Encarregado de proteção de dados: quem é obrigado em Portugal
Atualizado em 30 de outubro de 2026 · Pietro Cravero, EPD certificado
Entidades públicas: a lista da Lei 58/2019
O art. 12.º, n.º 2, da Lei 58/2019 enumera as entidades públicas: o Estado, as regiões autónomas, as autarquias locais, as entidades administrativas independentes e o Banco de Portugal, os institutos públicos, as instituições de ensino superior públicas, as empresas do setor empresarial do Estado e dos setores empresariais regionais e locais, e as associações públicas.
O n.º 3 fixa o mínimo: um EPD por ministério ou área governativa, por secretaria regional, por município e nas freguesias em que se justifique, nomeadamente com mais de 750 habitantes. O mesmo EPD pode servir várias entidades (n.º 4) e não precisa de exclusividade (n.º 5).
Entidades privadas
O art. 13.º repete o critério do RGPD: há obrigação quando a atividade privada desenvolvida a título principal implica controlo regular e sistemático dos titulares em grande escala, ou tratamento em grande escala de categorias especiais de dados ou de dados sobre condenações.
Hospitais e clínicas privadas de grande dimensão, seguradoras, empresas de segurança privada com videovigilância em grande escala e plataformas que rastreiam utilizadores são exemplos típicos. Uma loja ou um escritório de contabilidade, em regra, não.
Requisitos e garantias
O EPD é escolhido pelas suas qualidades profissionais e pelos conhecimentos de direito e práticas de proteção de dados (art. 37.º, n.º 5, RGPD). A Lei 58/2019 esclarece que não é necessária certificação profissional (art. 9.º, n.º 1).
Qualquer que seja a relação jurídica, contrato de trabalho ou prestação de serviços, o EPD exerce a função com autonomia técnica (art. 9.º, n.º 2) e está sujeito a sigilo profissional, que se mantém após o fim das funções (art. 10.º).
Funções que a lei portuguesa acrescenta
Para além das funções do art. 39.º do RGPD, o art. 11.º da Lei 58/2019 atribui ao EPD: assegurar auditorias periódicas e não programadas; sensibilizar os utilizadores para a deteção atempada de incidentes de segurança; assegurar as relações com os titulares dos dados.
Na prática, um EPD que se limita a responder a perguntas não cumpre a lei portuguesa: deve haver um plano de auditorias e ações de sensibilização documentadas.
Comunicar e publicar os contactos
O responsável publica os contactos do EPD e comunica-os à CNPD (art. 37.º, n.º 7, RGPD). Os contactos devem aparecer também nas informações aos titulares, por exemplo na política de privacidade do site.
Perguntas frequentes
O EPD tem de ser português?
Não. O RGPD exige conhecimentos especializados e que o EPD seja facilmente acessível. Para isso contam a língua de contacto e a capacidade de resposta, não a nacionalidade.
O EPD pode ser o diretor jurídico ou o diretor de informática?
Normalmente não: quem decide sobre finalidades e meios dos tratamentos está em conflito de interesses (art. 38.º, n.º 6, RGPD).
O EPD responde pelas coimas da organização?
Não. O responsável pelo cumprimento é o responsável pelo tratamento ou o subcontratante. O EPD aconselha e controla.
Informação geral, não constitui aconselhamento jurídico para um caso concreto. Atualizado em 30 de outubro de 2026.
Quer aplicar isto à sua organização?
Envie-nos a sua situação: respondemos por escrito, em português, com uma primeira avaliação gratuita.