O Comitê Europeu para a Proteção de Dados (EDPB) adotou em 17 de setembro de 2026 as Diretrizes 04/2026. Elas descrevem como as autoridades de supervisão decidem se, diante de uma violação do GDPR, aplicam uma multa ou escolhem outra medida, como uma advertência ou uma ordem. As diretrizes estão em consulta pública até 13 de novembro de 2026. Elas se aplicam a todos os controladores e operadores, do grande grupo empresarial à pequena associação.
Do que se trata
O GDPR concede às autoridades de supervisão, no Art. 58(2), toda uma série de poderes corretivos: aviso, advertência, ordens, limitações até a proibição de um tratamento, a revogação de uma certificação e justamente a multa nos termos do Art. 83. O valor de uma multa é regulado desde 2022 pelas Diretrizes 04/2022 sobre o cálculo. Até agora, porém, não estava claro com base em quais critérios as autoridades recorrem à multa. Sobre isso existiam apenas diretrizes antigas do Grupo de Trabalho do Artigo 29, anteriores à entrada em vigor do GDPR.
As novas diretrizes substituem essas orientações antigas e complementam as diretrizes de cálculo. O EDPB se baseia na experiência das autoridades desde 2018 e em diversas decisões do Tribunal de Justiça da União Europeia. O objetivo é que casos iguais sejam tratados de forma semelhante em todos os Estados-membros.
O método em cinco etapas
O EDPB descreve um procedimento que a autoridade percorre etapa por etapa:
- A violação constatada pode, de fato, ser punida com multa, segundo o GDPR ou a legislação nacional?
- A empresa investigada pode ser responsabilizada por essa violação, por exemplo como controlador ou como operador?
- Houve dolo ou negligência?
- As circunstâncias do Art. 83(2) do GDPR indicam uma violação de menor gravidade?
- Uma multa seria, no caso concreto, eficaz, proporcional e dissuasiva?
As três primeiras etapas verificam os requisitos legais. As etapas quatro e cinco decidem se efetivamente haverá uma multa ou se outra medida é mais adequada.
A negligência é facilmente caracterizada
Na prática, a terceira etapa é especialmente importante. Uma multa pressupõe culpa. Segundo o EDPB, porém, o limiar para a negligência é muito baixo. Não importa se uma empresa de fato reconheceu sua violação, mas se poderia tê-la reconhecido. Espera-se que as empresas se informem sobre as obrigações aplicáveis a elas.
Nem mesmo um parecer jurídico protege automaticamente. Em um dos exemplos das diretrizes, uma empresa se apoia em um parecer externo que diverge do entendimento predominante. O EDPB não vê nisso uma atenuante, pois a empresa conhecia a posição contrária. O mesmo vale para uma avaliação interna que contradiz o entendimento conhecido da autoridade de supervisão.
De menor gravidade ou não: o ponto decisivo
Na quarta etapa vale uma regra básica clara. Se uma violação é de menor gravidade, em regra não se aplica multa, mas no máximo uma advertência. Se não é de menor gravidade, há uma forte presunção a favor da multa. Em ambos os casos, a autoridade mantém uma margem de discricionariedade. Em violações pequenas, segundo as diretrizes, ela pode até dispensar qualquer medida, se a empresa tiver corrigido o erro por conta própria e adotado precauções contra sua repetição.
Na classificação, as autoridades consideram, entre outros aspectos, a natureza, a gravidade e a duração da violação, o número de titulares afetados, o tipo de dados e o dano causado. Vários pontos são reveladores para as empresas:
- Medidas para limitar danos contam sobretudo quando adotadas cedo e por iniciativa própria, antes de uma investigação ser conhecida.
- O mero cumprimento das obrigações do GDPR não é considerado atenuante. Isso vale tanto para medidas técnicas e organizacionais quanto para a cooperação com a autoridade exigida por lei. Só atenua o que vai claramente além disso.
- A ausência de violações anteriores, por si só, não é atenuante, pois o cumprimento do GDPR é a situação normal.
- Erros semelhantes repetidos podem transformar uma violação de menor gravidade em uma passível de multa.
As diretrizes contêm 14 casos fictícios. Vários envolvem pequenas e médias empresas, como uma solicitação de acesso não respondida que foi parar na pasta de spam, ou um pixel de rastreamento que transmitia dados sem ser percebido. Em ambos os casos, a consequência foi apenas uma advertência. Em outro exemplo, uma resposta de acesso atrasada virou processo de multa porque casos semelhantes se acumularam.
O que ainda está em aberto
Trata-se da primeira versão para consulta. Contribuições podem ser enviadas até 13 de novembro de 2026 pelo site do EDPB. Depois, o comitê revisará o texto. As diretrizes são dirigidas às autoridades de supervisão e não vinculam diretamente os tribunais. Ainda assim, mostram como as autoridades passarão a analisar e fundamentar suas decisões.
O texto completo está disponível na página do EDPB sobre as Diretrizes 04/2026.
O que isso significa para você
As diretrizes recompensam empresas que identificam erros rapidamente, os corrigem por conta própria e conseguem comprovar isso. Quem só reage quando a autoridade pergunta perde essa vantagem. Próximos passos recomendados:
- Verifique se as solicitações de acesso e exclusão chegam de forma confiável e são tratadas dentro do prazo, mesmo quando recebidas por canais incomuns.
- Registre quando você percebeu um erro e quais medidas adotou. Data e conteúdo da correção são decisivos em caso de necessidade.
- Analise erros recorrentes. Um deslize isolado é avaliado de forma diferente de um padrão.
- Revise regularmente os avisos de privacidade e os serviços de terceiros integrados, não apenas na implantação.
- Em tratamentos controversos, não confie apenas em uma opinião jurídica favorável se a autoridade de supervisão claramente pensa diferente.
A Sightadel apoia você com avaliações guiadas, planos de ação e uma biblioteca de evidências na qual as medidas ficam documentadas com data. Saiba mais na página sobre o GDPR. Você pode testar a plataforma gratuitamente por 14 dias.
Atualizado em: 12 de outubro de 2026 · Não constitui consultoria jurídica. Vale a norma ou a lei na versão em vigor.
