O que deve dizer um aviso de privacidade ao abrigo do RGPD?

Nomes, contactos, compras e contactos comerciais podem chegar diretamente da pessoa ou por intermédio de fornecedores, eventos e fontes públicas. Para decidir o que deve dizer um aviso de privacidade, comece pela origem: ela determina se se aplica o artigo 13.º ou o artigo 14.º, enquanto o artigo 12.º regula a forma como a informação é apresentada.

Em 19 de março de 2026, o EDPB lançou a sua quinta ação de execução coordenada, dedicada à transparência e às obrigações de informação. Participaram 25 autoridades de controlo e esperavam-se conclusões no segundo semestre de 2026. O lançamento justifica rever os percursos de informação; não demonstra, por si, qualquer resultado de fiscalização ^1,2.

Resposta rápida: Para saber o que deve dizer um aviso de privacidade, identifique primeiro a origem e a atividade. Explique responsável, finalidade, fundamento, destinatários, transferências, conservação e direitos; acrescente fonte e categorias na recolha indireta. Entregue a informação no prazo aplicável, em linguagem clara, e conserve prova da versão, do canal e do momento ³.

Última atualização: 22 de setembro de 2026

A origem dos dados escolhe o percurso

Um aviso fiável começa numa atividade real, não num modelo genérico. Escolha, por exemplo, o envio de uma newsletter; registe os campos usados, quem os forneceu, por que motivo são tratados e quem os recebe. Esta ficha curta separa decisões que um rótulo amplo como “marketing” esconderia. O artigo 13.º rege a recolha junto da pessoa, o artigo 14.º a obtenção por outra via, e o artigo 12.º aplica-se a ambas ³.

No percurso misto, o consentimento ou outro fundamento relativo ao formulário não explica automaticamente a lista do evento. A equipa deve saber que campos vieram do organizador, que enriquecimento efetuou e para que contacto utiliza cada conjunto. Se duas origens exigem informação ou prazos diferentes, o aviso pode ter uma interface comum, mas não pode apagar essas diferenças.

Uma verificação útil segue uma pessoa de ponta a ponta, mas não começa no ecrã. Começa na decisão que autorizou a atividade: o inventário deve mostrar os dados, a origem, a finalidade e os destinatários antes de o revisor abrir qualquer canal. Depois, abra o formulário, simule a importação da lista, observe o primeiro contacto e confirme qual versão aparece em cada ponto. Compare o que a equipa declarou com os campos efetivamente transmitidos ao fornecedor de envio e com o registo criado pelo sistema. Se o aviso promete uma finalidade estreita, mas a automação alimenta uma audiência mais ampla, a falha está na atividade e não se resolve apenas com mais texto. O mapa documental só é completo quando a decisão interna, a configuração técnica e o percurso que a pessoa encontra contam a mesma história.

Clareza e entrega são obrigações diferentes

O conteúdo completo não basta se estiver escondido ou for incompreensível. O artigo 12.º exige informação concisa, transparente, inteligível, facilmente acessível e escrita em linguagem clara e simples, normalmente por escrito, incluindo por meios eletrónicos ³. Isso obriga a avaliar o texto do ponto de vista de quem recebe a comunicação, não apenas de quem conhece o sistema interno.

Termos simpáticos mas vazios, como “usamos dados para melhorar serviços”, não explicam a finalidade concreta. Dizer que os dados de compra servem para emitir faturas e tratar devoluções permite compreender a operação. O mesmo teste aplica-se a destinatários, conservação e interesses legítimos: uma categoria pode ser ampla, mas tem de permitir prever o uso.

A prova de entrega liga quatro elementos: conteúdo, canal, versão e acontecimento desencadeador. Uma captura isolada de uma página não prova que a versão correta apareceu no formulário certo. Registe a publicação aprovada, a regra que a apresenta, a data da interação e, quando adequado, um evento técnico que possa ser reproduzido sem guardar dados excessivos sobre a pessoa.

Teste também o percurso ativo. A ligação deve abrir sem autenticação indevida, funcionar num ecrã pequeno, permitir leitura por tecnologias de apoio e apresentar um contacto operacional. Ícones normalizados podem orientar a leitura, mas apenas complementam a informação; não substituem o texto necessário.

Faça o teste com os estados menos cómodos, porque é aí que a acessibilidade costuma falhar: um formulário incorporado numa aplicação, uma mensagem aberta sem sessão iniciada, uma ligação antiga guardada pela pessoa e uma versão móvel com o texto recolhido. Confirme que o título anuncia o conteúdo, que a ordem de leitura é lógica e que a mudança de camada não perde o contexto da atividade. Se a pessoa tiver de adivinhar qual produto, conta ou contacto está em causa, o canal não entrega informação inteligível, apesar de a página conter todos os campos. Registe os resultados e a versão testada para que uma correção futura possa ser comparada com o comportamento anterior.

A recolha direta exige informação no momento certo

Quando a pessoa entrega os dados, deve receber a informação nesse momento ³. Para cada atividade de recolha direta, confirme os doze elementos seguintes e documente “não aplicável” com uma razão específica, em vez de apagar silenciosamente um campo:

• Identidade e contactos do responsável pelo tratamento e, se existir, do seu representante.
• Contactos do encarregado da proteção de dados, quando a designação seja aplicável.
• Finalidades do tratamento e fundamentos jurídicos correspondentes, atividade por atividade.
• Interesses legítimos prosseguidos pelo responsável ou por terceiro, quando esse fundamento seja utilizado.
• Destinatários ou categorias de destinatários que receberão os dados pessoais.
• Transferências para fora do espaço aplicável, respetivas garantias e modo de obter uma cópia.
• Prazo de conservação ou, quando não possa ser fixado, critérios que permitam determiná-lo.
• Direitos de acesso, retificação, apagamento, limitação, oposição e portabilidade, conforme aplicáveis.
• Direito de retirar o consentimento a qualquer momento, sem afetar a licitude anterior.
• Direito de apresentar reclamação a uma autoridade nacional de controlo competente.
• Caráter legal ou contratual do fornecimento, necessidade para celebrar contrato e consequências da recusa.
• Existência de decisões automatizadas, incluindo definição de perfis, com lógica e consequências significativas.

Uma regra de conservação como “enquanto necessário” repete a lei sem ajudar. É preferível indicar um período quando exista, ou um critério verificável, como o encerramento do contrato acrescido do prazo documental aplicável à operação. O critério deve permitir ao responsável saber quando rever ou apagar, e à pessoa compreender a duração provável.

Se surgir uma nova finalidade, a informação correspondente deve ser fornecida antes desse tratamento ulterior ³. A única exceção própria do artigo 13.º é a medida em que a pessoa já disponha da informação. O registo deve identificar exatamente o que já sabia, como foi demonstrado e que elementos ainda precisam de ser apresentados; as exceções do artigo 14.º não podem ser importadas para esta situação.

A revisão de aplicabilidade merece a mesma precisão que o conteúdo. Não basta marcar “sem transferências” porque o contrato principal tem sede na União; verifique subcontratantes e apoio remoto. Não basta marcar “sem decisões automatizadas” porque existe aprovação humana no fim; confirme se uma etapa anterior produz efeitos significativos ou condiciona o resultado. Para cada campo não aplicável, anote o facto que sustenta a conclusão, o proprietário que pode detetar uma mudança e a data da próxima revisão. Esse registo evita que uma rubrica eliminada do aviso desapareça também da governação interna e permite atualizar o texto antes de uma nova operação alterar a resposta.

Na recolha indireta, a fonte deixa de ser invisível

O artigo 14.º mantém o núcleo comum e acrescenta as categorias de dados e a fonte efetiva, incluindo se era acessível ao público ³. “Recebemos dados de terceiros” não permite à pessoa reconhecer o percurso. O aviso deve distinguir, por exemplo, o organizador de um evento, um fornecedor de contactos e uma fonte pública consultada pela própria organização.

Considere uma lista de participantes num evento. A ficha da atividade identifica o fornecedor ou o evento, os campos recebidos, os dados acrescentados pela equipa e a finalidade de correspondência ou seleção. Se o nome e o cargo forem enriquecidos com setor e dimensão da empresa, essa operação deve aparecer no mapa e na explicação da finalidade; a origem pública de um campo não torna todo o conjunto “público”.

O percurso de controlo tem quatro ligações: origem e categoria, finalidade, prazo e entrega. Uma falha em qualquer ligação deixa a explicação incompleta. A equipa deve conseguir partir de um contacto e demonstrar de onde veio, por que entrou no sistema, quando recebeu a informação e por que canal.

Essa demonstração deve sobreviver à passagem entre equipas. Compare o ficheiro recebido com o registo importado, confirme os campos aceites e associe a transformação ao responsável pela atividade. Se surgir um contacto sem origem comprovável, suspenda-o, corrija a ligação e repita o percurso antes da comunicação. Outro revisor deve conseguir reconstruir a cadeia sem depender da memória de quem efetuou a importação.

Uma finalidade posterior exige informação antes do novo tratamento ³. Assim, reutilizar uma lista de evento para uma campanha diferente não fica regularizado por atualizar a página depois do envio. A versão nova precisa de estar pronta e ligada ao acontecimento que precede o uso.

O primeiro acontecimento pode antecipar um mês

Na recolha direta, o limite é o próprio momento da obtenção. Na recolha indireta, a informação deve chegar num prazo razoável e, em qualquer caso, no máximo em um mês; uma primeira comunicação ou uma primeira divulgação anterior antecipa esse limite ³.

As equipas devem registar datas de entrada por lote, porque uma importação posterior não reinicia o prazo de contactos anteriores. Também devem observar eventos de primeira utilização: uma mensagem automática enviada no dia seguinte é uma primeira comunicação, mesmo que a campanha principal esteja prevista para semanas depois.

Em conjuntos mistos, associe cada registo à sua origem e à data relevante. A versão do aviso deve ser identificável no momento do evento. Sem estes elementos, uma página atualmente correta não demonstra que a pessoa recebeu informação atempada.

Trate o cálculo como uma sequência de acontecimentos. Compare entrada, primeira comunicação e primeira divulgação, conserve o limite que ocorreu primeiro e impeça a mensagem quando faltar a versão correspondente. Se um lote for dividido, mantenha as datas originais e registe o reprocessamento; sem esse histórico, não é possível provar qual prazo governou cada contacto.

As exceções são estreitas e específicas da atividade

O padrão continua a ser informar. No artigo 13.º, a exceção cobre apenas a medida em que a pessoa já possua a informação. No artigo 14.º existem quatro ramos: informação já conhecida; impossibilidade ou esforço desproporcionado no contexto especificado, acompanhado das salvaguardas necessárias; previsão expressa em direito da União ou de Estado-Membro com medidas de proteção; e segredo profissional ou estatutário regulado ³.

Nenhum ramo funciona como etiqueta geral para uma base de dados. Um grande volume não demonstra esforço desproporcionado; uma referência vaga a “conformidade” não identifica uma norma; e confidencialidade comercial não equivale automaticamente a segredo profissional regulado. A análise deve explicar factos, âmbito e salvaguardas para a atividade concreta.

Quando uma exceção cobre apenas um elemento ou um subconjunto, os restantes continuam sujeitos à entrega normal. Registe quem decidiu, que prova consultou, que período e dados foram abrangidos e quando a decisão será revista. Se a justificação não sobreviver a uma leitura independente, o aviso deve seguir o percurso comum.

No ramo de esforço desproporcionado, documente também as alternativas consideradas. Uma comunicação individual pode ser difícil, mas medidas como informação pública destacada, pesquisa por grupos, contacto faseado ou melhoria dos identificadores podem reduzir o esforço e reforçar as salvaguardas. A análise deve explicar por que as alternativas não funcionam no contexto concreto e como a pessoa pode ainda aceder à informação. No ramo legal, cite internamente a disposição que regula a obtenção ou divulgação e descreva as medidas que protegem os interesses da pessoa. No segredo regulado, identifique a profissão ou dever aplicável sem transformar uma obrigação estreita numa proibição geral de transparência.

Uma atividade reconciliada transforma falhas em ações

Audite uma atividade de cada vez e ligue os factos internos ao que a pessoa vê. No exemplo da lista de evento, cinco linhas exigem suspensão e correção; apenas a rota de direitos passa quando há prova funcional ³.

Depois de corrigir o inventário, percorra novamente o caminho como destinatário. Confirme que a origem não desaparece numa camada, que o contacto chega ao canal certo e que a pessoa pode exercer direitos sem procurar noutra página. A aprovação documental sem esse ensaio deixa por verificar precisamente a experiência regulada.

Registe cada falha na linha que a revelou e ligue-a à correção observável: texto, configuração, versão publicada e novo teste. A linha só passa quando o ensaio confirma o mesmo facto no inventário e no canal; se a fonte reaparecer como “terceiros” ou o email usar outra versão, reabra-a sem apagar os resultados positivos das restantes.

As camadas devem partilhar uma só versão

Um aviso em camadas pode reduzir a carga inicial sem reduzir a informação. A primeira camada mostra responsável, finalidade, origem, consequências importantes e uma rota evidente para o restante conteúdo. A camada aprofundada desenvolve fundamentos, destinatários, transferências, conservação, direitos e factos próprios da atividade ³.

Os factos decisivos do formulário direto ou do primeiro contacto indireto não podem ficar escondidos atrás de uma ligação ambígua. A pessoa deve compreender por que são pedidos os dados, se o fornecimento é obrigatório e o que acontecerá a seguir antes de agir. O texto aprofundado serve detalhe, não corrige uma primeira camada enganadora.

Designe um único responsável pela versão em todos os canais ³. Uma alteração aprovada deve chegar ao formulário, à mensagem, à aplicação e à página sem criar combinações contraditórias. Registe a versão apresentada em cada ponto e teste as ligações sempre que o endereço, a plataforma ou o conteúdo mudar.

Peça a uma pessoa que não tenha redigido o aviso para explicar o percurso com palavras próprias. Se não conseguir identificar origem, finalidade, destinatários principais ou ação disponível, o problema é de compreensão e precisa de correção, mesmo quando todos os campos estão formalmente presentes.

Inclua no teste a passagem entre níveis no canal real. O revisor começa no formulário ou mensagem, chega ao detalhe sem perder a atividade e confirma a mesma versão. Se um nível for atualizado isoladamente, suspenda a publicação, corrija a divergência e repita a leitura completa; uma ligação funcional não basta quando conduz a conteúdo antigo.

A prova só vale enquanto o percurso estiver atual

Uma mudança de finalidade, fonte, categoria, destinatário, transferência, conservação, automatização ou canal de entrega desencadeia revisão ³. A organização não precisa de uma plataforma complexa: uma pasta controlada ou um registo simples pode ligar atividade, texto aprovado, versão, prova de entrega, exceções e aprovação.

Inclua no ciclo de revisão os contactos para direitos e reclamações. Uma caixa de correio desativada transforma informação correta num percurso inútil. Faça um teste reproduzível, registe o resultado e mantenha aberta qualquer falha até existir nova prova ³.

Defina acontecimentos de revisão que possam ser reconhecidos por quem altera o sistema. Um novo fornecedor, um campo acrescentado ao formulário, uma integração, uma mudança no modelo de negócio ou uma campanha com outra audiência deve chegar ao proprietário do aviso antes da entrada em funcionamento. Compare a mudança com a ficha da atividade, escolha a via dos artigos 13.º ou 14.º e determine se o momento de entrega também muda. A aprovação inclui o conteúdo e a implementação: texto correto num canal que continua a mostrar a versão anterior é uma alteração incompleta. Uma amostra posterior à publicação confirma que a configuração aplicada corresponde ao que foi aprovado.

Conserve versões retiradas pelo período necessário para demonstrar o percurso, com acesso controlado e sem confundi-las com a versão vigente. O registo deve responder a uma pergunta concreta: que informação teria visto uma pessoa que entregou dados ou recebeu o primeiro contacto numa determinada data? Se não for possível reconstruir essa resposta, a organização conhece o texto atual, mas não consegue demonstrar a entrega histórica. A ligação entre versão, atividade e evento é, por isso, tão importante como a redação final.

No fecho de cada revisão, use três resultados claros:

• Publicar: conteúdo, prazo, canal e prova estão reconciliados e o percurso funciona.
• Suspender: falta uma decisão, uma fonte, uma justificação ou uma prova necessária para avançar.
• Corrigir e voltar a testar: existe uma falha concreta com responsável e novo ensaio definidos.

O melhor aviso não é um parágrafo universal. É informação específica da atividade, escolhida pela origem, clara para a pessoa, entregue a tempo e sustentada por prova que continua a corresponder ao percurso real ³.