KYC para vendedores em marketplaces online: DAC7 e 2026

Em Portugal, os operadores de plataformas digitais que intermediem vendas de bens, serviços ou arrendamentos têm, desde 2023, a obrigação legal de identificar e verificar os seus vendedores — e de declarar os seus rendimentos à Autoridade Tributária e Aduaneira (AT). O quadro jurídico assenta no Decreto-Lei n.º 62/2023, de 2 de agosto, que transpôs a Diretiva DAC7 (Diretiva (UE) 2021/514) para o ordenamento português. A partir de 31 de janeiro de 2024, os operadores de plataformas passaram a ter de entregar à AT a primeira declaração relativa aos dados de 2023. Quem ainda não dispõe de processos estruturados de KYC para vendedores está a acumular riscos sancionatórios — e a comprometer a qualidade dos dados declarados.

Este artigo tem carácter informativo e não constitui aconselhamento jurídico, fiscal ou regulatório. As referências normativas são exatas à data de publicação. Consulte um profissional qualificado para orientação adaptada à sua situação específica.

O que é a DAC7 e por que os marketplaces devem verificar os seus vendedores

A DAC7 — Diretiva (UE) 2021/514 do Conselho, de 22 de março de 2021 — é a sétima alteração à Diretiva de Cooperação Administrativa (DAC) em matéria fiscal. O seu objetivo central é preencher uma lacuna estrutural: até à sua adoção, os rendimentos gerados por vendedores em plataformas digitais — de comércio eletrónico a arrendamento de curta duração — eram praticamente invisíveis para as administrações fiscais europeias.

A DAC7 muda esta realidade de forma direta: são as plataformas, e não os vendedores individualmente, que ficam obrigadas a recolher, verificar e comunicar os dados de rendimento aos respetivos Estados-Membros. Estes, por sua vez, partilham automaticamente a informação com as administrações fiscais dos países de residência dos vendedores — inclusive com países terceiros que tenham acordos bilaterais equivalentes.

Em Portugal, a transposição foi feita através do Decreto-Lei n.º 62/2023, de 2 de agosto, publicado no Diário da República. A AT é a autoridade destinatária das declarações e responsável pela troca automática de informações com as suas homólogas europeias. O primeiro período declarativo cobriu os dados de 2023 e teve como prazo limite 31 de janeiro de 2024. Os ciclos seguintes repetem-se anualmente com o mesmo prazo.

A DAC7 não se aplica exclusivamente a plataformas grandes. Qualquer operador de plataforma digital — seja uma startup portuguesa de marketplace de serviços locais, seja um operador de arrendamento de curta duração — que cumpra a definição de "operador de plataforma obrigado a comunicar" está abrangido, independentemente da sua dimensão.

Para contextualização mais ampla sobre as obrigações de conformidade documental em Portugal, consulte o nosso Guia de Conformidade Documental.

Quem está sujeito à DAC7: limiares e definições

A DAC7 distingue entre vendedores sujeitos a comunicação obrigatória e vendedores excluídos do âmbito de declaração. Os limiares são objetivos e não deixam margem para interpretação discricionária por parte do operador.

É importante notar que os dois primeiros limiares são alternativos: basta que o vendedor ultrapasse um deles — seja em número de transações, seja em valor de rendimento — para que o operador fique obrigado a declarar os seus dados. Um vendedor com 31 transações de €50 cada (total de €1.550) está abrangido pelo limiar de transações, mesmo não atingindo os €2.000 de rendimento.

A identificação e verificação da identidade dos vendedores deve ser realizada antes de o operador comunicar os dados à AT. Dados não verificados não cumprem os requisitos da DAC7 — a diretiva exige que o operador tenha realizado diligência devida adequada sobre cada vendedor declarado.

Documentos necessários para o KYC de vendedores

O conjunto de documentos exigido pela DAC7 varia consoante o vendedor seja uma pessoa singular (particular) ou uma pessoa coletiva (empresa). Em ambos os casos, a verificação deve ser feita de forma a garantir a autenticidade dos documentos e a consistência entre os dados declarados pelo vendedor e os dados verificados.

A Certidão Permanente do Registo Comercial é o documento central para a verificação de empresas em Portugal. Disponível no portal ePortugal, contém informação atualizada sobre a denominação social, sede, objeto social, capital social e representantes legais. O operador de plataforma deve verificar que os dados do vendedor empresa correspondem ao que consta da Certidão — incluindo a identidade dos sócios gerentes ou administradores que atuam em nome da pessoa coletiva.

Para efeitos de proteção de dados, a CNPD (Comissão Nacional de Proteção de Dados) recorda que o RGPD (Regulamento (UE) 2016/679) impõe o princípio da minimização dos dados: o operador deve recolher apenas os dados estritamente necessários para cumprir as suas obrigações legais ao abrigo da DAC7, sem recolha excessiva de informação adicional. Os dados recolhidos para fins de KYC não podem ser reutilizados para fins de marketing ou finalidades incompatíveis sem base legal adequada.

Calendário e obrigações declarativas

O ciclo declarativo da DAC7 em Portugal é anual e os prazos são fixos. A AT recebe as declarações através do Modelo 58 (ou instrumento declarativo equivalente definido pela Portaria emitida ao abrigo do Decreto-Lei n.º 62/2023).

O prazo de 31 de janeiro é perentório. A declaração relativa aos dados de 2023 tinha como prazo 31 de janeiro de 2024; a relativa a 2024, 31 de janeiro de 2025; e assim sucessivamente.

Operadores que não tenham concluído a verificação de identidade de todos os vendedores declaráveis antes do encerramento do período de recolha ficam numa posição de incumprimento: ou declaram dados não verificados — o que viola os requisitos de diligência devida da DAC7 — ou omitem vendedores que deveriam ser declarados, o que também constitui infração declarativa.

A preparação antecipada dos fluxos de KYC, e não a sua implementação em dezembro, é a única abordagem operacionalmente viável. Para uma visão mais ampla sobre os requisitos KYC aplicáveis em 2026, consulte o artigo KYC 2026: Requisitos e Tendências.

DSA artigo 30: verificação de vendedores profissionais

Paralelamente à DAC7, o Regulamento (UE) 2022/2065 — Regulamento dos Serviços Digitais (DSA) introduziu obrigações de verificação de identidade de vendedores que são independentes do enquadramento fiscal.

O artigo 30.º do DSA estabelece que os operadores de mercados em linha devem, antes de permitir que um vendedor profissional utilize a plataforma, obter e verificar as seguintes informações:

• Nome, endereço e dados de contacto do vendedor
• Número de registo comercial ou equivalente
• Número de identificação fiscal

O DSA impõe também que o operador avalie se as informações fornecidas são plausíveis e fiáveis — não basta aceitar passivamente o que o vendedor declara. Se as informações recolhidas revelarem indícios de que o vendedor profissional pode estar a incumprir a lei aplicável, o operador tem obrigação de agir.

Para as grandes plataformas em linha — definidas pelo DSA como aquelas com mais de 45 milhões de utilizadores ativos mensais na UE — as obrigações são reforçadas: incluem auditorias independentes anuais, acesso a dados para investigadores, e mecanismos de transparência adicional sobre os algoritmos de recomendação. Estas plataformas estão sob supervisão direta da Comissão Europeia, enquanto as plataformas de menor dimensão estão sob supervisão dos coordenadores nacionais dos serviços digitais.

Em Portugal, a autoridade competente para a aplicação do DSA é a ANACOM (Autoridade Nacional de Comunicações), que age como coordenadora nacional dos serviços digitais.

A articulação entre DAC7 e DSA significa que os documentos recolhidos para cumprir o artigo 30.º do DSA são, em grande medida, os mesmos que servem de base à verificação de identidade exigida pela DAC7. Um processo KYC bem estruturado permite cumprir ambos os regimes com um único fluxo de recolha e verificação documental.

Sanções por incumprimento

O incumprimento das obrigações declarativas da DAC7 em Portugal é punido ao abrigo do Regime Geral das Infrações Tributárias (RGIT). As coimas podem atingir €50.000 por incumprimento declarativo, valor que pode ser agravado em caso de incumprimento reiterado ou de apresentação de declarações com informações falsas ou incompletas.

As infrações ao abrigo do RGIT podem ser de natureza meramente negligente ou dolosa. Em casos de omissão deliberada de vendedores sujeitos a declaração ou de falsificação de dados declarados, a responsabilidade pode assumir natureza criminal, com envolvimento do DCIAP.

Para além das sanções fiscais, o incumprimento das obrigações do DSA — incluindo a verificação de vendedores profissionais ao abrigo do artigo 30.º — pode ser punido com coimas calculadas em percentagem do volume de negócios anual do operador, podendo atingir 6% do volume de negócios mundial no caso de infração grave por grandes plataformas. Para plataformas de menor dimensão, a ANACOM dispõe de poderes sancionatórios proporcionais.

Do ponto de vista da proteção de dados, a CNPD pode ainda aplicar as coimas previstas no RGPD — até €20 milhões ou 4% do volume de negócios global — em caso de incumprimento das regras de minimização de dados, falta de base legal adequada para o tratamento, ou violação dos direitos dos titulares de dados (vendedores) no contexto do processo KYC.

Para uma análise detalhada dos processos de due diligence aplicáveis a vendedores e parceiros comerciais, consulte o nosso artigo Due Diligence Checklist para Empresas.

Como automatizar o KYC de vendedores em marketplace

A verificação manual de documentos de identidade de vendedores é viável apenas para plataformas com volumes muito reduzidos. A partir do momento em que uma plataforma começa a crescer — e com ela o número de vendedores sujeitos a declaração DAC7 — a automação deixa de ser uma opção de eficiência para se tornar uma necessidade operacional.

Os principais pontos de falha nos processos manuais de KYC para marketplaces são:

Qualidade dos dados: documentos recolhidos sem verificação estruturada resultam frequentemente em dados inconsistentes — NIFs inválidos, números de certidão desatualizados, ou moradas que não correspondem ao documento de identificação. Estes erros propagam-se diretamente para a declaração DAC7, criando risco de incumprimento.

Escalabilidade: verificar manualmente a Certidão Permanente de centenas de empresas vendedoras, cruzar os dados com o NIF/NIPC e validar os IBANs fornecidos é um processo que consome recursos humanos significativos e que é propenso a erros de transcrição.

Rastreabilidade para auditoria: a DAC7 exige que o operador possa demonstrar que realizou diligência devida sobre cada vendedor declarado. Um processo manual raramente produz o nível de registo auditável necessário para responder a um pedido de esclarecimento da AT.

A CheckFile suporta a verificação de mais de 3.200 tipos de documentos em 32 jurisdições, através de uma análise multicamada — estrutural, metadados e consistência entre documentos — que permite validar automaticamente Cartões de Cidadão, passaportes, Certidões Permanentes do Registo Comercial e comprovativos de morada com um nível de rigor equivalente ao de uma revisão humana especializada, mas em segundos.

A integração com a solução KYC para instituições financeiras e plataformas digitais da CheckFile permite configurar fluxos de onboarding de vendedores que recolhem, verificam e registam automaticamente os documentos exigidos pela DAC7 e pelo artigo 30.º do DSA, com geração automática de logs de auditoria para cada verificação realizada.

Para operadores que pretendam avaliar o custo-benefício de uma solução automatizada, a página de tarifas da CheckFile oferece planos adaptados a diferentes volumes de vendedores, desde plataformas emergentes até marketplaces de grande dimensão.

---

Perguntas frequentes

A DAC7 aplica-se a plataformas sediadas fora de Portugal que tenham vendedores portugueses?

Sim, com algumas nuances. A DAC7 prevê um mecanismo de registo único para operadores de plataformas sediados fora da UE mas que operam no mercado europeu. Estes operadores devem registar-se junto da autoridade fiscal de um Estado-Membro à sua escolha — que, em seguida, partilha automaticamente os dados com a AT relativamente aos vendedores residentes em Portugal. Operadores sediados noutros Estados-Membros da UE cumprem as suas obrigações junto da autoridade fiscal do seu país de estabelecimento, que depois efetua a troca automática com a AT portuguesa.

Um marketplace que intermeie apenas serviços — e não venda de bens — está abrangido pela DAC7?

Sim. A DAC7 abrange não apenas a venda de bens, mas também a prestação de serviços pessoais (como trabalho independente intermediado por plataformas), o arrendamento de imóveis (incluindo arrendamento de curta duração, como os intermediados por plataformas de alojamento local) e o aluguer de meios de transporte. O âmbito é deliberadamente amplo para cobrir os principais modelos de negócio da economia de plataformas.

O que acontece se um vendedor recusar fornecer o NIF ou outros documentos?

Se um vendedor não fornecer os dados necessários para cumprir a diligência devida exigida pela DAC7, o operador tem duas opções: encerrar ou suspender a conta do vendedor, ou declarar o vendedor à AT com os dados disponíveis e indicar que a verificação completa não foi possível. A primeira opção é geralmente preferida, pois evita que o operador declare dados não verificados. O operador deve manter registo documentado das tentativas de recolha de informação e das respostas (ou ausência delas) por parte do vendedor.

As obrigações de KYC da DAC7 e do DSA são cumulativas ou alternativas?

São cumulativas e complementares. A DAC7 impõe obrigações de verificação de identidade e declaração fiscal. O DSA impõe obrigações de verificação de identidade e dados comerciais dos vendedores profissionais. Os documentos recolhidos podem servir ambos os propósitos — o NIF recolhido para DAC7 é também relevante para o DSA, e os dados de registo comercial exigidos pelo artigo 30.º do DSA são igualmente necessários para a verificação de vendedores empresa ao abrigo da DAC7. Um processo KYC bem concebido integra os dois conjuntos de requisitos num único fluxo.

Onde pode o operador consultar a versão oficial do Decreto-Lei n.º 62/2023?

O texto integral do Decreto-Lei n.º 62/2023, de 2 de agosto, está disponível no Diário da República Eletrónico. A versão consolidada da Diretiva DAC7 pode ser consultada no EUR-Lex. O Portal das Finanças disponibiliza as instruções de preenchimento do modelo declarativo e as orientações da AT para operadores de plataformas. O texto do Regulamento dos Serviços Digitais (DSA) está igualmente disponível no EUR-Lex.

---

Este artigo é apenas informativo e não constitui aconselhamento jurídico.