Fundamento jurídico da investigação no RGPD: consentimento, interesse público e garantias do artigo 89.º

A escolha do fundamento jurídico é a primeira decisão de proteção de dados em qualquer projeto de investigação, e a que mais vezes se confunde com a ética da investigação. Este guia explica em que difere o consentimento nos termos do RGPD do consentimento informado ético, quando é que as universidades recorrem ao exercício de funções de interesse público (artigo 6.º, n.º 1, alínea e)), como funcionam o artigo 9.º, n.º 2, alínea j), e o artigo 89.º para as categorias especiais de dados, como as leis nacionais de oito países europeus preenchem as lacunas e o que isto significa para a reutilização de dados, os dados das redes sociais, as gravações e as ferramentas de IA. Termina com uma tabela de decisão e uma lista de verificação.

Publicado a 9 de outubro de 2026 · Fontes verificadas a 9 de outubro de 2026

Também disponível em: English · Svenska · Nederlands · Norsk · Suomi · Dansk · Français · Español

1. Porque é que o fundamento jurídico é tão importante na investigação?

O fundamento jurídico determina que direitos têm os participantes, o que acontece quando alguém desiste, se os dados podem ser reutilizados em projetos posteriores e o que a informação aos participantes tem de dizer. Tem de ser escolhido antes de o tratamento começar e não pode simplesmente ser trocado mais tarde. Na investigação, a escolha complica-se porque as regras de ética também usam a palavra "consentimento" para algo diferente.

O artigo 6.º, n.º 1, do RGPD enumera seis fundamentos de licitude; quatro são relevantes para a investigação: o consentimento (alínea a)), a obrigação jurídica (alínea c)), o exercício de funções de interesse público (alínea e)) e os interesses legítimos (alínea f)). As categorias especiais de dados precisam ainda de uma condição do artigo 9.º, n.º 2. Ambas as escolhas se inserem nas regras do RGPD para a investigação: o artigo 5.º, n.º 1, alínea b), sobre o tratamento posterior, o artigo 5.º, n.º 1, alínea e), sobre a conservação e o artigo 89.º sobre garantias e derrogações.

O considerando 159 indica que o tratamento para fins de investigação científica "deverá ser entendido em sentido lato". O CEPD é mais cauteloso. Nas suas orientações relativas ao consentimento afirma que a noção "may not be stretched beyond its common meaning" (não pode ser alargada para além do seu significado comum) e remete para a investigação realizada segundo normas metodológicas e éticas próprias de cada setor (Orientações 05/2020, ponto 153). O projeto de orientações de 2026 sobre a investigação acrescenta seis fatores indicativos, a começar por uma "methodical and systematic approach" (abordagem metódica e sistemática) e pela "adherence to ethical standards" (observância de normas éticas).

2. Qual é a diferença entre o consentimento do RGPD e o consentimento informado ético?

O consentimento informado ético protege a dignidade e a integridade da pessoa: ninguém deve ser incluído numa investigação sem o saber e sem concordar. O consentimento do RGPD é um dos seis fundamentos de licitude do tratamento de dados pessoais, com condições estritas: livre, específico, informado, inequívoco e passível de ser retirado. Um estudo pode exigir o primeiro sem utilizar o segundo como fundamento jurídico.

Os organismos europeus têm sido coerentes neste ponto:

• Parecer 3/2019 do CEPD sobre os ensaios clínicos: o consentimento informado previsto no Regulamento relativo aos ensaios clínicos "must not be confused with the notion of consent as a legal ground" (não deve ser confundido com a noção de consentimento enquanto fundamento jurídico) do RGPD (ponto 15). Um desequilíbrio de poder manifesto significa que o consentimento não é dado livremente.
• Orientações 05/2020 do CEPD relativas ao consentimento: o consentimento para a utilização de dados pessoais "should be distinguished from other consent requirements that serve as an ethical standard or procedural obligation" (deve ser distinguido de outros requisitos de consentimento que funcionam como norma ética ou obrigação processual) (ponto 154). O consentimento ético "could be considered as an additional safeguard" (poderá ser considerado uma garantia adicional).
• Resposta do CEPD à Comissão sobre a investigação em saúde (2 de fevereiro de 2021): o consentimento informado para participar "can and must be distinguished from explicit consent" (pode e deve ser distinguido do consentimento explícito) enquanto fundamento do tratamento (ponto 5).
• Parecer preliminar da AEPD sobre a investigação científica (2020): o consentimento do RGPD "differs conceptually and operationally from 'informed consent' of human participants in research" (difere, conceptual e operacionalmente, do "consentimento informado" dos participantes humanos em investigação) (resumo executivo).
• Projeto de Orientações 1/2026 do CEPD: o consentimento ético "is not required by the GDPR, but may be considered as an additional safeguard according to Article 89 GDPR" (não é exigido pelo RGPD, mas pode ser considerado uma garantia adicional nos termos do artigo 89.º do RGPD) (ponto 53). Se ambos forem pedidos ao mesmo tempo, o pedido relativo ao RGPD tem de se distinguir claramente (ponto 55).

As autoridades nacionais dizem o mesmo. A CNIL francesa aconselha que, quando se usa o consentimento do RGPD, o formulário tenha duas caixas separadas, "l'une pour recueillir le consentement RGPD, l'autre pour participer à la recherche" (uma para recolher o consentimento RGPD, a outra para participar na investigação), e observa que a investigação baseada no interesse público pode continuar a exigir a concordância dos participantes em tomar parte (CNIL). A Health Research Authority do Reino Unido resume-o numa frase: "Consent to participation in research is not the same as consent as the legal basis for processing under data protection legislation" (o consentimento para participar na investigação não é o mesmo que o consentimento enquanto fundamento jurídico do tratamento ao abrigo da legislação de proteção de dados) (HRA).

Uma fonte aponta noutro sentido. A nota "Ethics and data protection" da Comissão para o Horizonte Europa (5 de julho de 2021) pede um procedimento de consentimento que cumpra as normas do RGPD quando os dados são recolhidos diretamente. Foi redigida por um painel de peritos e declara que "does not constitute official EU guidance" (não constitui orientação oficial da UE) (Comissão).

Análise do Validemic As comissões de ética e os EPD muitas vezes não se entendem porque ambos dizem "consentimento". Uma solução simples é usar palavras diferentes nos modelos: "concordância em participar" para o requisito ético, e "consentimento para o tratamento de dados" apenas quando o artigo 6.º, n.º 1, alínea a), for realmente o fundamento.

3. Que fundamentos do artigo 6.º pode a investigação usar?

A investigação pode basear-se no consentimento, no exercício de funções de interesse público, nos interesses legítimos e, para partes restritas, na obrigação jurídica. A escolha depende sobretudo de quem é o responsável pelo tratamento. Nas orientações que lemos, as universidades públicas usam sobretudo as funções de interesse público; as entidades privadas sem uma missão de investigação prevista na lei usam os interesses legítimos ou o consentimento.

O projeto de orientações 1/2026 observa ainda que as funções de interesse público "is not limited to public entities" (não se limitam às entidades públicas): as entidades privadas podem usá-las "if the legal act covers their activities" (se o ato jurídico abranger as suas atividades) (ponto 58). Saber se uma determinada universidade é uma "autoridade pública" depende também do direito nacional, o que é relevante para as universidades privadas em alguns países.

4. Como é que o direito nacional sustenta a investigação de interesse público? Exemplos de oito países

O artigo 6.º, n.º 3, exige que as funções de interesse público estejam previstas no direito da União ou de um Estado-Membro. Essa lei não precisa de descrever cada projeto. O projeto do CEPD afirma que pode autorizar a investigação "without necessarily specifying how the research is to be undertaken" (sem necessariamente especificar como a investigação deve ser realizada) (ponto 57). Na prática, as universidades remetem para a sua lei do ensino superior, e vários países têm disposições sobre investigação nas leis de execução do RGPD. A tabela resume as disposições que lemos em 9 de outubro de 2026.

Dois casos próximos fora da tabela: na Irlanda, o Trinity College Dublin informa os investigadores de que "explicit consent is required for any health research in Ireland" (é exigido consentimento explícito para qualquer investigação em saúde na Irlanda), refletindo as regras nacionais sobre investigação em saúde. No Reino Unido, o UK GDPR tem a mesma estrutura, e a HRA afirma que as autoridades públicas que realizam investigação "will use 'task in the public interest' as their legal basis" (usarão as "funções de interesse público" como fundamento jurídico).

Estes resumos são seletivos. As leis nacionais têm outras condições e regras setoriais (saúde, registos, biobancos), e algumas mudam com frequência: a lei finlandesa foi alterada em maio de 2026 (380/2026). Leia a disposição completa e consulte o seu EPD antes de se basear nela.

5. Que fundamento jurídico usam, na prática, as universidades europeias?

A maioria das orientações universitárias que lemos faz das funções de interesse público a regra para a investigação e mantém o consentimento como requisito ético. Os pormenores variam de país para país, sobretudo quanto às categorias especiais de dados. Nas suas próprias palavras:

A informação aos participantes em investigação de Edimburgo torna também visível essa separação: o consentimento para usar informação pessoal "(which we rarely request) is separate from your ethical consent to participate" ((que raramente pedimos) é distinto do seu consentimento ético para participar) (Edimburgo).

Análise do Validemic O padrão é claro nos países nórdicos, na Bélgica, na Irlanda e no Reino Unido. Os Países Baixos são a principal exceção para as categorias especiais de dados, porque o artigo 24 da UAVG faz do consentimento explícito o ponto de partida. As universidades espanholas e dinamarquesas indicam muitas vezes ambos os fundamentos e deixam a decisão para cada projeto. O que todas têm em comum é a instrução de decidir projeto a projeto e de informar os participantes.

Está a avaliar um fornecedor? O Validemic analisa a documentação do fornecedor à luz do RGPD e do Regulamento da Inteligência Artificial e indica a fonte de cada conclusão. Experimentar o ambiente de demonstração

6. Que condição do artigo 9.º se aplica às categorias especiais de dados na investigação?

As categorias especiais de dados precisam de uma condição do artigo 9.º, n.º 2, para além do fundamento do artigo 6.º. Na investigação, as opções realistas são o consentimento explícito (alínea a)), a condição da investigação (alínea j)), os dados manifestamente tornados públicos pelo titular (alínea e)) e as condições de interesse público importante ou de saúde pública (alíneas g) e i)), quando previstas no direito nacional ou da União.

O artigo 9.º, n.º 2, alínea j), abrange o tratamento "necessário para fins de arquivo de interesse público, para fins de investigação científica ou histórica ou para fins estatísticos, em conformidade com o artigo 89.º, n.º 1, com base no direito da União ou de um Estado-Membro". Esse direito tem de ser proporcional ao objetivo, respeitar a essência do direito à proteção dos dados e "prever medidas adequadas e específicas". O projeto do CEPD acrescenta que os responsáveis pelo tratamento devem conseguir demonstrar que a lei se aplica ao seu tratamento e que cumprem as suas condições (ponto 74). Enumera, entre outros, a secção 10 da lei dinamarquesa, a secção 6, n.º 1, ponto 7, da lei finlandesa, o art. 44, n.º 6, da lei francesa, a secção 27, n.º 1, do BDSG alemão e a lei sueca de avaliação ética como exemplos, mas observa que "The EDPB has not reviewed nor analysed the laws referred to" (o CEPD não reviu nem analisou as leis referidas).

O artigo 9.º, n.º 4, permite aos Estados-Membros acrescentar condições para os dados genéticos, biométricos e de saúde, pelo que um estudo em vários países pode precisar de consentimento explícito num país e de nenhum noutro. Para os ensaios clínicos, o Parecer 3/2019 do CEPD indica como alternativas ao consentimento as funções de interesse público com o artigo 9.º, n.º 2, alínea i) ou j), ou os interesses legítimos com o artigo 9.º, n.º 2, alínea j).

7. Que garantias exige o artigo 89.º, n.º 1?

O artigo 89.º, n.º 1, exige garantias adequadas para o tratamento para fins de investigação, com medidas técnicas e organizativas "a fim de assegurar, nomeadamente, o respeito do princípio da minimização dos dados". Refere a pseudonimização como uma medida possível. Sempre que a investigação possa ser feita com dados que já não permitam identificar as pessoas, "os referidos fins são atingidos desse modo".

As orientações do CEPD relativas ao consentimento afirmam: "Anonymisation is the preferred solution as soon as the purpose of the research can be achieved without the processing of personal data" (a anonimização é a solução preferível logo que a finalidade da investigação possa ser alcançada sem tratar dados pessoais) (ponto 160). O projeto de 2026 acrescenta uma lista de outras garantias: supervisão independente ou ética, ambientes de tratamento seguros, tecnologias de reforço da privacidade, medidas de proteção na publicação e condições para a utilização posterior. A resposta do CEPD de 2021 liga também as duas coisas: a presunção de compatibilidade para a investigação posterior "can only be used" (só pode ser invocada) se as garantias do artigo 89.º, n.º 1, forem respeitadas (ponto 20).

Na prática, as garantias que os EPD e as comissões de ética procuram são:

1. Um plano de gestão de dados que justifique cada elemento de dados.
2. Pseudonimização o mais cedo possível, com a chave guardada separadamente e acesso restrito.
3. Anonimização para a partilha e a publicação, sempre que possível.
4. Armazenamento seguro em serviços aprovados pela universidade; veja o nosso guia sobre dados de investigação no armazenamento em nuvem.
5. Um contrato do artigo 28.º com cada fornecedor e, fora do EEE, um instrumento de transferência. Os nossos guias sobre acordos de partilha de dados e acordos de responsabilidade conjunta tratam dos parceiros.
6. Uma AIPD quando o risco for elevado (segundo a Universidade de Bergen, a autoridade norueguesa de proteção de dados exige-a para a investigação com categorias especiais de dados que não se baseie no consentimento). A nossa ferramenta de triagem de AIPD e o modelo de AIPD ajudam.
7. Regras de conservação que indiquem durante quanto tempo os dados identificáveis são guardados; veja o nosso guia sobre tabelas de prazos de conservação.

8. Que direitos dos titulares dos dados podem ser limitados na investigação?

O próprio RGPD limita alguns direitos na investigação, e o artigo 89.º, n.º 2, permite ao direito da União ou nacional prever derrogações aos direitos de acesso, retificação, limitação e oposição (arts. 15.º, 16.º, 18.º e 21.º), mas apenas "na medida em que esses direitos sejam suscetíveis de tornar impossível ou prejudicar gravemente a realização dos fins específicos" e a derrogação seja necessária.

• Apagamento: o artigo 17.º, n.º 3, alínea d), afasta o direito ao apagamento quando este torne impossível ou prejudique gravemente a investigação, com as garantias do artigo 89.º, n.º 1.
• Oposição: o artigo 21.º, n.º 6, confere o direito de oposição ao tratamento para fins de investigação, "salvo se o tratamento for necessário para a prossecução de atribuições de interesse público".
• Informação: quando os dados não são recolhidos junto da pessoa, o artigo 14.º, n.º 5, alínea b), prevê uma exceção para os casos de impossibilidade ou esforço desproporcionado, mas o responsável pelo tratamento tem de tomar medidas adequadas para defender os interesses das pessoas, "inclusive através da divulgação da informação ao público". A Universidade de Aarhus, por exemplo, publica uma lista dos projetos de investigação que usam esta exceção. Não existe exceção equivalente no artigo 13.º para os dados recolhidos diretamente.
• Derrogações nacionais: veja a tabela de países na secção 4.
• Retirada do consentimento: nenhuma destas exceções se aplica. Se o consentimento for retirado, o CEPD afirma que o responsável pelo tratamento "must in principle delete the personal data straight away" (deve, em princípio, apagar imediatamente os dados pessoais) se quiser continuar a investigação (05/2020, ponto 163).

O nosso guia sobre pedidos de acesso dos titulares dos dados nas universidades explica como tratar os pedidos na prática.

9. Os dados de investigação podem ser reutilizados? Tratamento posterior e utilização secundária

Sim, muitas vezes. O artigo 5.º, n.º 1, alínea b), determina que o tratamento posterior para fins de investigação científica "não é considerado incompatível com as finalidades iniciais", em conformidade com o artigo 89.º, n.º 1. O considerando 50 indica que essas operações de tratamento posterior "deverão ser consideradas tratamento lícito compatível". Mas a compatibilidade não é toda a resposta: o responsável pelo tratamento continua a precisar de um fundamento de licitude e, para as categorias especiais de dados, de uma condição do artigo 9.º.

O projeto de orientações 1/2026 do CEPD afirma que o teste de compatibilidade do artigo 6.º, n.º 4, não é necessário para a investigação posterior (ponto 19), mas a verificação da licitude mantém-se, e nem sempre é possível invocar o fundamento original, em especial se este tiver sido o consentimento (pontos 21 e 22). A resposta do CEPD de 2021 acrescenta que um hospital que se baseie no artigo 9.º, n.º 2, alínea h), para a prestação de cuidados pode precisar de outra condição do artigo 9.º para usar os processos clínicos na investigação.

Situações frequentes de utilização secundária nas universidades:

• Reutilizar dados de um projeto anterior próprio. Verifique o que foi dito aos participantes e se o fundamento original, sobretudo o consentimento, abrange a nova utilização. O Trinity College Dublin informa os investigadores de que a utilização secundária se presume compatível "if the research is in the public interest" (se a investigação for de interesse público), com as garantias do artigo 89.º, n.º 1.
• Usar o conjunto de dados de outro investigador ou de um arquivo. Passa a ser um novo responsável pelo tratamento ou um responsável conjunto. Precisa do seu próprio fundamento, de um acordo de partilha de dados e, normalmente, de prestar a informação do artigo 14.º.
• Dados de registos e administrativos. As leis nacionais sobre registos e as entidades que concedem autorizações fixam muitas vezes as condições. A Dinamarca exige autorização do Datatilsynet para algumas comunicações (secção 10, n.º 3).
• Dados de estudantes e trabalhadores provenientes de sistemas da universidade. A investigação sobre os próprios estudantes da universidade exige cuidado com o desequilíbrio de poder; veja o nosso guia sobre análise da aprendizagem.

A partir de 2029, o Regulamento (UE) 2025/327 relativo ao Espaço Europeu de Dados de Saúde acrescentará uma via própria para a utilização secundária de dados de saúde eletrónicos através de organismos responsáveis pelo acesso aos dados de saúde. O seu capítulo IV, sobre a utilização secundária, aplica-se a partir de 26 de março de 2029 (Regulamento EEDS).

10. O consentimento amplo é permitido pelo RGPD?

Sim, dentro de limites. O considerando 33 indica que os titulares dos dados "deverão poder dar o seu consentimento para determinadas áreas de investigação científica, desde que estejam de acordo com padrões éticos reconhecidos para a investigação científica". O CEPD interpreta-o de forma restritiva: o considerando "does not disapply the obligations with regard to the requirement of specific consent" (não afasta as obrigações relativas ao requisito de consentimento específico), e o RGPD "cannot be interpreted to allow for a controller to navigate around the key principle of specifying purposes" (não pode ser interpretado no sentido de permitir a um responsável pelo tratamento contornar o princípio essencial da especificação das finalidades) (05/2020, pontos 156 e 158). Para as categorias especiais de dados, essa flexibilidade é objeto de "a high degree of scrutiny" (um elevado grau de escrutínio) (ponto 157).

O projeto de 2026 descreve dois modelos. O consentimento amplo abrange projetos futuros dentro de uma área de investigação definida, e "it is not sufficient to only state that personal data will be used for scientific research purposes" (não basta afirmar apenas que os dados pessoais serão usados para fins de investigação científica) (ponto 44). O consentimento dinâmico volta a perguntar às pessoas à medida que cada projeto é conhecido, o que o CEPD considera "often the appropriate way" (muitas vezes a via adequada) em estudos de longa duração com contacto regular (ponto 52). As garantias que sugere para o consentimento amplo incluem um depositário de dados independente, um consentimento limitado no tempo e uma supervisão independente (pontos 48 e 49).

Espanha (para a investigação em saúde) e Portugal consagraram o consentimento amplo na lei nacional. Análise do Validemic Quando o direito nacional o permite, combinar a concordância em participar com as funções de interesse público como fundamento do RGPD evita os problemas de retirada e de especificidade do consentimento amplo.

11. Dados das redes sociais, gravações, transcrições e ferramentas de IA

Dados das redes sociais

As publicações públicas continuam a ser dados pessoais. Uma universidade precisa de um fundamento jurídico (normalmente as funções de interesse público, no caso de uma universidade pública), e o conteúdo de categorias especiais presente nas publicações só fica abrangido pelo artigo 9.º, n.º 2, alínea e), se os dados tiverem sido "manifestamente tornados públicos pelo seu titular". O projeto do CEPD afirma que os responsáveis pelo tratamento devem verificar se o conteúdo foi publicado "following an active choice by the data subject" (na sequência de uma escolha ativa do titular dos dados) e analisar as definições da plataforma (ponto 70). Uma fotografia publicada por um amigo não conta (ponto 71). O seu exemplo prático pseudonimiza as publicações recolhidas e informa os utilizadores nos termos do artigo 14.º.

A nota de ética da Comissão acrescenta que "It is not enough that the data be accessible" (não basta que os dados estejam acessíveis) e pede aos investigadores que verifiquem as condições da plataforma. A Sikt indica os estudos na internet como caso típico de interesse público.

Gravações e transcrições de entrevistas

Uma gravação de voz ou de vídeo identifica quem fala, e o conteúdo das entrevistas inclui muitas vezes categorias especiais de dados (saúde, religião, opiniões políticas) sobre o participante ou sobre terceiros. O fundamento jurídico é o mesmo do estudo, mas a nota de ética da Comissão pede um procedimento de consentimento específico para "intrusive methods such as behavioural profiling, audio/video recording or geo-location tracking" (métodos intrusivos como a definição de perfis comportamentais, a gravação áudio ou vídeo ou o rastreamento da geolocalização). A Sikt observa que o consentimento pode ser documentado "on a sound recording" (numa gravação áudio).

Análise do Validemic Pontos práticos:

• Apague ou pseudonimize as gravações depois de verificada a transcrição, salvo se houver uma razão documentada para as conservar.
• Retire das transcrições os nomes e os elementos identificativos de terceiros.
• Trate qualquer serviço de transcrição como um subcontratante que precisa de um contrato de subcontratação e de uma análise das transferências. Compare o Otter.ai, o Amberscript, o Trint e a opção de transcrição local com o Whisper.
• Use ferramentas aprovadas para a análise qualitativa; veja as nossas fichas do NVivo e do ATLAS.ti.

Ferramentas de IA na investigação

Carregar dados de entrevistas numa ferramenta de IA generativa é tratamento de dados. Precisa do fundamento jurídico do estudo, tem de corresponder ao que foi dito aos participantes, e o prestador passa a ser subcontratante (ou responsável pelo tratamento, se usar os dados para fins próprios). Verifique a utilização para treino, o local do tratamento e se o plano institucional inclui um contrato de subcontratação. O nosso guia sobre o RGPD e as ferramentas de IA na investigação trata o tema em pormenor, e ferramentas de IA aprovadas em universidades europeias mostra o que outras instituições permitem.

12. O que deve a informação aos participantes dizer sobre o fundamento jurídico?

O artigo 13.º, n.º 1, alínea c), e o artigo 14.º, n.º 1, alínea c), exigem que a informação indique as finalidades e o fundamento jurídico. Na investigação, isso significa indicar o fundamento do artigo 6.º, a condição do artigo 9.º para as categorias especiais de dados e a lei nacional em que assenta. A instrução do Trinity College Dublin é curta: informar os participantes do fundamento jurídico "In advance of any data collection" (antes de qualquer recolha de dados).

• Indique o fundamento de forma simples, por exemplo: "Tratamos os seus dados porque a investigação é uma função de interesse público (artigo 6.º, n.º 1, alínea e), do RGPD, com base em [lei nacional do ensino superior]). A sua concordância em participar é um requisito ético e não constitui o fundamento jurídico."
• Se o fundamento for o consentimento, explique como o retirar e o que acontece aos dados já recolhidos.
• Se o fundamento forem as funções de interesse público, explique o direito de oposição e os seus limites na investigação.
• Refira as derrogações nacionais aos direitos que utilize.
• Se os dados puderem ser reutilizados em investigação posterior, diga-o e descreva as garantias.

O nosso guia sobre a informação aos participantes em investigação tem um modelo Word gratuito com esta redação, e existe uma versão finlandesa em tietosuojaseloste-malli.

13. Tabela de decisão: que fundamento jurídico para cada situação?

Análise do Validemic A tabela mostra escolhas típicas numa universidade pública da UE ou do EEE. É um ponto de partida para uma conversa com o EPD, não uma regra. O direito nacional e o projeto concreto podem mudar a resposta.

14. O que está a mudar? Evoluções pendentes na UE e a nível nacional

• Orientações 1/2026 do CEPD sobre a investigação científica. Adotadas em 15 de abril de 2026 para consulta pública, que decorreu até 25 de junho de 2026 (página da consulta, comunicado). A 9 de outubro de 2026 não encontrámos uma versão definitiva no sítio web do CEPD, e a ordem de trabalhos da sessão plenária de 17 de setembro de 2026 não a incluía. O projeto pode mudar.
• Proposta Omnibus Digital. A proposta da Comissão de 19 de novembro de 2025 acrescentaria ao RGPD uma definição de investigação científica e reformularia o artigo 5.º, n.º 1, alínea b). A ficha do Parlamento Europeu indica que aguarda decisão da comissão parlamentar (processo 2025/0360(COD)). Não é lei.
• Espaço Europeu de Dados de Saúde. O Regulamento (UE) 2025/327 aplica-se a partir de 26 de março de 2027, e o capítulo sobre a utilização secundária a partir de 26 de março de 2029.
• Suécia. Uma alteração à lei sueca de avaliação ética (SFS 2026:1229), que no riksdagen.se consta como entrando em vigor em 1 de julho de 2027, acrescenta uma secção 6 a que permite realizar alguma investigação com dados sensíveis sem avaliação ética, por exemplo com o consentimento de um participante adulto.

15. Lista de verificação: escolher e documentar o fundamento jurídico

Para uma visão de conjunto do RGPD no ensino, na investigação e na gestão, veja o nosso guia RGPD nas universidades e a página RGPD explicado.

Fontes

Todas as fontes foram consultadas em 9 de outubro de 2026.

1. Regulamento (UE) 2016/679 (RGPD), texto do Jornal Oficial, artigos 5.º, 6.º, 9.º, 13.º, 14.º, 17.º, 21.º e 89.º e considerandos 33, 50, 156, 157 e 159 (lido através do Serviço das Publicações da UE).
2. Comité Europeu para a Proteção de Dados, Orientações 05/2020 relativas ao consentimento na aceção do Regulamento 2016/679, versão 1.1, secção 7.2, pontos 153 a 165.
3. Comité Europeu para a Proteção de Dados, Guidelines 1/2026 on processing of personal data for scientific research purposes, adotadas em 15 de abril de 2026, versão para consulta pública (em inglês), e a página da consulta.
4. Comité Europeu para a Proteção de Dados, Document on response to the request from the European Commission for clarifications on the consistent application of the GDPR, focusing on health research, 2 de fevereiro de 2021 (em inglês).
5. Comité Europeu para a Proteção de Dados, Parecer 3/2019 sobre a interação entre o Regulamento relativo aos ensaios clínicos e o RGPD, 23 de janeiro de 2019.
6. Comité Europeu para a Proteção de Dados, lista de notícias (verificada quanto à adoção definitiva das Orientações 1/2026) e ordem de trabalhos da sessão plenária de 17 de setembro de 2026.
7. Autoridade Europeia para a Proteção de Dados, A Preliminary Opinion on data protection and scientific research, 6 de janeiro de 2020 (em inglês).
8. Comissão Europeia (painel de peritos), Ethics and data protection, 5 de julho de 2021 (em inglês).
9. Observatório Legislativo do Parlamento Europeu, Processo 2025/0360(COD), Omnibus Digital.
10. Regulamento (UE) 2025/327 relativo ao Espaço Europeu de Dados de Saúde, disposições finais sobre as datas de aplicação.
11. Suécia: Högskolelag (1992:1434), Lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning e Lag (2003:460) om etikprövning av forskning som avser människor, riksdagen.se.
12. Noruega: Personopplysningsloven (LOV-2018-06-15-38), secções 8 a 10, lovdata.no.
13. Finlândia: Tietosuojalaki (1050/2018), versão consolidada incluindo a alteração 380/2026, finlex.fi.
14. Dinamarca: Databeskyttelsesloven, LBK nr. 289 af 08/03/2024, retsinformation.dk.
15. Países Baixos: Uitvoeringswet Algemene verordening gegevensbescherming, artigos 24 e 44, wetten.overheid.nl.
16. França: CNIL, Recherche scientifique (hors santé) : quelle base légale pour un traitement de recherche ? (6 de janeiro de 2022) e Traitements de données à des fins de recherche scientifique (hors santé) : quand saisir la CNIL ? (4 de fevereiro de 2026).
17. Espanha: Ley Orgánica 3/2018 (LOPDGDD), disposición adicional decimoséptima, boe.es.
18. Portugal: Lei n.º 58/2019, de 8 de agosto, artigo 31.º, texto consolidado em pgdlisboa.pt.
19. UK Health Research Authority, Legal basis for processing data.
20. Sikt, Legal bases for personal data processing in research.
21. Universidade de Bergen, General principles for processing personal data in research.
22. Universidade de Estocolmo, Personuppgiftsbehandling vid Stockholms universitet.
23. Universidade de Lund, Template B: information on processing of personal data in research (Word, abril de 2026).
24. Universidade de Helsínquia, RDM Advanced webinar series FAQ e Emplacing Heritage data protection notice.
25. Universidade de Aarhus, Personal data in research at Aarhus University when we are the data controller e Research projects exempt from the duty to inform.
26. Universidade de Utrecht, Faculdade de Ciências Sociais e Comportamentais, Dealing with Consent in Scientific Research, 3 de fevereiro de 2025.
27. KU Leuven / UZ Leuven, Onderzoek met minderjarigen: enkele cases (em neerlandês).
28. Trinity College Dublin, Legal Basis for Research.
29. Universidade de Edimburgo, Research and Data Protection Legislation (orientações para investigadores) e Privacy notice for research participants.
30. Universidade de Essex, Data Protection and research activity.
31. Universidad de Granada, Secretaría General, Producción investigadora (registo de atividade de tratamento) (em espanhol).

Sobre esta página

Fontes verificadas em 9 de outubro de 2026. Lemos o RGPD na versão do Jornal Oficial, os documentos do CEPD, da AEPD e da Comissão acima indicados, as leis nacionais nos respetivos sítios oficiais ou de publicação consolidada, e cada página universitária que citamos. As citações são curtas e reproduzidas tal como publicadas na data de verificação; as citações noutras línguas são acompanhadas de uma tradução nossa entre parênteses, que não deve ser lida como citação textual. A nossa própria interpretação está assinalada como análise do Validemic. As orientações do CEPD sobre a investigação são um projeto em consulta e o Omnibus Digital é uma proposta; atualizaremos esta página quando algum deles mudar. Esta página contém informação geral e não constitui aconselhamento jurídico. O direito nacional, as regras setoriais e as políticas da sua instituição podem acrescentar requisitos, pelo que deve confirmar o fundamento jurídico de cada projeto com o seu encarregado da proteção de dados. Se detetar um erro ou um ponto desatualizado, contacte-nos e corrigi-lo-emos.