É mais um capítulo na polémica que envolve a empresa da mulher e dos filhos de Luís Montenegro. A Solverde, que já se sabia ser uma das clientes da Spinumviva, avançou ao jornal Expresso que pagava 4.500 euros por mês desde julho de 2021 por “serviços especializados de compliance e definição de procedimentos no domínio da proteção de dados pessoais”. Mais especificamente, pela garantia do “suporte técnico e consultivo necessário, incluindo o exercício da função de encarregado de proteção de dados interno e a implementação integral das exigências do Regulamento Geral sobre a Proteção de Dados e da legislação aplicável”. A mensalidade paga, segundo a Solverde, estava “dentro dos valores de mercado”.
A estas declarações juntou-se um comunicado divulgado pela Spinumviva, que revelou em concreto os serviços prestados e os preços cobrados, corroborando os números apresentados pela Solverde. “Para que não subsistam dúvidas, os preços cobrados e pagos pelos serviços prestados atendem à dimensão e complexidade dos trabalhos com cada cliente e oscilam entre os 1.000€ e os 4.500€”. Ao Observador, especialistas da área de proteção de dados e compliance dizem que os valores estão dentro dos que são praticados no mercado português, que há até quem descreva como “Portugal dos pequeninos”.
Solverde paga €4500 mensais à empresa da família do primeiro-ministro
Quais são os preços praticados no mercado?
Primeiro, a Solverde avançou que pagava 4.500 euros por mês à Spinumviva. Depois, a empresa da família do primeiro-ministro revelou que os valores cobrados aos clientes variam entre os 1.000 e os 4.500 euros. Ainda antes desse comunicado, Elsa Veloso, advogada especialista em privacidade de dados que é CEO da DPO Consulting, disse ao Observador que a mensalidade cobrada ao grupo de casinos e hotéis sediado em Espinho estava dentro dos “valores de mercado”.
“Acho que o valor mensal de que estamos a falar é razoável. A DPO Consulting recebe esse valor de vários clientes. O intervalo de valores de três, quatro a 10 mil euros é perfeitamente aceitável”, afirmou a advogada, que adiantou ser Encarregada de Proteção de Dados (DPO, na sigla original) de 40 empresas. Ainda assim, por outro lado, descreveu o mercado como “o Portugal dos pequeninos” porque estes números estão longe da realidade internacional. “Quando fala com uma grande empresa internacional que tem que garantir a compliance, não pode estar a falar destes valores”, defendeu, salientando a dificuldade em reter talento em Portugal (face a outros países, como Holanda ou Alemanha, que pagam mais a especialistas nesta área).
Filipa Duarte Gonçalves, associada sénior de Penal e Contraordenacional da PRA — Raposo, Sá Miranda & Associados, começou por dizer que é complicado dar um intervalo concreto porque depende da dimensão da empresa e do tipo de serviço que for contratado. Mas reconheceu que “haverá, com certeza, programas de compliance, se a empresa for pequena, que andarão nesses valores, 4.500 euros”. “Se falarmos de uma empresa pública ou de uma empresa que tenha uma estrutura organizacional mais pesada e mais complexa, eu diria que serão valores muito mais elevados”, alertou.
Em janeiro, a consultora ManpowerGroup divulgou um comunicado acerca das profissões mais procuradoras e mais bem remuneradas do mundo em 2025. Na lista constava o cargo de Chief Information Security Officer (CISO), um executivo que supervisiona a segurança de informações e proteção de dados, com uma remuneração anual estimada de 70 mil euros a 120 mil euros (o que perfaz um total mensal de 5.000 euros a 8.571 euros, numa conta feita a 14 meses).
No comunicado, o ManpowerGroup, que pelo que disse ser uma questão de timing não partilhou mais dados com o Observador, explicou que “o CISO é o principal responsável pela segurança da informação de uma empresa”, sendo que as suas responsabilidades incluem “a definição e implementação de políticas de cibersegurança, a identificação de vulnerabilidades, a gestão de riscos e a resposta a incidentes, de forma a proteger os dados e sistemas da empresa contra ameaças”. Além disso, também é responsável por garantir a conformidade com legislações como o Regulamento Geral de Proteção de Dados (RGPD).
[No podcast “Somos Todos Malucos“, António Raminhos fala sobre os nossos medos, ansiedades e superações em conversas descomplicadas e divertidas em torno da saúde mental. Ouça aqui o novo episódio, que também está disponível na Apple Podcasts e no Spotify]
Quais são os serviços prestados aos clientes?
“Em defesa do seu bom nome” e com autorização dos clientes, que se sabe agora que além da Solverde são a Rádio Popular, o colégio Clip, a Lopes Barata – Consultoria e Gestão e a Ferpinta, a Spinumviva divulgou uma extensa lista dos serviços que presta, incluindo “identificação dos responsáveis pelos tratamentos de dados e verificação do cumprimento das boas práticas” ou o “aconselhamento para aplicação de medidas corretivas face a práticas em desconformidade”.
São ainda mencionados pela firma da família de Luís Montenegro “contactos com a autoridade de controlo”, “elaboração de relatórios de análise e diagnóstico em matéria de tratamento de dados pessoais relativos às áreas de cada empresa”, “análise de tratamento de dados pessoais no contexto laboral”, “elaboração de recomendações quanto à utilização dos sistemas de CCTV” ou “análise de questões relativas ao direito de imagem”.
Mas há mais. Por exemplo, a “realização de ações de formação, presenciais e online”, “realização de auditorias com vista a acompanhar o processo de conformidade dos tratamentos com a legislação em vigor”, “elaboração e análise de Códigos de Conduta e Regulamentos Internos” ou “avaliação de implementação de Inteligência Artificial do ponto de vista da proteção de dados”.
Ainda antes da divulgação do comunicado da Spinumviva, Elsa Veloso já tinha revelado ao Observador alguns exemplos dos serviços que os profissionais que atuam na área de proteção de dados prestam. A advogada mencionou que um Encarregado de Proteção de Dados “tem de assegurar que a empresa tem formação nesta área, que cumpre o RGPD, que faz auditorias internas e externas, quer periódicas, quer programadas e que faz avaliações de impacto sobre a proteção de dados”.
“O Encarregado de Proteção de Dados vela pela existência do cumprimento normativo, quer do RGPD, quer da Lei de Execução Nacional, assegurando o treino de informação e aconselhamento. E funciona também como o ponto de contacto entre a Comissão Nacional de Proteção de Dados e os titulares [desses dados]”, exemplifica, salientando que a DPO Consulting dá “muita formação” aos clientes.
Segundo a Comissão Nacional de Proteção de Dados, só é obrigatório as empresas designarem um Encarregado de Proteção de Dados “em alguns casos”, nomeadamente quando tratam “dados sensíveis ou dados relativos a condenações penais e infrações em larga escala [referidos no RGPD]” ou “se realizarem tratamentos em larga escala relativos ao controlo regular e sistemáticos dos titulares dos dados”. O artigo nono do RGPD estabelece que, salvo exceções, é “proibido o tratamento de dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, ou a filiação sindical, bem como o tratamento de dados genéticos, dados biométricos para identificar uma pessoa de forma inequívoca, dados relativos à saúde ou dados relativos à vida sexual ou orientação sexual de uma pessoa”.
“É ao responsável pelo tratamento e ao subcontratante que compete avaliar, em cada situação, se os tratamentos de dados realizados pela sua organização exigem a designação de um Encarregado de Proteção de Dados. A CNPD não se pronuncia sobre o caso concreto”, indica essa comissão, que revela que os encarregados não precisam de uma “certificação profissional para o desempenho das funções”, devendo ser designados “com base nas suas qualidades profissionais e, em especial, nos seus conhecimentos especializados no domínio do direito e das práticas de proteção de dados”.
Que profissionais prestam os serviços?
Ao contrário do primeiro-ministro, que tem uma pós-graduação em proteção de dados, a mulher e os dois filhos não são licenciados em Direito, nem são especializados nessa área. Desta forma, quando Luís Montenegro deixou de ser sócio-gerente, após sido eleito presidente do PSD, a Spinumviva precisou de reforçar a equipa.
Elsa Veloso disse ao Observador que o mais comum é que “as pessoas que prestam serviços jurídicos sejam juristas e, de preferência, advogados porque têm um treino especial e têm um código deontológico”. “Achamos extremamente importante [que tenham] formação especializada preferencialmente em cima de uma formação de base jurídica porque o RGPD diz expressamente que os Encarregados de Proteção de Dados devem ter especial conhecimento do direito. Não abriga a serem advogados, mas diz que é conveniente, para recomendar a aplicação da lei, ser-se jurista ou ter-se formação jurídica”, afirmou, acrescentando que existem profissionais de outras indústrias que também estão na área da proteção de dados, como “engenheiros que fazem parte de segurança da informação” (“muitos”, acrescentou, tiveram formação com a DPO Consulting).
Também a advogada Filipa Duarte Gonçalves, da PRA, notou que a prática comum é serem juristas ou advogados a prestarem os serviços que aqui estão em causa: “Os advogados à partida têm competência jurídica. Os advogados podem ser em prática isolada ou podem estar em sociedade. Ou então, a própria empresa pode contratar um jurista, consultores e [estabelecer] um departamento jurídico.”
A Spinumviva já revelou os nomes dos “colaboradores que sempre desempenharam” as tarefas relacionadas com a proteção de dados. São eles Inês Patrícia, advogada responsável por “conduzir sessões de formação e workshops sobre questões legais e riscos relacionados com a área jurídica, dando especial enfoque à segurança, privacidade e proteção de dados” e “encarregada da Proteção de Dados e Consultora Jurídica de uma ampla gama de empresas de áreas bastante distintas”; e André Costa, jurista que “tem desenvolvido a sua atividade na área da Privacidade e Proteção de Dados, nomeadamente em projetos de compliance que vão desde a avaliação e diagnóstico inicial às empresas, passando pela definição de planos de intervenção, pela revisão de procedimentos de tratamento de dados pessoais e pela implementação de medidas de mitigação dos riscos”.
