RGPD e segurança: Requisitos legais para DAE, controlo de acessos e câmaras

A videovigilância é uma realidade incontornável na segurança empresarial (82% das grandes empresas já a utilizam, INE 2025), mas a sua implementação exige o cumprimento rigoroso da legislação RGPD.

O Regulamento Geral sobre a Proteção de Dados impõe requisitos estritos e crescentes, especialmente após as atualizações de 2025, sobre o tratamento de imagens e o controlo de acessos.

Este guia prático destina-se a gestores e responsáveis que pretendem garantir a conformidade legal dos seus sistemas, evitando sanções e protegendo os dados pessoais de colaboradores e visitantes.

Compreender o RGPD em contextos empresariais

Princípios base do RGPD para empresas

O RGPD estabelece princípios fundamentais que qualquer organização deve cumprir (Artigos 5.º e 6.º do Regulamento):

• Total transparência para com os titulares dos dados.
• Limitação de finalidade: colher só o estritamente necessário (minimiização de dados).

Isto significa que a recolha de imagens – por exemplo, via CCTV – só pode ocorrer para fins legítimos, explícitos e claramente comunicados. A empresa deve garantir que não utiliza os dados recolhidos para finalidades não informadas e que conserva apenas pelo tempo estritamente necessário.

O respeito por estes fundamentos é fulcral para qualquer projeto de videovigilância, sendo supervisionado pela Comissão Nacional de Proteção de Dados (CNPD).

Consequências de não conformidade

Os riscos de incumprimento do RGPD são consideráveis (Artigo 83.º):

• Coimas financeiras: até 20 milhões de euros ou 4% do volume de negócios global anual (prevalecendo o valor mais elevado).
• Danos reputacionais: perda de confiança dos clientes e dificuldades no recrutamento/retenção de talento.

Em Portugal, a CNPD registou 241 processos associados a infrações RGPD entre janeiro e novembro de 2024, destacando o aumento do escrutínio público e governamental.

Atualizações jurídicas emergentes em 2025

O enquadramento legal  tem sido reforçado por:

• Novo regulamento europeu de inteligência artificial: Prevê restrições adicionais à utilização de sistemas de reconhecimento facial e análise comportamental em videovigilância.
• Reforço do direito ao esquecimento: Maior controlo dos titulares sobre os seus dados.
• Obrigatoriedade de avaliação de impacto mais detalhada (DPIA) para tratamentos de alto risco, incluindo câmaras em espaços de trabalho (Artigo 35.º RGPD, atualizado em janeiro de 2025).
• Atualizações nacionais: Lei n.º 58/2019 revista em fevereiro de 2025 com novas directrizes sobre sinalização e tempo de retenção.

Implementação responsável de videovigilância

Requisitos legais para a instalação de câmaras

Para instalar sistemas de videovigilância (Artigos 13.º e 14.º RGPD e Lei n.º 58/2019, revista em 1 de fevereiro de 2025), é obrigatório:

• Notificação prévia à CNPD.
• Afixação de sinalética clara informando: entidade responsável, finalidades, base legal e contactos.

O não cumprimento destas obrigações é uma das causas mais frequentes de processos sancionatórios.

Processamento e armazenamento de dados de videovigilância

O RGPD é explícito sobre o tempo máximo de conservação de imagens:

• Limite: Artigo 122.º da Lei n.º 58/2019 fixa um período máximo de 30 dias, exceto em casos excecionais devidamente justificados (ex: investigação).
• Segurança: Imagens devem ser armazenadas em ambientes protegidos, acessíveis apenas a pessoal autorizado.

A encriptação dos dados e o registo detalhado de acessos são práticas obrigatórias. Empresas com sucursais internacionais devem ainda obedecer às restrições de transferência transfronteiriça de dados (artigos 44.º a 50.º RGPD).

Perícias em cibersegurança e proteção de dados

Para assegurar a máxima proteção:

• Implementação de sistemas de encriptação de ponta a ponta nas gravações.
• Políticas de acesso restritivas e monitorização ativa de acessos indevidos.
• Elaboração obrigatória de Avaliação de Impacto sobre a Privacidade (DPIA) em instalações de risco elevado.
• Atualização periódica de "software" e "firmware" dos equipamentos.

Controlo de acessos sob o RGPD

Sistemas de autenticação compatíveis com o RGPD

Apenas sistemas que garantam a minimização e segurança dos dados pessoais devem ser implementados. Soluções como cartões magnéticos, personalizáveis e rastreáveis, combinam segurança física e respeito pelo RGPD.

A Autenticação biométrica  é permitida apenas quando tecnicamente justificável e proporcional. O Artigo 9.º do RGPD impõe restrições rigorosas ao uso de dados biométricos: estes só podem ser tratados em situações de claro interesse público ou consentimento explícito, para evitar riscos de abuso.

Gestão de acesso a dados pessoais

A legislação RGPD determina que apenas pessoal identificado e autorizado deve aceder a dados de controlo de acessos. O direito ao esquecimento (Artigo 17.º) obriga a implementar processos claros para eliminação de dados mediante pedido.

Práticas recomendadas:

• Registo automatizado de acessos (Log de acessos).
• Segmentação por níveis hierárquicos de privacidade.
• Processo de eliminação simplificado, com resposta ≤ 30 dias.

A título de exemplo, a empresa Efacec adoptou, em março de 2025, uma gestão hierarquizada de acessos que permite eliminar em menos de 48 horas o histórico individual sempre que solicitado.

Tecnologias emergentes para a conformidade

O futuro da conformidade inclui:

• Plataformas "cloud" para gestão descentralizada de acessos, com encriptação AES 256 bits.
• Integração com inteligência artificial apenas após Avaliação de Impacto.
• Soluções como o sistema ZKTeco ProFace X, lançado em Portugal em janeiro de 2025, equipadas com dupla autenticação e filtros "anti-spoofing".
• Automatização de alertas para o direito ao esquecimento e auditoria transparente.

O que há a reter

Em 2025, garantir a conformidade com o RGPD nos sistemas de videovigilância e controlo de acessos exige rigor, atualização constante e parceria com fornecedores certificados.

As obrigações vão desde a sinalização e notificação à CNPD, até à escolha criteriosa de "hardware"e "software" compatíveis.

Recorde-se dos pontos essenciais:

• Cumpra o dever de informação, notificação e sinalização (Lei n.º 58/2019, atualizada a fevereiro de 2025).
• Garanta a limitação de tempo de retenção (máx. 30 dias) e políticas claras de acesso (Artigo 122.º).
• Implemente medidas avançadas de cibersegurança (encriptação, log de acessos).
• Adote tecnologias inovadoras, dando preferência a soluções validadas pela CNPD.

Comparar fornecedores e soluções técnicas é fundamental: sistemas certificados por marcas como Dahua, Axis Communications ou a portuguesa Strong Charon oferecem garantias reconhecidas.

Para decisões informadas:

• Avalie os requisitos legais aplicáveis à sua dimensão e setor empresarial.
• Procure fornecedores reconhecidos e soluções tecnológicas validadas pela CNPD.
• Analise custos totais: Em 2025, uma solução de controlo de acessos para PME varia entre 650 € e 2.400 €, já sistemas de videovigilância profissional oscilam entre 1.200 € e 5.500 € (fonte: Guia Profissional de Segurança Eletrónica 2025, APSEI).

É este enfoque em legislar, inovar e proteger que permitirá à sua empresa beneficiar da tecnologia sem riscos jurídicos ou reputacionais. Descubra as  melhores ofertas em Companeo e compare gratuitamente as soluções adaptadas à sua empresa.