§ INCISO 2.1 — O presente regulamento aplica-se ao tratamento de dados pessoais total ou parcialmente automatizado, bem como ao tratamento não automatizado de dados pessoais contidos em ficheiros ou destinados a figurar neles.
§ INCISO 2.2 — O presente regulamento não se aplica ao tratamento de dados pessoais efetuado:
A) No exercício de atividades não sujeitas ao direito da União;
B) Pelos Estados no exercício de atividades relacionadas com a segurança nacional;
C) Por pessoas singulares no exercício de atividades exclusivamente pessoais ou domésticas;
D) Pelas autoridades competentes para fins de prevenção, investigação, deteção ou repressão de infrações penais, ou execução de sanções penais, incluindo a proteção contra ameaças à segurança pública.
§ INCISO 2.3 — O presente regulamento não prejudica a aplicação da Diretiva 2000/31/CE, nomeadamente as regras relativas à responsabilidade dos prestadores intermediários de serviços.
§ Entendimentos
O dispositivo corresponde ao Artigo 2.º do Regulamento (UE) 2016/679, que define o âmbito de aplicação material do Regulamento. Trata-se de norma estruturante, pois determina quando o GDPR se aplica e quando não se aplica, estabelecendo os limites objetivos da incidência da legislação europeia de proteção de dados.
§ INCISO 2.1
— O presente regulamento aplica-se ao tratamento de dados pessoais total ou parcialmente automatizado, bem como ao tratamento não automatizado de dados pessoais contidos em ficheiros ou destinados a figurar neles.
O § INCISO 2.1 estabelece o critério geral de incidência material do Regulamento. A primeira parte da disposição refere-se ao tratamento total ou parcialmente automatizado, abrangendo qualquer operação realizada com auxílio de meios tecnológicos, como sistemas informáticos, bases de dados digitais, plataformas online, softwares de gestão empresarial ou ferramentas de análise automatizada. A redação ampla assegura que praticamente toda atividade contemporânea de processamento digital de dados pessoais esteja submetida aos princípios estruturantes do GDPR, como licitude, lealdade, transparência, limitação da finalidade e minimização dos dados. Não se exige que o tratamento seja exclusivamente automatizado; basta que exista algum grau de intervenção tecnológica para que o Regulamento incida.
A segunda parte amplia a aplicação ao tratamento não automatizado, desde que os dados estejam contidos em ficheiros ou destinados a integrar tais ficheiros. O conceito de ficheiro pressupõe organização estruturada segundo critérios específicos que permitam acesso sistemático às informações relativas a pessoas identificadas ou identificáveis. Assim, arquivos físicos organizados por ordem alfabética, numérica ou temática também se submetem ao Regulamento. O legislador europeu evita, dessa forma, lacunas normativas que permitiriam contornar a proteção de dados pela simples utilização de suporte físico. O elemento central não é o meio utilizado, mas a existência de organização estruturada que possibilite a identificação e gestão sistemática de dados pessoais.
§ INCISO 2.2
— O presente regulamento não se aplica ao tratamento de dados pessoais efetuado:
§ INCISO 2.2, alínea A
— A) No exercício de atividades não sujeitas ao direito da União;
A alínea A exclui o tratamento de dados pessoais realizado no exercício de atividades não sujeitas ao direito da União. Trata-se de uma cláusula relacionada ao princípio das competências atribuídas: a União Europeia somente pode legislar nas matérias que lhe foram conferidas pelos Tratados. Assim, se determinada atividade estatal não estiver submetida ao direito da União, o GDPR não poderá regulá-la. Essa limitação decorre da própria estrutura constitucional europeia e preserva a distribuição de competências entre União e Estados-Membros, impedindo que o Regulamento extrapole os limites institucionais fixados pelo direito primário europeu.
§ INCISO 2.2, alínea B
— B) Pelos Estados no exercício de atividades relacionadas com a segurança nacional;
A alínea B estabelece que o Regulamento não se aplica ao tratamento de dados realizado pelos Estados no exercício de atividades relacionadas com a segurança nacional. A segurança nacional permanece sob competência exclusiva dos Estados-Membros, conforme previsto nos Tratados da União Europeia. Isso inclui atividades de inteligência, defesa estratégica, contraespionagem e proteção da integridade do Estado. O fundamento jurídico dessa exclusão reside na preservação da soberania estatal em matéria sensível e estratégica, reconhecendo que determinadas funções essenciais do Estado não podem ser harmonizadas por legislação derivada da União Europeia.
§ INCISO 2.2, alínea C
— C) Por pessoas singulares no exercício de atividades exclusivamente pessoais ou domésticas;
A alínea C consagra a chamada exceção doméstica, excluindo o tratamento de dados realizado por pessoas singulares no exercício de atividades exclusivamente pessoais ou domésticas. Essa disposição impede que o cidadão comum seja submetido às exigências complexas do GDPR quando atua na esfera privada, como na organização de contatos pessoais, manutenção de agenda privada ou compartilhamento restrito de informações entre familiares. Entretanto, essa exceção deve ser interpretada restritivamente: quando a atividade ultrapassa a esfera privada e assume caráter público ou profissional, o Regulamento passa a ser aplicável. O objetivo é garantir proporcionalidade na aplicação das obrigações regulatórias.
§ INCISO 2.2, alínea D
— D) Pelas autoridades competentes para fins de prevenção, investigação, deteção ou repressão de infrações penais, ou execução de sanções penais, incluindo a proteção contra ameaças à segurança pública.
A alínea D exclui do âmbito do GDPR o tratamento de dados realizado por autoridades competentes para fins de prevenção, investigação, deteção ou repressão de infrações penais, bem como para execução de sanções penais. Essa matéria é regulada por instrumento específico da União Europeia, a Diretiva (UE) 2016/680, que estabelece regras próprias para o tratamento de dados no contexto penal. A separação normativa decorre da natureza particular da persecução penal, que exige mecanismos compatíveis com as necessidades investigativas e com a proteção da segurança pública, sem afastar a tutela dos direitos fundamentais.
§ INCISO 2.3
— O presente regulamento não prejudica a aplicação da Diretiva 2000/31/CE, nomeadamente as regras relativas à responsabilidade dos prestadores intermediários de serviços.
O § INCISO 2.3 estabelece cláusula de articulação normativa, determinando que o GDPR não prejudica a aplicação da Diretiva 2000/31/CE, especialmente quanto às regras de responsabilidade dos prestadores intermediários de serviços da sociedade da informação. Essa Diretiva institui regime específico de responsabilidade limitada para provedores de hospedagem, caching e simples transporte de dados. A norma visa assegurar coerência entre regimes jurídicos distintos, evitando conflitos interpretativos e garantindo que a proteção de dados pessoais conviva de forma sistemática com as regras próprias do comércio eletrônico e da responsabilidade de intermediários digitais.
• OBJETIVO
O artigo 2.º existe para definir com precisão o âmbito material do GDPR, funcionando como norma delimitadora que estabelece quando o Regulamento incide e quando não incide. Em qualquer sistema jurídico, a determinação do campo de aplicação é essencial para assegurar segurança jurídica, previsibilidade e coerência normativa. No contexto europeu, essa delimitação também concretiza o princípio das competências atribuídas, respeitando os limites institucionais da União e preservando áreas de soberania dos Estados-Membros. O dispositivo garante que a proteção de dados pessoais seja aplicada de forma ampla, mas juridicamente controlada e sistematicamente integrada com outros regimes normativos.
• PRÁTICA
Uma empresa de consultoria mantém todos os dados de seus clientes exclusivamente em arquivos físicos organizados por ordem alfabética e número de contrato, acreditando que a ausência de sistema informatizado a exclui do âmbito do Regulamento. Quando um cliente solicita acesso e eliminação de seus dados pessoais, a empresa não possui procedimento estruturado para localizar rapidamente as informações e responder dentro do prazo legal. A autoridade de controle entende que os arquivos físicos constituem ficheiro estruturado nos termos do § INCISO 2.1, estando plenamente sujeitos ao GDPR. A falha na compreensão do âmbito material resulta em investigação administrativa e risco de aplicação de sanção.
• IMPLANTAÇÃO
Para implementar corretamente o artigo 2.º, o responsável pelo tratamento deve realizar mapeamento abrangente de todas as atividades que envolvam dados pessoais, identificando tanto processos automatizados quanto arquivos físicos estruturados. É necessário verificar se alguma atividade poderia se enquadrar nas exceções do § INCISO 2.2, sempre interpretadas de maneira restritiva. A empresa deve estabelecer políticas internas de governança de dados, manter registro das atividades de tratamento, definir bases legais adequadas e implementar medidas técnicas e organizativas proporcionais ao risco. A capacitação contínua dos colaboradores é fundamental para assegurar que compreendam que a aplicação do GDPR não depende do suporte utilizado, mas da existência de tratamento estruturado de dados pessoais.
