RGPD e CNPD per l'e-commerce portoghese 2026: protezione dei dati, consenso ai cookie e guida alla conformità

Il panorama portoghese della protezione dei dati nel 2026

Tre strumenti giuridici e un'autorità di controllo regolano i dati personali per qualsiasi e-commerce in Portogallo. Il set di schede qui sotto: tienilo a portata di mano mentre approfondisci ogni argomento.

1. RGPD e Lei 58/2019 — il quadro portoghese a due livelli

RGPD: un regolamento, 27 paesi

Il Regulamento Geral de Proteção de Dados (RGPD) è la denominazione in lingua portoghese del Regolamento UE 2016/679, adottato il 27 aprile 2016 e applicabile dal 25 maggio 2018. Essendo un Regolamento UE (non una Direttiva), l'RGPD ha effetto diretto in Portogallo — i suoi 99 articoli vincolano ogni titolare e responsabile del trattamento stabilito in Portogallo, oltre a qualsiasi titolare al di fuori dell'UE che offra beni o servizi a persone in Portogallo (articolo 3, paragrafo 2, extraterritorialità).

Gli stessi obblighi si applicano sia che l'operatore sia un imprenditore individuale di Lisbona, una sociedade por quotas (Lda) di Porto, un'azienda tedesca che spedisce in Portogallo, o un venditore Shopify statunitense che si rivolge a consumatori portoghesi. Il regolamento è neutrale dal punto di vista tecnologico e basato sul rischio: il trattamento ad alto rischio (profilazione, categorie particolari, monitoraggio su larga scala) comporta obblighi più stringenti.

Lei 58/2019: il livello portoghese

L'RGPD lascia deliberatamente oltre 50 "clausole di apertura" agli Stati membri. Il Portogallo ha esercitato queste opzioni tramite la Lei n.º 58/2019, de 8 de agosto — la Lei de Proteção de Dados Pessoais (LPDP) — pubblicata oltre un anno dopo la data di applicazione dell'RGPD, sostituendo la precedente Lei 67/98. La LPDP aggiunge regole specifiche portoghesi che si sommano all'RGPD:

• Età del consenso — 13 anni (articolo 16 LPDP, inferiore all'età predefinita RGPD di 16 anni). I minori di 13 anni richiedono il consenso parentale verificabile.
• Regime di videosorveglianza (articoli 19–22 LPDP) — segnaletica CCTV, conservazione (30 giorni per default), notifica alla CNPD per gli spazi pubblici.
• Trattamento giornalistico/accademico/artistico (articolo 24 LPDP) — esenzioni limitate che bilanciano la protezione dei dati con la libertà di espressione.
• Illeciti amministrativi (articoli 37–50 LPDP) — norme procedurali specificamente portoghesi che integrano le sanzioni dell'articolo 83 dell'RGPD.

Lei das Comunicações Eletrónicas — il livello dei cookie

Un terzo strumento completa il quadro normativo: la Lei n.º 41/2004, la trasposizione portoghese della Direttiva ePrivacy UE 2002/58/CE. L'articolo 5, paragrafo 3, è la fonte giuridica del requisito del consenso ai cookie — cookie, pixel, tecnologie di fingerprinting e di local storage richiedono un consenso preventivo, libero e informato, indipendentemente dal fatto che trattino o meno dati personali. Ogni sito e-commerce portoghese necessita di un banner cookie a causa della normativa ePrivacy, non dell'RGPD in sé.

2. CNPD — l'autorità portoghese per la protezione dei dati

L'istituzione

La Comissão Nacional de Proteção de Dados (CNPD) è l'autorità di controllo indipendente del Portogallo. Istituita dalla Lei n.º 10/91 de 29 de abril, è una delle autorità di protezione dei dati più longeve dell'UE, avendo preceduto di quattro anni la Direttiva sulla protezione dei dati del 1995. La CNPD opera sotto la supervisione dell'Assembleia da República con piena indipendenza funzionale e decisionale (articolo 52 RGPD).

La CNPD è composta da sette membri: un Presidente eletto dal parlamento per un mandato quinquennale non rinnovabile, più sei membri (due parlamentari, due governativi, due cooptati). Sede: Avenida D. Carlos I, n.º 134, 1200-651 Lisboa.

I poteri della CNPD

Ai sensi degli articoli 57–58 dell'RGPD, integrati dalla Lei 58/2019:

• Poteri investigativi — richiedere informazioni, condurre audit e ispezioni, accedere agli impianti e ai registri di trattamento
• Poteri correttivi — ammonimenti, richiami, ordini di conformità alle richieste degli interessati, rettifica, cancellazione, divieti di trattamento, sospensione dei flussi transfrontalieri
• Sanzioni amministrative — fino a 20 milioni di euro o al 4% del fatturato annuo mondiale
• Poteri autorizzativi e consultivi — approvazione di BCR, SCC, meccanismi di certificazione; consulenza al parlamento e al governo

Come contattare la CNPD

• Sito web — cnpd.pt (registro delle decisioni, modulo reclami, modulo di notifica violazioni)
• Email generale — [email protected]
• Notifica di violazione — modulo online dedicato su cnpd.pt
• Registrazione DPO — modulo online, dati di contatto richiesti entro 30 giorni dalla nomina

CNPD rispetto ad altre autorità UE — lo stile portoghese

Lo stile di applicazione della CNPD è moderato ma tecnicamente rigoroso. Rispetto all'AEPD spagnola (molto litigiosa, migliaia di decisioni l'anno) o alla CNIL francese (grandi annunci pubblici di sanzioni), la CNPD emette meno decisioni ma si concentra sulle violazioni sistemiche e collabora strettamente attraverso il meccanismo di coerenza dell'EDPB. L'e-commerce portoghese attira tipicamente l'attenzione della CNPD attraverso tre canali: reclami degli interessati, notifiche obbligatorie di violazione e audit innescati da attenzione mediatica o politica.

3. Banner di consenso ai cookie — obbligatorio su ogni sito portoghese

La base giuridica

L'obbligo del consenso ai cookie ha due basi giuridiche complementari in Portogallo: l'articolo 5, paragrafo 3, della Direttiva ePrivacy UE 2002/58/CE, trasposta dalla Lei n.º 41/2004, e i requisiti di consenso dell'articolo 7 dell'RGPD. L'effetto combinato è che qualsiasi cookie, pixel, SDK, script di fingerprinting, oggetto di local storage o tecnologia di tracciamento simile che non sia strettamente necessaria per fornire il servizio esplicitamente richiesto dall'utente richiede un consenso preventivo, libero, specifico, informato e inequivocabile.

Cosa si intende per "strettamente necessario"

Una categoria ristretta è esente dal consenso perché strettamente necessaria per il servizio richiesto: cookie di sessione (accesso, carrello), token CSRF, cookie di bilanciamento del carico, il cookie stesso di preferenza del consenso, lo stato del player multimediale per contenuti attivamente richiesti, e la personalizzazione dell'interfaccia scelta dall'utente (lingua, modalità scura). Tutto il resto — GA4, Meta Pixel, TikTok Pixel, Hotjar, Clarity, retargeting, cookie per A/B test, font CDN di terze parti, player YouTube/Vimeo incorporati, pulsanti social che si caricano prima dell'interazione — richiede un consenso esplicito e preventivo prima dell'installazione.

Come si presenta un banner conforme

Le Orientações sobre cookies (2019/494) della CNPD, aggiornate nel 2022, definiscono i requisiti minimi:

• Il primo livello deve offrire "Accetta", "Rifiuta" e "Gestisci preferenze". Il rifiuto deve essere ugualmente evidente dell'accettazione (stesso colore, dimensione, posizione). I pulsanti di rifiuto con testo sbiadito (dark pattern) sono vietati (EDPB).
• Il secondo livello — interruttori granulari per ogni categoria non essenziale, disattivati per impostazione predefinita.
• Nessun cookie wall — negare l'accesso in caso di rifiuto è illegale (Linee guida EDPB 05/2020).
• Nessun "continuare a navigare equivale a consenso" — lo scorrimento o la navigazione non costituiscono consenso.
• Revoca facile quanto la concessione del consenso — pulsante flottante persistente o link nel footer.
• Richiesta ripetuta ogni 6–12 mesi, registro di controllo del consenso ai sensi dell'articolo 7, paragrafo 1, dell'RGPD.

Livelli del banner di consenso — quali categorie offrire

4. Informativa sulla privacy — obbligatoria e sempre aggiornata

L'obbligo informativo dell'articolo 13

Gli articoli 12, 13 e 14 dell'RGPD impongono a ogni titolare del trattamento di fornire informazioni estese agli interessati al momento della raccolta dei dati. Per un sito e-commerce, quel momento è generalmente ogni invio di modulo — registrazione, checkout, newsletter, contatto, recensione. In pratica, queste informazioni vivono in un unico documento, l'informativa sulla privacy (Política de Privacidade), collegata da ogni pagina e presentata nuovamente a ogni punto di raccolta.

Contenuto minimo obbligatorio

Un'informativa sulla privacy difendibile davanti alla CNPD nel 2026 include almeno:

• Identità del titolare — ragione sociale, NIPC, sede legale, email di contatto
• Contatto del DPO, se nominato — email dedicata come [email protected]
• Finalità del trattamento — elenco dettagliato (evasione ordini, assistenza clienti, marketing, analitica, prevenzione frodi, contabilità)
• Base giuridica per ogni finalità — articolo 6, paragrafo 1, dell'RGPD (consenso, contratto, obbligo legale, interessi vitali, interesse pubblico, legittimo interesse)
• Test di bilanciamento del legittimo interesse quando si invoca l'articolo 6, paragrafo 1, lettera f)
• Destinatari — gateway di pagamento, corrieri, marketplace, hosting cloud, provider di email
• Trasferimenti internazionali — paesi di destinazione, meccanismo (SCC / decisione di adeguatezza / DPF), link alle garanzie
• Periodi di conservazione per categoria (fatture 10 anni, marketing finché il consenso resta valido, analitica 14 mesi)
• Diritti degli interessati — elenco completo, incluso il diritto di reclamo alla CNPD
• Natura obbligatoria o contrattuale della fornitura dei dati e conseguenze del rifiuto
• Processo decisionale automatizzato e profilazione, se presenti, inclusi logica e significato
• Data dell'ultimo aggiornamento e cronologia delle versioni

Portoghese semplice — articolo 12 dell'RGPD

L'articolo 12, paragrafo 1, dell'RGPD richiede un'informativa concisa, trasparente, intelligibile e facilmente accessibile, in linguaggio chiaro e semplice. La CNPD ha ripetutamente criticato le informative disponibili solo in inglese quando rivolte a consumatori portoghesi (l'articolo 2 della Lei 58/2019 rafforza il requisito della lingua portoghese), che riciclano modelli generici senza nominare i responsabili del trattamento effettivi, che nascondono informazioni essenziali in un testo legale di 10.000 parole, o che uniscono l'informativa sulla privacy ai termini d'uso.

Informativa a livelli — migliore prassi

La CNPD approva l'approccio dell'EDPB dell'informativa a livelli: un breve riassunto in cima (1–2 paragrafi su identità, finalità e diritti) seguito da dettagli completi in sezioni espandibili, più una "scheda informativa" per ogni modulo (un avviso di raccolta di 2–3 frasi che rimanda all'informativa completa) per la conformità all'articolo 13.

5. Nomina del DPO — quando e come

Quando è obbligatorio nominare un DPO?

L'articolo 37 dell'RGPD richiede un DPO (Encarregado de Proteção de Dados — EPD) in tre scenari: (a) autorità pubbliche (esclusi i tribunali); (b) attività principale = monitoraggio regolare e sistematico su larga scala; (c) attività principale = trattamento su larga scala di categorie particolari di dati o dati relativi a condanne penali. Per l'e-commerce portoghese, il fattore scatenante pratico è tipicamente il punto (b). Le Linee guida dell'EDPB (WP 243 rev.01, approvate dalla CNPD) chiariscono che l'"attività principale" esclude le funzioni accessorie come le buste paga; "larga scala" è contestuale (numero di interessati, volume, durata, ambito geografico).

Esempi pratici di soglie scatenanti

Soglie reali in cui la nomina del DPO è fortemente raccomandata o obbligatoria:

• Oltre 10.000 clienti nel CRM con segmentazione comportamentale
• Retargeting live su Meta + Google Ads + TikTok con matching cross-device
• Programma fedeltà che traccia la cronologia delle transazioni su più canali e nel tempo
• Operatore di marketplace che gestisce contemporaneamente i dati di venditori e acquirenti
• E-commerce di salute, bellezza o farmacia che tratta dati che possono qualificarsi come dati sanitari ai sensi dell'articolo 9
• Negozio di prodotti per bambini che gestisce flussi di consenso parentale per gli under 13

Cosa fa il DPO

Gli articoli 38–39 dell'RGPD definiscono i compiti e le tutele del DPO:

• Informa e consiglia il titolare, il responsabile del trattamento e i dipendenti sui loro obblighi
• Monitora la conformità all'RGPD, alla Lei 58/2019 e alle politiche interne, incluso la formazione
• Fornisce pareri sulle DPIA quando previsto dall'articolo 35
• Coopera con la CNPD come punto di contatto con l'autorità di controllo
• Indipendenza — non può ricevere istruzioni sui compiti né essere licenziato per averli svolti (articolo 38, paragrafo 3)
• Nessun conflitto di interessi — il DPO non può essere CEO, CMO, direttore IT o responsabile HR

DPO interno o esterno + registrazione presso la CNPD

Un DPO può essere un dipendente o un fornitore di servizi esterno. Per le PMI portoghesi, il DPO esterno come servizio costa tipicamente tra 350 e 1.500 euro al mese, a seconda della complessità. L'articolo 37, paragrafo 7, dell'RGPD obbliga il titolare a pubblicare i contatti del DPO e a notificarli alla CNPD tramite il modulo online, aggiornato entro 30 giorni da qualsiasi variazione. La mancata notifica costituisce una violazione procedurale sanzionabile fino a 10 milioni di euro o al 2% del fatturato.

6. Diritti degli interessati — SLA operativo

Gli otto diritti degli interessati portoghesi

Il Capo III dell'RGPD garantisce a ogni individuo (cliente, potenziale cliente, contatto di un fornitore o dipendente) una serie di diritti esercitabili:

1. Diritto a essere informati (articoli 13–14) — esercitato tramite l'informativa sulla privacy e gli avvisi di raccolta
2. Diritto di accesso (articolo 15) — conferma che i dati sono trattati, più una copia dei dati e del contesto del trattamento
3. Diritto di rettifica (articolo 16) — correzione di dati inesatti o incompleti
4. Diritto alla cancellazione (articolo 17, "diritto all'oblio") — cancellazione quando ricorre una delle sei condizioni
5. Diritto di limitazione del trattamento (articolo 18) — "congelamento" temporaneo in attesa di verifica
6. Diritto alla portabilità dei dati (articolo 20) — esportazione in formato leggibile da dispositivo automatico dei dati forniti dall'interessato
7. Diritto di opposizione (articolo 21) — assoluto contro il marketing diretto; test di bilanciamento per altri trattamenti
8. Diritto di non essere sottoposti a un processo decisionale esclusivamente automatizzato (articolo 22) — inclusa la profilazione con effetti giuridici o significativi analoghi

Tempistiche di risposta — articolo 12, paragrafo 3, dell'RGPD

I titolari devono rispondere entro 30 giorni, prorogabili di due mesi per complessità o volume — la proroga deve essere comunicata entro il primo mese, con le relative motivazioni. Per l'e-commerce portoghese che gestisce migliaia di record su più marketplace, questo SLA è operativamente impegnativo. La maggior parte dei mancati adempimenti deriva da dati frammentati sparsi tra Shopify, Amazon Seller Central, Worten Marketplace, email e software di contabilità. Un registro centralizzato dei dati clienti come quello di Zunapro riduce il tempo di risposta ai sensi dell'articolo 15 da giorni a minuti.

Verifica dell'identità e rifiuto

L'articolo 12, paragrafo 6, dell'RGPD consente un'ulteriore verifica dell'identità solo in caso di dubbio ragionevole. Prassi comune: convalidare l'email registrata, eventualmente richiedere un documento d'identità con dati oscurati. Il rifiuto è consentito solo quando la richiesta è manifestamente infondata o eccessiva; il titolare deve dimostrarlo e può, in alternativa, addebitare una tariffa ragionevole.

Diritto alla cancellazione vs. conservazione legale

Tensione operativa comune: un cliente richiede la cancellazione ai sensi dell'articolo 17, ma il titolare deve conservare le fatture per 10 anni (Código do IVA, articolo 52) e i registri contabili per 10 anni (Código Comercial, articolo 40). L'articolo 17, paragrafo 3, lettera b), risolve questo conflitto — la cancellazione non si applica ai dati trattati per adempiere a obblighi legali. Gestione pratica: anonimizzare i dati di marketing e comportamentali, conservare i dati di fatturazione/contabilità in un archivio bloccato con accesso limitato, e informare per iscritto il cliente su ciò che è stato cancellato e ciò che è stato conservato.

7. Violazione di dati personali — la finestra di notifica entro 72 ore

Cosa si intende per violazione

L'articolo 4, punto 12, dell'RGPD definisce una violazione di dati personali come "la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati". Tre categorie si sovrappongono nella pratica:

• Violazione di riservatezza — divulgazione o accesso non autorizzato (fuga di dati, esfiltrazione da parte di un hacker, email inviata per errore)
• Violazione di integrità — modifica non autorizzata dei dati (manomissione del database, cifratura da ransomware)
• Violazione di disponibilità — perdita di accesso ai dati (blocco da ransomware senza recupero, distruzione del server)

Notifica alla CNPD — articolo 33

Quando si verifica una violazione, il titolare deve notificarla alla CNPD entro 72 ore da quando ne è venuto a conoscenza, salvo che la violazione sia improbabile che presenti un rischio per i diritti e le libertà delle persone fisiche. La notifica deve includere:

• La natura della violazione, comprese, ove possibile, le categorie e il numero approssimativo di interessati e di record coinvolti
• Nome e recapiti del DPO o di altro punto di contatto
• Le probabili conseguenze della violazione
• Le misure adottate o proposte per porre rimedio alla violazione e attenuarne i possibili effetti negativi

Qualora non sia possibile fornire tutte le informazioni entro 72 ore, è accettabile una notifica parziale, con il resto fornito senza ingiustificato ritardo. Il modulo online di notifica delle violazioni della CNPD supporta aggiornamenti incrementali — l'invio iniziale può essere una notifica provvisoria seguita da aggiornamenti dettagliati entro pochi giorni.

Notifica agli interessati — articolo 34

Se la violazione può comportare un rischio elevato per i diritti e le libertà, il titolare deve anche comunicare la violazione agli interessati coinvolti senza ingiustificato ritardo, in portoghese chiaro, descrivendo concretamente la violazione, con il contatto del DPO, le conseguenze e le misure di attenuazione. Tre eccezioni ai sensi dell'articolo 34, paragrafo 3, esonerano dalla notifica diretta: i dati erano cifrati con chiavi non compromesse, le misure successive hanno eliminato il rischio elevato, oppure la notifica richiederebbe uno sforzo sproporzionato (nel qual caso è richiesta invece una comunicazione pubblica).

Registro interno delle violazioni e piano d'azione 2026

L'articolo 33, paragrafo 5, dell'RGPD richiede di documentare tutte le violazioni di dati personali (anche quelle a basso rischio che non hanno richiesto notifica): timestamp della presa di conoscenza, fonte del rilevamento, classificazione, ambito, categorie e numero di interessati, valutazione del rischio, decisione di notifica e relativi timestamp, rimedio, analisi delle cause profonde, lezioni apprese. Un piano d'azione operativo per le 72 ore:

• Ora 0 — Rilevamento — allerta, triage immediato, identificazione dell'ambito
• Ora 0–4 — Contenimento — revoca delle credenziali, isolamento dei sistemi, conservazione delle prove forensi
• Ora 4–24 — Valutazione del rischio — il DPO guida l'analisi, decisione sulla notifica
• Ora 24–48 — Notifica iniziale alla CNPD tramite il modulo cnpd.pt (una notifica provvisoria è accettabile)
• Ora 48–72 — Notifica completa, decisione sulla comunicazione agli interessati ai sensi dell'articolo 34
• Giorno 3–7 — Comunicazione agli interessati, se necessaria (email e dichiarazione pubblica)
• Dal giorno 7 in poi — Lezioni apprese, aggiornamento del registro, follow-up con la CNPD

8. Trasferimenti di dati transfrontalieri — le SCC dopo Schrems II

Il terremoto Schrems II

Il 16 luglio 2020 la Corte di Giustizia dell'Unione Europea ha emesso la sua sentenza Schrems II (C-311/18), invalidando il quadro del Privacy Shield UE-USA che fino ad allora regolava circa 5.000 flussi di dati transatlantici. La Corte ha riaffermato la validità delle Clausole Contrattuali Standard (SCC), ma ha aggiunto una condizione critica: il titolare deve verificare che la legge e la prassi del paese di destinazione offrano una protezione sostanzialmente equivalente all'RGPD; in caso contrario, devono essere attuate misure supplementari o il trasferimento deve essere interrotto.

Il kit di strumenti per i trasferimenti nel 2026

Cinque meccanismi previsti dal Capo V dell'RGPD possono autorizzare legalmente i trasferimenti verso paesi extra-SEE:

• Articolo 45 — Decisione di adeguatezza — attualmente: Andorra, Argentina, Canada (settore commerciale), Isole Fær Øer, Guernsey, Israele, Isola di Man, Giappone, Jersey, Nuova Zelanda, Corea del Sud, Svizzera, Regno Unito, Uruguay. Islanda, Liechtenstein e Norvegia sono considerati parte dello SEE.
• Articolo 46 — Garanzie adeguate — SCC, BCR, codici di condotta approvati, certificazioni.
• Articolo 47 — Norme vincolanti d'impresa — infragruppo, approvate dall'autorità di controllo capofila e dall'EDPB.
• Articolo 49 — Deroghe — consenso esplicito (solo occasionale), necessità contrattuale, interessi pubblici/vitali. Non per l'attività commerciale ordinaria.
• Data Privacy Framework UE-USA (DPF) — in vigore dal 10 luglio 2023, in sostituzione del Privacy Shield. Gli importatori statunitensi autocertificati (AWS, Google, Microsoft, Meta, Salesforce, HubSpot, Mailchimp, Stripe, Shopify) ricevono uno status di adeguatezza ai sensi dell'articolo 45.

Le SCC UE 2021 e la Valutazione d'Impatto sul Trasferimento

Le SCC 2021 della Commissione (Decisione di esecuzione 2021/914) sono modulari, con quattro scenari: titolare→titolare, titolare→responsabile, responsabile→responsabile, responsabile→titolare. Le vecchie SCC del 2010 sono state abrogate per i nuovi contratti dal 27 settembre 2021 e per tutti i contratti dal 27 dicembre 2022 — qualsiasi SCC del 2010 nel 2026 non è valida e deve essere migrata immediatamente.

In seguito alla sentenza Schrems II e alle Raccomandazioni 01/2020 dell'EDPB, i titolari devono completare una Valutazione d'Impatto sul Trasferimento (TIA) per ogni trasferimento non coperto da una decisione di adeguatezza: mappatura del trasferimento, meccanismo (SCC/BCR/DPF), valutazione della normativa sull'accesso governativo del paese terzo (ad es. la sezione FISA 702 negli USA), misure supplementari (cifratura a riposo con chiavi detenute nell'UE, pseudonimizzazione), conclusione sulla protezione sostanzialmente equivalente. La CNPD non richiede la presentazione preventiva della TIA, ma la pretenderà in qualsiasi audit che coinvolga responsabili del trattamento extra-SEE.

Stack pratico per il 2026

• Cloud (AWS / GCP / Azure) — certificati DPF + regioni UE; preferire le regioni UE, documentare il DPF come soluzione di riserva
• Email (Mailchimp, SendGrid) — certificati DPF; alternative UE come Brevo spesso preferibili
• Analitica (GA4) — certificato DPF + Consent Mode v2 + anonimizzazione IP
• Assistenza clienti (Zendesk, Intercom) — DPF + componenti aggiuntivi di residenza dati UE disponibili
• API dei marketplace (Amazon SP-API) — instradate nell'UE per gli account venditore europei

9. Sanzioni CNPD — fino a 20 milioni di euro o al 4% del fatturato globale

Sanzioni a livelli dell'articolo 83

L'articolo 83 dell'RGPD stabilisce due livelli sanzionatori, con la CNPD in grado di imporre l'importo maggiore tra il massimale fisso e la percentuale del fatturato:

Livello	Sanzione massima	Violazioni coperte
Livello 1 (articolo 83, paragrafo 4)	10 M € o 2% del fatturato annuo globale	Registri (art. 30), sicurezza (art. 32), notifica delle violazioni (artt. 33–34), nomina del DPO (artt. 37–39), DPIA (artt. 35–36), consenso dei minori (art. 8), certificazione, codici di condotta
Livello 2 (articolo 83, paragrafo 5)	20 M € o 4% del fatturato annuo globale	Base giuridica (artt. 5–6), condizioni per il consenso (art. 7), categorie particolari (art. 9), diritti degli interessati (artt. 12–22), trasferimenti internazionali (artt. 44–49), mancata osservanza degli ordini della CNPD
Lei 58/2019	Illeciti amministrativi specifici del Portogallo	Gli articoli 37–50 della LPDP aggiungono sanzioni dettagliate per questioni specificamente portoghesi (videosorveglianza senza segnaletica, violazione dell'esenzione giornalistica, ecc.)

Come la CNPD calcola la sanzione

I fattori dell'articolo 83, paragrafo 2, valutati dalla CNPD: natura, gravità e durata; carattere doloso o colposo; misure di mitigazione; misure tecniche e organizzative; precedenti violazioni; cooperazione con la CNPD; categorie di dati coinvolti; modalità con cui la violazione è venuta a conoscenza; adesione a codici di condotta; benefici finanziari ottenuti o perdite evitate.

Le sanzioni più significative della CNPD — storico

• 4,3 milioni di € — INE (Instituto Nacional de Estatística, 2021) — trasferimento di dati del censimento a un sub-responsabile statunitense senza garanzie ai sensi dell'articolo 46; la più grande sanzione RGPD portoghese fino a oggi
• 1,25 milioni di € — Hospital do Barreiro (2018) — accesso eccessivo ai dati clinici; la sanità è un settore prioritario per la CNPD
• 400.000 € — Câmara Municipal de Lisboa (2021) — divulgazione dei dati personali degli organizzatori di manifestazioni
• 170.000 € — Banco Santander Totta (2021) — risposta inadeguata alle richieste degli interessati
• Numerose sanzioni PMI da 10.000 a 75.000 € per banner cookie, mancanza di contatto del DPO e notifiche di violazione tardive

Oltre la sanzione — responsabilità civile

L'articolo 82 dell'RGPD garantisce agli interessati un diritto al risarcimento per danni materiali o immateriali. I tribunali portoghesi hanno iniziato a riconoscere danni non patrimoniali (ansia, perdita di controllo) di 500–5.000 euro per ciascun interessato colpito — moltiplicati su migliaia di interessati, la responsabilità civile può superare di gran lunga la sanzione amministrativa. La copertura stampa delle decisioni della CNPD è costante e dannosa per la reputazione, in particolare per i brand B2C.

10. La checklist di conformità RGPD 2026 per l'e-commerce portoghese

Lo strumento più utile per tradurre la normativa in operatività è una checklist concreta. L'elenco seguente riassume ogni elemento operativo trattato in questa guida, ordinato per rischio di applicazione.

Governance e documentazione

• Nomina un DPO se ricorrono le condizioni dell'articolo 37 e registralo presso la CNPD
• Mantieni un ROPA (articolo 30) che copra ogni finalità, base giuridica, categoria, periodo di conservazione, destinatario e trasferimento
• Effettua una DPIA (articolo 35) per il trattamento ad alto rischio
• Firma DPA ai sensi dell'articolo 28 con ogni responsabile del trattamento (cloud, email, analitica, marketplace, pagamenti, corrieri)
• Documenta le TIA per ogni trasferimento extra-SEE
• Mantieni un registro interno delle violazioni (articolo 33, paragrafo 5)

Elementi rivolti all'utente

• Pubblica un'informativa sulla privacy in lingua portoghese che copra ogni elemento degli articoli 13/14, a livelli e con versionamento
• Implementa un banner cookie conforme alla CNPD — Accetta/Rifiuta simmetrici, categorie granulari disattivate per impostazione predefinita, revoca persistente
• Mostra avvisi al punto di raccolta a ogni modulo (registrazione, checkout, newsletter, recensione)
• Fornisci un canale semplice per le richieste degli interessati — email e/o modulo web con risposta entro 30 giorni
• Rispetta immediatamente l'opposizione al marketing diretto (l'articolo 21, paragrafo 3, è assoluto)

Misure tecniche e organizzative

• Implementa la sicurezza dell'articolo 32 — cifratura a riposo e in transito, controllo degli accessi, MFA sui pannelli di amministrazione, scansioni delle vulnerabilità
• Applica la minimizzazione dei dati fin dalla progettazione (articolo 25)
• Applica politiche di conservazione con cancellazione automatizzata
• Pseudonimizza o anonimizza ove possibile, in particolare nell'analitica
• Testa annualmente il piano d'azione per le violazioni entro 72 ore tramite un'esercitazione a tavolino
• Forma il personale che tratta dati personali — corso di aggiornamento annuale minimo

Audit di conformità trimestrale

Esegui un audit trimestrale strutturato che copra: aggiornamento del ROPA rispetto ai responsabili del trattamento collegati; versione dell'informativa sulla privacy rispetto alla realtà attuale del trattamento; elenco degli script del banner cookie rispetto alle categorie dichiarate; registro delle richieste degli interessati (numero, tempi di risposta, cause dei ritardi); registro delle violazioni (incidenti, cause profonde, rimedi); inventario dei DPA ai sensi dell'articolo 28; inventario delle TIA; registro della formazione del personale; registro delle attività del DPO (pareri, DPIA, interazioni con la CNPD).

FAQ sull'RGPD portoghese 2026