Não existe uma lista fechada de entidades com legitimidade para recolher dados pessoais. Empresas, entidades públicas, escolas, universidades, bancos, seguradoras, associações ou plataformas digitais podem recolher e tratar dados pessoais, desde que respeitem as regras legais aplicáveis.

A recolha e o tratamento de dados pessoais só são admissíveis se tiverem uma finalidade determinada, explícita e legítima. A entidade que recolhe os dados deve saber e informar para que fim os recolhe, não podendo recolher dados sem um propósito definido.

Além disso, o tratamento tem de assentar numa das bases legais previstas no RGPD, como o consentimento do titular dos dados, a execução de um contrato, o cumprimento de uma obrigação legal, a proteção de interesses vitais, o exercício de funções de interesse público ou de autoridade pública, ou a prossecução de interesses legítimos, nos casos admitidos pela lei.

A entidade que recolhe dados deve ainda respeitar princípios como a transparência, a minimização dos dados – recolhendo apenas os dados necessários para a finalidade em causa –, a exatidão, a limitação do prazo de conservação, a segurança e a confidencialidade.

Em Portugal, a autoridade responsável por controlar e fiscalizar o cumprimento das regras em matéria de proteção de dados é a Comissão Nacional de Proteção de Dados, uma entidade administrativa independente com poderes de autoridade.

O conteúdo desta página tem um fim meramente informativo. A Fundação Francisco Manuel dos Santos não presta apoio jurídico especializado. Para esse efeito deverá consultar profissionais na área jurídica.