Alterações ao RGPD e ao RPDUE

Alterações que suscitam preocupações significativas

Algumas alterações propostas suscitam preocupações significativas, uma vez que podem afetar negativamente o nível de proteção de que gozam as pessoas singulares, criar insegurança jurídica e dificultar a aplicação da legislação em matéria de proteção de dados.

O CEPD e a AEPD instam veementemente os colegisladores a não adotarem as alterações propostas à definição de dados pessoais, uma vez que vão muito além de uma alteração específica ou técnica do RGPD. Além disso, não refletem com exatidão e vão claramente além da jurisprudência do TJUE e resultariam numa redução significativa do conceito de dados pessoais. A Comissão Europeia não deve ser incumbida de decidir, por meio de um ato de execução, o que deixa de ser um dado pessoal após a pseudonimização, uma vez que afeta diretamente o âmbito de aplicação da legislação da UE em matéria de proteção de dados. 

«A simplificação é essencial para reduzir a burocracia e reforçar a competitividade da UE, mas não em detrimento dos direitos fundamentais. Congratulamo-nos com os passos dados pela Comissão no sentido de uma maior harmonização, coerência e segurança jurídica. No entanto, instamos veementemente os colegisladores a não adotarem as alterações propostas na definição de dados pessoais, uma vez que correm o risco de enfraquecer significativamente a proteção de dados individuais.»

Anu Talus, presidente do CEPD

«Instamos vivamente os colegisladores a não adotarem as alterações propostas à definição de dados pessoais. Estas alterações não estão em conformidade com a jurisprudência do Tribunal e restringiriam significativamente o conceito de dados pessoais.  Temos de garantir que quaisquer alterações ao RGPD e ao RPDUE clarificam efetivamente as obrigações e proporcionam segurança jurídica, mantendo simultaneamente a confiança e um elevado nível de proteção dos direitos e liberdades individuais.»

Autoridade Europeia para a Proteção de Dados, Wojciech Wiewiórowski

Passos na direcção certa

O CEPD e a AEPD são favoráveis ao aumento do limiar de risco conducente à obrigação de  notificar uma violação de dados à autoridade de proteção de dados (APD) competente e à prorrogação do prazo para apresentar essa notificação. Tal reduziria significativamente os encargos administrativos para as organizações sem afetar a proteção dos dados pessoais das pessoas singulares. Além disso, os modelos e listas comuns propostos para as violações de dados e as avaliações de impacto sobre a proteção de dados são positivos. 

O CEPD e a AEPD congratulam-se igualmente com a proposta de introdução de uma nova derrogação para o tratamento de categorias especiais de dados para autenticação biométrica,  sempre que os meios de verificação estejam sob o controlo exclusivo da pessoa em causa.

Por último, apoiam a harmonização do conceito de «investigação científica» e outras alterações conexas, uma vez que reforçam a segurança jurídica e contribuem para uma maior harmonização. 

Alterações que necessitam de aperfeiçoamento

Tal como referido no Parecer 28/2024 do CEPD sobre modelos de IA, o interesse legítimo pode ser utilizado, em alguns casos, como base jurídica no contexto do desenvolvimento e da implantação de modelos ou sistemas de IA. Por conseguinte, o CEPD e a AEPD não consideram necessário incluir uma disposição específica sobre esta matéria no RGPD. 

O CEPD e a AEPD congratulam-se com o objetivo da proposta de introduzir uma derrogação específica à proibição de tratar dados sensíveis, sujeita a condições, que abranja o tratamento incidental e residual desses dados no contexto do desenvolvimento e do funcionamento de sistemas ou modelos de IA. No entanto, recomendam várias melhorias, como a clarificação do âmbito de aplicação da derrogação e a garantia de salvaguardas ao longo de todo o ciclo de vida.

O CEPD e a AEPD concordam com o objetivo da Comissão de proporcionar clareza jurídica aos responsáveis pelo tratamento quando enfrentam abusos de direito por parte dos titulares dos dados. No entanto, consideram que o exercício do direito de acesso para outros fins que não a proteção de dados pessoais não deve ser um elemento que defina o que é um abuso. No que diz respeito à nova derrogação em matéria de transparência, o CEPD e a AEPD apoiam a simplificação dos requisitos de informação e a redução dos encargos administrativos, em especial para as PME, mas sugerem esclarecimentos para garantir a segurança jurídica e assegurar que as pessoas possam continuar a receber informações pertinentes sobre os seus dados, quando necessário. 

Por último, as alterações introduzidas na disposição relativa à tomada de decisões individuais automatizadas devem ser clarificadas, a fim de tornar essas alterações significativas e juridicamente sólidas. 

Alterações à Diretiva Privacidade Eletrónica

O CEPD e a AEPD apoiam firmemente o objetivo de prever uma solução regulamentar para combater a fadiga do consentimento e a proliferação de faixas de testemunhos de conexão (cookie banners). Tal diz respeito, por exemplo, aos requisitos propostos sobre a utilização de indicações automatizadas e legíveis por máquina das escolhas das pessoas relativamente ao tratamento dos seus dados. A utilização de meios técnicos pode simplificar o cumprimento por parte dos responsáveis pelo tratamento e ajudar as pessoas a fazerem as suas escolhas em linha de forma eficaz.

O CEPD e a AEPD congratulam-se igualmente com as derrogações adicionais limitadas à proibição geral de armazenar ou obter acesso a dados pessoais no equipamento terminal e convidam ainda os colegisladores a incentivar a publicidade contextual em vez da publicidade comportamental, acrescentando uma exceção específica rodeada de algumas salvaguardas.

O CEPD e a AEPD congratulam-se com o facto de a supervisão dessas questões ser confiada às APD. 

Ao mesmo tempo, o CEPD e a AEPD salientam as dificuldades jurídicas e técnicas suscitadas pela coexistência de dois regimes diferentes para os dados pessoais e não pessoais. Apresentam igualmente recomendações adicionais para reforçar a segurança jurídica, minimizar o risco e promover a inovação responsável.

Alterações ao acervo em matéria de dados

O CEPD e a AEPD apoiam a simplificação do acervo em matéria de dados através da integração no Regulamento Dados das regras do Regulamento Governação de Dados e da Diretiva Dados Abertos sobre a reutilização de dados e documentos na posse de organismos do setor público.

No que diz respeito ao acesso concedido pelos organismos públicos para reutilização, recomendam que se mantenha a clareza proporcionada pelo atual quadro jurídico, nomeadamente que não obriga os organismos do setor público a permitir a reutilização, nem fornece uma base jurídica para a concessão de acesso.

No que diz respeito às emergências públicas, o CEPD e a AEPD recomendam que se afirme que os dados pessoais só podem ser partilhados sob pseudónimo com organismos do setor público, nos casos em que os dados anónimos sejam insuficientes para responder à emergência pública.

No que diz respeito aos serviços de intermediação de dados e às organizações de altruísmo de dados, o CEPD e a AEPD salientam a importância de uma partilha de dados fiável e responsável. Recomendam a manutenção de salvaguardas específicas, favorecendo a transparência e a supervisão.

O CEPD e a AEPD recomendam uma maior racionalização das disposições em matéria de execução (por exemplo, permitindo o intercâmbio inter-regulamentar de informações sobre a execução, incluindo com as APD, e clarificando o papel das APD na aplicação do Regulamento Dados).

O CEPD e a AEPD congratulam-se com a confirmação, pela proposta, do papel do Comité Europeu da Inovação de Dados (CEID) no apoio à aplicação coerente do Regulamento Dados. No que diz respeito à elaboração de orientações, recomendam que se habilite a Comissão a emitir orientações sobre qualquer tema relativo ao Regulamento Dados e que se clarifique o papel do CEID na assistência à Comissão neste processo. Tal permitiria à Comissão elaborar orientações conjuntas com o CEPD e ao CEID aconselhar e assistir a Comissão na elaboração dessas orientações.

Nota aos editores:

*Em 19 de novembro de 2025, a Comissão adotou uma proposta Omnibus Digital que altera um vasto corpus da legislação digital da UE, incluindo o RGPD, o RPDUE, o Regulamento Dados, a Diretiva Privacidade Eletrónica e a Diretiva SRI 2.

Em 25 de novembro de 2025, a Comissão consultou formalmente o CEPD e a AEPD em conformidade com o artigo

42.o, n.o 2, do RPDUE e solicitou um parecer sobre os aspetos relativos ao RGPD, ao RPDUE, à Diretiva Privacidade Eletrónica e ao acervo em matéria de dados.

Em 20 de janeiro de 2026, a pedido da Comissão, o CEPD e a AEPD adotaram igualmente um  parecer conjunto sobre o «Omnibus digital sobre IA».

** O «acervo em matéria de dados», parte da proposta relativa ao Omnibus Digital, visa revogar o Regulamento Governação de Dados, a Diretiva Dados Abertos e o Regulamento Livre Fluxo de Dados Não Pessoais e integra as disposições pertinentes alteradas desses atos no Regulamento Dados.