RGPD e Websites: O que o seu Site Precisa de Cumprir em 2026 (Checklist)

Senta-te. Vamos falar de uma coisa que ninguém gosta de falar, mas que pode custar-te uma fortuna se ignorares. O RGPD. O Regulamento Geral sobre a Proteção de Dados. Eu sei, parece um daqueles assuntos que só os advogados percebem. Mas a verdade é que se tens um site, estás sujeito a ele. E em 2026, a coisa apertou.

Conheço o caso da Sofia. Tem um pequeno site de venda de artesanato. Um dia, recebeu uma carta de um escritório de advogados a pedir 5.000 euros de indemnização porque o site dela não tinha um banner de cookies. Sim, 5.000 euros. Por um banner. A Sofia ficou em pânico, obviamente. Não tinha dinheiro para pagar, não tinha tempo para discutir, e passou dois meses a pensar que ia perder o negócio.

A história da Sofia é mais comum do que se imagina. Os escritórios de advogados especializados em RGPD estão a caçar sites que não cumprem as regras. E o pior? A maioria dos sites em Portugal não cumpre. O teu provavelmente também não.

Mas a boa notícia é que cumprir o RGPD não é complicado. É uma checklist de itens que, uma vez feitos, protegem o teu negócio. E, já agora, melhoram a experiência do utilizador.

O que é o RGPD (explicado de forma simples)

O RGPD é uma lei europeia que protege os dados pessoais dos cidadãos. Em termos práticos, significa que tu, como dono de um site, tens de ser transparente sobre os dados que recolhes, como os usas, e dar às pessoas o controlo sobre esses dados.

Isto aplica-se a:

• Dados de clientes: nome, email, telefone, morada, dados de pagamento
• Dados de funcionários: informação pessoal, salários, avaliações
• Dados de fornecedores: contactos, informações de faturação
• Dados de visitantes do site: cookies, IPs, comportamento de navegação

A multa pode chegar aos 20 milhões de euros ou 4% do faturamento anual global — o que for maior. Não é uma brincadeira. E em 2026, as autoridades têm sido mais ativas. Na Europa, já foram aplicadas multas de centenas de milhões de euros. Em Portugal, a CNPD tem aplicado coimas que vão desde os milhares até aos milhões de euros.

Se ainda tens dúvidas sobre a importância do RGPD, lembra-te que a confiança é um fator crítico para aparecer no Google.

O que o teu site precisa de ter — Checklist RGPD 2026

Vamos ao que interessa. Aqui está a checklist completa do que o teu site precisa de cumprir. Não são sugestões. São requisitos legais.

1. Política de Privacidade

A política de privacidade é o documento que explica aos utilizadores o que fazes com os dados deles. Deve ser:

• Clara e acessível: escrita em linguagem simples, não em jargão jurídico
• Específica: explicar exatamente que dados recolhes, para quê, e com quem os partilhas
• Atualizada: refletir as práticas atuais do teu site
• Acessível: disponível em todas as páginas do site (normalmente no rodapé)

Não precisa de ser um documento de 50 páginas. Precisa de ser claro e honesto. As pessoas apreciam a transparência.

2. Banner de Cookies

Este é o mais famoso, e o mais ignorado. O banner de cookies deve aparecer assim que o utilizador entra no site, e deve:

• Informar claramente sobre o uso de cookies
• Oferecer uma opção de recusar — não pode ter apenas um botão "aceitar"
• Permitir a gestão de preferências por categoria de cookies
• Ser tão fácil de recusar como de aceitar — a lei exige paridade

Muitos sites usam banners falsos, que só têm um botão "aceitar" e escondem a opção de recusar. Isso é ilegal. As autoridades já multaram empresas por isso.

3. Formulários com Consentimento

Os formulários de contacto e de subscrição de newsletter têm de incluir uma caixa de verificação onde o utilizador dá consentimento explícito para receber comunicações. Não pode estar pré-marcada. O utilizador tem de clicar ativamente.

Além disso, tens de explicar para que serve o consentimento. "Aceito receber comunicações sobre novidades e promoções" é suficiente. "Aceito os termos" não é.

4. Registo de Atividades de Tratamento (ROPA)

Este é um dos requisitos mais esquecidos e mais multados. O artigo 30.º do RGPD exige que mantenhas um registo de todas as atividades de tratamento de dados.

O registo deve conter:

• Finalidade do tratamento
• Categorias de dados pessoais
• Titulares dos dados
• Destinatários (quem recebe os dados)
• Transferências para países terceiros
• Prazos de conservação
• Medidas de segurança

Não é um luxo. É uma obrigação legal. E a CNPD já afirmou que a ausência deste registo é, por si só, uma infração.

5. Contratos com Subcontratantes

Se usas Google Analytics, Mailchimp, Shopify, ou qualquer serviço externo, és obrigado a ter um contrato por escrito com esse subcontratante. O contrato deve incluir cláusulas específicas do RGPD.

Os reguladores reconhecem que muitas relações com processadores são estabelecidas por meio de termos online padronizados. Por exemplo, os Termos de Processamento de Dados do Google aplicam-se automaticamente quando usas o Analytics ou Ads. No entanto, és tu que tens de ser capaz de demonstrar que reviste e aceitaste o DPA do fornecedor.

6. Medidas Técnicas de Segurança

Os dados que recolhes têm de estar protegidos. Isto inclui:

• HTTPS com certificado SSL válido
• Pseudonimização: dados devem ser armazenados de forma a não identificar diretamente o titular
• Encriptação: dados em trânsito (TLS) e em repouso (armazenamento)
• Controlo de acessos: apenas pessoas autorizadas têm acesso
• Registo de acessos: quem acedeu, quando e porquê
• Backups regulares e seguros

Em 2026, a encriptação de dados em repouso já é um requisito mínimo em Portugal. E com o aumento dos ataques a pequenas empresas, a segurança é uma questão de sobrevivência.

7. Notificação de Violações

Se ocorrer uma violação de dados (fuga, acesso não autorizado, perda de dados), tens de notificar a CNPD no prazo de 72 horas, caso a violação represente risco para os titulares dos dados.

Isto significa que tens de ter um processo definido. Não podes estar a pensar no que fazer enquanto o tempo passa. Tens de saber:

• Quem regista a violação?
• Como é comunicada aos titulares?
• Existe um plano de resposta a incidentes?

Em 2026, o regulador exige evidência de que o processo existe, não apenas que está previsto na lei.

8. Avaliação de Impacto sobre a Proteção de Dados (DPIA)

Se o teu site trata dados em larga escala ou dados sensíveis (saúde, biometria, etc.), és obrigado a realizar uma DPIA. A DPIA avalia os riscos para os titulares e define medidas de mitigação.

Isto não é opcional. Se tratas dados sensíveis e não fazes DPIA, estás a violar o RGPD. Ponto final.

9. Direitos dos Titulares

O RGPD dá aos utilizadores uma série de direitos sobre os dados deles:

• Direito de acesso: o utilizador pode pedir cópia de todos os dados que tens sobre ele.
• Direito de retificação: corrigir dados incorretos.
• Direito ao esquecimento: pedir que os dados sejam apagados.
• Direito de oposição: opor-se ao tratamento para marketing direto.
• Direito de portabilidade: receber os dados num formato estruturado (JSON/CSV).
• Direito de limitação: pedir para suspender o tratamento em certas circunstâncias.

Tens de ter um processo para lidar com estes pedidos. E tens de responder em 30 dias. Gratuitamente.

10. Prazo de Conservação de Dados

O RGPD exige que definas prazos de conservação para os dados que recolhes. Não podes manter os dados para sempre "porque sim".

Exemplo: dados de clientes inativos podem ser apagados após 2 anos, a menos que haja obrigação legal (ex: faturação). Define os prazos, documenta-os, e cumpre-os.

11. Transferência Internacional de Dados

Se usas serviços baseados fora da UE (ex: Google, Mailchimp, AWS), os teus dados podem estar a ser transferidos para os EUA.

A decisão de adequação dos EUA (Data Privacy Framework) é válida, mas tens de monitorizar a conformidade. E tens de documentar essas transferências.

12. Nomeação de DPO ou Representante

Se tratas dados sensíveis ou dados em larga escala, és obrigado a nomear um Encarregado de Proteção de Dados (DPO). Se não o fazes, estás a violar o RGPD.

Mesmo que não sejas obrigado a ter um DPO, deves nomear um representante legal para efeitos do RGPD. Alguém que responda perante a CNPD.

Base Legal: O que o teu site faz com os dados?

O RGPD exige que cada atividade de tratamento tenha uma base legal. Não podes simplesmente recolher dados porque sim.

As bases legais possíveis são:

• Consentimento: o utilizador deu autorização explícita.
• Execução de contrato: precisas dos dados para cumprir um contrato.
• Obrigação legal: a lei exige que recolhas esses dados.
• Interesse legítimo: tens um interesse legítimo no tratamento, desde que não se sobreponha aos direitos do titular.

O consentimento não é a única base legal. E, na verdade, muitas vezes não é a mais adequada. Por exemplo, para enviar um produto que foi encomendado, a base legal é a execução do contrato, não o consentimento.

Identifica a base legal para cada tratamento. Documenta-a. E garante que a base legal é realmente válida.

Os erros mais comuns (e como evitá-los)

Com base nos projetos que já vi, aqui estão os erros mais comuns:

• Ausência de registo de tratamentos: a CNPD considera a falta do registo do artigo 30.º como uma infração por si só
• Falta de contratos com subcontratantes: se usas Google Analytics ou Mailchimp, tens de ter contrato ao abrigo do artigo 28.º
• Banner de cookies sem opção de recusar: é a falha mais comum e a mais multada
• Formulários sem consentimento explícito: caixas pré-marcadas são ilegais
• Falta de política de privacidade: muitos sites simplesmente não têm
• Não responder a pedidos de eliminação: ignorar pedidos de clientes pode resultar em coimas
• Falta de medidas de segurança: HTTPS não chega. Precisas de encriptação, pseudonimização, controlo de acessos.

Felizmente, a maioria destes erros é fácil de corrigir. E com a checklist que te dei, já tens um bom ponto de partida.

Quanto custa cumprir o RGPD?

Depende do que precisas. Se tens um site simples, podes adicionar uma política de privacidade e um banner de cookies por menos de 100 €. Se tens um site mais complexo, com múltiplos formulários, integrações e sistemas de email marketing, o custo pode ser maior.

Mas compara com a multa de 5.000 € que a Sofia recebeu. O RGPD é como um seguro: custa pouco, mas protege muito. E, honestamente, é uma despesa que não devia ser opcional. Se tens um site, tens de cumprir. Ponto.

Se estás a pensar em criar um site do zero, consulta o nosso guia de preços para perceber o investimento total.

Conclusão: Conformidade não é uma opção

O RGPD não é um bicho de sete cabeças. É um conjunto de regras que, na sua essência, são sobre transparência e respeito. As pessoas confiam em ti com os dados delas. A tua parte é honrar essa confiança.

Mas há outra razão, mais pragmática: a conformidade é uma vantagem competitiva. Numa altura em que os consumidores estão cada vez mais conscientes sobre a privacidade, um site que cumpre o RGPD transmite confiança. E confiança vende.

Agora, responde honestamente: quantos destes 12 itens o teu site já cumpre? Se a resposta é "não sei" ou "alguns", tens trabalho a fazer. Não esperes que chegue uma carta de um escritório de advogados. O custo de prevenir é sempre menor do que o custo de remediar.

E já agora, se precisas de ajuda a implementar tudo isto, fala comigo. É para isso que sirvo.

Este artigo faz parte de uma série sobre conformidade digital para pequenas empresas. Precisa de ajuda a cumprir o RGPD no seu site? Solicite um orçamento personalizado e teremos todo o gosto em ajudar.