Maria Natália Gonçalves, Jornal SOL
Expurgar não é esconder. Proteger não é impedir. E cumprir uma lei não é aplicar a interpretação mais restritiva imaginável em qualquer circunstância.
Há expressões que dispensam quem as pronuncia de mais explicações e têm a extraordinária capacidade de encerrar uma conversa. Hoje, uma das mais eficazes é: “Não podemos, por causa do RGPD.”
Não é indicado o dispositivo normativo aplicável, nem identificado o dado pessoal que se pretende proteger, nem explicado por que razão não é possível fornecer a informação depois de retirados os elementos verdadeiramente privados. Pronunciam-se as quatro letras RGPD e espera-se que a conversa termine com um amém!
Esta crónica não é contra o Regulamento Geral sobre a Proteção de Dados (RGPD). Pelo contrário. O RGPD faz falta. Nunca tantas organizações dispuseram de tanta informação sobre cada um de nós: compras, deslocações, pesquisas, hábitos, contactos, fotografias, opiniões, saúde, rendimentos. A possibilidade de recolher, armazenar, cruzar e explorar essa informação tornou indispensável uma proteção jurídica forte.
O problema está na transformação do RGPD numa fórmula automática de recusa, silêncio ou desresponsabilização. Há quem o invoque porque lhe convém e há quem o invoque porque tem medo de pensar. Num caso, oportunismo; no outro, excesso de zelo burocrático.
Uma legislação criada para proteger as pessoas passa assim, por vezes, a proteger as instituições. E isso pode acontecer de duas maneiras.
A primeira é deliberada. Há situações em que o RGPD funciona como um verdadeiro álibi. A informação é incómoda, a pergunta também, alguém teria de explicar uma decisão ou assumir uma responsabilidade e surge providencialmente a proteção de dados.
Esta não é uma hipótese meramente académica. Em 2019 tornou-se público que vários organismos do Estado estavam a ocultar, nos contratos disponibilizados no Portal BASE, os nomes e até as assinaturas dos representantes das entidades contratantes e cocontratantes, justificando essa prática com o RGPD. A reação pública da Comissão Nacional de Proteção de Dados foi inequívoca: a ocultação generalizada desses elementos não fazia sentido. Num contrato público, saber quem vinculou uma entidade não é exatamente uma curiosidade sobre a vida privada dessa pessoa.
Este é um exemplo quase perfeito. Parte-se do facto verdadeiro de que um nome é um dado pessoal para a conclusão aparentemente simples de que, sendo pessoal, deve ser escondido. Só que dado pessoal não significa informação secreta.
A proteção de dados pode justificar, em determinadas circunstâncias, a ocultação de elementos identificativos. O que não justifica é que toda a identificação funcional de quem intervém numa decisão pública tenha automaticamente de desaparecer. A proteção dos dados pessoais exige ponderação e minimização, não uma anonimização indiscriminada do exercício de funções públicas.
Mais recentemente surgiu um caso ainda mais interessante. Em março de 2026, a Comissão de Acesso aos Documentos Administrativos (CADA) pronunciou-se sobre o acesso à identidade dos doadores dos partidos políticos. Considerou que a associação entre uma pessoa, o partido a que fez um donativo e o respetivo montante era, em regra, suscetível de revelar opiniões ou convicções políticas e que, por isso, os elementos identificadores deveriam ser expurgados no acesso aos documentos.
A Entidade das Contas e Financiamentos Políticos, que, entretanto, já restringira o acesso a essa informação enquanto aguardava o parecer, manteve essa orientação depois da pronúncia da CADA, deixando de facultar ao público a identificação dos doadores. A controvérsia chegou ao Parlamento, onde surgiram iniciativas legislativas destinadas precisamente a clarificar em que medida a identidade dos financiadores dos partidos deve ser pública.
Aqui a questão é bastante mais complexa. Conhecer o partido a que alguém entrega dinheiro pode efetivamente revelar uma opinião ou convicção política. E as opiniões políticas merecem proteção especial. Mas há também uma pergunta democrática inevitável: deve ser completamente privada a identidade de quem financia organizações que pretendem exercer o poder político?
É precisamente nestas situações que o RGPD não deveria terminar a discussão, mas obrigar-nos a ponderar direitos, distinguir situações e procurar soluções proporcionais.
Uma solução proporcional poderia, por exemplo, distinguir pequenos donativos de contribuições de montante suficientemente elevado para justificar um escrutínio público acrescido. Talvez seja possível proteger moradas, contactos e números fiscais, mantendo público aquilo que é verdadeiramente relevante para a transparência do financiamento político.
Nenhum destes conflitos pode ser resolvido satisfatoriamente com uma proibição automática.
Há, porém, uma segunda forma de desvirtuar o RGPD, talvez ainda mais disseminada. Não resulta necessariamente de qualquer eventual intenção de esconder coisa alguma. Resulta do excesso de zelo. Ou, usando uma expressão menos elegante, mas talvez mais adequada, de puro «zelo bacoco».
É a aplicação do RGPD segundo a lógica de que a melhor maneira de nunca infringir a lei é reduzir ao mínimo tudo o que envolva informação sobre pessoas.
Se houver dúvida, não se entrega. Se houver um nome, apaga-se. Se alguém pedir um contacto, recusa-se. Se um documento tiver dez páginas e três linhas com informação privada, mais vale esconder as dez páginas. E, se ainda restarem dúvidas, pede-se consentimento.
Consentimento para tudo. Foi um dos vícios mais visíveis dos primeiros tempos de aplicação do RGPD. Empresas e instituições começaram a pedir autorizações para tratamentos de dados que não dependiam sequer de consentimento. Como se o RGPD tivesse transformado qualquer interação humana numa sucessão de quadrículas em que era necessário escrever “autorizo”.
A própria CNPD sentiu necessidade de emitir orientações sobre a disponibilização de dados pessoais em procedimentos administrativos, designadamente em procedimentos concursais, precisamente num domínio em que a proteção de dados tem de ser articulada com exigências de transparência, acesso à informação e exercício do contraditório. E há uma ideia, repetidamente afirmada pela CADA, que deveria estar afixada em muitos serviços públicos: sempre que o acesso parcial seja possível, devem expurgar-se os dados pessoais que não sejam necessários, facultando-se a restante informação.
Expurgar não é esconder. Proteger não é impedir. E cumprir uma lei não é aplicar a interpretação mais restritiva imaginável em qualquer circunstância.
Quem aplica assim a norma sente-se seguro: nunca fornecerá informação a mais. O preço dessa segurança é que, muitas vezes, também não fornece a informação que devia. É a velha lógica burocrática segundo a qual o procedimento mais seguro é aquele em que nada acontece.
Mas há um preço maior. Cada utilização absurda do RGPD desgasta a credibilidade da própria proteção de dados. O cidadão que não consegue obter um documento banal, a pessoa a quem recusam uma informação perfeitamente legítima ou o profissional confrontado com a enésima autorização inútil não conclui que encontrou uma instituição incompetente. Conclui que “isto é por causa do RGPD”. E o RGPD transforma-se no bode expiatório dos excessos cometidos em seu nome.
Nem sempre há má-fé. Algumas vezes há. Outras haverá medo de sanções, falta de formação ou aquela irresistível tendência das organizações para transformar uma regra razoável num procedimento absurdo. Mas, para quem está do outro lado do balcão, o resultado pode ser exatamente o mesmo: “Não podemos.” Porquê? “RGPD.” E não se fala mais nisso.
Talvez devêssemos começar a fazer uma pergunta muito simples sempre que ouvimos essa resposta: o RGPD não permite mesmo ou alguém decidiu que é mais cómodo dizer que não permite? A diferença é enorme. Proteger dados pessoais é um direito. Transformar essa proteção numa escusa para esconder informação ou numa religião burocrática em que qualquer dúvida se resolve pela proibição é outra coisa.
Em nome do RGPD, amém!