a coerência entre os direitos reconhecidos aos titulares dos dados e os mecanismos de fiscalização e sancionamento destinados a assegurar a sua efetividade. 58. A CNPD entende ainda que a presente revisão constitui uma oportunidade não apenas para aper- feiçoar as soluções especificamente propostas pela Comissão, mas também para identificar e corrigir algumas lacunas sistemáticas do Regulamento (UE) 2018/1725 suscetíveis de afetar a efetividade da tutela dos direitos dos titulares dos dados, a coerência do sistema sancionatório e a plena realização dos objetivos de proteção de dados prosseguidos pelo Regulamento. 59. Na verdade, a presente revisão do Regulamento (UE) 2018/1725 constitui uma oportunidade para identificar e corrigir algumas insuficiências do regime vigente que podem afetar a efetividade da tutela dos direitos dos titulares dos dados, a coerência do sistema sancionatório e a plena reali- zação dos objetivos de proteção de dados prosseguidos pelo direito da União. Em particular, con- sidera importante assegurar que a definição dos deveres dos responsáveis pelo tratamento, dos mecanismos de supervisão e dos regimes de responsabilização não deixe subsistir zonas de in- certeza suscetíveis de enfraquecer o efeito dissuasor do sistema ou de dificultar a imputação efetiva de responsabilidade pelas infrações cometidas. Lisboa, 29 de julho de 2026 O Vogal da CNPD (relator)