Garrigues

ELIGE TU PAÍS / ESCOLHA O SEU PAÍS / CHOOSE YOUR COUNTRY / WYBIERZ SWÓJ KRAJ / 选择您的国家

Mais uma vez este ano, a Garrigues é o primeiro escritório no 'ranking' Responsabilidade ESG da Merco

Mais uma vez este ano, a Garrigues é o primeiro escritório no 'ranking' Responsabilidade ESG da Merco

Espagna - 

A sociedade volta a ocupar uma posição de destaque entre as 100 empresas mais responsáveis de Espanha, de acordo com esta classificação

Esta manhã foram apresentados os resultados da 15.ª edição do ranking Merco Responsabilidade ESG Espanha, em que são distinguidas as 100 empresas mais responsáveis para com o ambiente, a sociedade e ao nível da governação. A Garrigues volta a ser a sociedade de advogados melhor posicionada na lista, ocupando a 66.ª posição da classificação geral.

A análise não só apresenta uma radiografia do desempenho corporativo, como também disponibiliza uma comparação direta do nível de responsabilidade entre empresas que integram um mesmo setor. Neste caso, o escritório consegue novamente o primeiro lugar na classificação setorial de “Advogados”.

Este ano, o estudo realizado pela Merco baseou-se na análise de 60.205 inquéritos a diversos stakeholders (gestores, especialistas em ESG, ONG, associações laborais e de consumidores, PME, entre outros), 24 fontes de informação e seis avaliações diferenciadas.

Entra em vigor o regulamento europeu que protege as indicações geográficas para produtos artesanais e industriais

Entra em vigor o regulamento europeu que protege as indicações geográficas para produtos artesanais e industriais

Portugal - 

O novo quadro europeu para as indicações geográficas é um passo decisivo na proteção do know-how tradicional. Com a sua entrada em vigor, a União Europeia estabelece um sistema uniforme que reconhece o valor cultural, económico e territorial destes produtos, alinhando-os com o nível de proteção de que já beneficiam os alimentos e bebidas com indicação geográfica.

A 1 de dezembro de 2025 entra em vigor o Regulamento (UE) 2023/2411 do Parlamento Europeu e do Conselho de 18 de outubro de 2023 relativo à proteção das indicações geográficas de produtos artesanais e industriais e que altera os Regulamentos (UE) 2017/1001 e (UE) 2019/1753.

Este regulamento completa o sistema de indicações geográficas de produtos (IG) da União Europeia (UE), incluindo produtos artesanais e industriais no seu âmbito de proteção, como já avançámos no nosso blogue.

O que é uma indicação geográfica protegida (IG)?

A IG é um sinal concedido pela UE que protege o nome de produtos que possuem uma certa qualidade e características ligadas ao território ou área geográfica onde a sua produção é levada a cabo.

Até agora, esta proteção era reservada a produtos agrícolas, alimentares, vinícolas e bebidas espirituosas. A UE não dispunha de uma regulamentação geral para produtos artesanais e industriais de diferentes origens. Com a entrada em vigor deste regulamento, completa-se o quadro regulatório, integrando na proteção por IG a categoria ampla de produtos artesanais e industriais, tais como têxteis, rendas, cutelaria, vidro, porcelana e couro, entre outros.

O que são produtos artesanais e industriais?

O regulamento define os produtos artesanais como aqueles que são produzidos totalmente à mão, ou com a ajuda de ferramentas manuais ou digitais, ou por meios mecânicos, sempre que a contribuição manual seja um componente importante do produto acabado. Quanto aos produtos industriais, são aqueles produzidos de forma normalizada, incluindo a produção em massa e com recurso a máquinas.

Para obter a proteção concedida pela IG, é necessário que estes produtos cumpram uma série de requisitos:

  • Que seja originário de um local, região ou país determinado;
  • Que a sua qualidade, reputação ou outras características específicas possam ser essencialmente atribuíveis à sua origem geográfica.
  • Pelo menos uma das suas fases de produção deve ocorrer na área geográfica delimitada.

Como pedir o registo da IG?

Para que o nome de um produto artesanal ou industrial seja protegido como IG, deve-se registá-lo e cumprir o caderno de especificações. O pedido de registo deve ser preparado tendo em conta os seguintes aspetos:

  • Onde apresentar: O procedimento de candidatura consiste em duas fases:
    • Fase nacional: perante a autoridade competente para a fase nacional do procedimento para registo das indicações geográficas de produtos artesanais, que no caso de Portugal, será o INPI e, no caso de Espanha, se o âmbito de proteção se estender a mais do que uma Comunidade Autónoma (indicações geográficas supraautónomas) perante a OEPM, ou perante o órgão regional competente, se o âmbito de proteção se estender apenas a uma comunidade.
    • Fase da União: uma vez examinado o pedido pela autoridade nacional, caso a decisão seja favorável, é enviada à EUIPO para que emita uma decisão sobre a procedência do registo do nome como IG.
  • Quem pode candidatar-se: o pedido deve ser apresentado, salvo determinadas exceções, por um agrupamento de produtores, que inclui qualquer associação composta principalmente por produtores do mesmo produto.
  • O que incluir:
    • Caderno de Especificações: inclui todas as especificações do produto e certifica que os requisitos necessários para o registo de IG são cumpridos (nome a proteger como IG, tipo de produto, descrição, área geográfica, prova de origem e descrição dos métodos de produção, etc.).
    • Documento único: documento que resume as especificações do produto preenchido de acordo com o formulário incluído no Anexo II do Regulamento.
    • Documentação de acompanhamento: informações adicionais, como os detalhes do requerente ou da autoridade competente.

Objetivo alcançado: UE reforça a proteção dos produtos tradicionais

A partir de hoje, produtos emblemáticos como cerâmicas de Muel, calçado de Elche ou facas de Albacete, ou Filigrana de Portugal, Bordado da Madeira, Camisola Poveira, Lenços de Namorados do Minho, Rendas de Bilros, Cavaquinho de Portugal, podem agora ser registados para proteção como IGs à escala da União Europeia.

Com esta medida, a UE reforça o seu compromisso com a proteção e promoção dos produtos tradicionais, reforçando o seu reconhecimento tanto a nível nacional como internacional. O objetivo é aumentar a consciencialização do consumidor sobre a autenticidade destes produtos, fortalecer o setor artesanal e fomentar incentivos para a produção de artigos de qualidade, combatendo ao mesmo tempo a falsificação. Além disso, procura-se gerar um impacto positivo no emprego, desenvolvimento económico e turismo em áreas rurais com uma ampla tradição de artesanato.

 

 

Garrigues, sociedade do ano em Espanha, e Fernando Vives, advogado do ano nos Legal 500 Iberia Awards 2025

Garrigues, sociedade do ano em Espanha, e Fernando Vives, advogado do ano nos Legal 500 Iberia Awards 2025

Espanha e Portugal - 

O escritório conquistou cinco galardões

O prestigiado diretório internacional Legal 500 atribuiu à Garrigues o galardão de sociedade do ano em Espanha (Law Firm of the Year - Spain) nos Iberia Awards 2025, onde também foi distinguida como melhor sociedade da prática de real estate. Além disso, Fernando Vives, presidente executivo, recebeu o prémio para advogado do ano (Lawyer of the Year).

O escritório também conquistou o galardão para Deal of the Year pela sua assessoria à Idealista na venta de 70% do seu capital ao fundo britânico Cinven pelas sociedades EQT, Apax Partners e Oakley Capital, uma operação avaliada em 2.925 milhões de euros.

Por fim, João Lima Cluny, sócio responsável pela prática Penal e Investigações Internas em Portugal, foi reconhecido como White-Collar Crime Next Generation Partner of the Year.

Trata-se da primeira edição destes prémios na região ibérica, que já possui edições consolidadas em países como a China, Alemanha, Brasil, México, Chile e Colômbia.

Ao longo deste ano, a Garrigues acumulou diversos reconhecimentos, entre eles o de Most Innovative Law Firm in Europe nos FT Innovative Lawyers Awards 2025; escritório líder em España, de acordo com o diretório The Legal 500 EMEA; Mejor despacho del año en España nos I Prémios Economist & Jurist Group para a Excelência da Prática Jurídica; Leading law firm in the EU no ranking The Lawyer's European 100; e sociedade líder em Espanha no diretório IFLR 1000, especializado nas áreas de Comercial e Financeiro.

As novas orientações sobre os dados de veículos e o Data Act: desafios e oportunidades

As novas orientações sobre os dados de veículos e o Data Act: desafios e oportunidades

União Europeia - 

A Comissão Europeia publicou o primeiro guia interpretativo que esclarece como devem ser aplicadas as obrigações do Data Act ao setor do automóvel conectado. Este documento apresenta um quadro orientador para fabricantes, fornecedores e utilizadores sobre o acesso, utilização e transmissão dos dados gerados pelos veículos, assinalando o início de uma nova etapa na governação dos dados automóveis e na configuração dos futuros modelos de negócio baseados na mobilidade digital.

No setor da automação, o Regulamento relativo a regras harmonizadas sobre o acesso equitativo aos dados e a sua utilização, mais conhecido como Data Act, deixou de ser uma abstração: com o guia interpretativo publicado pela Comissão Europeia em 15 de setembro de 2025, Orientações sobre os dados dos veículos, que acompanham o Regulamento dos Dados (Data Act), são explicadas as regras de acordo com as quais se deverão aplicar as obrigações de acesso, utilização e transmissão de certos tipos de dados gerados pelos veículos conectados e os seus serviços conexos. É o primeiro mapa de orientação para um domínio em que as assimetrias de acesso, as limitações técnicas e as cláusulas contratuais foram a regra. Para fabricantes, fornecedores e utilizadores, este guia constitui um ponto de partida operacional para definir as suas práticas técnicas e contratuais e antecipar uma mudança estrutural que afetará a concorrência, a inovação e os novos modelos de negócio em todo o ecossistema da mobilidade.

1. Natureza jurídica do guia e a sua função orientadora

Trata-se de um documento interpretativo, não vinculativo, que não altera o conteúdo do Data Act nem afeta a aplicação de outras normas setoriais, conforme se refere expressamente no ponto 5 do próprio guia.

A sua função é proporcionar segurança jurídica na aplicação prática do Capítulo II do Data Act (art.os 3.º a 9.º) no setor automóvel, caracterizado por uma crescente produção de dados por veículos conectados e sistemas telemáticos. Embora as obrigações legais decorram exclusivamente do regulamento, este guia pretende servir como instrumento de orientação para fabricantes, utilizadores, terceiros designados e autoridades públicas.

A sua publicação responde a uma necessidade reiterada por agentes do setor: como aplicar de forma coerente o novo regime horizontal de acesso a dados num ambiente em que já existem normas setoriais específicas — como o Regulamento 2018/858 relativo à homologação de veículos — e o seu Regulamento Delegado 2021/1244 em matéria de RMI (informação de reparação e manutenção), além das permanentes barreiras contratuais e técnicas ao acesso aos dados, que ainda constituem a regra no setor, conforme foi destacado no relatório encomendado pela Bundesnetzagentur em 2023, Studie zur Daten-Governance bei Connected Cars (disponível em alemão).

2. O que é um veículo conectado e o que é um serviço conexo?

De acordo com as orientações da Comissão, a distinção entre um veículo conectado e um serviço conexo depende de dois elementos:
 (i) a conexão funcional com o produto (veículo) e
 (ii) a existência de um fluxo bidirecional de dados que afete o seu funcionamento.

Um veículo conectado constitui um “produto conectado” nos termos do artigo 2.º, n.º 5 do Data Act: um bem cuja função principal não é processar dados, mas que, durante a sua utilização, capta, gera ou recolhe informações sobre o seu funcionamento ou a sua envolvente, e que foi concebido para as transmitir através de uma conexão eletrónica ou física ou uma interface. No setor automóvel, isto inclui, por exemplo, dados sobre a velocidade, o carregamento da bateria, a pressão dos pneus ou o desempenho do motor. Contudo, cabe ao fabricante ou ao detentor dos dados avaliar se um determinado veículo se enquadra nesta definição.

No que respeita aos serviços conexos, embora o guia remeta para o artigo 2.º, n.º 6 do Data Act, especifica também que se trata de serviços digitais (que não sejam comunicações eletrónicas) ligados ao veículo no momento da compra, aluguer ou leasing, ou conectados posteriormente para adicionar, adaptar ou atualizar funcionalidades. A sua característica essencial é que exista uma troca bidirecional de dados com o veículo que afete diretamente o seu funcionamento ou comportamento.

3. Que dados se encontram no âmbito do Data Act?

A secção 2 do guia estabelece que tipos de dados gerados por veículos conectados estão abrangidos pelo regime de acesso regulamentado do Data Act. Esta delimitação não introduz uma nova classificação jurídica, mas interpreta os artigos 2.º, n.º 1 (8) e 4.º do Regulamento, nomeadamente através de exemplos práticos que complementam os critérios já analisados em  Garrigues Digital.

Em concreto, o guia esclarece que o Data Act se aplica aos dados gerados como resultado da utilização do veículo pelo utilizador. Os dados derivados de fases anteriores (fabrico, entrega) ou posteriores (desmantelamento) são excluídos, bem como os dados gerados por atividades do fabricante ou de terceiros que não envolvam a utilização do produto pelo utilizador.

Um esclarecimento importante diz respeito aos dados gerados por veículos sem interface direta com o utilizador. O guia esclarece que isso não isenta o detentor de facilitar o acesso, que pode ser concedido remotamente por meios digitais sempre que o utilizador o solicite, de acordo com os artigos 4.º ou 5.º.

A Comissão ilustra o âmbito da norma com uma série de exemplos setorialmente relevantes. Entre os dados incluídos, encontram-se:

  • Estado da carga da bateria
  • Número de ciclos de carregamento
  • Frequência de utilização do sistema de climatização
  • Ativação das luzes de mudança de direção ou das luzes de iluminação
  • Nível do depósito de AdBlue
  • Estado do cinto de segurança

Contudo, são expressamente excluídos os dados inferidos, tais como:

  • Recomendações de manutenção personalizadas
  • Avaliações do estilo de condução
  • Relatórios preditivos de avarias
  • Perfis de risco utilizados pelas seguradoras

4. Regime de acesso aos dados

A secção 3 do guia centra-se na transposição da arquitetura jurídica do acesso aos dados, delineada no Capítulo II da Lei do Data Act para o contexto automóvel. A Comissão sublinha que o direito dos utilizadores de aceder aos dados gerados pela utilização do produto e designar terceiros para os receber é a característica central do novo regime. Isto é fundamental para promover a inovação e a concorrência.

Este acesso pode assumir duas formas, de acordo com os artigos 3.º e 4.º do Regulamento:

  • Acesso direto (art.º 3.º, n.º 1): os fabricantes podem conceber o veículo ou produto conectado de forma a que o utilizador possa aceder diretamente aos dados do produto, sem necessidade de intervenção adicional. No entanto, a Comissão faz notar que este acesso só é exigível "quando relevante e tecnicamente viável", concedendo, assim, aos fabricantes flexibilidade discricionária na conceção. Esta clarificação é importante porque qualquer interpretação deste artigo que sugira um acesso automático ou irrestrito contrariaria o próprio espírito do Data Act.
  • Acesso indireto (art.º 4.º, n.º 1): se o acesso direto não for possível ou não tiver sido implementado (por exemplo, por não existir uma interface direta), o detentor dos dados (geralmente o fabricante ou operador do serviço) deverá facilitar o acesso indireto aos dados prontamente disponíveis, definidos no art.º 2.º, n.º 17 como os “ legalmente obtidos por um detentor dos dados ou suscetíveis de por ele serem legalmente obtidos a partir do produto conectado ou serviço conexo, sem um esforço desproporcionado”.

O guia fornece exemplos relevantes no contexto do setor automóvel. Por exemplo, os dados gerados pelo veículo conectado e enviados para o backend do fabricante no modelo de “veículo alargado” são considerados prontamente disponíveis.

Reconhece-se também que os fabricantes podem optar por não extrair determinados dados por razões técnicas (largura de banda, custo, arquitetura) ou comerciais. No entanto, se esses dados puderem ser obtidos sem um esforço desproporcionado, devem ser considerados abrangidos pelo âmbito de aplicação do Regulamento. Isto alarga o âmbito para além do mero conjunto de dados efetivamente tratados ou armazenados e baseia-se num critério potencial, não factual: o relevante não é apenas o que o fabricante obtém, mas também o que pode obter sem um esforço desproporcionado.

Levado às últimas consequências, em teoria, o fabricante poderia ser obrigado a disponibilizar dados que atualmente não extrai, caso se demonstrasse que o poderia fazer sem um esforço técnico ou económico desproporcionado. Por exemplo, se os sensores do veículo geram dados de pressão dos pneus, mas o fabricante não os armazena por razões de conceção, não poderia invocar esta omissão como justificação perante um utilizador se for demonstrado que a obtenção dos dados seria tecnicamente trivial (por exemplo, através de uma simples consulta CAN ou de uma simples atualização OTA).

No entanto, o Data Act não impõe um dever geral de transparência prévia em relação aos dados que o fabricante recolhe, armazena ou apaga. O artigo 4.º, n.º 1 estabelece uma obrigação de resultado — facilitar o acesso “prontamente” e “com uma qualidade idêntica à que está disponível para o detentor dos dados” — mas não um dever processual de notificação prévia ou publicação de um inventário dos dados acessíveis. O guia, que não é vinculativo, também não introduz um mecanismo de informação sistemática ou de supervisão preventiva.

A avaliação da legitimidade da decisão de uma empresa de não extrair determinados dados teria de ser realizada através do mecanismo de controlo ex post previsto no artigo 37.º do Data Act, para que remete expressamente o ponto 47 do guia. Nos termos desta disposição, as autoridades nacionais competentes podem examinar se a recusa em extrair ou disponibilizar determinados dados se baseia em razões técnicas ou económicas razoáveis​ou se constitui uma prática de bloqueio ou de discriminação contrária aos objetivos do Regulamento.

Contudo, este poder de supervisão levanta questões significativas na perspetiva do Direito da União. A sua aplicação deve respeitar o princípio da proporcionalidade e o artigo 16.º da Carta dos Direitos Fundamentais da União Europeia, que garante a liberdade de empresa e o direito ao desenvolvimento de uma atividade económica. Um controlo excessivamente expansivo, especialmente se for interpretado no sentido de permitir às autoridades que exijam a extração ou a reformulação técnica de dados não tratados, poderá implicar uma interferência substancial na autonomia empresarial e na liberdade de configurar tecnologicamente o produto, minando a segurança jurídica e a segurança dos investimentos em inovação.

No que diz respeito aos meios técnicos de acesso, o guia esclarece que o regulamento é tecnologicamente neutro: não impõe formatos ou ferramentas específicas. O acesso pode ser feito através de um servidor remoto, acesso a bordo ou intermediários de dados. O essencial é que as condições dos artigos 3.º, 4.º e 5.º sejam cumpridas, especialmente a exigência de fornecer dados "com uma qualidade idêntica à que está disponível para o detentor dos dados", sem discriminação entre utilizadores, filiais ou terceiros independentes.

De salientar que os dados disponibilizados a terceiros (art.º 5.º, n.º 1) também devem cumprir este critério de qualidade e acessibilidade. Se os dados disponibilizados forem menos precisos, completos ou atualizados do que os utilizados internamente pelo fabricante, ocorre um incumprimento.

A obrigação de disponibilizar os dados "prontamente", presente nos artigos mencionados, exige um acesso simples, sem obstáculos técnicos ou processuais indevidos. Isto significa, por exemplo, que se o acesso for realizado através da porta OBD-II do veículo, o utilizador não pode ser obrigado a adquirir ferramentas especializadas ou a possuir conhecimentos técnicos avançados. O guia sugere que estas ferramentas sejam oferecidas sem custos adicionais ou que os dados sejam disponibilizados através de outras interfaces, como servidores remotos.

A secção conclui reiterando que o Data Act apenas exige que os fabricantes disponibilizem os dados para extração. Ficam excluídos os dados tratados "no limite" (dentro do veículo) e imediatamente apagados, que nem sequer estão disponíveis para o fabricante. No entanto, os fabricantes são incentivados a incluir determinados dados-chave (por exemplo, velocidade, localização GNSS, conta-quilómetros) no âmbito extraível, dada a sua importância para o ecossistema pós-venda.

5. Custos do acesso e condições FRAND

A secção 4 do guia (ponto 46) aborda a questão da compensação económica aplicável quando os dados são transmitidos para terceiros designados pelo utilizador, de acordo com o artigo 5.º do Data Act.

Segundo o guia, os detentores dos dados têm direito a uma compensação razoável pela disponibilização dos dados neste contexto B2B. Este direito baseia-se no artigo 9.º do Data Act, que estabelece as condições em que pode ser exigida uma tarifa pelo acesso quando os dados são transferidos para terceiros. O guia remete expressamente para o artigo 9.º, n.º 5, que prevê a futura publicação de orientações da Comissão sobre o cálculo de uma compensação razoável, que a Comissão ainda não publicou.

Ao mesmo tempo, o guia sublinha que esta possibilidade de cobrança não afeta nem modifica outras normas existentes na União Europeia ou a nível nacional que regulam o acesso a dados do setor automóvel, como as relativas às informações técnicas necessárias para as inspeções de veículos, cujo acesso pode ser regulado por condições independentes do Data Act.

6. Relevância prática para o setor

As orientações publicadas pela Comissão Europeia em 15 de setembro de 2025 não são juridicamente vinculativas, mas representam um ponto de viragem interpretativo para o setor automóvel conectado. Num contexto em que o controlo de dados de veículos tem sido alvo de discussão técnica, contratual e reguladora, estas orientações fornecem uma leitura oficial de como se deve aplicar o regime de acesso regulado aos dados estabelecido pelo Data Act.

Os fabricantes de veículos e os prestadores de serviços conexos são chamados a rever as suas arquiteturas técnicas, estratégias de design e modelos contratuais à luz destas orientações. A exclusão de dados inferidos não os isenta de garantir o acesso estruturado, não discriminatório e tecnicamente viável aos dados em bruto e pré-tratados. Em concreto, terão de justificar a impossibilidade técnica de extrair determinados dados ou conceber meios alternativos — como servidores remotos ou interfaces de utilizador — que garantam a disponibilidade dos dados "facilmente acessíveis" definidos no artigo 2.º, n.º 17 do Data Act.

Por sua vez, as oficinas de reparação independentes, operadores de frotas, seguradoras, desenvolvedores de serviços pós-venda e plataformas de mobilidade podem abrir novas linhas de negócio a partir do direito de receber dados diretamente — ou por designação do utilizador — em condições transparentes e com uma qualidade idêntica à que está disponível para o fabricante. Isto não só elimina certas práticas restritivas ainda em vigor (interfaces fechadas, acesso condicionado a serviços pagos, licenças opacas), como também abre as portas a um mercado de serviços baseados em dados, desde a manutenção preditiva a seguros personalizados ou à avaliação inteligente de veículos usados.

O impacto económico será considerável, mas desigual. O acesso gratuito para os utilizadores (art.º 4.º) e a aplicação dos princípios FRAND a terceiros (art.os 8.º e 9.º) exigirão novos modelos de monetização e estruturas de custos justificadas. As empresas que operam atualmente como “detentoras” de dados deverão documentar os custos estruturais de acesso e evitar condições abusivas ou discriminatórias, sob pena de ficarem sujeitas a litígios ou fiscalização administrativa.

Em qualquer caso, a eficácia prática deste guia dependerá de três fatores principais:

  • A sua receção pelas autoridades nacionais competentes, que devem acompanhar ativamente a sua aplicação nos vários Estados-Membros, evitando interpretações divergentes.
  • A coordenação com regimes setoriais existentes, como o do Regulamento 2018/858 e o Regulamento Delegado 2021/1244 em matéria de RMI (informação de reparação e manutenção).
  • O controlo sobre estratégias contratuais que envolvam bloqueio, degradação técnica ou discriminação indireta, já abordadas na jurisprudência do Tribunal de Justiça da União Europeia (TJUE), poderá ser intensificado com a entrada em vigor do Data Act.

Neste contexto, o guia não só fornece orientações aos profissionais jurídicos e técnicos, como também atua como um mecanismo antecipatório de conformidade e uma ferramenta de alinhamento estratégico para todo o ecossistema automóvel. Constitui um primeiro passo para a aplicação prática do Data Act num setor caracterizado por assimetrias significativas no acesso aos dados, mas não resolve todas as questões em aberto. Conceitos como a obrigação de disponibilizar dados "prontamente" ou a determinação de uma compensação razoável em cenários B2B, previstos no artigo 9.º e que aguardam concretização em futuras orientações da Comissão, continuarão sujeitos a debate e aperfeiçoamento. O seu valor reside, portanto, em servir de referência inicial para que os detentores de dados, utilizadores e potenciais destinatários destes dados adaptem os seus modelos técnicos e contratuais, antecipando a direção da política europeia sobre o mercado de dados do automóvel na próxima década.

 

 

 

Novidades Fiscalidade Indireta - N.º 4

Novidades Fiscalidade Indireta - N.º 4

Portugal - 

Esta edição destaca as medidas constantes da Proposta de Lei do Orçamento do Estado para 2026, a introdução em Portugal dos grupos de IVA, a primeira informação vinculativa tornada pública sobre o conceito de estabelecimento estável para efeitos do IVA, bem como o mais recente entendimento do Tribunal de Justiça da União Europeia (TJUE) sobre o regime do IVA dos ajustes aplicados em matéria de preços de transferência no âmbito de serviços intragrupo.

Novidades

  • Proposta de Lei do Orçamento do Estado para 2026
  • Portugal implementa os grupos de IVA

Posições da Autoridade Tributária

  • Estabelecimento estável para efeitos do IVA
  • Dedução do IVA das portagens

Tendências

  • TJUE clarifica sobre a sujeição a IVA dos ajustes efetuados em sede de preços de transferência no âmbito de serviços intragrupo
  • TJUE confirma estarem sujeitas a IVA as comissões debitadas nas operações de ‘factoring’

Consulte aqui a newsletter completa

Newsletter Economia de Dados, Privacidade e Cibersegurança - Novembro de 2025

Newsletter Economia de Dados, Privacidade e Cibersegurança - Novembro de 2025

Nesta newsletter, oferecemos as últimas novidades sobre tudo o que está relacionado com a economia dos dados (direito tecnológico, inovações tecnológicas, inteligência artificial, direito digital, e-commerce), privacidade (proteção de dados e direitos fundamentais relacionados) e cibersegurança (segurança da informação e dos sistemas e redes que a processam). Abordamos as resoluções mais recentes das autoridades e agências competentes, decisões judiciais-chave e o mais relevante da atualidade neste setor.

Os dados pessoais pseudonimizados são dados pessoais? Pontos-chave após o acórdão do Tribunal de Justiça da UE no caso EDPS contra SRB

Ignacio Suárez

O acórdão do Tribunal de Justiça da União Europeia (TJUE) do passado dia 4 de setembro de 2025 no caso EDPS v SRB (processo C 413/23 P) constitui um marco importante na área da proteção de dados pessoais, por tratar um tema tão essencial para a prática como o próprio conceito de “dados pessoais”.

CONTINUAR LENDO

Comparação da transposição da NIS II por parte de Portugal com a prevista em Espanha

Manuel Liberal e Luisa Cyrne

Em julho de 2025, o Governo Português retomou o processo de transposição da Diretiva (UE) 2022/2555 (NIS 2) mediante a apresentação da Proposta de Lei n.º 7/XVII/1. Nesta análise, comparamos esta transposição com o projeto de lei espanhol, analisando as áreas de aplicação, sujeitas e isentas em cada caso, assim como o regime sancionatório previsto.

CONTINUAR LENDO

Resoluções das autoridades de proteção de dados

  • Autarquia Local sancionada por enviar comprovativo de pagamento de uma coima para uma morada desatualizada
  • O recurso de uma empresa de telecomunicações contra uma coima por duplicação fraudulenta de cartão SIM foi rejeitado
  • Uma rede de centros comerciais foi sancionada por várias violações de dados pessoais e medidas de segurança
  • Empresa de eletricidade e gás sancionada por contratação de serviços fraudulenta
  • Coima de 200.000 euros para fornecedor de energia por inscrever um cliente num registo de devedores antes de a notificação de cobrança ser devolvida
  • Uma empresa de telecomunicações na Alemanha é sancionada por falhas de controlo e segurança
  • A Agência Espanhola de Proteção de Dados (AEPD) concluiu que o direito à portabilidade dos dados não se aplica ao setor público da educação, mas aceitou uma queixa referente ao atraso na resposta
  • Um trabalhador foi multado em 300 euros por tratar dados pessoais sem qualquer fundamento legal
  • A Agência Espanhola de Proteção de Dados (AEPD) decidiu arquivar uma reclamação pela instalação de um visor digital por não existir infração em matéria de proteção de dados
  • Uma empresa farmacêutica finlandesa foi multada em 1,1 milhões de euros por deficiências na proteção de dados na sua loja online
  • Uma pessoa singular foi multada por instalar câmaras apontadas para a casa de um vizinho
  • Empresa de logística multada em 100 mil euros por exigir verificação excessiva de antecedentes criminais e dados pessoais em processos de seleção
  • Entidade multada em 32.000 euros por divulgar dados médicos de um trabalhador a um terceiro
  • Uma organização foi multada em 180.000 euros por incumprimento da decisão final da AEPD
  • A Agência Espanhola de Proteção de Dados (AEPD) defende a conservação de dados pessoais por um subcontratante do tratamento após o termo da subcontratação
  • A Agência Espanhola de Proteção de Dados (AEPD) considera que, para cumprir o Artigo 28.º do RGPD, não basta declarar no DPA que os dados serão apagados ou devolvidos após a conclusão do tratamento
  • A autoridade de controlo francesa multa a Google e a Shein por instalarem cookies e tecnologias semelhantes sem consentimento
  • A Agência Espanhola de Proteção de Dados (AEPD) não aprova a utilização de fotografias de trabalhadores para controlo de assiduidade
  • Um clube de futebol foi sancionado por uma violação de segurança causada por um ataque de ‘ransomware’
  • A Agência Espanhola de Proteção de Dados (AEPD) sancionou uma empresa tecnológica por transferir dados pessoais para terceiros sem fundamento jurídico suficiente
  • Uma empresa de viagens foi multada por violar o princípio da minimização de dados
  • A Autoridade polaca de proteção de dados aplica coimas tanto ao responsável pelo tratamento como ao subcontratante por negligência na análise de riscos e na implementação de medidas de segurança 

CONTINUAR LENDO

Acórdãos

  • A Audiência Nacional avalia uma sanção da AEPD por tratamento sem base legal ao publicar listas com nomes e apelidos de candidatos
  • O TSJ da Galiza analisa a utilização de algoritmos em processos de seleção e confirma a discriminação sindical numa autoridade portuária
  • A Corte Suprema do Chile ordena que empresa de telecomunicações indemnize cliente por violação de dados pessoais
  • Caso Latombe: O TGUE mantém o regime de transferência internacional UE-EUA
  • A Audiência Nacional entende que os pedidos de acesso a dados pessoais devem ser submetidos através dos canais estabelecidos para o efeito e não para endereços de correio eletrónico genéricos
  • O TJUE analisa a possibilidade de transferência de dados de trabalhadores de uma empresa para a sua empresa-mãe para testar “software” e declara ilegal a utilização de dados reais sem base legal
  • Os tribunais admitem o uso de imagens de videovigilância como meio de prova em processos penais
  • Um acórdão esclarece que o consentimento do titular de dados não substitui a autorização judicial quando está em causa apresentar provas no âmbito de um processo judicial
  • Parecer da CNPD sobre a transmissão pela internet de reuniões de órgãos locais

CONTINUAR LENDO

Atualidade

  • O Regulamento de Dados da União Europeia (‘Data Act’) é aplicável a partir de 12 de setembro de 2025
  • A Comissão Europeia publica uma resolução em que refere que a Apple e a Meta infringiram o Regulamento dos Mercados Digitais e aplica-lhes coimas de 500 milhões de euros e 200 milhões de euros, respetivamente
  • O CEPD publica a Declaração de Helsínquia e anuncia novas medidas para simplificar e reforçar a implementação do RGPD
  • Chile: A Comissão de Implementação da nova Lei de Proteção de Dados publica três relatórios
  • O CEPD adota as diretrizes 3/2025 sobre a interação entre o DSA e o RGPD
  • Relatório Anual da AEPD de 2024: principais resultados e tendências
  • A Comissão Europeia publicou um relatório sobre a implementação da Estratégia Global de Saúde da UE
  • Publicado um relatório conjunto da Agência Espanhola de Proteção de Dados (AEPD) e da Autoridade Europeia para a Proteção de Dados (EDPS) sobre as implicações para a privacidade da utilização da aprendizagem federada em inteligência artificial
  • O Comité Europeu de Proteção de Dados (CEPD) publica a versão final das Diretrizes 2/2024 sobre o Artigo 48.º do RGPD
  • O Conselho e o Parlamento Europeu chegam a acordo para melhorar o cumprimento transfronteiriço do RGPD em benefício dos cidadãos
  • A AEPD analisa se é obrigatório um sistema de inteligência artificial utilizado em comunicações comerciais automatizadas compreender e implementar políticas de privacidade
  • A AEPD responde à consulta prévia sobre a utilização de biometria para o controlo de acessos em instalações da Guardia Civil
  • Comissão Europeia publica um guia sobre as obrigações dos modelos de IA de finalidade geral
  • O CEPD emite uma declaração sobre as cláusulas contratuais-tipo não vinculativas da Lei de Proteção de Dados
  • O CEPD está a contribuir para a consulta pública da Autoridade Bancária Europeia (EBA) sobre o projeto de normas técnicas de regulação (RTS) para a prevenção do branqueamento de capitais e do financiamento do terrorismo (AML/CFT)
  • A AEPD e a Autoridade de Proteção de Dados do Brasil alargam a sua colaboração institucional
  • Investigadores do ‘Joint Research Centre’ da Comissão Europeia publicam um artigo sobre ‘AI Benchmarks’
  • O ‘Information Commissioner’s Office’ (ICO) do Reino Unido publica um artigo sobre como garantir a anonimização eficaz dos dados pessoais 

CONTINUAR LENDO

O Data Act e o “cloud switching”: chaves de um novo regime de mudança de prestador de serviços de computação em nuvem

O Data Act e o “cloud switching”: chaves de um novo regime de mudança de prestador de serviços de computação em nuvem

União Europeia - 
Begoña González Otero, of counsel de Propriedade Industrial e Intelectual da Garrigues e especialista em direito digital.

O novo Regulamento de Dados da UE (Data Act) introduz um regime inovador para facilitar a mudança de prestador de serviços de computação em nuvem. Objetivo: eliminar as barreiras técnicas e contratuais que mantêm muitos utilizadores cativos. A partir de setembro de 2025, a portabilidade de dados será um direito exigível, com obrigações específicas para os prestadores de serviços.

O Data Act (Regulamento (UE) 2023/2854) estabelece um novo quadro para facilitar a mudança de prestador de serviços de computação em nuvem, conhecido como cloud switching. Este conjunto de obrigações, previstas sobretudo nos artigos 23.º a 31.º (Capítulo VI), procura eliminar as barreiras técnicas e contratuais que dificultam a portabilidade de dados e serviços entre diferentes prestadores de serviços. O Regulamento entrou em vigor em 11 de janeiro de 2024 e é aplicável a partir de 12 de setembro de 2025. Os prestadores de serviços serão obrigados a adaptar progressivamente os seus contratos e procedimentos internos para se alinharem com o novo quadro de portabilidade previsto no Data Act. Neste contexto, analisamos as principais características deste regime, os seus potenciais riscos e as suas implicações para as empresas.

O que é o ‘cloud switching’ segundo o Data Act?

O Data Act concebe o cloud switching como a possibilidade de um cliente de serviços de tratamento de dados mudar de um prestador de serviços para outro com o mínimo de atrito. Isto abrange a migração de um serviço de computação em nuvem para outro equivalente oferecido por um prestador de serviços diferente, ou o regresso de dados e aplicações a uma infraestrutura local (on-premise) da própria empresa. Além disso, contempla cenários que envolvem a utilização simultânea de vários prestadores de serviços (multicloud), impondo aos prestadores de serviços a obrigação de não impedirem os seus clientes de distribuir os seus serviços por diversas nuvens ao mesmo tempo.

Para o efeito, o Capítulo VI estabelece que os prestadores de serviços “não podem impor, e devem eliminar, os obstáculos pré-comerciais, comerciais, técnicos, contratuais e organizativos” que impeçam os clientes de mudar de serviço, migrar para a sua própria infraestrutura TIC ou a utilizar vários prestadores de serviços em paralelo (artigo 23.º). O objetivo operacional é que a transferência seja "segura e atempada", em formatos normalmente utilizados e através de "interfaces abertas", mantendo a "continuidade do serviço" durante o processo de troca (Cons. 97). O objetivo estratégico é evitar o vendor lock-in.

Obrigações para os prestadores de serviços de computação em nuvem

O novo regime impõe obrigações técnicas, contratuais e organizacionais para facilitar a portabilidade e a interoperabilidade entre serviços. Em termos gerais, estas são as implicações práticas mais relevantes:

1. Obrigações contratuais

O Data Act prevê que os contratos estabeleçam expressamente o direito de o cliente mudar de prestador de serviços, detalhando um procedimento de migração claro. Deve ser estabelecido um período de transição até 30 dias, durante o qual o prestador cessante continuará a prestar o serviço enquanto apoia o cliente na migração. Durante este período, o prestador de serviços manterá a continuidade do serviço com a devida diligência, prestará assistência técnica razoável ao cliente e, quando apropriado, ao novo prestador, informará sobre quaisquer riscos de continuidade e garantirá elevados níveis de segurança durante a transferência. Além disso, os contratos devem incluir a colaboração na estratégia de saída (exit strategy) do cliente, fornecendo as informações necessárias para o planear a migração.

Outros aspetos contratuais relevantes incluem: um prazo máximo de pré-aviso para o cliente iniciar o processo de mudança (não superior a dois meses); a especificação de que dados e ativos digitais do cliente podem ser exportados (pelo menos todos os dados de entrada e saída gerados pela utilização do serviço) e quais são excluídos por serem internos do prestador de serviços (por exemplo, segredos comerciais, desde que a migração não seja prejudicada); uma janela mínima de recuperação de 30 dias após a cessação do serviço, durante a qual o cliente pode continuar a recuperar os seus dados; e a garantia de eliminação completa dos dados do cliente após a conclusão do processo. Além disso, uma vez concluída a mudança com êxito ou terminado o prazo de pré-aviso (caso o cliente opte por não migrar os seus dados), considerar-se-á que o contrato foi resolvido nos termos legais.

Interação com o Regulamento de IA

A interação com o Regulamento de IA (Regulamento (UE) 2024/1689, doravante, “RIA”) assume uma relevância especial quanto à obrigação de apagamento de dados. Nos projetos que envolvam sistemas de IA de alto risco na nuvem, o switching abrange dois âmbitos: o Data Act exige o apagamento de dados e ativos do cliente ao encerrar o processo, após a janela de recuperação (artigo 25.º, n.º 2, alínea h); o RIA impõe o registo automático dos eventos e a conservação dos logs e da documentação, com o dever de cooperação com as autoridades (artigos 12.º, 16.º, 18.º, 21.º e 26.º). A questão prática numa migração é o que é exportado e apagado, o que é retido, por quem e durante quanto tempo. Além disso, uma mudança de plataforma que modifique elementos técnicos essenciais pode ser considerada uma "modificação substancial" e exigir uma nova avaliação de conformidade (artigo 43.º, n.º 4 do RIA).

Por exemplo, se uma instituição financeira migrar um SaaS de avaliação de solvência para outro prestador de serviços, o Data Act prevê a resolução, regula a exportação e exige o apagamento de dados exportáveis e ativos digitais com o encerramento. Por sua vez, o RIA exige a manutenção dos logs do sistema durante um período mínimo enquanto estiverem sob o controlo do prestador e o seu fornecimento às autoridades, se tal lhe for pedido (artigos 12.º e 21.º). Neste caso, é necessário identificar que registos estão sujeitos a conservação, determinar quem os guarda e verificar se a alteração afeta a conformidade.

2. Obrigações técnicas e de interoperabilidade

Os prestadores de serviços devem facilitar a portabilidade dos dados e a interoperabilidade dos seus serviços para que os clientes possam operar os seus dados e aplicações no serviço de destino com o menor esforço possível. Isto implica o fornecimento de interfaces abertas (APIs) e formatos padrão para a exportação de dados, acessíveis em igualdade de circunstâncias por todos os clientes e prestadores de serviços de destino, e sem custos adicionais. As informações técnicas necessárias (por exemplo, estruturas de dados, formatos, metadados, etc.) devem ser disponibilizadas num registo online atualizado para que terceiros possam desenvolver ferramentas de conversão ou migração compatíveis.

As obrigações dependem do tipo de serviço: tratando-se de infraestrutura como serviço (IaaS) ou recursos básicos de computação, o prestador de serviços de origem deve tomar medidas razoáveis para facilitar ao cliente a obtenção de equivalência funcional no serviço de destino, sempre dentro dos limites do que é tecnicamente viável e sem comprometer a segurança ou a integridade dos seus sistemas. Isto significa que, ao mudar para outra infraestrutura equivalente, as aplicações do cliente irão funcionar de forma comparável, obtendo resultados materialmente semelhantes para as mesmas entradas, sempre para funcionalidades comuns. O Regulamento esclarece que o prestador de serviços cessante não é obrigado a recriar todo o seu serviço na infraestrutura do concorrente, mas é obrigado a fornecer os recursos, a documentação, a assistência técnica e as ferramentas necessárias para que a transição seja eficaz (Cons. 92). Um exemplo é a utilização de ferramentas de conversão de máquinas virtuais ou contentores para deslocar cargas de trabalho para outro ambiente. Nos serviços de plataforma (PaaS) ou de software (SaaS), a prioridade é a abertura de interfaces e a normalização para migrar dados entre diferentes aplicações.

Os pormenores da normalização estão estabelecidos no artigo 35.º. Em síntese: o Capítulo VI estabelece o "quê" e o artigo 35.º, o "como". Quando a Comissão publicar, no repositório central, uma norma harmonizada ou uma especificação comum aplicável, o prestador terá doze meses para garantir a compatibilidade; tudo isto sem exigir o desenvolvimento de novas tecnologias, a divulgação de ativos protegidos (por exemplo, o seu código-fonte ou algoritmos) ou o comprometimento da segurança ou integridade dos seus sistemas como condição para a migração.

De acordo com a versão mais recente das Perguntas Frequentes da Comissão (12 de setembro), a pergunta 57 indica que o repositório assumirá a forma de uma plataforma online, com balcão único para cada tipo de serviço. Como primeiro passo, em setembro de 2025, a Comissão concluiu um mapeamento das normas harmonizadas e das especificações abertas elegíveis para o seu reconhecimento e, antes de publicar uma referência, consultará as partes interessadas e adotará um ato de execução. A primeira versão do repositório será publicada em europa.eu e será progressivamente expandida por tipo de serviço.. Por enquanto, e na ausência de normas aplicáveis, os clientes devem, pelo menos, poder exportar todos os seus dados num formato estruturado, de uso corrente e de leitura automática, se assim o pedirem. Recorde-se que ainda não existe uma taxonomia fechada do "mesmo tipo de serviço", o que condiciona quando é possível exigir equivalência funcional ou compatibilidade.

3. Dever de cooperação e boa-fé

O processo de cloud switching envolve o cliente, o prestador de serviços cessante e, quando aplicável, o novo prestador de serviços. O Data Act impõe a todos o dever geral de cooperação de boa-fé para garantir que a migração é eficaz, rápida e segura. Isto inclui a cooperação técnica do prestador de serviços de destino com o cliente (e, se necessário, com o prestador de serviços original) para garantir a continuidade do serviço no novo ambiente. O objetivo é impedir que qualquer parte — por ação ou omissão — dificulte a mudança. Esta obrigação complementa as medidas específicas impostas ao prestador de serviços cessante e reforça a ideia de que a migração deve ser um esforço conjunto em benefício do cliente.

4. Transparência sobre localização de dados e acesso governamenta

No âmbito do Capítulo VI, os prestadores de serviços devem ainda informar publicamente quanto à jurisdição onde se encontra a sua infraestrutura e as medidas que adotam para impedir o acesso governamental extrajudicial a dados não pessoais na UE. Esta obrigação (artigo 28.º, n.º 1, alíneas a) e b)) pretende dar aos clientes confiança quanto à localização dos seus dados e à forma como estes são protegidos contra ordens de países terceiros que possam entrar em conflito com o Direito da União ou com o Direito nacional correspondente. Estas informações devem estar disponíveis no site do prestador de serviços e referenciadas nos contratos (artigo 28.º, n.º 2). Embora isto não afete diretamente a portabilidade, faz parte do quadro de confiança na computação em nuvem estabelecido pelo Data Act, complementando o direito a mudar de prestador de serviços com garantias em matéria de soberania dos dados.

5. A cláusula sobre custos de mudança: “charges… strictly limited to the costs incurred”

Um aspeto fundamental da portabilidade diz respeito aos custos que um prestador de serviços pode cobrar a um cliente que pretenda mudar de serviço. Historicamente, muitos prestadores de serviços impunham tarifas elevadas para a extracção de dados (taxas de saída de dados, egress) ou outros encargos ao terminar antecipadamente um contrato, o que tinha um forte efeito dissuasor. O Data Act aborda este problema com uma supressão gradual dos encargos decorrentes da mudança (artigo 29.º).

Em termos práticos, a cobrança ao cliente pelo processo de mudança será proibida a partir de 12 de janeiro de 2027. Até lá, apenas poderão ser cobrados "encargos decorrentes da mudança reduzidos", que não podem exceder os custos incorridos pelo prestador de serviços de tratamento de dados diretamente relacionados com o processo de mudança em causa ("charges imposed by the provider strictly limited to the costs incurred" (artigo 29.º, n.º 3). Isto inclui despesas objetivamente imputáveis à migração (por exemplo, largura de banda para transferência de dados, tempo de assistência técnica, utilização de ferramentas específicas de exportação), mas exclui margens de lucro e custos não relacionados (por exemplo, custos gerais da infraestrutura ou penalizações).

O considerando 89 alerta que determinados custos não podem ser repercutidos sobre o cliente, como os decorrentes da subcontratação escolhido pelo prestador de serviços. Apenas se o cliente solicitar serviços adicionais para além do exigido pela norma (por exemplo, assistência extraordinária ou personalizada), poderá ser cobrado esse serviço extra, mediante acordo prévio sobre o preço. Em última análise, a regra sobre custos do artigo 29.º pretende que, durante o período transitório, o cliente pague, no máximo, o custo real da transferência dos seus dados. E, a partir de 2027, a mudança deverá ser gratuita para o cliente, com o prestador de serviços a assumir quaisquer custos internos envolvidos. Resta saber como serão verificados os custos cobrados até 2027, em conformidade com esta limitação, o que poderá exigir transparência contabilística. A Comissão, ciente desta situação, tem poderes de acompanhamento durante o período de transição (artigo 49.º, n.º 1, alínea i)).

6. Microempresas e PME: isentas do ‘cloud switching’?

O Data Act introduz no artigo 7.º uma isenção para as microempresas e pequenas empresas de determinadas obrigações. Mais concretamente, as disposições do Capítulo II não se aplicarão aos dados gerados por produtos ou serviços de uma micro ou pequena empresa, desde que não faça parte de um grupo empresarial maior nem atue ao abrigo da subcontratação por outra empresa. Esta isenção foi incluída para evitar sobrecarregar os pequenos fabricantes de dispositivos ou prestadores de serviços com obrigações de partilha de dados do âmbito IoT. No entanto, esta isenção estende-se às obrigações de cloud switching do Capítulo VI?

A resposta, de acordo com a letra da norma, é não. A exceção do artigo 7.º limita-se ao Capítulo II e não menciona qualquer isenção para as regras de mudança de prestador de serviços de computação em nuvem. Por conseguinte, mesmo as micro e pequenas empresas que ofereçam serviços de tratamento de dados na nuvem estarão sujeitas ao regime de cloud switching. Isto pode colocar desafios para estes intervenientes, pois a implementação de normas de interoperabilidade, ferramentas de exportação de dados ou suportar o custo de migrações gratuitas podem exigir um esforço proporcionalmente maior.

O legislador está ciente deste potencial impacto: o artigo 49..º, n.º 2 determina que a Comissão avalie, até 12 de setembro de 2028, os efeitos das obrigações de mudança de cloud switching (artigos 23.º a 31.º) no mercado, com especial atenção às PME prestadoras de serviços. Recorde-se ainda que o artigo 31.º prevê um regime específico para determinados serviços de tratamento de dados, como o software desenvolvido especificamente para um único cliente (soluções altamente personalizadas não oferecidas em escala) ou versões de teste não produtivas, a que não se aplicam algumas obrigações de mudança. Esta é uma exceção devido à natureza do serviço, e não à dimensão da empresa.

Em conclusão, o regime de cloud switching do Regulamento de Proteção de Dados marca um ponto de viragem na relação entre os clientes e os prestadores de serviços de computação em nuvem. A partir de setembro de 2025, a mudança de prestador de serviços será facilitada com o estabelecimento de um direito com etapas, prazos e limites mais claros. As empresas utilizadoras conquistarão a liberdade de escolher a solução que melhor lhes convém em cada momento, o que, como consequência lógica, conduz a uma maior competitividade na qualidade dos serviços. O cenário é de um mercado mais aberto e dinâmico, onde a capacidade de switching e a interoperabilidade serão fatores centrais para a inovação e a concorrência. Como qualquer transformação, trará desafios de adaptação, mas também oportunidades para quem souber antecipar-se.

'Checklist': Principais etapas para o novo regime de ‘cloud switching’

Para prestadores de serviços de computação em nuvem:

  • Atualizar contratos e modelos: integrar o pré-aviso, a transição, recuperação, resolução e apagamento; eliminar práticas que constituam obstáculos; política de custos baseada nos "custos incorridos" até 2027 e zero após isso.
  • Ativar ferramentas: exportação em formatos estruturados e de uso corrente, APIs abertas e informações técnicas no registo online; em IaaS, medidas para equivalência funcional; em PaaS/SaaS, foco nas interfaces abertas.
  • Operação de switching: playbook interno com responsáveis, SLA para o período de transição, apoio razoável ao cliente e, quando apropriado, ao novo prestador; segurança durante a transferência e apagamento seguro com o encerramento.
  • Identificar e ajustar políticas técnicas e contratuais que possam ser consideradas obstáculos à mudança, como limitações de desempenho (throttling), exclusividade ou penalizações, adaptando-as gradualmente ao novo quadro de portabilidade; reduzir os custos de mudança até 2027 e eliminá-los após essa data; permitir a utilização paralela de acordo com o regime legal.
  • Governação e normas: manter a secção pública de transparência; monitorizar o repositório do artigo 35.º e ativar o período de compatibilidade de 12 meses quando as referências forem publicadas.

Para clientes (utilizadores empresariais):

  • Rever os contratos em vigor: pré-aviso de mudança (≤ 2 meses), período de transição (30 dias), recuperação (≥ 30 dias), resolução e apagamento; eliminar penalizações e obstáculos incompatíveis.
  • Elaborar um plano de saída: inventário de dados e ativos exportáveis, dependências técnicas, formatos e APIs disponíveis, prazos e responsabilidades internas.
  • Utilizar a transparência do prestador de serviços: consultar os procedimentos de switching, os formatos suportados, as limitações e as jurisdições publicadas.
  • Avaliar alternativas e multicloud: comparar as propostas e os custos, incluindo a regra de custos até 2027 e o egress pelo custo em utilização em paralelo.
  • Exercer direitos: documentar avisos e pedidos; se existirem obstáculos ou atrasos, encaminhar através dos canais estabelecidos.
  • Se existir IA de risco elevado: identifique os logs sujeitos a conservação e as funções de custódia antes de exportar ou apagar.

 

 

Garrigues mantém a liderança no 'ranking' IFLR1000 em Espanha

Garrigues mantém a liderança no 'ranking' IFLR1000 em Espanha

Espanha - 

É o único escritório que atinge ‘Tier 1’ nas oito áreas de prática analisadas

A Garrigues consolida a sua posição como sociedade de advogados líder em Espanha no ranking do diretório internacional IFLR1000, que identifica as melhores sociedades do mundo especializadas em direito comercial e financeiro de entre mais de 120 jurisdições.

Pelo nono ano consecutivo, o escritório é a única sociedade espanhola reconhecida no nível 1 nas oito áreas de prática avaliadas nesta classificação: restructuring and insolvency; project finance; capital markets: debt; capital markets: structured finance and securitisation; capital markets: equity; banking; M&A; e project development.

Além disso, a Garrigues continua a ser o único escritório que atinge a distinção máxima em todas as categorias de mercados de capitais.

Com 36 edições, o diretório IFLR1000 é um dos mais prestigiados no ramo comercial e financeiro da atividade jurídica. A sua classificação é elaborada a partir de entrevistas com clientes e advogados, assim como da análise das operações mais relevantes realizadas durante o último ano. 

O essencial do Data Act e o acesso regulado aos dados

O essencial do Data Act e o acesso regulado aos dados

União Europeia - 
Begoña González Otero, of counsel de Propriedade Industrial e Intelectual da Garrigues e especialista em direito digital.

Este regulamento europeu vem reconhecer que, com frequência, os utilizadores dependem tecnologicamente do fabricante ou fornecedor para aceder aos dados. Neste contexto, analisamos os direitos dos utilizadores e os deveres do titular dos dados, bem como os equilíbrios e limites necessários, os riscos potenciais e o que tudo isso implica para as empresas.

O “Regulamento (UE) 2023/2854 relativo a regras harmonizadas sobre o acesso equitativo aos dados” (“Data Act”) é aplicado desde 12 de setembro de 2025 e tem como foco um regime de acesso regulamentado para os dados gerados por produtos conectados e serviços relacionados (IoT). Se fabrica ou vende dispositivos conectados, presta serviços associados, utiliza dados gerados por esses produtos ou é utilizador dos mesmos, é provável que esteja abrangido por este diploma.

O regulamento não se baseia numa lógica de "propriedade dos dados", mas antes no controlo de acesso, reconhecendo que os utilizadores, muitas vezes, dependem tecnologicamente do fabricante ou fornecedor. O Data Act procura corrigir esta assimetria através de um conjunto claro de direitos para os utilizadores e de obrigações para os detentores dos dados, promovendo um ambiente mais equitativo, interoperável e competitivo.

O que muda: direitos do utilizador e deveres do detentor dos dados

O primordial da presente legislação encontra-se previsto nos Artigos 4.º e 5.º do Data Act:

  • Acesso e utilização pelo utilizador (artigo 4.º): o utilizador de um produto ou serviço conectado — ou seja, uma pessoa singular ou coletiva que tem o direito de utilizar esse produto ou serviço, seja como proprietário, locatário, mutuário ou outro título jurídico válido — tem o direito de aceder e utilizar os dados gerados através da sua utilização, quando não tenha acesso direto aos mesmos. 

    Este direito abrange tanto os dados introduzidos intencionalmente, como os dados gerados indiretamente pela utilização do produto, como, por exemplo, dados sobre a envolvente, o desempenho, o consumo ou as interações do dispositivo. Incluem-se aqui dados observados e pré-tratados, ou seja, dados que o produto obtém, gera ou recolhe sem que ocorra um investimento substancial na sua limpeza, agregação ou transformação. Não estão abrangidos os dados inferidos ou derivados, como resultados analíticos, avaliações preditivas ou modelações geradas pelo fabricante ou operador através de tratamento posterior. O detentor dos dados (geralmente o fabricante ou fornecedor do produto) deve disponibilizar esses dados sem custos para o utilizador, sem demora injustificada e num formato estruturado, comum e de leitura automática. As condições devem ser equitativas, razoáveis, transparentes e não discriminatórias, e o acesso deve respeitar as salvaguardas necessárias para proteger os segredos comerciais, os direitos de propriedade intelectual de terceiros e os dados pessoais.
  • Partilha com terceiros (artigo 5.º): o utilizador tem o direito de designar um terceiro — pessoa singular ou coletiva — para receber os dados gerados pela utilização do produto ou serviço conectado. Neste caso, o detentordos dados (por exemplo, o fabricante) é obrigado a facilitar essa transmissão sem demora injustificada e num formato estruturado, comum e de leitura automática. Este direito só pode ser limitado em circunstâncias específicas e justificadas (por exemplo, proteção de segredos de negócio ou cumprimento de outras normas aplicáveis). 

    O detentor não pode impor condições técnicas, contratuais ou económicas que dificultem injustificadamente o exercício efetivo deste direito. 

    Importa referir que o Data Act exclui expressamente como destinatários os denominados “guardiões de acesso” (gatekeepers) designados através do Regulamento de Mercados Digitais (DMA), mesmo que sejam indicados pelo utilizador. Esta exclusão responde à necessidade de prevenir concentrações indevidas de poder económico no ecossistema digital e de preservar uma concorrência justa.

Esta articulação (acesso e partilha) é complementado por um elemento que é frequentemente esquecido e que muda a estrutura contratual:

  • Contrato adicional para a utilização de dados não pessoais (artigos 4.º, n.º 13 e 4.º, n.º 14): o Data Act permite que o detentor utilize dados não pessoais gerados pelo produto ou serviço, mas sempre sob duas condições: (i) existência de um acordo transparente com o utilizador que defina as finalidades de utilização, e (ii) a utilização não origine informação que possa prejudicar a posição competitiva do utilizador no seu mercado. As finalidades legítimas incluem, por exemplo, a melhoria do funcionamento do produto ou serviço ou a agregação de dados com a finalidade de disponibilizar a terceiros os dados derivados resultantes, desde que não sejam identificáveis. Por outro lado, a transferência de dados não pessoais para terceiros (Artigo 4.ª; n.º 14) só pode ser efetuada se estiver prevista expressamente no contrato com o utilizador. Desta forma, o regulamento converte o utilizador no verdadeiro "titular da chave" para as utilizações secundárias dos seus dados, ao mesmo tempo que incentiva a abertura de mercados através de licenciamentos em condições justas, razoáveis​ e não discriminatórias (artigos 8º e 9º). 

    Exemplo: Uma cooperativa agrícola utiliza uma frota de tratores inteligentes conectados que registam dados sobre a utilização do motor, humidade do solo, velocidade de operação e consumo de combustível. Estes dados são armazenados na nuvem do fabricante do trator. 

    Um dos membros da cooperativa e agricultor responsável por uma parcela específica, solicita o acesso aos dados do seu trator, de acordo com o artigo 4.º do Data Act, já que não pode aceder diretamente aos mesmos através de uma interface. O fabricante, enquanto detentor dos dados, deve fornecer-lhe estes dados gratuitamente num formato estruturado e de leitura automática, sem atraso ou requisitos de identificação excessivos. 

    O mesmo membro decide, posteriormente, recorrer a uma empresa local de análise agrícola para otimizar o comportamento do terreno com base nestes dados. De acordo com o artigo 5.º, o fabricante é obrigado a transferir os dados diretamente para essa empresa, sem impor condições técnicas ou contratuais injustificadas. 

    No entanto, se o referido membro quisesse enviar os dados para uma empresa que presta serviços de plataforma central que tivesse sido designada como gatekeeper ao abrigo do DMA, o fabricante estaria legalmente autorizado a recusar essa transmissão. 

    O fabricante pode também querer utilizar os dados gerados pelos tratores para melhorar a conceção de futuros modelos ou para elaborar estatísticas de consumo que depois irá agregar e disponibilizar a terceiros. Para isso, deverá celebrar um contrato transparente com a cooperativa ou com cada utilizador, onde sejam especificadas essas finalidades. O regulamento permite-lhe esta utilização, desde que não extraia informação granular que possa afetar a posição competitiva da cooperativa ou de cada agricultor. A transferência de dados para terceiros só pode ser feita se também estiver prevista no contrato.

Em conjunto com estes direitos contratuais, o Data Act reforça o quadro jurídico com um requisito técnico muito abrangente: a acessibilidade dos dados desde a conceção e por defeito (artigo 3.º). Exige que os produtos e serviços sejam concebidos de forma que os dados — e os metadados necessários — sejam acessíveis por defeito, de forma fácil, segura, gratuita e num formato de leitura automática. A referida obrigação aplica-se aos produtos e serviços introduzidos no mercado após 12 de setembro de 2026.

Princípios de equilíbrio e limites

A presente legislação  procura equilibrar a liberdade de acesso aos dados com a proteção de incentivos ao investimento. Por isso, articula:

  • Limites para segredos comerciais e direitos de PI: o acesso não pode divulgar know-how protegido; podem ser impostas medidas técnicas para impedir a utilização não autorizada, desde que sejam proporcionais.
  • Compensação razoável (condições FRAND): quando adequado, a disponibilização pode envolver uma remuneração em condições equitativas, razoáveis ​e não discriminatórias, evitando encargos ocultos.
  • Coordenação com o RGPD: o Data Act é horizontal (abrange dados pessoais e não pessoais). Quando estão em causa dados pessoais, o tratamento deve encontrar-se em estrita conformidade com o RGPD; o Data Act não dispõe de uma nova base de licitude. Ademais, os direitos incluem o direito à portabilidade dos dados, previsto no artigo 20.º do RGPD, e o direito de acesso, previsto no artigo 15.º do RGPD (artigo 1.º, n.º 5 do Data Act).
  • Cláusulas abusivas B2B (artigo 13.º): se uma empresa impuser unilateralmente termos que colidam com  o equilíbrio contratual (por exemplo, exclusões de responsabilidade desproporcionais ou renúncias a direitos irrenunciáveis), estes podem ser considerados como não incluídos no contrato. Trata-se de um "travão de mão" contratual para preservar a finalidade pró-competitiva do regime legal aplicável.

Implicações para as empresas (fabricantes, fornecedores)

  • Reconfigurar a conceção e a arquitetura de dados: inventariar o que é gerado, onde está armazenado, como é etiquetado e com que metadados. A acessibilidade desde a conceção exigirá um data mapping detalhado, APIs ou canais de extração fiáveis​ e documentação clara para utilizadores e terceiros.
  • Ativar os processos de satisfação de pedidos: o artigo 4.º concede aos utilizadores o direito de aceder e utilizar dados, e o artigo 5.º concede o direito de os partilhar com terceiros designados. As empresas devem definir prazos de resposta, responsáveis internos, autenticação dos requerentes e protocolos de proteção. Quando estão em causa segredos comerciais ou direitos de terceiros, recomenda-se a utilização de soluções de acesso seguro ou “clean rooms”, evitando recusas generalizadas que possam ser consideradas desproporcionais.
  • Negociar e uniformizar contratos adicionais para dados não pessoais: os artigos 4.º, n.º 13 e 4.º, n.º 14 exigem que odetentor dos dados só os possa utilizar mediante contrato com o utilizador. Isto implica a criação de modelos claros que definam as finalidades de utilização, as condições FRAND (quando aplicável), medidas de pseudonimização ou agregação e cláusulas de reversibilidade. Este contrato adicional torna-se um elemento estratégico para a geração de mercados secundários de dados sob controlo do utilizador.
  • Alinhamento jurídico, técnico e do modelo de negócio: o acesso regulado não se resume ao cumprimento; é uma estratégia de abertura controlada para viabilizar os serviços pós-venda, ecossistemas e mercados secundários. Aqui, é fundamental que as equipas jurídica, técnica e de negócio trabalhem em conjunto.

Riscos típicos e como os mitigar

  • Confundir "dados inferidos" com "dados pré-tratados": será necessário rever os pipelines; tudo o que seja derivado de modelos/algoritmos pode estar fora do direito de acesso. Recomenda-se a documentação dos critérios.
  • Segredos invocados incorretamente: as recusas baseadas no sigilo devem ser proporcionais e justificadas; Deverão ser consideradas soluções de acesso seguro em vez de se recusar o acesso diretamente.
  • Condições FRAND opacas: recomenda-se a preparação de metodologias internas de cálculo e benchmarking para evitar alegações de discriminação.
  • RGPD negligenciado: quando estiverem em causa dados pessoais, deverá ser aplicado um fundamento jurídico válido, ter em conta o princípio da minimização, realizar-se AIPD, se aplicável, e avaliar riscos de reidentificação em conjuntos derivados.

Espanha, Portugal, Alemanha, França e a aplicação e execução do Data Act

A eficácia deste diploma dependerá em grande medida da sua aplicação por entidades fiscalizadoras e judiciais. O Capítulo IX do Data Act estabelece as autoridades nacionais, as sanções e os mecanismos alternativos de resolução de litígios, mas a sua eficácia real pode variar de país para país. Espanha e Portugal ainda não designaram uma autoridade ou coordenador de dados, o que poderá levar os próprios titulares de direitos a terem de reivindicar diretamente os seus direitos, antevendo-se um provável aumento da litigância judicial durante as primeiras fases de implementação. A Alemanha apresentou um projeto de lei de implementação (Data Act-Durchführungsgesetz) que prevê a designação da Bundesnetzagentur (BNetzA) como autoridade central e da BfDI em matéria de proteção de dados; no entanto, este projeto ainda não foi aprovado, pelo que o quadro institucional alemão continua a ser uma proposta em apreciação. A França, por sua vez, reforçou a arquitetura institucional através da Lei SREN que atribui um papel reforçado a autoridades como a CNIL e a ARCOM quanto à aplicação da regulamentação digital europeia. Para as empresas que operam em vários países, tal significa que terão de adaptar os seus processos de resposta, contratos e defesas técnicas às circunstâncias nacionais, enquanto se consolida uma interpretação mais uniforme a nível europeu.

‘Checklist’ expresso (apenas regime de acesso)

  • Inventário de dados IoT (primário vs. pré-tratados vs. inferidos), metadados e localização.
  • Canais de acesso/transferência prontos (APIs, formatos legíveis, segurança).
  • Procedimento e acordo de nível de serviço (SLA) para pedidos de utilizadores e terceiros designados.
  • Modelo de contrato adicional para dados não pessoais (utilizações, FRAND, salvaguardas).
  • Política de segredos comerciais/DPI com medidas técnicas de proteção (se necessárias).
  • Matriz de cumprimento do RGPD em cenários mistos (bases, portabilidade, AIPD).
  • Revisão das cláusulas B2B para detetar e eliminar condições unilaterais potencialmente abusivas.
  • Plano de acessibilidade desde a conceção (artigo 3.º) para novas colocações no mercado 2026-2027.

Em resumo: o Data Act não concede a "propriedade" dos dados ao utilizador, mas elimina obstáculos de acesso em situações de dependência tecnológica, criando obrigações técnicas, contratuais e organizacionais que abrem caminho a um mercado de dados mais dinâmico. A preparação neste momento — com uma conceção acessível, contratos apropriados e processos sólidos — fará a diferença entre reagir à procura ou liderar o ecossistema de dados.

 

 

O Data Act entra em cena: peças de um xadrez normativo que nenhuma empresa deve ignorar

O Data Act entra em cena: peças de um xadrez normativo que nenhuma empresa deve ignorar

União Europeia - 

O “Regulamento relativo a regras harmonizadas sobre o acesso equitativo aos dados” (UE) 2023/2854 (“Data Act”) começou a aplicar-se no dia 12 de setembro de 2025 e vem redefinir a forma como são acedidos, partilhados e transmitidos os dados na UE. Se fabrica produtos conectados, contrata serviços cloud ou participa em espaços de dados, poderá estar abrangido. Neste artigo, resumimos as principais alterações nesta matéria e, bem assim, o que deve ser revisto de imediato para assegurar conformidade com o referido diploma — IoT, mudança de fornecedor (cloud switching) e interoperabilidade/smart contracts — com uma checklist prática para assegurar a necessária conformidade.

O dia 12 de setembro de 2025 marca o início da aplicação do “Regulamento relativo a regras harmonizadas sobre o acesso equitativo aos dados” (UE) 2023/2854 (“Data Act”). Este regulamento foi aprovado pelo Conselho da União Europeia em 27 de novembro de 2023 e entrou em vigor no dia 11 de janeiro de 2024. Em todo o caso, a maioria das suas obrigações só são aplicáveis desde o passado dia 12 de setembro.

O seu objetivo é criar um mercado único europeu de dados equitativo, seguro e favorável à inovação, dinamizando um mercado em que, de acordo com as estimativas da Comissão Europeia, mais de 80% dos dados industriais (gerados por sensores) continuam a ser subaproveitados.

Apesar da envergadura e impacto material e transversal deste diploma, o mesmo não mereceu particular atenção no debate público nacional ou na agenda empresarial, ao contrário de outros países, como a Alemanha ou a França. No entanto, trata-se de uma peça essencial no âmbito da estratégia global da União Europeia em matéria de dados. Com efeito, o Data Act, em conjunto com o Regulamento da Governação de Dados (“DGA”), o Regulamento dos Mercados Digitais (“DMA”), o Regulamento dos Serviços Digitais (“DSA”), o Regulamento da Inteligência Artificial (“RIA”) e o próprio Regulamento Geral de Proteção de Dados (“RGPD”), formam a arquitetura de um ecossistema digital (europeu) interoperável. Note-se, aliás, que o seu verdadeiro alcance não está apenas no que regula, mas na forma como redefine as regras do jogo para o acesso, a utilização, a portabilidade e a troca de dados no mercado europeu.

À semelhança de outros diplomas que têm vindo a ser aprovados, nos últimos anos, em matéria digital, o Data Act também vincula as empresas não comunitárias que operem no mercado europeu.

Em relação às matérias que regula, o Data Act tem uma estrutura peculiar e, porventura, até complexa, comportando três pilares fundamentais:

  • Primeiro pilar: internet das coisas.

    O primeiro pilar, que assume um papel nuclear, diz respeito aos dados gerados por produtos conectados e serviços relacionados. Ou seja, estamos no âmbito da designada Internet das Coisas (“IoT”). Todos os setores, do turismo à agricultura, passando pela mobilidade, construção, saúde e indústria aeroespacial, são afetados.

    O seu ponto de partida não é a propriedade sobre os dados, mas antes o controlo de facto sobre o acesso detido pelos fabricantes e fornecedores de qualquer produto e serviço conectado.

    Para corrigir esta assimetria, o Data Act combina um direito positivo de acesso a favor do utilizador, com um direito limitado de recusa por parte do titular dos dados, procurando criar um equilíbrio inspirado na lógica da propriedade intelectual (latu sensu), mas complementado por elementos do direito dos contratos, da concorrência e da proteção de dados.

    O objetivo é desbloquear o potencial da inovação, evitando ao mesmo tempo monopólios de facto no acesso aos dados. No entanto, tal como acontece com qualquer regime acabado de implementar, o diploma tem ainda algumas zonas cinzentas, suscitando dúvidas interpretativas relativamente a aspetos-chave da da sua aplicação, que também iremos abordar.

  • Segundo pilar: portabilidade na nuvem

    O segundo pilar procura promover a portabilidade nos serviços na nuvem. Para tal, o Capítulo VI estabelece um quadro contratual específico que regula a mudança de fornecedores. Neste âmbito, são impostas determinadas obrigações aos prestadores destes serviços, de modo a reduzir os chamados efeitos de bloqueio (vendor lock-in), que, de acordo com os estudos de impacto da Comissão Europeia, se devem, tanto à falta de interoperabilidade técnica entre sistemas, como aos elevados custos de migração.

    A implementação deste regime exigirá, na prática, a revisão dos contratos em vigor — em particular das cláusulas de resolução antecipada — e até a reformulação de determinados modelos de negócio.

  • Terceiro pilar: interoperabilidade em espaços de dados europeus

    O terceiro pilar regulado pelo Data Act, no seu Capítulo VIII, são os requisitos de interoperabilidade para os espaços comuns de dados europeus e os mecanismos e serviços de troca de dados, incluindo os smart contracts,. Trata-se de um capítulo técnico cujo objetivo é promover a transferibilidade de dados de diferentes fontes e a utilização paralela de dados por diferentes serviços.

O Regulamento mantém um âmbito de aplicação horizontal: aplica-se a dados pessoais e não pessoais em áreas que vão, da utilização de produtos e serviços IoT, até à partilha obrigatória de dados entre empresas e serviços de intermediação. Para o efeito, está em estreita ligação com o RGPD, o DGA e a regulamentação sobre o consumo e a propriedade intelectual, excluindo expressamente setores como a defesa e a segurança pública. Antecipa também a sua integração com os futuros espaços de dados europeus, como o recentemente aprovado Regulamento (UE) 2025/327 sobre o Espaço Europeu de Dados de Saúde, que começará a ser implementado, gradualmente, a partir de 2027.

Em última análise, o Data Act não estabelece um regime único e uniforme, mas antes um conjunto de regimes jurídicos diversos que se unem a um ecossistema normativo já complexo, e que, como já acima referido, abrange o direito da concorrência, o direito dos contratos, a proteção de dados e a regulamentação setorial. A isto acrescem as suas próprias inovações, como o regime sobre cláusulas abusivas nos contratos B2B (artigo 13.º) ou a possibilidade de os fabricantes e fornecedores de IoT introduzirem medidas de proteção tecnológica contra utilizações não autorizadas (artigo 11.º).

As dificuldades impostos por este novo diploma já se refletiu nos debates organizados pela Comissão Europeia durante o verão. Nessas reuniões, os participantes assinalaram que a aplicação fragmentada das normas da UE e a sobreposição de legislação digital geram uma complexidade significativa para as empresas. Os representantes da indústria destacaram as questões de interoperabilidade e qualidade dos dados, bem como a necessidade de maior transparência e de uma definição mais clara dos direitos de acesso aos dados de IoT. Apelaram, ainda, a incentivos para a utilização dos mecanismos de intermediação de dados existentes e um melhor acesso aos dados do setor público. Os instrumentos de apoio regulamentar e os ambientes de teste (sandboxes) foram mencionados como potenciais soluções, particularmente úteis para que as empresas se possam orientar num quadro regulamentar tão complexo.

A Comissão Europeia, através do Grupo de Peritos, deveria recomendar, até 12 de setembro, termos e condições-tipo e cláusulas contratuais-tipo sobre o acesso e a utilização de dados, incluindo orientações sobre a compensação razoável e a proteção de segredos comerciais, e sobre os contratos de mudança de fornecedor e saída (switching) com portabilidade de dados, uma obrigação que ainda não foi cumprida e que acrescenta mais incerteza sobre a aplicação de um regime já por si complexo.

Em conclusão, o Data Act implementa regimes jurídicos diferenciados em função do objeto da sua aplicação (desde dados de IoT, nuvem, interoperabilidade, até transferências internacionais de dados ou cláusulas abusivas entre empresas). Trata-se de um xadrez normativo que combina desafios e oportunidades, cuja complexidade exigirá uma permanente interpretação e adaptação por parte das empresas, juristas e autoridades. É precisamente por isso que importa acompanhá-lo de perto: para além das incertezas que gera, e continuará a gerar, vai moldar a forma como os dados são acedidos, partilhados e utilizados na Europa e para além das suas fronteiras.

Check-list express: o que rever agora

  • Inventário de produtos/serviços conectados e fluxos de dados (que dados, quem acede, com que base legal e se é necessário um contrato adicional).
  • Contratos de cloud: portabilidade, resolução, egress/exit plan e cronograma de transição
  • Políticas/processos para pedidos de acesso e partilha (incluindo proteção de segredos comerciais, segurança, etc.)
  • Revisão das cláusulas contratuais B2B para detetar e eliminar condições abusivas.
  • Preparação para a interoperabilidade e participação (ou não) em espaços de dados do setor.