Parecer n.º 35/2026

PAR/2026/28 1 PARECER/2026/35 I. Pedido 1. A Secretária de Estado da Justiça solicitou à Comissão Nacional de Proteção de Dados (CNPD) que se pronunci- asse sobre o Projeto de Portaria (doravante Projeto de Portaria) que procede à quarta alteração à Portaria n.º 287/2017 de 28 de setembro. 2. A referida Portaria n.º 287/2017 (doravante Portaria) tem como seu diploma habilitante a Lei n.º 7/2007, de 05 de fevereiro, que criou o Cartão de Cidadão, que tem vindo ser alterada por diversos diplomas, a saber: Lei n.º 91/2015, de 12 de agosto; Lei n.º 32/2017, de 01 de junho; Lei n.º 61/2021, de 19 de agosto, Lei n.º 19-A/2024, de 07 de fevereiro. 3. A CNPD emite parecer no âmbito das suas atribuições e competências enquanto autoridade administrativa inde- pendente com poderes de autoridade para o controlo dos tratamentos de dados pessoais, conferidos pela alínea c) do n.º 1 do artigo 57.º, conjugado com a alínea b) do n.º 3 do artigo 58.º, e com o n.º 4 do artigo 36.º, todos do Regulamento (UE) 2016/679, de 27 de abril de 2016 Regulamento Geral sobre a Proteção de Dados (doravante RGPD), em conjugação com o disposto no artigo 3.º, no n.º 2 do artigo 4.º, e na alínea a) do n.º 1 do artigo 6.º, todos da Lei n.º 58/2019, de 8 de agosto, que executa na ordem jurídica interna o RGPD. II. Análise i) A tutela jurídica dos dados pessoais 4. O quadro jurídico para a proteção da vida privada e dos dados pessoais encontra-se essencialmente centrado na Constituição da República Portuguesa, através dos seus artigos 26.º, n.º 1 e 35.º, na Carta dos Direitos Fundamen- tais da União Europeia (doravante CDFUE) e no Regulamento Geral sobre a Proteção de Dados (RGPD). 5. A noção legal de dados pessoais está estabelecida no artigo 4.º, 1) do RGPD considerando que os mesmos cor- informação relativa a uma pessoa singular identificada ou identificável («titular dos dados»); é consi- derada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por refe- rência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, identifi- cadores por via eletrónica ou a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular;  PAR/2026/28 1v. 6. Por sua vez, de acordo com o artigo 8.º CDFUE o tratamento dos dados de carácter pessoal deve processar-se no estrito respeito pelos direitos, liberdades e garantias das pessoas singulares, em especial pelo direito à proteção dos dados pessoais (princípio da legalidade). 7. No que concerne ao RGPD, este veio consignar no artigo 5.º, n.º 1 que os dados pessoais são: i) Objeto de um trata- mento lícito, leal e transparente (licitude, lealdade e transparência); ii) Recolhidos para finalidades determinadas, explícitas e legítimas, não podendo ser tratados de forma incompatível com essas finalidades (limitação das finalidades); iii) Ade- quados, pertinentes e limitados ao mínimo necessário à prossecução das finalidades para as quais são tratados (minimi- zação dos dados); iv) Exatos e atualizados sempre que necessário, devendo ser tomadas todas as medidas razoáveis para que os dados inexatos sejam apagados ou retificados sem demora (exatidão dos dados); v) Conservados de forma a permitir a identificação dos titulares dos dados apenas durante o período necessário para as finalidades para as quais são tratados (limitação da conservação); vi) Tratados de uma forma que garanta a sua segurança, incluindo a proteção contra o seu tratamento não autorizado ou ilícito e contra a sua perda, destruição ou danificação acidentais, recorrendo a medidas técnicas ou organizativas adequadas (integridade e confidencialidade). 8. Por último o artigo 5.º, n.º 2 do RGPD veio estabelecer o comando de que o responsável pelo tratamento deve adotar as medidas que lhe permitam comprovar que o tratamento de dados pessoais é realizado em conformidade com os princípios enunciados (responsabilidade). ii) O quadro político-constitucional 9. A Constituição da República . Daqui decorre o dever estadual de os atos normativos, tanto legislativos, como regulamenta- dores, serem redigidos em língua portuguesa, que tem como correspondência a consagração do direito fundamental ao uso da língua portuguesa, enquanto direito análogo aos direitos, liberdades e garantias. Deste modo, as normas legais ou regulamentadoras revelam-se, sob o ponto de vista formal, como substantivo, como um processo comu- nicativo entre o Estados e os respetivos cidadãos através da língua portuguesa, o que tem reflexo na compreensão linguística do quadro jurídico-legal da tutela da vida privada e da proteção dos dados pessoais. 10. Por sua vez, no registo constitucional normativo sobre os direitos, liberdades e garantias, estabelece os direitos fundamentais à reserva da intimidade da vida privada e familiar (artigo 26.º, n.º 1 CRP), bem como à autonomia informativa, como sucede na sua dimensão de proteção dos dados pessoais (artigo 35.º, n.º 1 e 2).  PAR/2026/28 2 11. Trata-se de matéria da competência legislativa exclusiva da Assembleia da República, salvo autorização conce- dida pela mesma ao Governo, e daí designar-se como reserva relativa de competência legislativa (artigo 165.º, n.º 1, alínea b) CRP). 12. Por sua vez, a CRP ao consagrar no artigo 112.º o quadro supralegal dos atos normativos, estabelece no n.º 1 daquele preceito constitucional -leis e os decretos legislativos regio- ulamentos do Governo revestem a forma de decreto regulamentar quando u que definem a competência 13. alínea c) : [f]azer os regulamentos necessários à 14. O Código de Procedimento Administrativo, aprovado pelo Decreto-Lei n.º 4/2015, de 7 de janeiro, na sua recção atual (CPA), jur 15. Deste modo, a Portaria, enquanto regulamento corresponde a um ato normativo ou ordenador emitido pelo Go- verno, através de um ou mais ministros, com o objetivo de disciplinar pormenorizadamente ou definir os procedi- mentos técnicos dos designados atos normativos ou legislativos, não podendo contrariar ou exceder a Lei habili- tante. 16. O presente Projeto de Portaria identifica no seu Preâmbulo a seguinte L n.º 4 do artigo 6.º e na alínea c) do n.º 2 do artigo 8.º da Lei n.º 7/2007, de 5 de fevereiro, na sua redação atual. 17. Para melhor compreendermos o sentido da habilitação legal deste Projeto de Portaria, passaremos a transcrever os referenciados segmentos normativos: As normas técnicas de armazenamento, acesso, leitura, segurança e interoperabilidade dos dados constantes de circuito integrado são definidas por portaria dos membros do Governo responsáveis pelas áreas da modernização administrativa e da justiça. c) Apli- cações informáticas necessárias ao desempenho das funcionalidades do cartão de cidadão e à sua gestão e segu- rança  PAR/2026/28 2v. iii) A finalidade e o desenho do Projeto de Portaria 18. O Preâmbulo do Projeto de Portaria refere digitalização dos serviços públicos, torna-se possível desenvolver novas funcionalidades, aptas a permitir a presta- ção de serviços inovadores, tornando mais cómoda a vida dos cidadãos. Tal é o caso do token multisserviços cons- tantes do circuito integrado do cartão de cidadão, cujos mecanismos técnicos de acesso e leitura a presente portaria 19. A disponibilização deste token permitirá um controlo facilitado para acesso a determinados serviços para os quais seja suficiente a identificação do titular do cartão de cidadão através de um código, promovendo um equilíbrio adequado entre segurança, usabilidade e proteção dos dados pessoais dos cida- dãos, em conformidade com as exigências legais nacionais europeias 20. Nesta conformidade, o Projeto de Portaria enuncia como seu objeto, como decorre do artigo 1.º, ração à Portaria n.º 287/2017, de 28 de setembro, alterada pelas Portarias n.ºs 190-B/2019, de 21 de junho, 312- 21. Por sua vez, no Projeto de Portaria assinala-se o respetivo âmbito, através do subsequente artigo 2.º, mediante a alteração aos artigos 1.º, 2.º e 4º da mencionada Portaria n.º 287/2017, e também no artigo 3.º, procedendo ao aditamento do artigo 4.º-A, com 22. O desenho do Projeto de Portaria começa por incidir na implementação dos leitura do token i), artigo 1.º) da Porta- ria), na reconfiguração e atualização para a Agência para a Reforma Tecnológica do Estado , I.P. (ARTE, IP), em substituição da antiga Agência para a Modernização Administrativa, I.P. (AMA, IP), enquanto entidade gestora da interoperabilidade dos sistemas das entidades aderentes com o cartão do cidadão, em conformidade com o respe- (n.º 3, do artigo 2.º da Portaria), assegurando os requisitos constantes da documentação técnica a disponibilizar (n.º 4 do artigo 2.º da Portaria) 23. O Projeto de Portaria logo de seguida i i) do artigo 4.º), para depois precisar em que consiste o designado Token multisserviços (artigo 4.º-A), o qual é disponibilizado pelo Instituto de Registos e Notariado, I.P. (IRN) ou valida o mesmo quando remetido pela ARTE, seguindo-se a menção ao protocolo a celebrar (n.º 3), cabendo a esta última a sua disponibilização a entidades terceiras (n.º 4), no respeito pela legislação (n.º 5), designadamente quanto às finalidades e meios de tratamento (a), os responsáveis  PAR/2026/28 3 pelo tratamento e subcontratantes (b), as responsabilidades das partes (c), as condições de acesso, utilização e conservação dos dados (d), as medidas técnicas e organizativas adequadas (e). IV) A CNPD e as suas posições anteriores sobre assuntos semelhantes 24. A CNPD, no seu Parecer/2023/100, de 28 de novembro, sobre a Proposta de Lei 110/XV/2 (GOV) que visava proceder à alteração dos regimes jurídicos do Cartão do Cidadão, da Chave Móvel Digital e Recenseamento Eleitoral, recomendou, entre coisas, o seguinte: a) O reforço das normas de seguran a aplicáveis ao cartão de cidadão, em conformidade com o anteriormente apontado pela AEPD; b) A explicitação da utilidade e funcionalidade do Número de acesso ao cart o (al nea h) n.º 4) do artigo 7.º da Lei n.º 7/2007); c) A regulamentação por Portaria conste apenas de um único diploma; d) A manutenção da obrigatoriedade de comunicação CNPD dos Protocolos, assim como da identidade das pessoas singulares, nos termos mencionados nos pontos 23 e 24; 25. A CNPD no Parecer/2024/9, de 21 de março, sobre o Projeto de Portaria que altera as Portarias n.º 286/2017 e 287/2017, recomendou a necessidade de realização do respetivo estudo de impacto sobre a proteção de dados pessoais. 26. A CNPD no Parecer 2026/33, sobre o Projeto de Decreto-Lei que estabelece a interoperabilidade documental e de dados para a Administração Pública, de 19 de maio, recomendou, entre outras coisas, a consagração de normas técnicas das plataformas, bem como medidas de segurança a implementar. iv) O Projeto de Portaria e o seu impacto nos dados pessoais 27. A enquanto mecanismo técnico de acesso e leitura do cartão de cidadão. 28. A CNPD começa por referenciar que -saxónico, que exige previamente a sua designação em língua portuguesa para melhor compreensão e comunicação do texto regulamentador para a generalidade dos cidadãos portugueses. Muito embora seja compreensível a sua utilização, o mesmo deve ser previamente referenciado e explicitado em língua portuguesa.  PAR/2026/28 3v. 29. Mais será de referir que o designado processo de implementação dos códigos técnicos de identificação, conhe- cido no universo anglo-saxónico como tokenização de dados, é um método que consiste em substituir dados confi- denciais ou reservados por um equivalente não sigiloso, este conhecido como token. 30. Deste modo, tais modelos técnicos conexionados com o cartão do cidadão revelam-se de uma acentuada sen- sibilidade e impacto na proteção dos dados pessoais, cuja operacionalidade e disponibilização assumem, por isso, uma enorme relevância, tanto na identificação do perímetro dos seus utilizadores, como do controlo do seu uso, seja no domínio da administração pública, seja no domínio da atividade privada. 31. Nesta conformidade e tratando- quais são os serviços em causa, como decorre do fundamento de licitude, lealdade e transparência no tratamento de dados pessoais, respeitando-se a limitação das finalidades para que os dados pessoais foram inicialmente recolhidos. 32. Acresce que a implementação deste método identificativo através de um código substitutivo que permite o acesso ao cartão do cidadão, deve revestir-se de medidas técnicas de segurança do respetivo sistema, seja no acesso, seja na disponibilização da respetiva identificação, assim como no eventual rastro informático e digital que possa deixar, assegurando igualmente a integridade do sistema base. 33. A CNPD sustenta que o Projeto de Portaria deveria ser normativamente autossuficiente na regulamentação nu- clear do acesso aos dispositivos de leitura, não reenviando essa matéria, como consta no projetado n.º 4 do artigo 2.º, para a esfera das entidades aderentes, ao estabelecer que estas cumprem os requisitos da documentação técnica pela ARTE, I.P para que garantam a interoperabilidade dos seus sistemas com o cartão de cidadão e os . 34. Mais acresce que o Projeto de Portaria é omisso quanto aos perfis de autenticação exigidos aos dispositivos de leitura de mero ou menos contacto (contactless), não tendo qualquer especificação de mecanismos de autenticação mútua forte (ex: Card Verifiable Certificates - CVC), pelo que dispositivos não autorizados poderão ler o mencionado token por proximidade. 35. A CNPD considera positivo o propósito enunciado no n.º 2 do artigo 4.º-A, do Projeto de Portaria, ao estabelecer que o acesso e a leitura do token não permite o acesso a outros dados do titular do Cartão de Cidadão. 36. No entanto, não podemos esquecer que a redação do antecedente n.º 1 define o token como um "identificador técnico". Assim, sendo um identificador persistente e único associado ao ciclo de vida do documento, existe o risco  PAR/2026/28 4 de este ser utilizado por entidades terceiras para a interconexão de bases de dados ou rastreamento (tracking) do cidadão entre diferentes serviços públicos e privados. 37. A CNPD considera igualmente que a implementação proposta de um identificador eletrónico único para múlti- plos serviços, passível de leitura por via contactless, sem as respetivas medidas de mitigação, apresenta os seguin- tes riscos: i) Risco de Rastreamento Comportamental: a centralização do acesso a transportes e outros serviços públicos através do mesmo código permite a criação de perfis detalhados de mobilidade e rotinas dos cidadãos; ii) Risco de Usurpação de Identidade por Proximidade (Skimming), decorrente de os leitores contactless não seguirem normas estritas de segurança, possibilitando que terceiros maliciosos possam capturar o token em locais públicos concorridos, sem a interação consciente do utilizador. 38. Por outro lado, a utilização do token como método codificado que permite o acesso ao cartão de identificação, não poderá ser considerado como único método com essa finalidade, assegurando-se a pluralidade do reconheci- mento certificado da identidade pessoal. 39. A CNPD considera que estas observações deveriam constar no respetivo Projeto de Portaria, impondo-se a sua densificação, obstando-se a que as mesmas sejam reenviadas para protocolos adicionais, os quais carecem de legitimidade legislativa ou administrativa, podendo ainda ser afastados da respetiva e devida fiscalização, seja ins- titucional, seja da cidadania. v) O estudo de impacto sobre a proteção dos dados pessoais 40. A CNPD chama também a atenção para a necessidade de observância do disposto do artigo 18.º, n.º 4 da Lei n.º 43/2004, de 18 de agosto, na sua redação atual (Lei de Organização e Funcionamento da Comissão Nacional de Proteção de Dados), segundo o qual Os pedidos de parecer sobre disposições legais e regulamentares em prepa- ração devem ser remetidos à CNPD pelo titular do órgão com poder legiferante ou regulamentar, instruídos com o respetivo estudo de impacto sobre a proteção de 41. Deste modo, tal omissão compromete a realização de um parecer da CNPD sustentado e sustentável quanto à validade e fiabilidade relativamente aos prováveis riscos decorrentes dos tratamentos de dados pes- soais constantes nesta Proposta.  PAR/2026/28 4v. III. Conclusão 42. Com os fundamentos acima expostos, a CNPD recomenda: a) A b) A densificação do perímetro de utilização do (token), como do controlo do seu uso, bem como a implementação de medidas mitigadoras do risco da sua utilização; c) A previsão e consagração de normas técnicas nas respetivas plataformas de utilização do (token), bem como das medidas de segurança a implementar; d) A realização do respetivo estudo de impacto sobre a proteção de dados pessoais. Aprovado na reunião de 26 de maio de 2026 Paula Meira Lourenço (Presidente)