RGPD nas universidades: o guia completo para o ensino superior (2026)

Uma visão de conjunto, com fontes, da proteção de dados no ensino superior para encarregados da proteção de dados, informática e bibliotecas: o que o RGPD exige de uma universidade, como outras universidades europeias o aplicam, por que motivos as autoridades de controlo aplicaram coimas a universidades e escolas, e um plano de 12 meses para o pôr em prática. Cada secção remete para um guia mais aprofundado.

Publicado a 9 de outubro de 2026 · Fontes verificadas a 9 de outubro de 2026

Também disponível em: English · Svenska · Nederlands · Norsk · Suomi · Dansk · Français · Español

1. O que significa o RGPD para uma universidade?

O RGPD aplica-se a todas as universidades da UE e do EEE, públicas ou privadas, porque todas tratam dados pessoais de estudantes, candidatos, trabalhadores, participantes em investigação, antigos alunos, utilizadores das bibliotecas e visitantes. Uma universidade pública é normalmente uma autoridade pública, o que muda três coisas: os fundamentos jurídicos que pode usar, a obrigação de designar um EPD e, em alguns países, a possibilidade de lhe serem aplicadas coimas.

O ensino superior é um ambiente difícil para a proteção de dados. Uma universidade é, ao mesmo tempo, entidade empregadora, instituição de ensino, entidade avaliadora, organização de investigação, biblioteca, senhorio e, por vezes, parceira na prestação de cuidados de saúde. As faculdades e os grupos de investigação escolhem muitas vezes as suas próprias ferramentas. Todos os anos chegam milhares de novos estudantes, e muitos trabalhadores trabalham entre instituições e países. O RGPD não tem regras específicas para as universidades, mas deixa margem ao direito nacional, e as leis nacionais do ensino superior e dos arquivos moldam uma grande parte da prática diária.

Este guia percorre todo o panorama de forma geral. Para o texto do próprio regulamento, veja a nossa página RGPD explicado. Para cada tema abaixo, remetemos para um guia mais aprofundado, um modelo ou uma ferramenta gratuita.

2. Que fundamento jurídico usa uma universidade?

A maioria das universidades públicas europeias baseia-se no artigo 6.º, n.º 1, alínea e), do RGPD: tratamento necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública. O artigo 6.º, n.º 3, exige que esse fundamento seja definido pelo direito da União ou de um Estado-Membro, pelo que a universidade indica a lei nacional que lhe atribui as suas funções, como uma lei do ensino superior. A obrigação jurídica (art. 6.º, n.º 1, alínea c)) abrange os deveres legais.

Funções de interesse público, ancoradas no direito nacional

O artigo 6.º, n.º 3, determina que o fundamento jurídico para o tratamento referido nas alíneas c) e e) "é definido" pelo direito da União ou pelo direito do Estado-Membro ao qual o responsável pelo tratamento está sujeito. As informações sobre privacidade das universidades mostram como isto funciona na prática:

• A Universidade de Oslo baseia o tratamento dos dados dos estudantes no artigo 6.º, n.º 1, alínea e), em conjugação com as secções 2-1 e 2-8 da lei norueguesa das universidades e institutos universitários.
• A Universidade de Helsínquia declara que o tratamento "is based on the University's statutory tasks carried out in the public interest (section 2 of the Universities Act)" (baseia-se nas atribuições legais da universidade exercidas no interesse público, secção 2 da lei das universidades).
• A Universidade de Estocolmo afirma que o fundamento jurídico mais comum é "a task of public interest in accordance with Article 6(1)(e)" (uma função de interesse público nos termos do artigo 6.º, n.º 1, alínea e)).
• A Universidade de Uppsala observa que o tratamento "is often an aspect of the exercise of official authority" (é muitas vezes uma vertente do exercício da autoridade pública) nas questões relativas a estudantes, e que na investigação ocorre frequentemente no interesse público.
• O Trinity College Dublin fundamenta a investigação no artigo 6.º, n.º 1, alínea e), e no Irish Universities Act 1997, nos termos do qual a promoção da investigação é "a primary object and function of the University" (um objetivo e uma função primordiais da universidade).
• A Universidade de Barcelona usa o interesse público para os dados de mobilidade de estudantes, citando a Lei Orgânica espanhola 2/2023 do sistema universitário (LOSU) e a lei catalã das universidades.

Uma mesma informação pode usar vários fundamentos. A informação aos candidatos da Université Paris-Saclay (setembro de 2026) indica a missão de interesse público para o tratamento das candidaturas, uma obrigação jurídica para a inscrição e os interesses legítimos para os convites para cerimónias de entrega de diplomas. Esta abordagem finalidade a finalidade é uma boa prática e facilita a manutenção do seu registo das atividades de tratamento.

O limite dos interesses legítimos

O último parágrafo do artigo 6.º, n.º 1, determina que a alínea f), os interesses legítimos, não se aplica ao tratamento de dados efetuado por autoridades públicas na prossecução das suas atribuições. O considerando 47 explica que cabe ao legislador prever por lei o fundamento jurídico para o tratamento pelas autoridades públicas. As Orientações 1/2024 do CEPD sobre os interesses legítimos (versão 1.0, publicada para consulta) acrescentam que as autoridades públicas só podem invocá-los "in exceptional and limited cases" (em casos excecionais e limitados) para atividades não relacionadas com as suas atribuições específicas, quando o direito nacional o permita, e que essa utilização deve ser documentada internamente.

Análise do Validemic Na prática, isto significa que uma universidade pública não deve recorrer aos interesses legítimos para o ensino, a avaliação, a gestão académica ou a investigação. Poderá ser defensável para atividades verdadeiramente periféricas, como alguns eventos para antigos alunos ou uma loja no campus, consoante o direito nacional. Se o utilizar, realize e conserve um teste de ponderação; o nosso modelo de avaliação de interesses legítimos foi concebido para isso.

Por que razão o consentimento é um fundamento fraco para o tratamento essencial

O considerando 43 afirma que o consentimento não deverá constituir fundamento jurídico válido quando exista "um desequilíbrio manifesto entre o titular dos dados e o responsável pelo seu tratamento, nomeadamente quando o responsável pelo tratamento é uma autoridade pública". As orientações da Universidade de Oslo para o seu pessoal aplicam isto à relação laboral, observando que a universidade, enquanto entidade empregadora, "would normally not be able to use consent as a processing basis for employees" (normalmente não poderia usar o consentimento como fundamento de tratamento relativamente aos trabalhadores). A mesma lógica aplica-se aos estudantes que têm de usar um sistema para obter aprovação numa unidade curricular. O consentimento continua a ter lugar em atividades facultativas: boletins informativos, fotografias usadas na comunicação institucional ou uma ferramenta-piloto opcional. As orientações do CEPD relativas ao consentimento estabelecem as condições. Para a investigação, a escolha do fundamento jurídico é tratada no nosso guia fundamento jurídico da investigação nos termos do RGPD.

3. De quem são os dados que uma universidade trata?

Uma universidade trata dados de, pelo menos, sete grupos de pessoas. Cada grupo tem finalidades, fundamentos jurídicos, prazos de conservação e riscos diferentes, pelo que é útil organizar as informações sobre privacidade, os registos e as tabelas de prazos de conservação por grupo. A tabela dá um ponto de partida típico, não uma regra: verifique o seu direito nacional.

4. Categorias especiais de dados e dados relativos a infrações penais

O artigo 9.º, n.º 1, proíbe o tratamento de categorias especiais de dados, salvo se se aplicar uma exceção do artigo 9.º, n.º 2. As categorias são a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, a filiação sindical, os dados genéticos, os dados biométricos utilizados para identificar uma pessoa, os dados relativos à saúde e os dados relativos à vida sexual ou à orientação sexual. As universidades tratam todas estas categorias.

Exemplos comuns nas universidades:

• Dados de saúde para adaptações curriculares, condições especiais de avaliação, baixas médicas e medicina do trabalho.
• Dados biométricos em algumas ferramentas de vigilância de exames, no reconhecimento facial e no controlo de acessos.
• Filiação sindical nos descontos de quotas no processamento salarial.
• Dados de investigação em medicina, psicologia, ciências sociais e ciência política, em que as categorias especiais são muitas vezes o próprio objeto da investigação.

Para as funções essenciais da universidade, as exceções mais comuns são o artigo 9.º, n.º 2, alínea b) (direito do trabalho), alínea g) (interesse público importante com base na lei) e alínea j) (investigação, com as garantias do artigo 89.º). A Universidade de Oslo declara que, para as categorias especiais de dados dos estudantes, "the legal basis is Article 9 g) of the GDPR" (o fundamento jurídico é o artigo 9.º, alínea g), do RGPD), em conjugação com a sua lei nacional. Cada uma destas exceções depende do direito da União ou nacional, pelo que o caminho exato difere de país para país.

As condenações penais e as infrações são tratadas separadamente no artigo 10.º, que só permite o tratamento sob o controlo de uma autoridade pública ou quando autorizado pelo direito da União ou de um Estado-Membro. Isto é relevante para a verificação do registo criminal de estudantes em cursos de formação de professores, de saúde e de serviço social, que normalmente se baseia no direito nacional.

5. Uma universidade precisa de um EPD?

Sim, se for uma autoridade ou organismo público. O artigo 37.º, n.º 1, alínea a), exige um EPD sempre que "o tratamento for efetuado por uma autoridade ou um organismo público, excetuando os tribunais no exercício da sua função jurisdicional". As universidades privadas normalmente também precisam, porque o tratamento em grande escala de categorias especiais de dados ou o controlo regular e sistemático de pessoas é comum no ensino superior (art. 37.º, n.º 1, alíneas b) e c)).

A Faculdade de Direito da Universidade de Lisboa dá um exemplo típico: a sua política de privacidade refere que, "Atendendo à obrigação legal que resulta da alínea a) do n.º 1 do artigo 37.º do RGPD", designou um EPD. O artigo 37.º, n.º 3, permite que vários organismos públicos designem um único EPD, tendo em conta a sua estrutura e dimensão, possibilidade que algumas instituições mais pequenas utilizam.

O que o EPD faz, e o que não faz

Nos termos do artigo 39.º, n.º 1, o EPD tem, pelo menos, de informar e aconselhar a universidade e o seu pessoal, controlar a conformidade (incluindo a repartição de responsabilidades, a sensibilização, a formação e as auditorias), prestar aconselhamento sobre as AIPD e cooperar com a autoridade de controlo e ser o seu ponto de contacto. A Universidade de Utrecht resume: "The DPO's main job is to oversee the application and observance of the GDPR within the organisation." (A principal função do EPD é supervisionar a aplicação e o cumprimento do RGPD na organização.)

O EPD aconselha; a universidade decide. O artigo 38.º protege a função: o EPD tem de ser envolvido "de forma adequada e em tempo útil" em todas as questões relacionadas com a proteção de dados, tem de dispor dos recursos necessários, "não pode ser destituído nem penalizado" pelo facto de exercer as suas funções e informa diretamente a direção ao mais alto nível. Os contactos têm de ser publicados e comunicados à autoridade de controlo (art. 37.º, n.º 7). A maioria das universidades publica um endereço funcional, como fg@uva.nl na Universidade de Amesterdão ou dataskyddsombud@uu.se em Uppsala.

As orientações sobre os EPD (WP243 rev.01) do Grupo de Trabalho do Artigo 29.º, aprovadas pelo CEPD, indicam que o EPD não pode ocupar um cargo que o leve a determinar as finalidades e os meios do tratamento, e dão como exemplos de funções potencialmente conflituantes o diretor de informática e o diretor de recursos humanos. Na ação coordenada de fiscalização de 2023 do CEPD sobre os EPD, 25 autoridades detetaram, entre outros aspetos, EPD com recursos insuficientes e EPD a quem não tinham sido atribuídas todas as funções que o RGPD exige.

Análise do Validemic Numa universidade de grande dimensão, um só EPD não consegue analisar todas as ferramentas, informações e projetos. As instituições que melhor respondem constroem uma rede: pontos de contacto de proteção de dados em cada faculdade, um especialista em privacidade no gabinete de apoio à investigação e a segurança informática responsável pela análise técnica. O EPD aconselha então nos casos difíceis e controla o sistema.

6. Registo das atividades de tratamento (artigo 30.º)

Todas as universidades têm de manter um registo das atividades de tratamento. A isenção do artigo 30.º, n.º 5, para organizações com menos de 250 trabalhadores não ajuda: não se aplica quando o tratamento "não seja ocasional" ou abranja categorias especiais de dados, o que abrange qualquer universidade. O registo tem de indicar as finalidades, as categorias de dados e de titulares, os destinatários, as transferências, os prazos de conservação e as medidas de segurança.

O registo é também uma ferramenta de trabalho. A KU Leuven informa os estudantes de que "specific retention periods per processing activity are included in the register of processing activities" (os prazos de conservação específicos de cada atividade de tratamento constam do registo das atividades de tratamento), o que liga o registo diretamente à tabela de prazos de conservação. A Universidad Complutense de Madrid publica em linha o seu Registro de Actividades de Tratamiento, para que qualquer pessoa possa ver o que a universidade trata e porquê.

Uma estrutura prática é uma entrada por finalidade, agrupada por grupo de titulares, com uma coluna para cada sistema e fornecedor envolvido. O nosso modelo de registo das atividades de tratamento para universidades e o modelo Word seguem esta estrutura.

7. Transparência e informações sobre privacidade

Os artigos 13.º e 14.º exigem que a universidade informe as pessoas, no momento da recolha (ou no prazo de um mês, se os dados provierem de outra fonte), sobre quem é o responsável pelo tratamento, como contactar o EPD, as finalidades e o fundamento jurídico, os destinatários, as transferências, os prazos de conservação e os seus direitos. As universidades publicam normalmente informações por camadas: uma informação geral e, depois, uma por grupo ou por processo principal.

Exemplos que vale a pena consultar:

• A Universidade de Amesterdão identifica claramente o responsável pelo tratamento: "The Executive Board of the UvA is the controller" (o Conselho Executivo da UvA é o responsável pelo tratamento).
• A KU Leuven tem uma informação própria para os participantes em investigação, a par da informação para estudantes.
• A Université Paris-Saclay publica uma informação para um processo específico (candidaturas em linha), com um fundamento jurídico por finalidade e um prazo de conservação por categoria.

Para os participantes em investigação, o artigo 14.º, n.º 5, alínea b), prevê uma exceção quando informar cada pessoa se revele impossível ou implique um esforço desproporcionado, em especial para fins de investigação, mas a universidade tem então de tornar a informação pública e adotar outras medidas. O nosso modelo de informação aos participantes em investigação trata os pormenores.

8. Direitos dos titulares dos dados

Estudantes, trabalhadores, candidatos e participantes têm os direitos de acesso, retificação, apagamento, limitação, portabilidade (no consentimento e no contrato) e oposição (nas funções de interesse público). A universidade tem de responder "no prazo de um mês a contar da data de receção do pedido", prorrogável até dois meses nos casos complexos (art. 12.º, n.º 3).

Três questões surgem nas universidades com mais frequência do que noutros contextos:

1. Pedidos de acesso em contexto de litígio. Estudantes que contestam uma classificação e trabalhadores em litígios laborais pedem muitas vezes tudo, incluindo mensagens de correio eletrónico. O nosso guia sobre pedidos de acesso nas universidades trata as provas de exame, o correio eletrónico e os dados de investigação, com modelos de resposta. As Orientações 01/2022 do CEPD sobre o direito de acesso são a referência principal.
2. Apagamento versus arquivo. As universidades públicas têm muitas vezes de conservar documentos por força das leis de arquivo. A Universidade de Copenhaga declara que existe "no right to erasure of information that has been filed in the University's archives in accordance with the Archives Act" (não existe direito ao apagamento de informação arquivada no arquivo da universidade nos termos da lei dos arquivos). O artigo 17.º, n.º 3, alíneas b) e d), prevê as exceções em que isto assenta.
3. Acesso público aos documentos. Sobretudo na Suécia e na Finlândia, os documentos detidos pelas universidades públicas podem ser pedidos por qualquer pessoa ao abrigo das regras de acesso à informação. A Universidade de Lund observa que os documentos públicos são conservados nos termos da lei da liberdade de imprensa e da lei dos arquivos. O trabalho de privacidade e a gestão documental têm de estar coordenados.

O artigo 22.º ganha também relevância à medida que as ferramentas automatizadas se difundem. As decisões tomadas exclusivamente com base no tratamento automatizado que afetem significativamente uma pessoa, como uma recusa automática de admissão, só são permitidas em casos limitados, com garantias que incluem a intervenção humana.

9. Quando é necessária uma AIPD?

É obrigatória uma avaliação de impacto sobre a proteção de dados antes de um tratamento "suscetível de implicar um elevado risco" para as pessoas (art. 35.º, n.º 1). As orientações WP248, aprovadas pelo CEPD, indicam nove critérios; um tratamento que preencha dois deles exige, regra geral, uma AIPD. No ensino superior, o controlo de estudantes, as categorias especiais de dados, as novas tecnologias e a relação desigual entre universidade e estudante somam frequentemente dois.

Tratamentos universitários que normalmente exigem uma AIPD: vigilância de exames em linha, análise da aprendizagem e sistemas de alerta precoce, ferramentas de IA que avaliam ou comentam trabalhos de estudantes, grandes projetos de investigação com dados de saúde, sistemas de videovigilância no campus e novos sistemas de gestão académica ou de recursos humanos. O responsável pelo tratamento tem de solicitar o parecer do EPD ao realizar uma AIPD (art. 35.º, n.º 2).

A Universidade de Edimburgo mostra um circuito de entrada funcional: o pessoal envia uma mensagem ao EPD e "will be assigned an assessment through our online tool" (recebe uma avaliação através da ferramenta em linha), e uma AIPD já existente para o mesmo sistema pode ser reutilizada. A reutilização é importante: se dez departamentos adotarem a mesma plataforma, uma AIPD bem mantida com anexos locais é melhor do que dez avaliações parciais.

Comece pela nossa ferramenta gratuita de triagem de AIPD e utilize depois o modelo de AIPD para universidades. Para áreas específicas de risco elevado, veja exames em linha e vigilância de exames e análise da aprendizagem.

10. Subcontratantes e contratos com fornecedores

Quando um fornecedor trata dados pessoais por conta da universidade, esta só pode recorrer a subcontratantes que apresentem "garantias suficientes" e tem de celebrar um contrato que cumpra o artigo 28.º, n.º 3. Isto aplica-se à plataforma de ensino, ao sistema de gestão académica, ao armazenamento em nuvem, às ferramentas de inquéritos e aos serviços de IA, bem como às ferramentas gratuitas que os docentes adotam por iniciativa própria.

A vertente de fornecedores da conformidade universitária envolve normalmente:

• Uma análise de papéis: o fornecedor é subcontratante, responsável pelo tratamento para algumas finalidades (por exemplo, melhoria do produto ou treino de modelos) ou responsável conjunto? Veja o nosso guia sobre acordos de responsabilidade conjunta para consórcios de investigação.
• Um contrato de subcontratação verificado face aos oito pontos do artigo 28.º, n.º 3. O nosso verificador de contratos de subcontratação confronta uma minuta com cada ponto.
• Uma lista atualizada de subcontratantes ulteriores com as respetivas localizações, e uma forma de detetar alterações e de se opor a elas. A nossa ferramenta de alertas de subcontratantes ulteriores ajuda no acompanhamento.
• Provas de segurança, como uma certificação ISO/IEC 27001 ou um relatório SOC 2, verificadas quanto ao âmbito.
• Para funcionalidades de IA: se os dados da universidade são usados para treino e que prestadores de IA são subcontratantes ulteriores.

O nosso guia de referência sobre avaliação de fornecedores para universidades percorre todo o processo, da entrada do pedido à saída do fornecedor, e as nossas fichas RGPD resumem o que fornecedores como Canvas, Moodle, Microsoft 365, Google Workspace, Zoom e Turnitin documentam publicamente. As ferramentas não aprovadas são um problema à parte; veja shadow IT e ferramentas de IA não aprovadas.

Está a avaliar um fornecedor? O Validemic analisa a documentação do fornecedor à luz do RGPD e do Regulamento da Inteligência Artificial e indica a fonte de cada conclusão. Experimentar o ambiente de demonstração

11. Transferências internacionais

As transferências de dados pessoais para fora do EEE só são permitidas nos termos do capítulo V: uma decisão de adequação, garantias adequadas como as cláusulas contratuais-tipo (CCT) com uma avaliação de impacto das transferências, ou uma derrogação restrita. O acesso remoto a partir de um país terceiro, por exemplo pela equipa de suporte de um fornecedor, também conta como transferência, pelo que o alojamento na UE, por si só, não resolve a questão.

Para os fornecedores dos EUA, a decisão de adequação relativa ao Quadro de Privacidade de Dados UE-EUA (Decisão de Execução (UE) 2023/1795) abrange as organizações que constam da lista DPF. Está pendente um recurso do acórdão do Tribunal Geral que a confirmou (processo C-703/25 P), pelo que as universidades devem saber que fornecedores dependem dela. O artigo 49.º, n.º 3, determina ainda que as derrogações do consentimento e do contrato não se aplicam às autoridades públicas no exercício dos seus poderes públicos, o que as limita para as universidades públicas.

As transferências estiveram no centro de vários casos no setor da educação. Em 2022, o Datatilsynet dinamarquês impôs uma proibição à utilização de Chromebooks e do Google Workspace nas escolas do município de Helsingør, incluindo às transferências para países terceiros; a proibição foi depois suspensa e substituída por ordens. A IMY sueca aplicou uma coima à Universidade de Umeå num caso que incluía dados sensíveis guardados num serviço de nuvem sem proteção adequada.

Saiba mais: o Quadro de Privacidade de Dados UE-EUA para universidades, o modelo de avaliação de impacto das transferências, a ferramenta gratuita de mecanismos de transferência e o CLOUD Act e a soberania digital.

12. Segurança e violações de dados pessoais

O artigo 32.º exige uma segurança adequada ao risco. O artigo 33.º exige que a universidade notifique a autoridade de controlo de uma violação de dados pessoais sem demora injustificada e, sempre que possível, "até 72 horas após ter tido conhecimento da mesma", a menos que a violação não seja suscetível de resultar num risco. Quando o risco for elevado, as pessoas afetadas também têm de ser informadas (art. 34.º).

As 72 horas começam a contar quando a universidade toma conhecimento, e não quando o EPD é informado, pelo que o circuito interno tem de ser rápido e conhecido por todo o pessoal. Os procedimentos das universidades mostram padrões comuns:

• Universidade Aalto: uma suspeita de violação "must be immediately reported by contacting the university's information security team" (tem de ser comunicada imediatamente à equipa de segurança da informação da universidade); o EPD trata da notificação ao Provedor de Proteção de Dados finlandês.
• O Karolinska Institutet enumera exemplos do dia a dia para o pessoal, como uma mensagem de correio eletrónico enviada ao destinatário errado, dados perdidos e credenciais de acesso comprometidas.
• O Trinity College Dublin pede ao pessoal que comunique as violações ao gabinete de proteção de dados sem demora e deixa claro que comunicar uma violação não é tratado como matéria disciplinar.
• A NTNU separa os incidentes de segurança (comunicados ao seu SOC) dos relatos de desvios de privacidade, observando que um relato "must describe the action, not the person who performed it" (tem de descrever a ação, não a pessoa que a praticou).

O artigo 33.º, n.º 5, exige que todas as violações sejam documentadas, incluindo as que não são notificadas à autoridade. As Orientações 9/2022 do CEPD explicam quando a notificação é obrigatória. O nosso guia de resposta a violações, o kit de resposta a violações e o contador do prazo de notificação de violações ajudam na preparação. As universidades podem também estar abrangidas pelas regras nacionais da NIS2; veja a NIS2 e as universidades.

13. Conservação e arquivo

Os dados pessoais não podem ser conservados por mais tempo do que o necessário para as suas finalidades (limitação da conservação, art. 5.º, n.º 1, alínea e)), mas os dados conservados exclusivamente para fins de arquivo de interesse público ou de investigação podem ser guardados durante mais tempo, com garantias. Nas universidades públicas, as leis nacionais de arquivo determinam muitas vezes o que tem de ser conservado e durante quanto tempo, pelo que a tabela de prazos de conservação deve ser elaborada com o arquivista, e não apenas com o EPD.

Exemplos de como as regras nacionais moldam a conservação:

• A Universidade de Lund explica que, nos termos da lei sueca dos arquivos (1990:782), os dados pessoais podem ser guardados "in some cases indefinitely in the University's archive" (em alguns casos, indefinidamente no arquivo da universidade).
• A Université Paris-Saclay conserva os dados dos candidatos admitidos durante 50 anos, ao abrigo das regras francesas de arquivo: "Pour les candidats admis, elles sont ensuite conservées pour une durée de 50 ans" (no caso dos candidatos admitidos, são depois conservados durante 50 anos).
• A Universidade de Utrecht conserva os dados brutos de investigação "for at least ten years after publication of the research results" (durante pelo menos dez anos após a publicação dos resultados), refletindo as regras de integridade científica.

É nos sistemas dos fornecedores que a conservação mais vezes falha: um registo apagado no sistema de gestão académica pode continuar a existir numa ferramenta de inquéritos, numa plataforma de vídeo ou em cópias de segurança. O nosso modelo de tabela de prazos de conservação (ficheiro Word) inclui uma coluna para os sistemas que guardam cada tipo de registo.

14. Investigação e artigo 89.º

O RGPD é relativamente favorável à investigação. O artigo 9.º, n.º 2, alínea j), permite o tratamento de categorias especiais de dados para fins de investigação com base no direito da União ou de um Estado-Membro, e o artigo 89.º, n.º 1, exige garantias, em especial a minimização dos dados e, sempre que possível, a pseudonimização. O artigo 89.º, n.º 2, permite que o direito nacional limite alguns direitos quando estes prejudiquem gravemente a investigação.

O funcionamento prático varia muito de país para país, pelo que um guia geral só pode dar as linhas gerais. Alguns exemplos:

• Universidade de Utrecht: "Conducting scientific research is a task of public interest entrusted to the UU" (realizar investigação científica é uma função de interesse público confiada à UU), sendo pedido consentimento explícito para as categorias especiais de dados.
• Universidade de Copenhaga: sem consentimento, os dados sensíveis de investigação são tratados ao abrigo do artigo 6.º, n.º 1, alínea e), e da secção 10 da lei dinamarquesa de proteção de dados, mas apenas "if the processing is aimed at statistical or scientific studies with potential public interest" (se o tratamento se destinar a estudos estatísticos ou científicos com potencial interesse público).
• O Trinity College Dublin usa o artigo 9.º, n.º 2, alínea j), com as garantias do artigo 89.º, n.º 1, observando embora que a regulamentação irlandesa sobre investigação em saúde continua a exigir consentimento explícito para esse tipo de investigação.
• A biblioteca da University College Dublin lembra aos investigadores que o RGPD "applies to any research that uses personal data, including scientific research and studies in the arts and humanities" (aplica-se a qualquer investigação que use dados pessoais, incluindo a investigação científica e os estudos nas artes e humanidades).
• Na Noruega, as instituições com acordo usam o formulário de notificação da Sikt; a Sikt descreve a sua função como "to advise and guide you on how to process personal data lawfully" (aconselhar e orientar sobre como tratar dados pessoais de forma lícita).

Os estudantes que realizam trabalhos finais ou dissertações são um ponto cego frequente. A Universidade de Uppsala considera a universidade responsável pelo tratamento nesses trabalhos e informa os estudantes de que "when processing sensitive personal data, consent must be obtained before the processing begins" (ao tratar dados pessoais sensíveis, o consentimento tem de ser obtido antes de o tratamento começar).

Aprofunde com o fundamento jurídico da investigação, a informação aos participantes em investigação, os acordos de responsabilidade conjunta, os acordos de partilha de dados, onde guardar dados de investigação e o RGPD e as ferramentas de IA na investigação.

15. Ferramentas de IA e o Regulamento da IA

O RGPD aplica-se às ferramentas de IA da mesma forma que a qualquer outro tratamento: um fundamento jurídico, um contrato de subcontratação, a verificação das transferências e, muitas vezes, uma AIPD. O Regulamento da IA (Regulamento (UE) 2024/1689) acrescenta obrigações próprias para as universidades enquanto responsáveis pela implantação. Não substitui o RGPD, e a maioria das ferramentas de IA em uso nas universidades levanta hoje mais questões de RGPD do que de Regulamento da IA.

O Regulamento da IA foi alterado pelo Regulamento (UE) 2026/1744 (o Omnibus Digital sobre a IA), em vigor desde 27 de julho de 2026. Em 9 de outubro de 2026, a situação das universidades é a seguinte:

Análise do Validemic As perguntas de RGPD a fazer sobre qualquer ferramenta de IA são: o fornecedor usa dados da universidade para treinar modelos, isso difere entre os planos gratuitos e os institucionais, que prestadores de modelos de IA são subcontratantes ulteriores e onde estão, e a ferramenta toma ou apoia decisões sobre estudantes que o artigo 22.º possa abranger? As universidades que responderem já a estas perguntas terão muito mais facilidade com as obrigações de risco elevado de 2027.

Saiba mais: o Regulamento da IA para universidades, o Regulamento da IA explicado, o verificador do Regulamento da IA para o ensino, o nosso modelo de política de IA, ferramentas de IA aprovadas em universidades europeias e serviços de IA geridos por universidades nórdicas. As bibliotecas que negociam cláusulas de IA em licenças de conteúdos devem consultar licenças das bibliotecas, IA e prospeção de textos e dados.

16. Fiscalização: por que motivos foram universidades e escolas alvo de coimas

As autoridades de controlo aplicaram coimas a universidades, e não apenas a empresas. A possibilidade de aplicar coimas a um organismo público cabe ao direito nacional: o artigo 83.º, n.º 7, permite a cada Estado-Membro determinar "se e em que medida as coimas podem ser aplicadas às autoridades e organismos públicos". Os casos abaixo foram retirados das páginas das próprias autoridades.

Análise do Validemic O padrão é constante. As universidades raramente são alvo de coimas por questões jurídicas invulgares. São-no por falhas de segurança comuns (correio eletrónico, servidores web), por adotarem tecnologias de controlo ou biométricas sem fundamento jurídico adequado e sem AIPD, e por colocarem dados sensíveis em serviços que não foram avaliados. Tudo isto pode ser evitado com o essencial do roteiro abaixo.

17. Quem faz o quê numa universidade

O RGPD atribui a responsabilidade à universidade enquanto responsável pelo tratamento e, na prática, à sua direção e aos responsáveis por cada processo. O EPD aconselha e controla. A maior parte do trabalho efetivo é feita por outras unidades, e as lacunas surgem quando cada unidade parte do princípio de que outra já verificou determinado ponto.

Ponha a repartição por escrito. Uma matriz de responsabilidades curta, aprovada pela direção, evita a maioria dos conflitos e torna possível a função de controlo do EPD. Os nossos guias sobre a privacidade dos utilizadores das bibliotecas e a acessibilidade na contratação tratam duas áreas em que a responsabilidade é muitas vezes pouco clara.

18. Um roteiro de conformidade a 12 meses

O plano abaixo adequa-se a uma universidade que tem o essencial no papel, mas precisa de o pôr a funcionar. Ajuste a ordem às suas próprias lacunas; uma universidade com uma violação recente começará pela segurança. Cada ponto deve produzir um documento ou uma decisão.

Fontes

1. Regulamento (UE) 2016/679 (RGPD), texto do Jornal Oficial, considerandos 43 e 47, artigos 5.º, 6.º, 9.º, 10.º, 12.º a 14.º, 17.º, 22.º, 28.º, 30.º, 32.º a 39.º, 49.º, 83.º, 88.º e 89.º (consultado em 9 de outubro de 2026).
2. Regulamento (UE) 2024/1689 (Regulamento da IA), artigos 4.º, 5.º, 26.º, 27.º, 50.º e anexo III, e Regulamento (UE) 2026/1744 (Omnibus Digital sobre a IA).
3. Decisão de Execução (UE) 2023/1795 da Comissão (Quadro de Privacidade de Dados UE-EUA) e recurso no processo C-703/25 P.
4. Orientações 1/2024 do CEPD sobre o tratamento de dados pessoais com base no artigo 6.º, n.º 1, alínea f), do RGPD, versão 1.0, pontos 98 e 99 (em inglês, consultado em 9 de outubro de 2026).
5. Orientações 05/2020 do CEPD relativas ao consentimento (consultado em 9 de outubro de 2026).
6. Grupo de Trabalho do Artigo 29.º, Orientações sobre os encarregados da proteção de dados (WP243 rev.01) (consultado em 9 de outubro de 2026).
7. Ação coordenada de fiscalização do CEPD: designação e posição dos encarregados da proteção de dados, relatório publicado em janeiro de 2024 (em inglês, consultado em 9 de outubro de 2026).
8. Grupo de Trabalho do Artigo 29.º, Orientações relativas à AIPD (WP248 rev.01) (consultado em 9 de outubro de 2026).
9. Orientações 01/2022 do CEPD sobre o direito de acesso (consultado em 9 de outubro de 2026).
10. Orientações 9/2022 do CEPD sobre a notificação de violações de dados pessoais (consultado em 9 de outubro de 2026).
11. Data Protection Commission (Irlanda): Inquiry into University College Dublin e a decisão de 17 de dezembro de 2020 (consultado em 9 de outubro de 2026).
12. Garante per la protezione dei dati personali: decisão de 16 de setembro de 2021 relativa à Università Bocconi (docweb 9703988) e newsletter de 18 de fevereiro de 2020 (docweb 9266789) (consultado em 9 de outubro de 2026).
13. IMY (Suécia): Umeå universitet e Gymnasienämnden i Skellefteå kommun (consultado em 9 de outubro de 2026).
14. Autoriteit Persoonsgegevens: HAN University of Applied Sciences fined EUR 175,000 (consultado em 9 de outubro de 2026).
15. Datatilsynet (Dinamarca): decisão de 14 de julho de 2022 no caso Chromebook (Helsingør) (consultado em 9 de outubro de 2026).
16. ICO: Essex school reprimanded after using facial recognition technology for canteen payments, julho de 2024 (consultado em 9 de outubro de 2026).
17. Sikt: Notification form for personal data (consultado em 9 de outubro de 2026).
18. Universidade de Oslo: Declaration on data protection (students) e Conditions for processing personal data (consultado em 9 de outubro de 2026).
19. Universidade de Uppsala: Data protection policy e GDPR in degree projects (consultado em 9 de outubro de 2026).
20. Universidade de Lund: Processing of personal data at Lund University (consultado em 9 de outubro de 2026).
21. Universidade de Estocolmo: Processing of personal data at Stockholm University (consultado em 9 de outubro de 2026).
22. Karolinska Institutet: Report information security incidents and personal data breaches (consultado em 9 de outubro de 2026).
23. Universidade de Helsínquia: Data protection (consultado em 9 de outubro de 2026).
24. Universidade Aalto: Aalto University data protection policy (consultado em 9 de outubro de 2026).
25. Universidade de Copenhaga: Privacy policy (consultado em 9 de outubro de 2026).
26. NTNU: Information security: digital security incidents and deviations (consultado em 9 de outubro de 2026).
27. KU Leuven: Processing of student data e Processing of research participants' data (consultado em 9 de outubro de 2026).
28. Universidade de Amesterdão: Privacy statement (consultado em 9 de outubro de 2026).
29. Universidade de Utrecht: Privacy statement for participants in scientific research e Data protection officer (consultado em 9 de outubro de 2026).
30. Trinity College Dublin: Legal basis for research e Data breaches (consultado em 9 de outubro de 2026).
31. Biblioteca da University College Dublin: Research data management: GDPR (consultado em 9 de outubro de 2026).
32. Universidade de Edimburgo: Data protection impact assessments (consultado em 9 de outubro de 2026).
33. Université Paris-Saclay: informação sobre o tratamento de dados de candidatos (eCandidat), setembro de 2026 (em francês, consultado em 9 de outubro de 2026).
34. Universidad Complutense de Madrid: Delegado de Protección de Datos (consultado em 9 de outubro de 2026).
35. Universitat de Barcelona: informação sobre proteção de dados (mobilidade SICUE) (em catalão, consultado em 9 de outubro de 2026).
36. Universidade de Lisboa, Faculdade de Direito: Política de Privacidade (2021) (consultado em 9 de outubro de 2026).

Sobre esta página

Fontes verificadas em 9 de outubro de 2026. Lemos o RGPD na versão do Jornal Oficial publicada pelo Serviço das Publicações da UE, os documentos do CEPD e do Grupo de Trabalho do Artigo 29.º acima indicados, as páginas de decisões das próprias autoridades de controlo e as páginas de proteção de dados das universidades citadas. As citações de páginas noutras línguas são reproduzidas no original, acompanhadas de uma tradução nossa entre parênteses, que não deve ser lida como citação textual. Os exemplos de universidades mostram como uma instituição aplica o RGPD ao abrigo do seu próprio direito nacional; não são modelos para todos os países. O calendário do Regulamento da IA e o Quadro de Privacidade de Dados UE-EUA estão sujeitos a alterações, e atualizaremos esta página quando isso acontecer. A nossa própria interpretação está assinalada como análise do Validemic. Esta página contém informação geral e não constitui aconselhamento jurídico. Se detetar um erro ou um ponto desatualizado, contacte-nos e corrigi-lo-emos.