Websites & Presenca Digital

Checklist: 12 pontos para garantir que o website PME cumpre requisitos RGPD e privacidade

Esta checklist foi criada para pequenas e médias empresas portuguesas que querem garantir que o seu website PME RGPD cumpre todos os requisitos legais e técnicos do Regulamento Geral sobre a Proteção de Dados (RGPD) e...

Artigo Profundo 6 min leitura 27/09/2026

Checklist: 12 pontos para garantir que o website PME cumpre requisitos RGPD e privacidade

Esta checklist foi criada para pequenas e médias empresas portuguesas que querem garantir que o seu website PME RGPD cumpre todos os requisitos legais e técnicos do Regulamento Geral sobre a Proteção de Dados (RGPD) e normas de privacidade. Ao seguir esta lista, a sua equipa evita multas, reclamações de clientes e incidentes de segurança, assegurando uma presença digital profissional e em conformidade.

Reunir acesso administrativo ao website (CMS, hosting, plugins)
Ter os textos legais actuais (Política de Privacidade, Cookies, Termos de Utilização)
Listar todos os formulários de recolha de dados no website
Identificar ferramentas de terceiros integradas (Google Analytics, chat, newsletter, etc.)
Obter contactos do responsável de proteção de dados (DPO), se aplicável

Consentimento de Cookies e Ferramentas de Terceiros

Implementar um banner de cookies claro, visível no primeiro acesso, que permita aceitar, rejeitar ou configurar preferências.
Garantir que apenas cookies estritamente necessários são ativados por defeito; cookies de análise, publicidade ou terceiros só após consentimento explícito.
Listar, na Política de Cookies, todos os cookies utilizados (nome, finalidade, duração, origem) — exemplo:
_ga — Google Analytics — Estatísticas — 2 anos — Terceiros.
Documentar e disponibilizar, na Política de Privacidade, a lista de ferramentas de terceiros integradas (ex: Google Analytics, Facebook Pixel, chatbots), com links para as respetivas políticas.
Armazenar registos do consentimento de cookies por utilizador (data, tipo de consentimento, IP/anónimo), exportável em caso de auditoria.
Actualizar o banner e a política sempre que adicionar, remover ou alterar cookies/ferramentas externas.

Política de Privacidade e Textos Legais Obrigatórios

Publicar uma Política de Privacidade acessível em todas as páginas (footer/menu principal), escrita em português claro e sem jargão.
Incluir na política:

Responsável pelo tratamento de dados (nome legal, contactos, DPO se existir)
Finalidades e bases legais do tratamento (ex: marketing, resposta a pedidos, obrigações legais)
Destinatários/terceiros que recebem dados (ex: fornecedores de TI, plataformas de email)
Prazo de conservação dos dados (ex: “até 2 anos após último contacto”)
Direitos do titular (acesso, correção, apagamento, limitação, portabilidade, oposição, reclamação à CNPD)
Procedimentos para exercício desses direitos (ex: email de contacto, formulário)

Exemplo de cláusula correta:
A sua informação será tratada de forma confidencial e apenas para as finalidades indicadas. Pode exercer os seus direitos através do email privacidade@empresa.pt.
Criar e manter uma Política de Cookies detalhada, separada ou integrada na de Privacidade.
Publicar Termos de Utilização se o site fornecer funcionalidades avançadas (ex: loja online, área reservada).

Formulários: Consentimento e Minimização de Dados

Adicionar caixa de consentimento explícito (checkbox não pré-selecionada) em todos os formulários que recolham dados pessoais — exemplo: “Li e aceito a Política de Privacidade”.
Colocar link direto para a Política de Privacidade junto ao checkbox.
Recolher apenas os dados estritamente necessários para a finalidade declarada (ex: não pedir morada se só precisa de email).
Especificar, junto ao formulário, a finalidade da recolha — exemplo: “Os dados servem apenas para responder ao seu pedido de contacto”.
Separar consentimentos para diferentes finalidades (ex: envio de newsletter vs. contacto comercial), com caixas de seleção individuais.
Guardar registo digital do consentimento dado por cada utilizador (data/hora, conteúdo do consentimento, identificação do formulário).
Incluir aviso sobre utilização de subcontratantes (ex: plataformas de email marketing) caso os dados sejam transferidos para terceiros.
Exemplo de texto legal para consentimento:
Autorizo o tratamento dos meus dados para efeitos de resposta ao pedido submetido, nos termos da Política de Privacidade.

Armazenamento, Segurança e Backups de Dados

Assegurar que todos os dados pessoais recolhidos via website são armazenados em servidores localizados na UE ou em países com decisões de adequação da Comissão Europeia.
Proteger o acesso ao backoffice do website com credenciais fortes e autenticação de dois fatores (sempre que possível).
Encriptar bases de dados ou ficheiros que contenham dados pessoais sensíveis.
Implementar backups regulares (diários/seminários) e testar a recuperação para garantir que dados podem ser restaurados em caso de incidente.
Controlar e rever regularmente os acessos administrativos (quem tem acesso ao website/dados?)
Manter plugins, CMS e integrações sempre atualizados para evitar vulnerabilidades.
Eliminar ou anonimizar dados pessoais que já não sejam necessários, conforme prazos definidos na política interna.
Registar incidentes de segurança e comunicar violações de dados à CNPD e titulares afetados, conforme exigido pelo RGPD.

Gestão e Registo de Consentimentos

Implementar sistema digital para registar e gerir todos os consentimentos (cookies, formulários, subscrições).
Permitir ao utilizador consultar, editar ou retirar consentimentos facilmente (ex: área de preferências, link de opt-out nos emails).
Manter logs seguros e organizados dos consentimentos, acessíveis apenas ao responsável de proteção de dados.
Garantir que, em caso de pedido de acesso/apagamento, consegue identificar e eliminar todos os dados do titular em tempo útil (máx. 30 dias).
Atualizar os registos sempre que o utilizador alterar as preferências.
Utilizar exemplos de ficheiros de registo, como:
consentimentos_website_2024.xlsx ou logs_cookies.json com colunas/campos: data, tipo de consentimento, utilizador (ID/email/IP), origem (formulário/botão/banner), finalidade.
Desenvolver procedimento escrito para resposta a pedidos de titulares (template de email, formulário de pedido, prazos internos).

Sinais de alerta e erros comuns

O banner de cookies permite apenas “Aceitar” (não válido: é obrigatório permitir rejeitar ou configurar preferências).
Formulários web sem caixa de consentimento explícito ou sem link para a política de privacidade.
Política de privacidade desatualizada, sem contacto do responsável nem prazos de conservação.
Registos de consentimento inexistentes ou incompletos (sem data, sem finalidade, sem identificação do utilizador).
Integrações com ferramentas fora da UE (ex: servidores nos EUA) sem cláusulas contratuais adequadas ou consentimento reforçado.
Backups inexistentes ou nunca testados (risco elevado de perda de dados em caso de ataque informático).
Não resposta, ou resposta tardia, a pedidos de exercício de direitos dos titulares dos dados.

Ferramentas recomendadas

Próximos passos

Rever e atualizar todos os textos legais no website com base nos exemplos e pontos da checklist.
Implementar ou atualizar o banner de cookies e o sistema de registo de consentimentos.
Testar todos os formulários, garantindo consentimento explícito e minimização de dados.
Configurar backups regulares e rever as permissões de acesso ao website e bases de dados.
Documentar procedimentos internos para resposta a pedidos de titulares de dados e incidentes de segurança.
Agendar revisões semestrais para garantir que o website PME RGPD se mantém sempre em conformidade.

Precisa de ajuda a implementar o RGPD no seu website PME? A equipa da Daily Shot Solutions pode auditar o seu site, corrigir falhas e criar todos os textos legais necessários. Fale connosco e evite multas — proteja a sua reputação digital.

Continuar a ler

Relacionados