A Comissão Nacional de Protecção de Dados (CNPD) emitiu o Parecer 2025/46 sobre a Proposta de Lei n.º 7/XVII/1, que transpõe a Directiva Europeia 2022/2555 para reforçar a cibersegurança. O órgão independente alerta para falhas e omissões, sublinhando que a protecção de dados pessoais deve manter-se no centro das novas medidas.

A CNPD reconhece avanços, como a eliminação da possibilidade de tratamento de dados pessoais com base no “interesse legítimo” pelas entidades públicas. No entanto, considera que o artigo 10.º da proposta permanece vago, por não definir claramente quais dados podem ser tratados, para que fins, durante quanto tempo e com que salvaguardas.

O parecer chama também a atenção para o tratamento de categorias especiais de dados — como dados de saúde, genéticos ou opiniões políticas —, cuja utilização exige regras estritas e medidas específicas de protecção. “Não se podem autorizar em branco tratamentos de todos os dados sensíveis”, adverte a CNPD.

Outro ponto crítico é a cooperação entre as autoridades de cibersegurança e a CNPD. O organismo defende a criação de um regime claro e harmonizado que evite sobreposição de competências e processos paralelos, sobretudo em casos de violação de dados pessoais.

Por fim, a CNPD lamenta que a proposta não inclua um estudo de impacto sobre a protecção de dados pessoais, obrigatório por lei. Sem esse estudo, “fica comprometida uma avaliação segura dos riscos decorrentes dos tratamentos de dados”, sublinha o parecer.

Em conclusão, a CNPD recomenda ao Governo que:

Reconsidere os fundamentos legais para o tratamento de dados pessoais e de dados sensíveis;

Clarifique as regras de cooperação entre as autoridades de cibersegurança e a CNPD;

E realize o estudo de impacto exigido pela legislação nacional e europeia.