Entrada em vigor do Regulamento (UE) 2025/2518:

Novas normas processuais para a aplicação do RGPD relativo ao tratamento transfronteiriço

Resumo: no passado 1 de janeiro de 2026, entraram em vigor, por força do Regulamento (UE) 2025/2518 do Parlamento Europeu e do Conselho de 26 de novembro de 2025 (“Regulamento 2025/2518”), as normas processuais relativas à aplicação do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho de 27 de abril de 2016 (“RGPD”). O Regulamento 2025/2518 é aplicável a partir de 02 de abril de 2027 e estabelece normas processuais para o tratamento de reclamações e realização de investigações nos casos relativos ao tratamento transfronteiriço de dados pessoais.

Palavras-chave: RGPD; tratamento transfronteiriço; reclamações; investigação.

1. Enquadramento

O RGPD estabelece regras relativas à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados. Nesse âmbito prevê um sistema descentralizado de aplicação que visa assegurar uma interpretação e aplicação coerentes em casos relacionados com o tratamento transfronteiriço, que obriga a que exista cooperação entre autoridades de controlo. Nesta sequência, o Regulamento 2025/2518[1] procura definir as regras relativas à condução dos processos pelas autoridades de controlo em casos relacionados com o tratamento transfronteiriço de proteção de dados ao abrigo do RGPD e pelo Comité Europeu para a Proteção de Dados (“Comité”) durante a resolução de litígios, incluindo o tratamento de reclamações transfronteiriças. Também consagra regras relativas ao exercício do direito a ser ouvido antes da adoção de decisões por parte das autoridades de controlo e, quando aplicável, do Comité.

2. Admissibilidade da reclamação relativa ao tratamento transfronteiriço

As reclamações devem ser apresentadas pelo titular de dados à autoridade de controlo competente (conforme admite o artigo 77.º do RGPD), em caso de infrações de regras em matéria de proteção de dados. É regulado no Regulamento 2025/2518 o procedimento aplicável à investigação da reclamação relativa ao tratamento transfronteiriço.

Para que uma reclamação transfronteiriça seja considerada admissível, deve conter informações específicas, nomeadamente: identificação do autor da reclamação, informações que facilitem a identificação do responsável pelo tratamento ou de subcontratante objeto de reclamação e a descrição da alegada violação do RGPD (artigo 4.º, n.º 1 do Regulamento 2025/2518).

A autoridade de controlo para onde a reclamação foi dirigida tem o dever de decidir quanto à sua admissibilidade no prazo de duas semanas (artigo 4.º, n.º 2 do Regulamento 2025/2518).

A autoridade de controlo determina, nomeadamente, a título de conclusão preliminar se a reclamação (i) está relacionada com tratamento transfronteiriço, (ii) qual a autoridade de controlo que se presume competente para agir como autoridade de controlo principal (artigo 4.º, n.º 4 do Regulamento 2025/2518).

Caso não se lance mão do procedimento de resolução antecipada (abaixo desenvolvido), e a apresentação da reclamação seja admissível, a autoridade de controlo remete à autoridade de controlo principal a reclamação e informa o autor dessa transmissão (artigo 4.º, n.º 5 do Regulamento 2025/2518).

A decisão pela admissibilidade de uma reclamação é vinculativa para a autoridade de controlo principal (artigo 4.º, n.º 5 do Regulamento 2025/2518).

3. Procedimentos de resolução antecipada e de cooperação simples

Para reclamações menos complexas as autoridades de controlo poderão recorrer (i) ao procedimento de resolução antecipada, ou (ii) ao procedimento de cooperação simples.

O procedimento de resolução antecipada permite verificar se a alegada infração já cessou. Neste caso, considera-se que a reclamação é desprovida de objeto (artigo 5.º, n.º 2 do Regulamento 2025/2518). Caso o autor da reclamação não apresente objeção dentro do prazo consagrado (artigo 5.º, n.º 3 do Regulamento 2025/2518), a autoridade para a qual a reclamação foi apresentada deve apresentar um projeto de decisão (ao abrigo do artigo 60.º, n.º 3 do RGPD) às demais autoridades de controlo interessadas, de modo a adotar uma decisão final (ao abrigo do artigo 60.º, n.º 7 do RGPD), que determine que a reclamação foi resolvida (artigo 5.º, n.º 4 do Regulamento 2025/2518).

Por sua vez, o procedimento de cooperação simples (regulado no artigo 6.º do Regulamento 2025/2518) aplica-se a casos que não levantam dúvidas relevantes quanto ao âmbito da investigação nem exigem uma cooperação aprofundada entre autoridades, designadamente quando as questões podem ser resolvidas com base nas características do caso e em precedentes semelhantes. Neste contexto, a autoridade de controlo principal elabora uma opinião preliminar, informa as demais autoridades da intenção de aplicar este procedimento e apresenta um projeto de decisão de forma célere, deixando de ser aplicáveis algumas disposições do Regulamento 2025/2518.

4. O procedimento aplicável a reclamações transfronteiriças: fase da Investigação por parte da autoridade de controlo principal e direitos processuais do autor da reclamação e das partes objeto de investigação

O Regulamento 2025/2518 impõe às autoridades de controlo a obrigação de decidir reclamações dentro de prazos razoáveis, ajustados às circunstâncias e à complexidade do caso, prevendo um prazo de 15 meses para apresentação do projeto de decisão, podendo ser prorrogado por mais 12 meses (Artigo 12.º, n.ºs 1 e 3 do Regulamento 2025/2518).

A autoridade de controlo principal deve cooperar com as demais autoridades interessadas, fornecendo uma exposição sumária das questões essenciais, incluindo a sua posição preliminar e, quando aplicável, a identificação de potenciais medidas corretivas (conforme imposto pelo artigo 10.º, n.º 1 e 2 do Regulamento 2025/2518).

O Regulamento reforça os direitos processuais das partes, garantindo ao autor da reclamação o direito a ser ouvido antes da rejeição total ou parcial da reclamação (artigo 16.º, n.º 1 do Regulamento 2025/2518, bem como, ao abrigo dos artigos 60.º, n.º 3, 60.º, n.º 5 ou 65.º, n.º 1, alínea a) do RGPD, consoante o caso), bem como o direito de se pronunciar sobre conclusões preliminares (artigo 20.º, n.º 1 do Regulamento 2025/2518).  As partes objeto de investigação têm igualmente o direito de ser ouvidas quando existam conclusões preliminares que apontem para uma violação do RGPD e de apresentar a sua posição por escrito ou oralmente (artigo 19.º, n.º 5 do Regulamento 2025/2518).

Quando é adotada uma decisão final, esta deve ser notificada ao autor da reclamação, nos termos do artigo 21.º, n.º 2 do Regulamento 2025/2518.

Nos termos do artigo 22.º do Regulamento 2025/2518 é também consagrado o direito a ser ouvido às partes objeto de investigação, quando se apresenta um projeto de decisão que constata uma violação do RGPD (ao abrigo dos artigos 60.º, n.º 5 do RGPD).

Por fim, é consagrado o direito de acesso ao processo administrativo, permitindo às partes objeto da investigação e ao autor da reclamação consultar os documentos da mesma, com exceção de informações confidenciais e comunicações internas entre autoridades de controlo (artigo 24.º, n.º 2 e 3 e artigo 25.º do Regulamento 2025/2518).

5. Resolução de litígios e procedimento de urgência

O Regulamento 2025/2518 consagra nos artigos 27.º a 30.º o mecanismo de resolução de litígios entre autoridades de controlo (principal e interessadas), por parte do Comité, conforme consagrado no artigo 65.º, n.º 1, alínea a) do RGPD.

Adicionalmente, o procedimento de urgência previsto no artigo 65.º do RGPD, relativo a intervenções urgentes a fim de defender os direitos e liberdades dos titulares dos dados e que possibilita a adoção de medidas provisórias destinadas a produzir efeitos legais no território da autoridade de controlo interessada, é regulado nos artigos 31.º a 33.º do Regulamento 2025/2518.

6. Conclusões

Em suma, o Regulamento 2025/2518 estabelece regras processuais com o propósito de aumentar a transparência na fiscalização do cumprimento do RGPD e de reforçar a eficácia na sua aplicação.

Adicionalmente, o Regulamento 2025/2518 consagra etapas processuais e respetivos prazos aplicáveis ao procedimento, bem como reforça as garantias processuais tanto dos autores das reclamações, bem como das partes objeto da investigação.

[1] Disponível in https://eur-lex.europa.eu/legal-content/PT/ALL/?uri=CELEX:32025R2518.