A postura de uma entidade da administração pública central que, em 2026, continua sem publicar a sua política de privacidade — apesar dos sucessivos alertas formais do seu próprio Encarregado de Proteção de Dados (EPD/DPO) — pode ser classificada de forma muito clara sob o ponto de vista jurídico e de gestão pública:
- Incumprimento Reiterado e Deliberado: Não se trata de uma mera negligência inicial ou desconhecimento, mas sim de uma omissão consciente (dolo genérico ou negligência grosseira), uma vez que a organização foi formal e repetidamente alertada pelo seu EPD.
- Violação do Princípio da Transparência: O artigo 12.º e seguintes do Regulamento Geral sobre a Proteção de Dados (RGPD) exigem que as informações sobre o tratamento de dados sejam facultadas de forma transparente, inteligível e de fácil acesso. A ausência de uma política de privacidade impede o cidadão de exercer os seus direitos.
- Desconsideração pela Função do EPD: Ignorar o parecer do EPD viola o espírito do RGPD, que exige que a liderança da entidade apoie o EPD e lhe forneça recursos e autonomia para desempenhar as suas funções (Artigo 38.º).
- Risco Reputacional e de Responsabilidade Institucional: Demonstra uma cultura organizacional de fraca conformidade (compliance), o que é particularmente grave numa entidade pública que deveria dar o exemplo na aplicação da lei.
O que fazer face ao incumprimento reiterado?
Se é o Encarregado de Proteção de Dados, um cidadão afetado ou um funcionário dessa entidade, existem vias formais para atuar contra esta inércia:
- Ação por parte do Encarregado de Proteção de Dados (EPD)
O EPD não tem poder executivo para “forçar” a publicação, mas deve salvaguardar a sua responsabilidade profissional:
- Formalizar Relatórios por Escrito: Emitir uma advertência formal por escrito dirigida diretamente ao órgão máximo de gestão da entidade (Conselho Diretivo, Diretor-Geral ou Ministro da tutela), detalhando os riscos legais e reputacionais.
- Registo de Auditoria Interna: Manter um histórico documentado de todos os alertas enviados e das respetivas respostas (ou ausência delas) para demonstrar que cumpriu o seu dever de aconselhamento.
- Participação à Autoridade de Controlo (CNPD)
Qualquer pessoa (incluindo o EPD, no limite das suas funções de cooperação, ou um cidadão) pode apresentar uma queixa na Comissão Nacional de Proteção de Dados (CNPD):
- Queixa Formal: Comunicar à CNPD o incumprimento reiterado do dever de informação (Artigos 13.º e 14.º do RGPD).
- Poderes de Inspeção e Sanção: A CNPD tem o poder de auditar a entidade e emitir ordens de conformidade urgentes. Embora as entidades públicas em Portugal possam beneficiar de isenções de coimas em determinadas circunstâncias (conforme a Lei n.º 58/2019), a CNPD pode aplicar repreensões públicas e ordens de cessação ou alteração de tratamentos de dados, o que pode paralisar a atividade da entidade.
- Denúncia junto da Tutela e Inspeções-Gerais
Sendo uma entidade da administração pública central:
- Inspeção-Geral Setorial: Pode ser apresentada uma denúncia junto da respetiva Inspeção-Geral do ministério que tutela a entidade (ou da Inspeção-Geral de Finanças, se aplicável), alegando irregularidades graves na gestão e desconformidade legal.
- Responsabilidade Disciplinar e Civil: O incumprimento reiterado de deveres legais por parte dos dirigentes públicos pode abrir caminho a processos de responsabilidade disciplinar ou à perda de mandatos por manifesta incompetência na gestão pública.
Finalmente, os utentes lesados pela falta de transparência da entidade pública podem recorrer ao Provedor de Justiça, que tem o mandato de defender os direitos dos cidadãos face à má administração pública, exercendo pressão política e institucional sobre o organismo faltoso.