Quem notifica a CNPd?

Prazo de 72 horas para notificação

Saber quem notifica a cnpd evita falhas administrativas graves e garante o cumprimento rigoroso das obrigações jurídicas. Compreender a responsabilidade legal protege a organização contra consequências indesejadas decorrentes de incidentes de segurança.

Quem tem a obrigação legal de notificar a CNPD?

A obrigação legal de efetuar qualquer notificação à Comissão Nacional de Proteção de Dados (CNPD) recai exclusivamente sobre o responsável pelo tratamento (entidade pública ou privada que determina as finalidades dos dados) ou, quando aplicável, sobre o seu representante legal.^[1] Esta resposta inicial é simples, mas esconde pormenores administrativos cruciais.

Há quem confunda o papel do Encarregado de Proteção de Dados (EPD ou DPO) com o da própria organização, embora o EPD atue como o intermediário oficial e ponto de contacto técnico com a autoridade de controlo, enquanto a responsabilidade jurídica e as consequências pelo incumprimento pertencem sempre à organização.

No ecossistema corporativo atual, as tarefas costumam ser delegadas e os papéis baralhados com facilidade pelas equipas internas. Muitas empresas acreditam piamente que contratar um especialista em privacidade resolve todas as obrigações num passe de mágica.

Mas o direito da proteção de dados é pragmático e rigoroso perante falhas operacionais. Se houver uma falha grave na comunicação ou um atraso na entrega de documentação obrigatória, a fatura das coimas chega em nome da empresa, nunca do consultor. Perceber quem assina o formulário e quem responde legalmente perante o Estado é o primeiro passo para evitar sanções severas.

A notificação da designação do Encarregado de Proteção de Dados (EPD)

A comunicação da identidade e dos contactos do EPD à autoridade de controlo deve ser feita por cada organização de forma isolada através de um formulário digital próprio.

É aqui que surgem os maiores erros processuais no mercado nacional, sendo comum que muitas marcas integradas em consórcios pensem equivocadamente que basta notificação cnpd encarregado de proteção de dados feita centralizadamente pela casa-mãe.

A verdade regulamentar dita que, se existirem várias empresas num mesmo grupo empresarial e cada uma delas tiver a obrigação legal de designar um EPD, cada pessoa coletiva em Portugal tem de realizar uma notificação estritamente individual à CNPD.

Recordo-me perfeitamente de acompanhar uma auditoria técnica em que um grupo empresarial de retalho com quatro filiais ativas em território nacional tinha centralizado toda a proteção de dados na holding principal sediada em Espanha. Eles assumiram que os formulários submetidos em Madrid cobriam as operações portuguesas automaticamente, o que se revelou um erro crasso.

A equipa local teve de preencher quatro formulários independentes à pressa e justificar os atrasos administrativos à autoridade portuguesa para evitar processos contraordenacionais desnecessários.

Partilhar o mesmo profissional é perfeitamente legal, mas a obrigações cnpd encarregado proteção dados epd continua a ser estritamente individualizada por contribuinte.

Quem notifica a CNPD em caso de violação de dados pessoais?

A comunicação de uma violação de dados (data breach) é uma das obrigações mais críticas e o preenchimento deve ser liderado pelo responsável pelo tratamento. Caso a segurança de uma base de dados seja comprometida, o prazo limite para a como notificar a cnpd violação de dados expira em 72 horas após a organização ter tomado conhecimento do incidente.^[3]

Este intervalo temporal rígido obriga a uma coordenação impecável entre as equipas técnicas de engenharia, segurança da informação e a gerência.

Mas o que acontece se o ataque ocorrer em servidores geridos por fornecedores externos? Quando o incidente ocorre na infraestrutura de um subcontratante, este tem a obrigação de alertar o responsável pelo tratamento sem demora injustificada.

O subcontratante não deve notificar a CNPD diretamente; o seu dever legal restringe-se a fornecer todos os detalhes detalhados à empresa proprietária dos dados para que esta possa cumprir a sua janela de 72 horas perante a autoridade pública.

Se o fornecedor falhar na triagem inicial, compromete toda a cadeia de conformidade jurídica.

Responsabilidades de Notificação: Responsável vs Subcontratante

Responsável pelo Tratamento (Empresa/Entidade) ⭐

• Obrigatória e individualizada por cada pessoa coletiva ativa

• Responsável direto por avisar os cidadãos afetados se o risco for elevado

• Deve submeter o formulário oficial à CNPD no prazo máximo de 72 horas

Subcontratante (Fornecedor de Software/Cloud)

• Apenas comunica à CNPD o seu próprio EPD interno, se obrigatório

• Presta apoio técnico ao responsável, mas não comunica com o público

• Proibido de notificar a CNPD diretamente; avisa o cliente sem demora

A odisseia burocrática da TechSolutions em Lisboa

A TechSolutions, uma agência digital sediada em Lisboa com cerca de 45 colaboradores, enfrentou sérios problemas em janeiro de 2026. A gerência acreditava que as burocracias da privacidade eram secundárias.

A empresa sofreu uma intrusão num servidor de testes que expôs dados de clientes. O fornecedor de alojamento cloud identificou a falha, mas a TechSolutions tentou remendar o código internamente sem documentar nada e sem falar com especialistas durante quatro dias.

A equipa técnica apercebeu-se de que a falha tinha afetado dados de produção reais. Em pânico e sem um plano de resposta, o administrador percebeu que precisava de ajuda urgente para travar a crise reputacional.

A gerência contratou um EPD externo em regime de prestação de serviços, desenhou uma política de deteção de falhas e formalizou a comunicação do incidente à CNPD com cinco dias de atraso, aprendendo da pior forma que a prevenção evita multas.