Violação de dados pessoais: o que fazer nas primeiras 72 horas
Atualizado em 30 de outubro de 2026 · Pietro Cravero, EPD certificado
O que é uma violação
Não é só um ataque informático. Um e-mail com dados de clientes enviado ao destinatário errado, um portátil roubado, um ficheiro apagado sem cópia de segurança ou um acesso indevido de um colega são violações de dados pessoais.
O critério é a segurança: perda de confidencialidade, integridade ou disponibilidade dos dados (art. 4.º, ponto 12, RGPD).
Avaliar o risco
Que dados estão em causa? Dados de saúde, financeiros ou documentos de identificação pesam mais. Quantas pessoas? Os dados estavam cifrados? Quem os recebeu e pode ser identificado e contactado?
Se os dados estavam cifrados e a chave não foi comprometida, o risco é normalmente baixo. Se um ransomware tornou os dados indisponíveis sem cópia recuperável, mesmo cifrados, há risco.
Notificar a CNPD
A notificação faz-se através do formulário da CNPD. Se em 72 horas ainda não houver todas as informações, notifica-se o que se sabe e completa-se depois (art. 33.º, n.º 4).
O subcontratante que descobre a violação deve avisar o responsável sem demora injustificada (art. 33.º, n.º 2); quem notifica a CNPD é o responsável.
E a cibersegurança?
O novo regime jurídico da cibersegurança (Decreto-Lei 125/2025, que transpõe a Diretiva NIS2, em vigor desde abril de 2026 e concretizado pelo Regulamento do CNCS n.º 756/2026) impõe às entidades abrangidas deveres próprios de notificação de incidentes significativos ao CNCS, com prazos específicos.
Os dois deveres são independentes: um incidente pode ter de ser notificado à CNPD, ao CNCS ou a ambos.
Perguntas frequentes
Quando começam a contar as 72 horas?
O prazo começa quando o responsável tem um grau razoável de certeza de que ocorreu uma violação com dados pessoais, não no momento do incidente.
Um e-mail enviado ao destinatário errado tem de ser notificado?
Depende do conteúdo e do destinatário. Uma lista de contactos enviada a um cliente de confiança que confirma a eliminação pode ser só documentada; dados de saúde enviados a um desconhecido normalmente exigem notificação.
O que acontece se não notificarmos?
A falta de notificação é, por si só, uma infração ao RGPD, sancionável com coima (art. 83.º, n.º 4).
Informação geral, não constitui aconselhamento jurídico para um caso concreto. Atualizado em 30 de outubro de 2026.
Quer aplicar isto à sua organização?
Envie-nos a sua situação: respondemos por escrito, em português, com uma primeira avaliação gratuita.