RGPD & CNPD για το Πορτογαλικό E-Commerce 2026: Προστασία Δεδομένων, Συναίνεση Cookies & Οδηγός Συμμόρφωσης

Το πορτογαλικό τοπίο προστασίας δεδομένων το 2026

Τρία νομικά εργαλεία και μία εποπτική αρχή διέπουν τα προσωπικά δεδομένα για κάθε επιχείρηση e-commerce στην Πορτογαλία. Η παρακάτω σειρά καρτών να την έχετε πρόχειρη καθώς διαβάζετε κάθε ενότητα.

1. RGPD & Lei 58/2019 — το διπλό πορτογαλικό πλαίσιο

RGPD: Ένας κανονισμός, 27 χώρες

Ο Regulamento Geral de Proteção de Dados (RGPD) είναι η πορτογαλική ονομασία του Κανονισμού ΕΕ 2016/679, ο οποίος εγκρίθηκε στις 27 Απριλίου 2016 και εφαρμόζεται από τις 25 Μαΐου 2018. Ως Κανονισμός της ΕΕ (όχι Οδηγία), το RGPD έχει άμεση ισχύ στην Πορτογαλία — τα 99 άρθρα του δεσμεύουν κάθε υπεύθυνο και εκτελούντα την επεξεργασία που είναι εγκατεστημένος στην Πορτογαλία, καθώς και κάθε υπεύθυνο εκτός ΕΕ που προσφέρει αγαθά ή υπηρεσίες σε άτομα στην Πορτογαλία (άρθρο 3 παρ. 2, εξωεδαφικότητα).

Οι ίδιες υποχρεώσεις ισχύουν είτε ο φορέας είναι ατομική επιχείρηση στη Λισαβόνα, μια sociedade por quotas (Lda) στο Πόρτο, μια γερμανική εταιρεία που αποστέλλει προϊόντα στην Πορτογαλία, είτε ένας αμερικανός έμπορος Shopify που στοχεύει πορτογάλους καταναλωτές. Ο κανονισμός είναι τεχνολογικά ουδέτερος και βασισμένος στον κίνδυνο: η επεξεργασία υψηλού κινδύνου (profiling, ειδικές κατηγορίες, παρακολούθηση μεγάλης κλίμακας) ενεργοποιεί βαρύτερες υποχρεώσεις.

Lei 58/2019: Το πορτογαλικό επίπεδο

Το RGPD αφήνει σκόπιμα πάνω από 50 «ρήτρες ανοίγματος» στα κράτη μέλη. Η Πορτογαλία άσκησε αυτές τις επιλογές μέσω του Lei n.º 58/2019, της 8ης Αυγούστου — του Lei de Proteção de Dados Pessoais (LPDP) — που δημοσιεύθηκε πάνω από έναν χρόνο μετά την ημερομηνία εφαρμογής του RGPD, αντικαθιστώντας τον προηγούμενο Lei 67/98. Ο LPDP προσθέτει ειδικούς για την Πορτογαλία κανόνες πάνω από το RGPD:

• Ηλικία συναίνεσης — 13 έτη (άρθρο 16 LPDP, κάτω από την προεπιλογή των 16 ετών του RGPD). Παιδιά κάτω των 13 ετών απαιτούν επαληθεύσιμη γονική συναίνεση.
• Καθεστώς βιντεοεπιτήρησης (άρθρα 19–22 LPDP) — σήμανση CCTV, διατήρηση (προεπιλογή 30 ημέρες), ειδοποίηση CNPD για δημόσιους χώρους.
• Δημοσιογραφική/ακαδημαϊκή/καλλιτεχνική επεξεργασία (άρθρο 24 LPDP) — περιορισμένες εξαιρέσεις που εξισορροπούν την προστασία δεδομένων με την ελευθερία της έκφρασης.
• Διοικητικά αδικήματα (άρθρα 37–50 LPDP) — ειδικοί για την Πορτογαλία διαδικαστικοί κανόνες που συμπληρώνουν τα πρόστιμα του άρθρου 83 RGPD.

Lei das Comunicações Eletrónicas — Το επίπεδο cookies

Ένα τρίτο εργαλείο ολοκληρώνει το πλαίσιο: ο Lei n.º 41/2004, η πορτογαλική μεταφορά της Οδηγίας ePrivacy της ΕΕ 2002/58/ΕΚ. Το άρθρο 5 παρ. 3 είναι η νομική βάση της απαίτησης συναίνεσης cookies — τα cookies, τα pixels, το fingerprinting και οι τεχνολογίες local storage απαιτούν προηγούμενη, ελεύθερη, ενημερωμένη συναίνεση, ανεξάρτητα από το αν επεξεργάζονται προσωπικά δεδομένα. Κάθε πορτογαλικός ιστότοπος e-commerce χρειάζεται banner cookies λόγω της νομοθεσίας ePrivacy, όχι λόγω του ίδιου του RGPD.

2. CNPD — Η Πορτογαλική Αρχή Προστασίας Δεδομένων

Ο Θεσμός

Η Comissão Nacional de Proteção de Dados (CNPD) είναι η ανεξάρτητη εποπτική αρχή της Πορτογαλίας. Ιδρύθηκε με τον Lei n.º 10/91 της 29ης Απριλίου, είναι μία από τις παλαιότερες αρχές προστασίας δεδομένων στην ΕΕ, προϋπάρχοντας κατά τέσσερα χρόνια της Οδηγίας Προστασίας Δεδομένων του 1995. Η CNPD λειτουργεί υπό την εποπτεία της Assembleia da República με πλήρη λειτουργική και αποφασιστική ανεξαρτησία (άρθρο 52 RGPD).

Η CNPD απαρτίζεται από επτά μέλη: έναν πρόεδρο εκλεγμένο από το κοινοβούλιο για θητεία πέντε ετών χωρίς δυνατότητα ανανέωσης, συν έξι μέλη (δύο κοινοβουλευτικά, δύο κυβερνητικά, δύο συνεπιλεγμένα). Η έδρα της βρίσκεται στην Avenida D. Carlos I, n.º 134, 1200-651 Λισαβόνα.

Οι Εξουσίες της CNPD

Βάσει των άρθρων 57–58 RGPD, συμπληρωμένων από τον Lei 58/2019:

• Διερευνητικές — αίτημα πληροφοριών, διεξαγωγή ελέγχων και επιθεωρήσεων, πρόσβαση σε εγκαταστάσεις και αρχεία επεξεργασίας
• Διορθωτικές — προειδοποιήσεις, επιπλήξεις, εντολές συμμόρφωσης με αιτήματα υποκειμένων, διόρθωση, διαγραφή, απαγορεύσεις επεξεργασίας, αναστολή διασυνοριακών ροών
• Διοικητικά πρόστιμα — έως 20 εκατομμύρια ευρώ ή 4% του παγκόσμιου ετήσιου κύκλου εργασιών
• Εξουσιοδότηση και συμβουλευτικός ρόλος — έγκριση δεσμευτικών εταιρικών κανόνων (BCR), SCC, μηχανισμών πιστοποίησης· συμβουλευτικός ρόλος προς το κοινοβούλιο και την κυβέρνηση

Πώς να Επικοινωνήσετε με την CNPD

• Ιστοσελίδα — cnpd.pt (μητρώο αποφάσεων, φόρμα καταγγελίας, φόρμα ειδοποίησης παραβίασης)
• Γενικό email — [email protected]
• Ειδοποίηση παραβίασης — αποκλειστική ηλεκτρονική φόρμα στο cnpd.pt
• Καταχώριση DPO — ηλεκτρονική φόρμα, τα στοιχεία επικοινωνίας απαιτούνται εντός 30 ημερών από τον ορισμό

CNPD έναντι Άλλων Αρχών της ΕΕ — Το Πορτογαλικό Στιλ

Το στιλ επιβολής της CNPD είναι μετριοπαθές αλλά τεχνικά αυστηρό. Σε σύγκριση με την ισπανική AEPD (ιδιαίτερα φιλόδικη, χιλιάδες αποφάσεις ετησίως) ή τη γαλλική CNIL (μεγάλες δημόσιες ανακοινώσεις κυρώσεων), η CNPD εκδίδει λιγότερες αποφάσεις αλλά επικεντρώνεται σε συστημικές παραβιάσεις και συνεργάζεται στενά μέσω του μηχανισμού συνέπειας του EDPB. Το πορτογαλικό e-commerce συνήθως προσελκύει την προσοχή της CNPD μέσω τριών οδών: καταγγελίες υποκειμένων δεδομένων, υποχρεωτικές ειδοποιήσεις παραβίασης και έλεγχοι που προκαλούνται από δημοσιογραφική ή πολιτική διαβούλευση.

3. Banner Συναίνεσης Cookies — Υποχρεωτικό σε Κάθε Πορτογαλικό Ιστότοπο

Η Νομική Βάση

Η υποχρέωση συναίνεσης cookies έχει δύο συμπληρωματικές νομικές βάσεις στην Πορτογαλία: το άρθρο 5 παρ. 3 της Οδηγίας ePrivacy 2002/58/ΕΚ της ΕΕ, όπως μεταφέρθηκε από τον Lei n.º 41/2004, και τις απαιτήσεις συναίνεσης του άρθρου 7 RGPD. Το συνδυαστικό αποτέλεσμα είναι ότι κάθε cookie, pixel, SDK, script fingerprinting, αντικείμενο local storage ή παρόμοια τεχνολογία παρακολούθησης που δεν είναι απολύτως απαραίτητη για την παροχή της υπηρεσίας που ζήτησε ρητά ο χρήστης απαιτεί προηγούμενη, ελεύθερη, συγκεκριμένη, ενημερωμένη και ρητή συναίνεση opt-in.

Τι Θεωρείται «Απολύτως Απαραίτητο»

Μια στενή κατηγορία εξαιρείται από τη συναίνεση επειδή είναι απολύτως απαραίτητη για τη ζητούμενη υπηρεσία: cookies συνεδρίας (σύνδεση, καλάθι), tokens CSRF, cookies εξισορρόπησης φορτίου, το ίδιο το cookie προτίμησης συναίνεσης, η κατάσταση πολυμεσικού player για ενεργά ζητούμενο περιεχόμενο, και η επιλεγμένη από τον χρήστη προσαρμογή διεπαφής (γλώσσα, dark mode). Όλα τα υπόλοιπα — GA4, Meta Pixel, TikTok Pixel, Hotjar, Clarity, retargeting, cookies δοκιμών A/B, γραμματοσειρές τρίτων CDN, ενσωματωμένοι players YouTube/Vimeo, κουμπιά κοινωνικών μέσων που φορτώνουν πριν από αλληλεπίδραση — απαιτούν ρητή συναίνεση opt-in πριν από την τοποθέτηση.

Πώς Μοιάζει ένα Συμβατό Banner

Οι Orientações sobre cookies (2019/494) της CNPD, όπως ενημερώθηκαν το 2022, καθορίζουν τις ελάχιστες απαιτήσεις:

• Το πρώτο επίπεδο πρέπει να προσφέρει «Αποδοχή», «Απόρριψη» και «Διαχείριση προτιμήσεων». Η Απόρριψη πρέπει να είναι εξίσου εμφανής με την Αποδοχή (ίδιο χρώμα, μέγεθος, θέση). Κουμπιά απόρριψης με ξεθωριασμένο κείμενο τύπου dark pattern απαγορεύονται (EDPB).
• Το δεύτερο επίπεδο — λεπτομερείς διακόπτες ανά μη απαραίτητη κατηγορία, απενεργοποιημένοι από προεπιλογή.
• Χωρίς cookie walls — η άρνηση πρόσβασης σε περίπτωση απόρριψης είναι παράνομη (Κατευθυντήριες Γραμμές EDPB 05/2020).
• Χωρίς «η συνέχιση της περιήγησης ισοδυναμεί με συναίνεση» — η κύλιση ή η πλοήγηση δεν αποτελεί συναίνεση.
• Η ανάκληση εξίσου εύκολη με τη χορήγηση συναίνεσης — μόνιμο αιωρούμενο κουμπί ή σύνδεσμος στο υποσέλιδο.
• Επανάληψη αιτήματος κάθε 6–12 μήνες, καταγραφή ελέγχου συναίνεσης σύμφωνα με το άρθρο 7 παρ. 1 RGPD.

Επίπεδα Banner Συναίνεσης — Ποιες Κατηγορίες να Προσφέρετε

4. Πολιτική Απορρήτου — Υποχρεωτική και Πάντα Ενημερωμένη

Η Υποχρέωση Ενημέρωσης του Άρθρου 13

Τα άρθρα 12, 13 και 14 RGPD απαιτούν από κάθε υπεύθυνο επεξεργασίας να παρέχει στα υποκείμενα δεδομένων εκτενή ενημέρωση κατά τη στιγμή της συλλογής δεδομένων. Για έναν ιστότοπο e-commerce, αυτή η στιγμή είναι γενικά κάθε υποβολή φόρμας — εγγραφή, ολοκλήρωση παραγγελίας, newsletter, επικοινωνία, φόρμα αξιολόγησης. Στην πράξη, αυτή η ενημέρωση συγκεντρώνεται σε ένα ενιαίο έγγραφο, την Πολιτική Απορρήτου (Política de Privacidade), που συνδέεται από κάθε σελίδα και παρουσιάζεται ξανά σε κάθε σημείο συλλογής.

Ελάχιστο Υποχρεωτικό Περιεχόμενο

Μια πολιτική απορρήτου που μπορεί να υπερασπιστεί κανείς ενώπιον της CNPD το 2026 περιλαμβάνει τουλάχιστον:

• Ταυτότητα του υπευθύνου — επωνυμία, NIPC, έδρα, email επικοινωνίας
• Επικοινωνία DPO εάν έχει οριστεί — αποκλειστικό email όπως [email protected]
• Σκοποί επεξεργασίας — αναλυτική λίστα (εκτέλεση παραγγελιών, εξυπηρέτηση πελατών, μάρκετινγκ, αναλυτικά, πρόληψη απάτης, λογιστική)
• Νομική βάση ανά σκοπό — άρθρο 6 παρ. 1 RGPD (συναίνεση, σύμβαση, νομική υποχρέωση, ζωτικά συμφέροντα, δημόσιο συμφέρον, έννομα συμφέροντα)
• Δοκιμή στάθμισης έννομων συμφερόντων όταν επικαλείται το άρθρο 6 παρ. 1 στοιχείο στ
• Αποδέκτες — πύλες πληρωμών, μεταφορείς, marketplaces, cloud hosting, πάροχοι υπηρεσιών email
• Διεθνείς μεταφορές — χώρες προορισμού, μηχανισμός (SCC / Απόφαση επάρκειας / DPF), σύνδεσμος στις διασφαλίσεις
• Περίοδοι διατήρησης ανά κατηγορία (τιμολόγια 10 έτη, μάρκετινγκ όσο ισχύει η συναίνεση, αναλυτικά 14 μήνες)
• Δικαιώματα υποκειμένων δεδομένων — πλήρης απαρίθμηση συμπεριλαμβανομένου του δικαιώματος καταγγελίας στην CNPD
• Νομικός ή συμβατικός χαρακτήρας της παροχής δεδομένων και συνέπειες άρνησης
• Αυτοματοποιημένη λήψη αποφάσεων και profiling, εάν υπάρχει, συμπεριλαμβανομένης της λογικής και της σημασίας
• Ημερομηνία τελευταίας ενημέρωσης και ιστορικό εκδόσεων

Σαφή Πορτογαλικά — Άρθρο 12 RGPD

Το άρθρο 12 παρ. 1 RGPD απαιτεί μια συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη πολιτική σε σαφή, απλή γλώσσα. Η CNPD έχει επανειλημμένα επικρίνει πολιτικές που είναι μόνο στα αγγλικά όταν απευθύνονται σε πορτογάλους καταναλωτές (το άρθρο 2 του Lei 58/2019 ενισχύει την απαίτηση της πορτογαλικής γλώσσας), ανακυκλώνουν γενικά πρότυπα χωρίς να κατονομάζουν τους πραγματικούς εκτελούντες, κρύβουν ουσιώδεις πληροφορίες σε νομική ορολογία 10.000 λέξεων, ή συνδυάζουν την πολιτική απορρήτου με τους όρους χρήσης.

Πολυεπίπεδη Ειδοποίηση — Καλή Πρακτική

Η CNPD υποστηρίζει την προσέγγιση πολυεπίπεδης ειδοποίησης του EDPB: μια σύντομη περίληψη στην αρχή (1–2 παράγραφοι για ταυτότητα, σκοπούς και δικαιώματα) ακολουθούμενη από πλήρεις λεπτομέρειες σε αναπτυσσόμενες ενότητες, συν ένα «Ενημερωτικό Δελτίο» σε κάθε φόρμα (μια ειδοποίηση συλλογής 2–3 προτάσεων με σύνδεσμο προς την πλήρη πολιτική) για συμμόρφωση με το άρθρο 13.

5. Ορισμός DPO — Πότε και Πώς

Πότε Είναι Υποχρεωτικός ο DPO;

Το άρθρο 37 RGPD απαιτεί DPO (Encarregado de Proteção de Dados — EPD) σε τρία σενάρια: (α) δημόσιες αρχές (εκτός δικαστηρίων)· (β) κύρια δραστηριότητα = τακτική και συστηματική παρακολούθηση μεγάλης κλίμακας· (γ) κύρια δραστηριότητα = επεξεργασία μεγάλης κλίμακας ειδικών κατηγοριών δεδομένων ή ποινικών δεδομένων. Για το πορτογαλικό e-commerce, το πρακτικό κριτήριο είναι συνήθως το (β). Οι κατευθυντήριες γραμμές του EDPB (WP 243 rev.01, υιοθετημένες από την CNPD) διευκρινίζουν ότι η «κύρια δραστηριότητα» αποκλείει βοηθητικές λειτουργίες όπως τη μισθοδοσία· η «μεγάλη κλίμακα» είναι συγκειμενική (αριθμός υποκειμένων, όγκος, διάρκεια, γεωγραφική εμβέλεια).

Πρακτικά Παραδείγματα Ενεργοποίησης

Πραγματικά όρια όπου ο DPO είναι έντονα συνιστώμενος ή υποχρεωτικός:

• 10.000+ πελάτες CRM με τμηματοποίηση συμπεριφοράς
• Ζωντανό retargeting σε Meta + Google Ads + TikTok με cross-device matching
• Πρόγραμμα πιστότητας που παρακολουθεί το ιστορικό συναλλαγών σε κανάλια και στον χρόνο
• Φορέας marketplace που επεξεργάζεται ταυτόχρονα δεδομένα πωλητών και αγοραστών
• E-commerce υγείας, ομορφιάς ή φαρμακείου που επεξεργάζεται δεδομένα που μπορεί να χαρακτηριστούν ως δεδομένα υγείας του άρθρου 9
• Κατάστημα παιδικών προϊόντων που εκτελεί ροές γονικής συναίνεσης για κάτω των 13 ετών

Τι Κάνει ο DPO

Τα άρθρα 38–39 RGPD καθορίζουν τα καθήκοντα και τις προστασίες του DPO:

• Ενημερώνει και συμβουλεύει τον υπεύθυνο, τον εκτελούντα και τους υπαλλήλους σχετικά με τις υποχρεώσεις τους
• Παρακολουθεί τη συμμόρφωση με το RGPD, τον Lei 58/2019 και τις εσωτερικές πολιτικές, συμπεριλαμβανομένης της εκπαίδευσης
• Συμβουλεύει για DPIA όταν ενεργοποιούνται από το άρθρο 35
• Συνεργάζεται με την CNPD ως σημείο επαφής με την εποπτική αρχή
• Ανεξαρτησία — δεν μπορεί να λαμβάνει εντολές για τα καθήκοντά του, δεν μπορεί να απολυθεί για την εκτέλεσή τους (άρθρο 38 παρ. 3)
• Χωρίς σύγκρουση συμφερόντων — ο DPO δεν μπορεί να είναι CEO, CMO, διευθυντής IT ή διευθυντής HR

Εσωτερικός έναντι Εξωτερικού DPO + Καταχώριση στην CNPD

Ο DPO μπορεί να είναι υπάλληλος ή εξωτερικός πάροχος υπηρεσιών. Για τις πορτογαλικές ΜμΕ, ο εξωτερικός DPO-as-a-Service κοστίζει συνήθως 350–1.500 €/μήνα ανάλογα με την πολυπλοκότητα. Το άρθρο 37 παρ. 7 RGPD υποχρεώνει τον υπεύθυνο να δημοσιεύει τα στοιχεία επικοινωνίας του DPO και να ειδοποιεί την CNPD μέσω της ηλεκτρονικής φόρμας της, ενημερωμένη εντός 30 ημερών από οποιαδήποτε αλλαγή. Η μη ειδοποίηση αποτελεί διαδικαστική παραβίαση με πρόστιμο έως 10 εκατ. € ή 2% του κύκλου εργασιών.

6. Δικαιώματα Υποκειμένων Δεδομένων — Λειτουργικό SLA

Τα Οκτώ Δικαιώματα των Πορτογάλων Υποκειμένων Δεδομένων

Το Κεφάλαιο III RGPD παρέχει σε κάθε άτομο (είτε πελάτη, υποψήφιο πελάτη, επαφή προμηθευτή ή υπάλληλο) μια σειρά επιβλητών δικαιωμάτων:

1. Δικαίωμα ενημέρωσης (άρθρα 13–14) — ασκείται μέσω της πολιτικής απορρήτου και των ειδοποιήσεων συλλογής
2. Δικαίωμα πρόσβασης (άρθρο 15) — επιβεβαίωση ότι επεξεργάζονται δεδομένα συν αντίγραφο των δεδομένων και του πλαισίου επεξεργασίας
3. Δικαίωμα διόρθωσης (άρθρο 16) — διόρθωση ανακριβών ή ελλιπών δεδομένων
4. Δικαίωμα διαγραφής (άρθρο 17, «δικαίωμα στη λήθη») — διαγραφή όταν ισχύει ένας από τους έξι λόγους
5. Δικαίωμα περιορισμού της επεξεργασίας (άρθρο 18) — προσωρινή «παγοποίηση» εν αναμονή επαλήθευσης
6. Δικαίωμα φορητότητας δεδομένων (άρθρο 20) — εξαγωγή σε αναγνώσιμη από μηχανή μορφή των δεδομένων που παρείχε το υποκείμενο
7. Δικαίωμα εναντίωσης (άρθρο 21) — απόλυτο έναντι του άμεσου μάρκετινγκ· δοκιμή στάθμισης για άλλη επεξεργασία
8. Δικαίωμα μη υπαγωγής σε αποκλειστικά αυτοματοποιημένη λήψη αποφάσεων (άρθρο 22) — συμπεριλαμβανομένου του profiling με έννομα ή παρόμοια σημαντικά αποτελέσματα

Χρονοδιάγραμμα Απάντησης — Άρθρο 12 παρ. 3 RGPD

Οι υπεύθυνοι πρέπει να απαντούν εντός 30 ημερών, με δυνατότητα παράτασης κατά δύο μήνες λόγω πολυπλοκότητας ή όγκου — η παράταση πρέπει να κοινοποιείται εντός του πρώτου μήνα με τους λόγους. Για το πορτογαλικό e-commerce που διαχειρίζεται χιλιάδες εγγραφές σε πολλαπλά marketplaces, το SLA είναι λειτουργικά απαιτητικό. Οι περισσότερες αποτυχίες προέρχονται από κατακερματισμένα δεδομένα διάσπαρτα σε Shopify, Amazon Seller Central, Worten Marketplace, email και λογιστικό λογισμικό. Ένα κεντρικοποιημένο μητρώο δεδομένων πελατών όπως αυτό της Zunapro μειώνει τον χρόνο απάντησης του άρθρου 15 από ημέρες σε λεπτά.

Επαλήθευση Ταυτότητας & Άρνηση

Το άρθρο 12 παρ. 6 RGPD επιτρέπει πρόσθετη επαλήθευση ταυτότητας μόνο όταν υπάρχει εύλογη αμφιβολία. Κοινή πρακτική: επικύρωση του καταχωρισμένου email, προαιρετικό αίτημα για επεξεργασμένο έγγραφο ταυτότητας. Η άρνηση επιτρέπεται μόνο όταν το αίτημα είναι προδήλως αβάσιμο ή υπερβολικό· ο υπεύθυνος πρέπει να το αποδείξει και μπορεί εναλλακτικά να χρεώσει ένα εύλογο τέλος.

Δικαίωμα Διαγραφής έναντι Νόμιμης Διατήρησης

Συνήθης λειτουργική ένταση: ένας πελάτης ζητά διαγραφή βάσει του άρθρου 17, αλλά ο υπεύθυνος πρέπει να διατηρήσει τα τιμολόγια για 10 έτη (Código do IVA άρθρο 52) και τα λογιστικά αρχεία για 10 έτη (Código Comercial άρθρο 40). Το άρθρο 17 παρ. 3 στοιχείο β RGPD επιλύει αυτό — η διαγραφή δεν εφαρμόζεται σε δεδομένα που επεξεργάζονται για συμμόρφωση με νομική υποχρέωση. Πρακτικός χειρισμός: ανωνυμοποίηση δεδομένων μάρκετινγκ και συμπεριφοράς, διατήρηση δεδομένων τιμολόγησης/λογιστικής σε κλειδωμένο αρχείο με περιορισμένη πρόσβαση, και γραπτή ενημέρωση του πελάτη για το τι διαγράφηκε έναντι του τι διατηρήθηκε.

7. Παραβίαση Προσωπικών Δεδομένων — Το Παράθυρο Ειδοποίησης 72 Ωρών

Τι Θεωρείται Παραβίαση

Το άρθρο 4 παρ. 12 RGPD ορίζει μια παραβίαση προσωπικών δεδομένων ως «παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, μεταβολή, μη εξουσιοδοτημένη γνωστοποίηση ή πρόσβαση σε προσωπικά δεδομένα που διαβιβάστηκαν, αποθηκεύτηκαν ή υπέστησαν άλλη επεξεργασία». Τρεις κατηγορίες επικαλύπτονται στην πράξη:

• Παραβίαση εμπιστευτικότητας — μη εξουσιοδοτημένη γνωστοποίηση ή πρόσβαση (διαρροή δεδομένων, εξαγωγή από hacker, λανθασμένα κατευθυνόμενο email)
• Παραβίαση ακεραιότητας — μη εξουσιοδοτημένη μεταβολή δεδομένων (παραποίηση βάσης δεδομένων, κρυπτογράφηση από ransomware)
• Παραβίαση διαθεσιμότητας — απώλεια πρόσβασης σε δεδομένα (κλείδωμα ransomware χωρίς ανάκτηση, καταστροφή διακομιστή)

Ειδοποίηση προς την CNPD — Άρθρο 33

Όταν συμβαίνει παραβίαση, ο υπεύθυνος πρέπει να ειδοποιήσει την CNPD εντός 72 ωρών από τη στιγμή που λαμβάνει γνώση, εκτός αν είναι απίθανο να προκαλέσει κίνδυνο για τα δικαιώματα και τις ελευθερίες φυσικών προσώπων. Η ειδοποίηση πρέπει να περιλαμβάνει:

• Τη φύση της παραβίασης, συμπεριλαμβανομένων, όπου είναι δυνατόν, των κατηγοριών και του κατά προσέγγιση αριθμού των θιγόμενων υποκειμένων δεδομένων και εγγραφών
• Το όνομα και τα στοιχεία επικοινωνίας του DPO ή άλλου σημείου επαφής
• Τις πιθανές συνέπειες της παραβίασης
• Τα μέτρα που έχουν ληφθεί ή προτείνονται για την αντιμετώπιση της παραβίασης και τον μετριασμό των πιθανών δυσμενών επιπτώσεών της

Όταν οι πλήρεις πληροφορίες δεν μπορούν να παρασχεθούν εντός 72 ωρών, γίνεται αποδεκτή μερική ειδοποίηση, με το υπόλοιπο να ακολουθεί χωρίς αδικαιολόγητη καθυστέρηση. Η ηλεκτρονική φόρμα ειδοποίησης παραβίασης της CNPD υποστηρίζει σταδιακές ενημερώσεις — η αρχική υποβολή μπορεί να είναι μια προσωρινή ειδοποίηση ακολουθούμενη από λεπτομερείς ενημερώσεις εντός ημερών.

Ειδοποίηση προς τα Υποκείμενα Δεδομένων — Άρθρο 34

Εάν η παραβίαση ενδέχεται να προκαλέσει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες, ο υπεύθυνος πρέπει επίσης να κοινοποιήσει την παραβίαση στα θιγόμενα υποκείμενα δεδομένων χωρίς αδικαιολόγητη καθυστέρηση, σε σαφή πορτογαλικά, περιγράφοντας συγκεκριμένα την παραβίαση με στοιχεία επικοινωνίας DPO, συνέπειες και μέτρα μετριασμού. Τρεις εξαιρέσεις του άρθρου 34 παρ. 3 απαλλάσσουν από την άμεση ειδοποίηση: τα δεδομένα ήταν κρυπτογραφημένα με κλειδιά που δεν παραβιάστηκαν, μεταγενέστερα μέτρα εξάλειψαν τον υψηλό κίνδυνο, ή η ειδοποίηση θα απαιτούσε δυσανάλογη προσπάθεια (οπότε απαιτείται δημόσια ανακοίνωση αντ' αυτού).

Εσωτερικό Μητρώο Παραβιάσεων & Πλάνο Δράσης 2026

Το άρθρο 33 παρ. 5 RGPD απαιτεί την τεκμηρίωση όλων των παραβιάσεων προσωπικών δεδομένων (ακόμα και εκείνων χαμηλού κινδύνου που δεν απαιτούσαν ειδοποίηση): χρονοσήμανση αντίληψης, πηγή εντοπισμού, ταξινόμηση, εύρος, κατηγορίες και αριθμό υποκειμένων, εκτίμηση κινδύνου, απόφαση ειδοποίησης και χρονοσημάνσεις, αποκατάσταση, ανάλυση βασικής αιτίας, διδάγματα. Ένα λειτουργικό πλάνο δράσης 72 ωρών:

• Ώρα 0 — Εντοπισμός — ειδοποίηση, άμεση διαλογή, προσδιορισμός εύρους
• Ώρες 0–4 — Περιορισμός — ανάκληση διαπιστευτηρίων, απομόνωση συστημάτων, διατήρηση δικανικών στοιχείων
• Ώρες 4–24 — Εκτίμηση κινδύνου — ο DPO ηγείται της ανάλυσης, απόφαση ειδοποίησης
• Ώρες 24–48 — Αρχική ειδοποίηση προς την CNPD μέσω της φόρμας cnpd.pt (αποδεκτή προσωρινή ειδοποίηση)
• Ώρες 48–72 — Πλήρης ειδοποίηση, απόφαση για κοινοποίηση προς τα υποκείμενα βάσει του άρθρου 34
• Ημέρες 3–7 — Κοινοποίηση προς τα υποκείμενα εάν απαιτείται (email + δημόσια δήλωση)
• Από την ημέρα 7 και μετά — Διδάγματα, ενημέρωση μητρώου, παρακολούθηση με την CNPD

8. Διασυνοριακές Μεταφορές Δεδομένων — SCC Μετά την Απόφαση Schrems II

Ο Σεισμός Schrems II

Στις 16 Ιουλίου 2020, το Δικαστήριο της Ευρωπαϊκής Ένωσης εξέδωσε την απόφαση Schrems II (C-311/18), ακυρώνοντας το πλαίσιο EU-US Privacy Shield που μέχρι τότε διείπε περίπου 5.000 διατλαντικές ροές δεδομένων. Το δικαστήριο επιβεβαίωσε την εγκυρότητα των Τυποποιημένων Συμβατικών Ρητρών (SCC), αλλά πρόσθεσε μια κρίσιμη προϋπόθεση: ο υπεύθυνος πρέπει να επαληθεύσει ότι η νομοθεσία και η πρακτική της χώρας προορισμού παρέχουν προστασία ουσιαστικά ισοδύναμη με το RGPD· εάν όχι, πρέπει να εφαρμοστούν συμπληρωματικά μέτρα ή να διακοπεί η μεταφορά.

Η Εργαλειοθήκη Μεταφορών 2026

Πέντε μηχανισμοί στο Κεφάλαιο V RGPD μπορούν να εξουσιοδοτήσουν νόμιμα μεταφορές εκτός ΕΟΧ:

• Άρθρο 45 — Απόφαση Επάρκειας — επί του παρόντος: Ανδόρα, Αργεντινή, Καναδάς (εμπορικά), Νήσοι Φερόε, Γκέρνσεϊ, Ισραήλ, Νήσος Μαν, Ιαπωνία, Τζέρσεϋ, Νέα Ζηλανδία, Νότια Κορέα, Ελβετία, Ηνωμένο Βασίλειο, Ουρουγουάη. Η Ισλανδία, το Λιχτενστάιν και η Νορβηγία λογίζονται ως ΕΟΧ.
• Άρθρο 46 — Κατάλληλες Διασφαλίσεις — SCC, BCR, εγκεκριμένοι κώδικες δεοντολογίας, πιστοποιήσεις.
• Άρθρο 47 — Δεσμευτικοί Εταιρικοί Κανόνες — ενδοομιλικά, εγκεκριμένοι από την επικεφαλής αρχή και τον EDPB.
• Άρθρο 49 — Παρεκκλίσεις — ρητή συναίνεση (μόνο περιστασιακά), αναγκαιότητα σύμβασης, δημόσια/ζωτικά συμφέροντα. Δεν ενδείκνυται για τακτική επιχειρηματική δραστηριότητα.
• Πλαίσιο Προστασίας Δεδομένων ΕΕ-ΗΠΑ (DPF) — σε ισχύ από τις 10 Ιουλίου 2023, αντικαθιστώντας το Privacy Shield. Οι αυτοπιστοποιημένοι αμερικανοί εισαγωγείς (AWS, Google, Microsoft, Meta, Salesforce, HubSpot, Mailchimp, Stripe, Shopify) λαμβάνουν βάση επάρκειας του άρθρου 45.

Οι SCC της ΕΕ του 2021 + Εκτίμηση Αντίκτυπου Μεταφοράς

Οι SCC 2021 της Επιτροπής (Εκτελεστική Απόφαση 2021/914) είναι δομοστοιχειωτές με τέσσερα σενάρια: Υπεύθυνος→Υπεύθυνος, Υπεύθυνος→Εκτελών, Εκτελών→Εκτελών, Εκτελών→Υπεύθυνος. Οι παλιές SCC του 2010 καταργήθηκαν για νέες συμβάσεις από τις 27 Σεπτεμβρίου 2021 και για όλες τις συμβάσεις από τις 27 Δεκεμβρίου 2022 — οποιαδήποτε SCC του 2010 το 2026 είναι άκυρη και πρέπει να μεταφερθεί αμέσως.

Μετά την απόφαση Schrems II και τις Συστάσεις 01/2020 του EDPB, οι υπεύθυνοι πρέπει να ολοκληρώνουν μια Εκτίμηση Αντίκτυπου Μεταφοράς (TIA) για κάθε μεταφορά χωρίς απόφαση επάρκειας: χαρτογράφηση της μεταφοράς, μηχανισμός (SCC/BCR/DPF), αξιολόγηση της νομοθεσίας κρατικής πρόσβασης της τρίτης χώρας (FISA 702 στις ΗΠΑ), συμπληρωματικά μέτρα (κρυπτογράφηση σε κατάσταση αδράνειας με κλειδιά που διατηρούνται στην ΕΕ, ψευδωνυμοποίηση), συμπέρασμα σχετικά με την ουσιαστικά ισοδύναμη προστασία. Η CNPD δεν απαιτεί προηγούμενη υποβολή της TIA, αλλά θα την απαιτήσει σε κάθε έλεγχο που εμπλέκει εκτελούντες εκτός ΕΟΧ.

Πρακτική Στοίβα 2026

• Cloud (AWS / GCP / Azure) — πιστοποιημένο DPF + περιοχές ΕΕ· προτιμήστε περιοχές ΕΕ, τεκμηριώστε το DPF ως εναλλακτική
• Email (Mailchimp, SendGrid) — πιστοποιημένο DPF· εναλλακτικές λύσεις ΕΕ όπως το Brevo συχνά προτιμότερες
• Αναλυτικά (GA4) — πιστοποιημένο DPF + Consent Mode v2 + ανωνυμοποίηση IP
• Υποστήριξη πελατών (Zendesk, Intercom) — DPF + διαθέσιμες προσθήκες κατοικίας δεδομένων ΕΕ
• API marketplace (Amazon SP-API) — δρομολογημένα μέσω ΕΕ για ευρωπαϊκούς λογαριασμούς πωλητών

9. Πρόστιμα CNPD — Έως 20 Εκατ. € ή 4% Παγκόσμιου Κύκλου Εργασιών

Διαβαθμισμένες Κυρώσεις του Άρθρου 83

Το άρθρο 83 RGPD καθιερώνει δύο κλιμάκια προστίμων, με την CNPD να μπορεί να επιβάλει το υψηλότερο μεταξύ του σταθερού ανώτατου ορίου ή του ποσοστού κύκλου εργασιών:

Κλιμάκιο	Μέγιστο Πρόστιμο	Καλυπτόμενες Παραβιάσεις
Κλιμάκιο 1 (Άρθρο 83 παρ. 4)	10 εκατ. € ή 2% παγκόσμιου ετήσιου κύκλου εργασιών	Μητρώα (άρθρο 30), ασφάλεια (άρθρο 32), ειδοποίηση παραβίασης (άρθρα 33–34), ορισμός DPO (άρθρα 37–39), DPIA (άρθρα 35–36), συναίνεση παιδιών (άρθρο 8), πιστοποίηση, κώδικες δεοντολογίας
Κλιμάκιο 2 (Άρθρο 83 παρ. 5)	20 εκατ. € ή 4% παγκόσμιου ετήσιου κύκλου εργασιών	Νομική βάση (άρθρα 5–6), προϋποθέσεις συναίνεσης (άρθρο 7), ειδικές κατηγορίες (άρθρο 9), δικαιώματα υποκειμένων δεδομένων (άρθρα 12–22), διεθνείς μεταφορές (άρθρα 44–49), μη συμμόρφωση με εντολές της CNPD
Lei 58/2019	Ειδικά πορτογαλικά διοικητικά αδικήματα	Τα άρθρα 37–50 LPDP προσθέτουν διαβαθμισμένα πρόστιμα για ειδικά πορτογαλικά θέματα (CCTV χωρίς σήμανση, παραβίαση της δημοσιογραφικής εξαίρεσης κ.λπ.)

Πώς Υπολογίζει η CNPD το Πρόστιμο

Παράγοντες του άρθρου 83 παρ. 2 που εξετάζει η CNPD: φύση, βαρύτητα και διάρκεια· εκ προθέσεως ή εξ αμελείας χαρακτήρας· προσπάθειες μετριασμού· τεχνικά και οργανωτικά μέτρα· προηγούμενες παραβιάσεις· συνεργασία με την CNPD· κατηγορίες θιγόμενων δεδομένων· τρόπος με τον οποίο έγινε γνωστή η παραβίαση· τήρηση κωδίκων δεοντολογίας· οικονομικά οφέλη που αποκτήθηκαν ή ζημιές που αποφεύχθηκαν.

Αξιοσημείωτα Πρόστιμα της CNPD — Ιστορικό

• 4,3 εκατ. € — INE (Instituto Nacional de Estatística, 2021) — μεταφορά δεδομένων απογραφής σε αμερικανό υπο-εκτελούντα χωρίς διασφαλίσεις του άρθρου 46· το μεγαλύτερο πορτογαλικό πρόστιμο RGPD μέχρι σήμερα
• 1,25 εκατ. € — Hospital do Barreiro (2018) — υπερβολική πρόσβαση σε κλινικά αρχεία· η υγεία είναι τομέας προτεραιότητας για την CNPD
• 400.000 € — Câmara Municipal de Lisboa (2021) — γνωστοποίηση προσωπικών δεδομένων διοργανωτών διαδηλώσεων
• 170.000 € — Banco Santander Totta (2021) — ανεπαρκής ανταπόκριση σε αιτήματα υποκειμένων δεδομένων
• Πολλαπλά πρόστιμα 10.000–75.000 € σε ΜμΕ για banner cookies, ελλιπή στοιχεία επικοινωνίας DPO και εκπρόθεσμες ειδοποιήσεις παραβίασης

Πέρα από το Πρόστιμο — Αστική Ευθύνη

Το άρθρο 82 RGPD παρέχει στα υποκείμενα δεδομένων δικαίωμα αποζημίωσης για υλική ή ηθική ζημία. Τα πορτογαλικά δικαστήρια έχουν αρχίσει να επιδικάζουν ηθική αποζημίωση (άγχος, απώλεια ελέγχου) ύψους 500–5.000 € ανά θιγόμενο υποκείμενο — πολλαπλασιαζόμενη σε χιλιάδες υποκείμενα, η αστική ευθύνη μπορεί να ξεπεράσει κατά πολύ το διοικητικό πρόστιμο. Η κάλυψη από τον Τύπο των αποφάσεων της CNPD είναι σταθερή και επιζήμια για τη φήμη, ιδίως για επιχειρήσεις B2C.

10. Η Λίστα Ελέγχου Συμμόρφωσης RGPD 2026 για το Πορτογαλικό E-Commerce

Το πιο χρήσιμο εργαλείο για τη μετάφραση της νομοθεσίας σε λειτουργικές πρακτικές είναι μια συγκεκριμένη λίστα ελέγχου. Η παρακάτω λίστα συνοψίζει κάθε πρακτικό στοιχείο που καλύπτεται σε αυτόν τον οδηγό, ταξινομημένο κατά κίνδυνο επιβολής.

Διακυβέρνηση & Τεκμηρίωση

• Ορίστε DPO εάν ισχύουν τα κριτήρια του άρθρου 37 και καταχωρίστε στην CNPD
• Διατηρήστε ένα ROPA (Άρθρο 30) που καλύπτει κάθε σκοπό, νομική βάση, κατηγορία, διατήρηση, αποδέκτη και μεταφορά
• Διεξάγετε DPIA (Άρθρο 35) για επεξεργασία υψηλού κινδύνου
• Υπογράψτε DPA βάσει του Άρθρου 28 με κάθε εκτελούντα (cloud, email, αναλυτικά, marketplaces, πληρωμές, μεταφορείς)
• Τεκμηριώστε TIA για κάθε μεταφορά εκτός ΕΟΧ
• Διατηρήστε εσωτερικό μητρώο παραβιάσεων (Άρθρο 33 παρ. 5)

Προς τον Χρήστη

• Δημοσιεύστε πολιτική απορρήτου στα πορτογαλικά που καλύπτει κάθε στοιχείο των άρθρων 13/14, πολυεπίπεδη και με έκδοση
• Εφαρμόστε banner cookies συμβατό με την CNPD — συμμετρικό Αποδοχή/Απόρριψη, λεπτομερείς κατηγορίες απενεργοποιημένες από προεπιλογή, μόνιμη δυνατότητα ανάκλησης
• Εμφανίστε ειδοποιήσεις σημείου συλλογής σε κάθε φόρμα (εγγραφή, ολοκλήρωση παραγγελίας, newsletter, αξιολόγηση)
• Παρέχετε εύκολο κανάλι για αιτήματα υποκειμένων — email και/ή φόρμα ιστού με απάντηση εντός 30 ημερών
• Τηρήστε άμεσα την εναντίωση στο άμεσο μάρκετινγκ (το άρθρο 21 παρ. 3 είναι απόλυτο)

Τεχνικά & Οργανωτικά

• Εφαρμόστε την ασφάλεια του άρθρου 32 — κρυπτογράφηση σε κατάσταση αδράνειας και κατά τη μεταφορά, έλεγχο πρόσβασης, MFA σε πίνακες διαχείρισης, σαρώσεις ευπάθειας
• Εφαρμόστε ελαχιστοποίηση δεδομένων εκ σχεδιασμού (άρθρο 25)
• Επιβάλετε πολιτικές διατήρησης με αυτοματοποιημένη διαγραφή
• Ψευδωνυμοποιήστε ή ανωνυμοποιήστε όπου είναι δυνατόν, ιδίως στα αναλυτικά
• Δοκιμάστε ετησίως το πλάνο δράσης 72 ωρών μέσω άσκησης προσομοίωσης
• Εκπαιδεύστε το προσωπικό που χειρίζεται προσωπικά δεδομένα — ελάχιστη ετήσια ανανέωση

Τριμηνιαίος Έλεγχος Συμμόρφωσης

Διεξάγετε δομημένο τριμηνιαίο έλεγχο που καλύπτει: επικαιρότητα του ROPA σε σύγκριση με τους συνδεδεμένους εκτελούντες· έκδοση της πολιτικής απορρήτου σε σχέση με την τρέχουσα πραγματικότητα επεξεργασίας· λίστα scripts του banner cookies σε σύγκριση με τις δηλωμένες κατηγορίες· μητρώο αιτημάτων υποκειμένων (αριθμός, χρόνος απάντησης, αιτίες καθυστέρησης)· μητρώο παραβιάσεων (περιστατικά, βασικές αιτίες, αποκατάσταση)· απόθεμα DPA βάσει άρθρου 28· απόθεμα TIA· αρχείο εκπαίδευσης προσωπικού· αρχείο δραστηριότητας DPO (συμβουλές, DPIA, αλληλεπιδράσεις με την CNPD).

Συχνές Ερωτήσεις για το Πορτογαλικό RGPD 2026