Definições de segurança e privacidade: meia hora bem gasta

Ficha complementar da lição “Definições de segurança e privacidade: meia hora bem gasta” — curso Segurança Online

Todos os serviços que usas têm definições de segurança e privacidade que aceitaste por omissão e nunca mais abriste. A maior parte da proteção ao teu alcance já lá está, desligada, à espera num menu que não visitas.

Em maio de 2025, quando a Meta anunciou que ia usar publicações públicas para treinar a sua inteligência artificial, a CNPD (Portugal) não pediu aos cidadãos que instalassem nada. Pediu que dessem «particular atenção às definições e permissões ativas». É a mesma meia hora de que esta ficha trata, recomendada pela autoridade nacional de proteção de dados a propósito de um caso concreto.

A. Porque é que isto conta

E-mail, contas nas redes sociais, armazenamento na nuvem, as aplicações que usas todos os dias: cada um deles chega-te com predefinições escolhidas para te pôr a andar depressa, não para te proteger particularmente bem.

A boa notícia é que a proteção já lá está. Alertas de início de sessão, gestão de sessões, opções de recuperação, controlos de visibilidade — tudo integrado, tudo gratuito, e tudo desligado ou definido com generosidade até tu mudares.

A má notícia é que quase ninguém entra lá. Entre os dados que o CNCS reúne, 16% dos portugueses mudaram a palavra-passe de uma rede social nos doze meses anteriores, contra 25% na média da União Europeia (Eurobarómetro 499/2020). Se a definição mais conhecida é tocada por menos de um em cada seis, as outras estão como vieram da caixa.

B. Conceitos-chave

Seis coisas a procurar, em todos os serviços que as tenham.

Opções de recuperação

O endereço de e-mail e o número de telefone que um serviço usa para te deixar voltar a entrar.

Porque é que isto te interessa: verifica-as primeiro. É comum as pessoas encontrarem ali um endereço que já não controlam, o que significa que o caminho de recuperação está quebrado ou pertence a outra pessoa.

Alertas de início de sessão e atividade

Notificações quando um dispositivo novo inicia sessão, e uma lista das sessões recentes. Na Microsoft, em português de Portugal, esta lista chama-se «Atividade recente».

Porque é que isto te interessa: o alerta diz-te que aconteceu algo; a lista de sessões deixa-te acabar com isso. Juntos, transformam um comprometimento silencioso em algo sobre o qual podes agir em minutos.

Sessões e dispositivos ativos

Todos os sítios onde a tua conta tem sessão aberta neste momento.

Porque é que isto te interessa: telemóveis antigos, computadores de trabalho, o portátil de um amigo. O CNCS pede que se termine sempre a sessão do e-mail quando se acaba de o usar; esta lista é o que resolve as vezes em que isso não aconteceu.

Aplicações ligadas

Serviços de terceiros a que deste acesso, às vezes há anos, através de um botão «iniciar sessão com».

Porque é que isto te interessa: é a lista que costuma ser mais longa do que esperavas, e cada entrada é um acesso permanente à tua conta. O CNCS é direto sobre a origem do problema — «Não faça login a outros serviços através de contas das redes sociais» —, e vale notar que 37% dos portugueses usavam esse atalho em 2021 (Eurostat).

Privacidade e visibilidade

Quem pode ver o que publicas, o que é público por omissão, o que é usado para publicidade — e, desde 2025, o que pode alimentar o treino de sistemas de inteligência artificial.

Porque é que isto te interessa: não é segurança em sentido estrito, mas é a matéria-prima dos ataques personalizados que os recursos sobre phishing descrevem. É também o ponto exato em que a CNPD (Portugal) te mandou olhar.

Conservação e os teus direitos sobre os dados

O que um serviço guarda, durante quanto tempo, e o teu direito a vê-lo, a corrigi-lo, a levá-lo contigo ou a apagá-lo.

Porque é que isto te interessa: transferir os teus próprios dados uma vez é esclarecedor. E se um serviço não responder, estes direitos não são um pedido: a CNPD (Portugal) explica-os e recebe participações.

C. Um exemplo concreto: trinta minutos numa só conta

Alguém abre a página de segurança da sua conta de e-mail principal pela primeira vez em anos.

• O endereço de recuperação é um e-mail de trabalho antigo, a que perdeu acesso quando mudou de emprego.
• Estão ativas três sessões: o telemóvel, um portátil e um dispositivo noutra cidade, de há dezoito meses.
• Catorze aplicações têm acesso permanente, incluindo um editor de fotografias usado uma vez em 2019.
• Os alertas de início de sessão estão disponíveis e desligados.

Nada aqui indica um comprometimento. É simplesmente o que se acumula quando uma página de definições nunca é revisitada.

Trinta minutos depois

• Endereço de recuperação atualizado para um que controla, e um número de telefone de recuperação acrescentado.
• A sessão desconhecida fechada, e as outras revistas.
• Onze das catorze aplicações ligadas revogadas.
• Alertas de início de sessão ativos, e a visibilidade das publicações reduzida ao que escolheria hoje.

Nenhuma ferramenta nova, nenhuma subscrição, nada instalado. Meia hora passada dentro de definições que já lá estavam.

D. Experimenta: uma conta, seis verificações

Começa pelo teu e-mail principal: 30 minutos, seis verificações. Se só fizeres isto uma vez, numa só conta, é essa a conta certa.

Passo 1 — Opções de recuperação

• O e-mail de recuperação é um que ainda controlas? O número de telefone de recuperação está atual?
• Arranja isto antes de tudo o resto: é assim que voltas a entrar.

Passo 2 — Sessões ativas

• Revê todos os sítios onde a conta tem sessão aberta. A lista pode chamar-se sessões, dispositivos ou atividade recente.
• Fecha tudo o que não reconheces, e tudo o que esteja num dispositivo que já não te pertence.

Passo 3 — Aplicações ligadas

• Revoga tudo o que não usas ativamente.
• Na dúvida, revoga: um serviço de que ainda precises voltará simplesmente a pedir.

Passo 4 — Alertas de início de sessão

• Ativa as notificações para inícios de sessão novos.
• É a definição mais útil desta página.

Passo 5 — Autenticação de dois fatores

• Se não estiver ativa, é agora. Os recursos sobre autenticação tratam da escolha do método.
• A CNPD (Portugal) pede autenticação multifator proporcional à sensibilidade dos dados: num e-mail que recupera todas as outras contas, isso significa ativá-la.

Passo 6 — Privacidade e visibilidade

• Vê o que é público por omissão, o que é usado para publicidade e o que pode servir para treinar sistemas de inteligência artificial.
• Ajusta ao que escolherias de facto, em vez do que ficou escolhido por ti. São as «definições e permissões ativas» do alerta da CNPD (Portugal).

Depois repete numa outra conta, na semana seguinte. Fazer seis contas de uma só vez é a forma de isto se tornar uma tarefa que ninguém acaba.

E. Vídeos, artigos e outros recursos

Fontes institucionais portuguesas e fontes internacionais independentes.

CNPD (Portugal) — Alerta sobre a utilização de dados pessoais para treino da inteligência artificial da Meta
De 9 de maio de 2025. A autoridade nacional de proteção de dados a pedir «particular atenção às definições e permissões ativas».
https://www.cnpd.pt/comunicacao-publica/noticias/cnpd-alerta-para-a-utilizacao-de-dados-pessoais-para-treino-da-inteligencia-artificial-da-meta/

CNPD (Portugal) — Direitos dos cidadãos
Acesso, retificação, apagamento e portabilidade, e a via para apresentar uma participação.
https://www.cnpd.pt/cidadaos/direitos/

CNCS — Boas práticas nas redes sociais
Visibilidade, privacidade e o atalho «iniciar sessão com», que é o que enche a lista de aplicações ligadas.
https://www.cncs.gov.pt/pt/boas-praticas-nas-redes-sociais/

CNCS — Ciber-higiene e boas práticas (PDF, 2022)
Curto e com o vocabulário oficial, incluindo «Terminar sempre a sessão quando finaliza a utilização do email».
https://www.cncs.gov.pt/docs/2ciberhig.pdf

Microsoft (pt-PT) — O que é a página Atividade recente
O equivalente em português europeu de «sessões ativas», numa conta Microsoft.
https://support.microsoft.com/pt-pt/account-billing/o-que-é-a-página-atividade-recente-23cf5556-4dbe-70da-82c8-bb3a8d8f8016

Conta Google (pt-PT) — Os dispositivos com sessão aberta
https://myaccount.google.com/intro/device-activity?hl=pt-PT

Google Safety Center (pt-PT) — Autenticação
https://safety.google/intl/pt-PT_pt/authentication/

Apple (pt-PT) — Palavras-passe comprometidas no iPhone
Onde o iPhone avisa que uma palavra-passe guardada apareceu numa fuga, dentro de «Início de sessão e segurança».
https://support.apple.com/pt-pt/guide/iphone/iph14a867ae/ios

NAU — Cidadão Ciberseguro (CC101), curso público e gratuito do CNCS
https://www.nau.edu.pt/pt/curso/cidadao-ciberseguro/

NCSC (Reino Unido) — Top tips for staying secure online
Em inglês: o essencial da autoridade britânica, que em boa parte são definições e não ferramentas.
https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online

Electronic Frontier Foundation — Surveillance Self-Defense
Em inglês: um guia mais aprofundado para quem quiser ir além das predefinições.
https://ssd.eff.org/

Links verificados em setembro de 2026. Cada serviço documenta as suas próprias definições; o padrão acima transfere-se entre eles.

F. O Framework Cyber Welfare: Competências, Consciência, Comportamento Seguro

Esta lição assenta no pilar Competências, ao nível FL2. É procedimental, e o procedimento transfere-se para todos os serviços.

Competências

• Encontrar as páginas de segurança e de privacidade em qualquer serviço.
• Rever as opções de recuperação, as sessões ativas e as aplicações ligadas.
• Ativar os alertas de início de sessão e ajustar a visibilidade de propósito.
• Exercer os direitos de acesso e de apagamento, e saber que a CNPD (Portugal) recebe participações.

Para profissionais e organizações

• Tornar a revisão das definições parte do acolhimento, em vez de algo que as pessoas descobrem depois de um incidente.

Consciência

• Perceber que as predefinições são escolhidas para facilitar a configuração, não para proteger.
• Reconhecer que as aplicações ligadas se acumulam em silêncio.
• Saber que um caminho de recuperação quebrado é um problema que só se descobre no pior momento.

Para futuros formadores e embaixadores

• Fazer isto ao vivo numa conta. Todos encontram alguma coisa, e é isso que faz a lição pegar.

Comportamento Seguro

• Rever as definições das contas críticas uma ou duas vezes por ano.
• Revogar o acesso das aplicações que já não se usam.
• Manter as opções de recuperação atuais, sobretudo depois de mudar de emprego ou de número de telefone.

Para organizações

• Rever o acesso de terceiros às contas da empresa em ciclos regulares.

G. Perguntas para levar contigo

1. O endereço de recuperação do teu e-mail principal é um que ainda controlas?
2. Quantas aplicações têm acesso permanente às tuas contas? Quando foi a última vez que olhaste?
3. Saberias se alguém iniciasse sessão no teu e-mail neste momento?
4. Quando foi a última vez que abriste as definições de privacidade do serviço que usas mais?
5. Sabes o que das tuas publicações é público, e o que pode ser usado para treinar sistemas de inteligência artificial?

H. O que fazer agora

As recomendações (R) e as medidas de segurança (MS) da base Cyber Welfare que vivem dentro das definições da conta.

A página de segurança

• R4 — Proteger as contas com autenticação de dois fatores.
• R8 — Ativa os alertas de início de sessão nas contas e os limites de tentativas para inícios de sessão novos.
• R1 e R2 — Credenciais únicas, guardadas em segurança num gestor de palavras-passe.
• MS17 — Dá ao e-mail ligado ao banco as definições mais sólidas de todas.

A página de privacidade

• MS6 — Põe as contas das redes sociais em privado.
• MS7 — Limita quem pode ver as tuas fotografias, as tuas publicações e os conteúdos mais antigos.
• R31 — Limitar o início de sessão através das redes sociais em serviços sem relação entre si — é a recomendação em que o CNCS é mais explícito.
• R32 — Desativar a localização nas fotografias.

Compromisso mínimo: a lista de aplicações ligadas é a que a maioria das pessoas nunca abriu, e normalmente a mais surpreendente.

Em resumo

• A maior parte da proteção de que precisas já está integrada, e desligada.
• A CNPD (Portugal) diz onde olhar: «as definições e permissões ativas».
• Verifica primeiro as opções de recuperação: é por elas que voltas a entrar.
• Os alertas de início de sessão são a definição de maior valor da página.
• As aplicações ligadas acumulam-se em silêncio — revoga o que já não usas, e evita criar mais com o «iniciar sessão com».

Outros recursos deste curso

As definições a que isto se liga:

• Autenticação com vários fatores: por que contas começar
• Terminar sessão nas contas: o último passo que conta
• Mapeia a tua vida digital: por onde começa mesmo a proteção

Descobre mais fichas complementares dos cursos do programa Proteja a Sua Privacidade Digital.