# GDPR para mensagens — o que os remetentes corporativos precisam saber

> O Regulamento Geral de Proteção de Dados (UE 2016/679) rege toda a recolha e uso de dados pessoais de indivíduos na UE/EEE, incluindo MSISDNs usados para mensagens. Para mensagens comerciais, o RGPD é fundamental em cinco aspetos: base legal, direito de exclusão/direito ao apagamento, transferências internacionais de dados, contratos com processadores de dados e notificação de violação de dados. As penalidades podem chegar ao valor mais alto entre € 20 milhões ou 4% da faturação anual global.

- URL canônico: https://www.broadnet.me/pt/answers/gdpr-for-messaging
- Idioma: pt
- Última revisão: 2026-05-27
- Editor: BroadNet (https://www.broadnet.me)

## Fundamento jurídico para o marketing por SMS

O Artigo 6 exige uma das seis bases legais. Para mensagens comerciais, as mais práticas são o consentimento explícito (o mais seguro) ou o interesse legítimo (viável, mas que requer análise de equilíbrio e exclui a maior parte do marketing direto). O PECR (o regime de privacidade eletrónica do Reino Unido/UE) adiciona um requisito de adesão específico para marketing, além do Artigo 6 do GDPR — para SMS de marketing, ambos são necessários. SMS transacionais (códigos de verificação, confirmações de pedidos) não exigem adesão, mas ainda requerem uma base legal (geralmente a execução do contrato, Artigo 6(1)(b)).

## Transferências transfronteiriças

O envio de um SMS para um destinatário na UE através de um SMSC fora da UE é considerado uma transferência de dados transfronteiriça. Após o caso Schrems II (2020), a validade das Cláusulas Contratuais Padrão depende de uma avaliação do impacto da transferência. Para agregadores sediados nos EUA, o Quadro de Privacidade de Dados UE-EUA (em vigor desde 2023) fornece uma base legal para a transferência, caso o agregador seja certificado. Para agregadores sediados no MENA, como a BroadNet, o tráfego destinado a destinatários na UE deve, idealmente, ser encaminhado através de um SMSC na região da UE; operamos um em Frankfurt exatamente para isso.

## Direito ao apagamento e à interrupção do processamento.

O Artigo 17 concede ao titular dos dados o direito ao apagamento mediante solicitação. Para mensagens, isso significa: a palavra-chave STOP é respeitada imediatamente, o MSISDN do destinatário é removido das listas ativas, a preferência de cancelamento de subscrição é mantida (para que você não os adicione novamente na próxima campanha) e o histórico do corpo da mensagem é excluído ou anonimizado, dependendo da base legal sob a qual você armazenou os dados. A BroadNet disponibiliza uma API de apagamento por destinatário para o cumprimento da solicitação de acesso a dados pessoais (DSAR) do GDPR.

## Processador vs. controlador

O seu CPaaS é um processador (Artigo 28). Você é o controlador. Você deve ter um DPA assinado. Alterações no subprocessador (por exemplo, a rede da operadora pela qual você encaminha os dados) devem ser divulgadas e você deve ter o direito de se opor. A BroadNet mantém uma lista pública de subprocessadores em /trust/subprocessors e notifica os controladores 30 dias antes de qualquer alteração.

## Relacionados

- [Todas as respostas](https://www.broadnet.me/pt/answers)
- [Glossário](https://www.broadnet.me/pt/answers)
- [PDPL (Arábia Saudita) — o que a Lei Saudita de Proteção de Dados Pessoais significa para o envio de mensagens](https://www.broadnet.me/pt/answers/pdpl-ksa-explained)
- [HIPAA para mensagens — o que os remetentes da área da saúde precisam saber](https://www.broadnet.me/pt/answers/hipaa-for-messaging)
- [Compliance](https://www.broadnet.me/pt/compliance)
- [Trust & security](https://www.broadnet.me/pt/trust)