O Observador teve acesso a mais de mil páginas de documentação interna da Spinumviva produzidas entre 2022 e fevereiro de 2025 que representam uma amostra significativa de relatórios e interações com os cinco clientes permanentes da empresa familiar de Luís Montenegro para a área de proteção de dados. Todos estes documentos dizem respeito a um período posterior à saída de Luís Montenegro da Spinumviva depois de ser eleito líder do PSD. Não há referências nestes documentos aos serviços de consultadoria económica prestados à empresa Joaquim Barros Rodrigues & Filhos, que atua na área do comércio de combustíveis.

Estes documentos foram validados com três advogados especialistas em proteção de dados. Depois de analisar a informação, o Observador enviou perguntas em dois momentos a Luís Montenegro, tendo o primeiro-ministro respondido a uma parte das questões. O líder do PSD explicou em pormenor como angariou as contas da Solverde, Rádio Popular, Ferpinta, Sofarma (Lopes Barata, Consultoria e Gestão, Lda) e CLIP — Colégio Luso Internacional do Porto. Mas continuou a não revelar a identidade dos clientes ocasionais da Spinumviva nem o valor específico de faturação de cada cliente.

A polémica das últimas semanas levantou duas dúvidas que foram verbalizadas por Pedro Nuno Santos, secretário-geral do PS. “A suspeita que hoje existe — e não é do PS, ouvimos os comentadores e grande parte da população — é a de que os serviços não foram prestados. Ou, tendo sido prestados, foram pagos por um preço muito superior ao que foi cobrado”, afirmou o líder da oposição numa entrevista à SIC, nas vésperas do debate da moção de confiança que levaria à queda do Governo.

A análise aos documentos feita pelos juristas especializados no tema indicia que os serviços de consultoria na área de proteção de dados foram efetivamente prestados. Já sobre a segunda dúvida, relacionada com o preço dos serviços, os juristas sublinham que é uma avaliação subjetiva, mas não se mostram surpreendidos com os valores da faturação da Spinumviva que têm sido tornados públicos — e que estarão em linha com os valores de mercado.

A informação a que o Observador teve acesso representa uma amostra de pareceres e documentação interna da Spinumviva que remontam a novembro de 2022 e vão até fevereiro de 2025, mês em que se tornou conhecido o caso da empresa da família de Luís Montenegro.

Montenegro. Spinumviva prestou serviços efetivos?

A documentação inclui um conjunto vasto de relatórios produzidos pela advogada Inês Varajão Borges e pelo jurista André Costa, os dois colaboradores da empresa. E o Observador comprovou o envio de uma parte desses relatórios para os clientes.

Entre a documentação consultada, destacam-se os seguintes exemplos:

• Plano de conformidade de proteção dados para diversos clientes;
• Pareceres sobre a idade mínima para utilização de sistemas de Inteligência Artificial e a articulação dessa matéria com o RGPD (Regulamento Geral de Proteção de Dados);
• Análise da política de proteção de dados do cliente e da concorrência;
• Análise da utilização de plataformas informáticas à luz do RGPD;
• Política para a implementação de sistema de videovigilância;
• Gestão permanente dos emails do encarregado de proteção de dados de cada um dos clientes.

Entre os documentos não se encontra qualquer contrato que marque o início da relação comercial com os diferentes clientes. Luís Montenegro confirmou nas declarações ao Observador que não assinou contratos formais. A avaliação dos advogados contactados sobre a ausência desses documentos pode ser resumida numa frase: não são obrigatórios por lei, mas normalmente costumam ser feitos.

Os serviços foram efetivamente prestados?

Para obter uma validação técnica da informação, o Observador partilhou os documentos a que teve acesso com o advogado Tiago Cabanas Alves, um dos maiores especialistas nesta área, e com um segundo jurista, que trabalha num dos principais escritórios do país e que solicitou anonimato. A jurista Elsa Veloso aceitou responder a perguntas abstratas sobre o caso.

Afinal, os documentos correspondem a uma prestação de serviços efetiva na área da proteção de dados? “Daqueles que eu consultei, parece-me que sim. E parece que todos eles têm por base, sempre, análises relativas à proteção de dados. E correspondem exatamente àquilo que é o trabalho do encarregado de proteção de dados”, afirma Tiago Cabanas Alves.

O segundo advogado consultado subscreve este entendimento: “Esse tipo de análise, esse tipo de parecer jurídico sobre essas situações, é trabalho perfeitamente normal e comum na atividade do encarregado de proteção de dados.”

Sem ter consultado a documentação, mas tendo recebido do Observador uma descrição pormenorizada dos relatórios e pareceres emitidos pela Spinumviva, Elsa Veloso, advogada e CEO da DPO Consulting, responde no mesmo sentido. “São pareceres típicos de quem presta consultoria na área do RGPD, sendo que os pareceres de Inteligência Artificial serão mais recentes”, complementa.

Paralelamente ao aconselhamento sobre implementação de políticas de RGPD, o Observador comprovou que Inês Varajão Borges e André Costa  — os dois colaboradores da Spinumviva — geriam igualmente as caixas de correio eletrónico do encarregado de proteção de dados, através dos quais os clientes podem colocar dúvidas ou solicitar ações.

Tiago Cabanas Alves e o segundo jurista que analisou os documentos concluem que as respostas dadas pelos juristas que trabalham na empresa familiar demonstram a prestação contínua do serviço ao longo do tempo.

[Já estreou “O Misterioso Engenheiro Jardim”, o novo Podcast Plus do Observador que conta a história de Jorge Jardim, o empresário que, na verdade, era um agente secreto que liderou missões perigosas em todo o mundo, tentou criar um país e deu início a um clã de mulheres aventureiras. Pode ouvir aqui, no Observador, e também na Apple Podcasts, no Spotify e no Youtube Music]

O que fizeram os colaboradores da Spinumviva?

No comunicado divulgado à comunicação social a 28 de fevereiro, a Spinumviva descreveu de forma abrangente os serviços prestados em termos de RGPD aos seus clientes permanentes, ao elencar mais de duas dezenas de tarefas. Entre estas estavam, por exemplo, “aconselhamento para aplicação de medidas corretivas face a práticas em desconformidade”, “dar resposta aos pedidos de exercício dos direitos e solicitações dos titulares dos dados”, “análise de tratamentos de dados pessoais no contexto laboral” ou “elaboração de recomendações quanto à utilização dos sistemas de CCTV”. A documentação consultada pelo Observador evidencia diversos exemplos destas e de outras tarefas.

Em novembro de 2022, um elemento da Ferpinta, que agia como um dos pontos de contacto para a equipa do encarregado de proteção de dados, manifestou a intenção de assinalar os aniversários de clientes e fornecedores e ponderou pedir-lhes alguns dados pessoais, como nome, morada, contacto e data de nascimento. Por isso, perguntou à equipa da Spinumviva se seria possível fazer um pedido desses à luz das regras do RGPD. Alguns dias depois, a equipa do encarregado de proteção de dados aconselhou que fosse enviado “um email para os clientes/fornecedores a solicitar esses dados e a prestar a informação necessária para o seu esclarecimento quanto à finalidade da recolha”. A resposta destes ao email seria já “considerado um consentimento válido” ao tratamento posterior dos dados.

Outro exemplo: em março de 2024, um responsável do CLIP pediu uma análise sobre a utilização de Inteligência Artificial (IA). O objetivo era esclarecer questões sobre a idade mínima de utilização destas ferramentas, em articulação com as disposições do RGPD, e procurar desenvolver linhas orientadoras para a comunidade escolar. Na sequência dessa solicitação, a equipa da Spinumviva explicou que a idade mínima pode diferir entre as várias plataformas e que pode ser necessário o consentimento dos pais. Fez ainda um diagnóstico e uma lista de orientações práticas especificamente sobre o ChatGPT para uma utilização segura e sugeriu “uma reunião presencial” para conversar mais sobre o uso de IA no CLIP.

A partir da amostra documental é possível constatar outros exemplos dos serviços prestados pela Spinumviva. No caso da Solverde, que tinha André Costa como encarregado de proteção de dados, está registado o envio de pareceres. Em janeiro deste ano, por exemplo, é enviada uma análise a um serviço de pagamentos associado ao grupo Solverde.

Existem outros documentos relativos à Solverde — como uma proposta de um código de conduta para o tratamento de dados pessoais — que foram realizados pela Spinumviva, mas em relação aos quais não há provas de envio ou implementação na documentação a que o Observador teve acesso. A empresa da família Violas rescindiu o contrato com a Spinumviva no início de março, mas garantiu, em comunicado, que a empresa cumpriu “integralmente as suas obrigações para com a Solverde” e prestou “continuamente os seus serviços de forma profissional”.

No que diz respeito à Rádio Popular, a maior parte da documentação referente à rede de lojas de eletrodomésticos e eletrónica diz respeito a informações prestadas pelo encarregado de proteção de dados sobre gestão da base de dados. Além de pareceres sobre diversas matérias (como o uso de videovigilância e a sua articulação com o RGPD), encontra-se também a marcação de reuniões em julho de 2024 com vista a uma auditoria interna da Rádio Popular para avaliar a conduta ao nível da proteção de dados e definir objetivos gerais e por departamento neste tema.

No caso da Sofarma, há um conjunto diverso de relatórios e pareceres que não estão assinados pelos colaboradores da Spinumviva. Mas o Observador confirmou a existência de correspondência sobre RGPD entre a consultora da família de Montenegro e o ponto de contacto do grupo Sofarma, em fevereiro deste ano. Ou seja, já após ser conhecido publicamente o caso Spinumviva.

No caso da Ferpinta, foi possível consultar diversos pareceres e análises efetuados pelos colaboradores da Spinumviva. E foi possível cruzar trocas de informação de janeiro de 2023 nas quais constavam documentos sobre o direito à informação para efeitos de recrutamento ou para criação de formulários de contacto.

Nessa troca de comunicações, tal como em todas as outras, a identidade dos clientes foi protegida por razões legais, mas o Observador aferiu a sua veracidade.

Da mesma forma, os documentos relativos ao CLIP – Colégio Luso Internacional do Porto indiciam uma relação efetiva de trabalho com a equipa da Spinumviva. Um dos pareceres, redigido em inglês, sobre a política de proteção de dados e de segurança da informação, surge sem qualquer data, mas inclui uma referência ao encarregado de proteção de dados do estabelecimento de ensino: Inês Varajão Borges, colaboradora da Spinumviva.

Entre 200 a 300 interações anuais com a Solverde e a Rádio Popular

Um dos trabalhos relevantes dos colaboradores da Spinumviva foi gerir as caixas de correio do encarregado de proteção de dados da Solverde, Rádio Popular, Ferpinta, Sofarma e CLIP, nomeadamente as interações com os clientes destas sociedades.

Como operam em setores de atividade muito diversos, o número de interações é bastante variável, como confirmaram os especialistas contactados pelo Observador. Até fazer cessar a ligação com a Spinumviva, o grupo Solverde seria o cliente que geraria mais interações com os titulares dos dados, a par da Rádio Popular.

Segundo informações de fonte da Spinumviva, o número de interações anuais com aquelas duas entidades varia entre as 200 e as 300. Isto é, 200 a 300 clientes da Solverde e da Rádio Popular terão suscitado questões que coube à Spinumviva resolver.

Montenegro. Exclusividade, quotas e alegado crime

“Para uma empresa com esse perfil, com essa exposição, haver utilizadores a fazer esse tipo de pedidos, diria que é normal”, constata o jurista que solicitou anonimato, secundado pelo advogado Tiago Cabanas Alves.

O valor cobrado pela Spinumviva corresponde aos preços de mercado?

Os documentos a que o Observador teve acesso ajudam também a responder à segunda dúvida que surgiu na polémica com a Spinumviva, sobre o valor cobrado pela empresa aos clientes.

Num comunicado publicado a 28 de fevereiro, a Spinumviva garante que “os preços cobrados e pagos pelos serviços prestados atendem à dimensão e complexidade dos trabalhos com cada cliente e oscilam entre os mil e os 4.500 euros mensais”.

Cruzando as contas da empresa com as várias respostas públicas de Luís Montenegro, conclui-se que a Spinumviva teve uma faturação de 67.800 euros em 2021, sendo que o volume de negócios subiu em 2022 para 415.100 euros. Mas, segundo o primeiro-ministro, 46,7% da faturação de 2022 resulta da consultoria económica efetuada à gasolineira Joaquim Barros Rodrigues & Filhos, que nada tem a ver com os serviços de proteção de dados que foram analisados pelo Observador. Ou seja, a faturação da Spinumviva com serviços de proteção de dados atingiu em 2022 o valor de 221,1 mil euros. Em 2023, a faturação foi de 235,2 mil euros, não sendo ainda conhecidas as contas relativas ao ano fiscal de 2024.

Tendo em conta que foi Luís Montenegro a angariar estes clientes, o Observador questionou o primeiro-ministro sobre os valores exatos das avenças pagas pela Rádio Popular, Ferpinta, Sofarma e CLIP, mas não obteve respostas em relação a esse ponto. Montenegro insiste que não pode tomar “a iniciativa de publicitar” os serviços prestados “e os valores cobrados” porque não dizem respeito “exclusivamente” a ele próprio. “Sobre aspetos contratuais que implicam informação de terceiros, mantive sempre a mesma posição: não me oponho à sua divulgação, mas não o farei unilateralmente”, conclui Montenegro.

O Observador contactou também os cinco clientes permanentes da Spinumviva, mas só recebeu esclarecimentos da Solverde e da Sofarma.

Apesar de não revelar os valores das avenças contratualizadas, Luís Montenegro afirma que os “valores tiveram ligeiras oscilações dentro dos limites já publicitados”. Ou seja, entre os mil e os 4.500 euros referidos no comunicado da Spinumviva.

Partindo do único valor concreto de avença que é conhecido — 4.500 euros pagos pela Solverde —, o Observador solicitou uma análise aos advogados especialistas em proteção de dados. Todos assinalam a subjetividade da questão — porque os valores destes serviços não são tabelados pelo Estado. Além disso, não são conhecidos estudos salariais e de remuneração realizados pela Comissão Nacional de Proteção de Dados ao mercado nacional. De qualquer forma, os especialistas consultados pelo Observador indicam que os valores cobrados pela Spinumviva não destoam dos preços praticados no mercado.

“Não sei o que é que a Solverde contratou. O que sei é que, para matérias de consultoria em proteção de dados, 4.500 euros não me choca, de todo. E digo isto porque a abrangência dos serviços e o acompanhamento quase diário da atividade de uma empresa como a Solverde é fundamental”, refere Tiago Cabanas Alves. O advogado sinaliza ainda que é necessário um “acompanhamento quase ao minuto, logo, 4.500 euros (por mês) não será muito” e é justificado pelos serviços prestados.

Através de uma consulta ao portal base.gov é possível encontrar a adjudicação de inúmeros contratos de aquisição de serviços de encarregado de proteção de dados a entidades públicas por valores muito variáveis. Entre as opções estão instituições de dimensões muito diversas e com diferentes necessidades de resposta, sendo também necessário ter em conta a existência de regras mais apertadas na contratação pública. Todavia, é visível um espectro alargado de valores no mercado. E nas entidades adjudicatárias encontram-se não só sociedades de advogados, mas também empresas de telecomunicações e consultoras.

Eis uma amostra dos contratos pesquisados:

• O ISCTE adjudicou em 2017 à consultora BDO um contrato de sete meses pelo valor de 77.490 euros para a adaptação e o cumprimento do RGPD, o que se traduz um valor mensal de 11.070 euros, segundo o contrato final depositado no portal dos contratos públicos.
• A Câmara Municipal de Cascais adjudicou em 2024 à consultora Tekprivacy a prestação de serviços nesta área durante um ano no valor de 36.162 euros — o que perfaz um valor mensal de 3.013,50 euros.
• Em 2021, a LIPOR (Serviço Intermunicipalizado de Gestão de Resíduos do Grande Porto) fez uma adjudicação à Datashield DPCBS por um prazo de 24 meses por 72.324 euros — o que dá um valor mensal de 3.013,50 euros.
• A Câmara de Sintra adjudicou em janeiro de 2025 por cinco meses à sociedade de advogados Macedo Vitorino um contrato para a prestação de serviços de proteção de dados e de compliance officer no RGPD por um valor de 17.089,31 euros. As funções de encarregado de proteção de dados representavam a maior parte do orçamento, com 13.671,45 euros, o que perfaz 2.734,29 euros/mês.
• A Câmara Municipal de Albergaria-a-Velha adjudicou por um ano à MEO o serviço de encarregado de proteção de dados por 13.837,50 euros — o que dá um valor mensal de 1.153,13 euros.
• A Confederação do Comércio e Serviços de Portugal adjudicou à consultora Controlgal Consulting estes serviços por 10 meses para um total de 5.904 euros — o que perfaz um valor de 590,40 euros/mês.

Elsa Veloso explica que uma “análise de benchmarking criteriosa deve considerar não apenas o custo, mas também a natureza do serviço e o perfil do cliente.” Isto é, continua a CEO da DPO Consulting, “não podemos comparar a prestação de serviços a uma pequena autarquia ou a uma PME com o suporte necessário para entidades como a Solverde ou o ISCTE”. “O grau de sofisticação exigido nestes contextos é incomparável”, enfatiza.

Montenegro não assinou contratos com clientes e acordou preços em reuniões presenciais

Na documentação consultada não há qualquer contrato que marque o início das relações entre a Spinumviva e cada um dos clientes. Numa das respostas enviadas ao Observador, Luís Montenegro confirmou que, de facto, não existem contratos de prestação de serviços formalizados. O primeiro-ministro garante que apresentou propostas escritas em nome da Spinumviva para os serviços que pretendia prestar e propôs um valor pela adjudicação desses serviços. O Observador solicitou o acesso a tais propostas originais, mas apenas recebeu as propostas-tipo que são uma espécie de minuta sem data nem valores propostos.

Luís Montenegro afirma que “o vínculo principal foi sempre o trabalho”. O primeiro-ministro garante que, “formalmente, apresentava propostas com três fases: diagnóstico; definição de medidas de implementação; e avaliação final da aplicação das medidas e monitorização ocasional ou permanente do sistema”.

“Os Montenegro são monitorizados pelos bancos”

A seguir, “quando as entidades queriam que a monitorização fosse permanente, isso iria implicar exercer ou assessorar o encarregado de proteção de dados” de cada uma delas. Nesses casos em que os clientes passavam a ser permanentes, conta Luís Montenegro, “em vez de pagamentos únicos ou no final de cada fase, a modalidade foi o pagamento mensal”. Ou seja: “os valores das fases 1 e 2 eram integrados e diluídos na prestação mensal”.

Resumindo: “A metodologia de contratação utilizada passava pela apresentação de uma proposta inicial (uma proposta tipo) que era depois objeto de adaptação a cada caso, nas reuniões presenciais que a concretizavam. Aí se decidiam valores e formas de trabalho. Confesso que na prática as coisas aconteceram com a naturalidade de um trabalho em equipa, e que correu sempre bem, como pode ser confirmado pelas entidades em causa”, explica Luís Montenegro.

Para fundamentar o seu ponto, o primeiro-ministro dá o exemplo da rescisão do contrato entre a Solverde e a Spinumviva divulgada a 5 de março. “Mesmo agora, pelo que o meu filho me contou, chamaram-no, explicaram e cessaram por acordo a continuação do serviço. Não sei sequer se com algum formalismo”, conta Montenegro.

A empresa da família Violas justificou publicamente esta decisão com o argumento da “salvaguarda do bom nome e da reputação de ambas” as sociedades.

É obrigatória a existência de um contrato escrito entre a Spinumviva e os clientes?

A visão dos especialistas consultados pelo Observador não é unânime sobre a obrigatoriedade da existência de um contrato formal escrito para regular a relação entre a Spinumviva e os seus clientes. Para o advogado Tiago Cabanas Alves, “a resposta sucinta é não”. Não é obrigatório por lei, mas costuma ser feito? “É um bom resumo da situação. Qualquer contrato é válido por acordo entre as partes. A menos que a lei exija uma forma especial. Neste caso, não exige. Contudo, a prática corrente e o normal é que seja redigido um contrato. Habitualmente, os prestadores de serviços pretendem saber prazos e formas de pagamento e estipulam isso com base contratual”, afirma.

Por sua vez, um advogado especialista em proteção de dados que solicitou anonimato tem uma interpretação mais estrita sobre esta matéria. Para defender a necessidade de um contrato formal, invoca o número 6 do artigo 37 do RGPD, que estipula que “o encarregado da proteção de dados pode ser um elemento do pessoal da entidade responsável pelo tratamento ou do subcontratante, ou exercer as suas funções com base num contrato de prestação de serviços”.

O advogado salienta que esta disposição se torna mais relevante quando a função não é exercida por alguém da própria empresa. “Dada a exigência, a especificidade, a complexidade do trabalho (…) e a posição de independência do encarregado de proteção de dados e tudo o mais, diria que o formalismo é importante. Portanto, seria estranho [não haver contrato]. Não necessariamente ilegal”, frisa.

Já Elsa Veloso refere que a prestação destes serviços “não obriga à existência de um contrato formal, com assinatura escrita”, ao vincar que uma contratação pode obedecer a diversas formas, incluindo um acordo verbal. “A lei só exige contrato escrito para bens sujeitos a registo. Assim, uma forma comum é a existência de uma proposta e uma aceitação que vincula as partes e formaliza a regulação contratual”, acrescenta a advogada e CEO da DPO Consulting.

Este terá sido, aparentemente, o modelo seguido pela Spinumviva.

Clientes transitaram de escritório de advogados de Montenegro

Num dos documentos que a Spinumviva produziu para o cliente Sofarma — intitulado “Relatório de Análise e Diagnóstico” da política de proteção de dados e privacidade da Sofarma —, é possível ler na página 54 uma referência à Sousa Pinheiro & Montenegro Advogados (SP&M), a sociedade de advocacia de que o primeiro-ministro era sócio.

Pelo contexto do documento, é claro que a Sofarma recebeu aconselhamento do escritório SP&M em matéria de proteção de dados, tendo tal aconselhamento migrado para a consultora criada por Luís Montenegro numa data que não foi possível estipular. Outros clientes permanentes da Spinumviva passaram pelo mesmo processo, confirmou o Observador ao aceder a informação oficial da Comissão Nacional de Proteção de Dados sobre os dois últimos encarregados da Solverde, Rádio Popular e Ferpinta.

Fonte oficial da Solverde confirmou que tal transição do escritório SP&M para a Spinumviva ocorreu “em julho de 2021 por acordo entre os intervenientes”. E que tal opção deveu-se às “relações de confiança pessoal e profissional” que se foram gerando “ao longo do tempo” entre “a Solverde e vários membros do seu Conselho de Administração” e Luís Montenegro, que os representantes do grupo hoteleiro e de jogos conhecem “há muitos anos” por “evidentes razões de proximidade geográfica”.

Pareceres podem não estar assinados?

A documentação consultada pelo Observador permitiu confirmar as principais informações, mas também suscitou duas dúvidas. Primeira dúvida: é prática corrente os emails enviados pelo encarregado de proteção de dados com pareceres não serem assinados, considerando até que, neste caso, alguns estão e outros não? Segunda dúvida: é normal que os relatórios e os pareceres enviados também não sejam assinados?

Os três advogados especialistas consultados pelo Observador esclarecem que não há qualquer obrigação legal nem num sentido, nem no outro. Tiago Cabanas Alves e Elsa Veloso vão mais longe e destacam que nem sequer existe essa obrigação de identificação para os clientes externos dessas organizações, apesar de Inês Varajão Borges e André Costa o fazerem numa parte da documentação.

Os especialistas contactados pelo Observador também validam a prática de os colaboradores assinarem regularmente como “a Equipa do EPD”, visto que as consultoras podem ter equipas a trabalhar com os clientes, mesmo que o encarregado de proteção de dados (EPD) seja uma pessoa individual. “Não há nenhuma exigência específica nesse campo, não há nenhuma regra que o defina”, afirma o jurista que preferiu não ser identificado.

Entre os documentos a que o Observador teve acesso existem diversos pareceres e relatórios para os cinco clientes conhecidos. A amostra não é uniforme e nem sempre é possível atribuir todos de forma inequívoca aos colaboradores da Spinumviva, uma vez que alguns não estão assinados e não existe prova documental do seu envio em todos os casos. Embora, refira-se, sejam dirigidos aos cinco clientes em causa.

Durante a pesquisa realizada pelo Observador surgiu uma nova dúvida: é normal que a Spinumviva tenha a gestão da caixa de correio do EPD de cada cliente? Todos os especialistas consultados pelo Observador concordam que sim.

Um dos procedimentos padrão que sobressai da atividade dos dois colaboradores da Spinumviva — a advogada Inês Varajão Borges e o jurista André Costa — ao nível da proteção de dados é a gestão de uma caixa de correio eletrónica criada no domínio dos seus clientes para estas funções. De acordo com a amostra de documentos a que o Observador teve acesso, tal situação verificava-se em relação aos cinco clientes permanentes.

O advogado Tiago Cabanas Alves afirma que “faz sentido que toda a comunicação para aquela entidade seja gerida nessa caixa de correio que lhe é fornecida pela própria entidade”. Segundo Elsa Veloso, a existência de uma caixa de correio eletrónico dedicada ao encarregado de proteção de dados “compreende-se, atendendo à elevada complexidade das tarefas que lhe estão atribuídas, bem como o cumprimento de prazos requeridos às organizações”.