O Comité Europeu para a Proteção de Dados (EDPB) adotou, a 17 de setembro de 2026, as Orientações 04/2026. Estas descrevem como as autoridades de controlo decidem se, perante uma violação do RGPD, aplicam uma coima ou optam por outra medida, como uma repreensão ou uma ordem. As orientações estão em consulta pública até 13 de novembro de 2026. Abrangem todos os responsáveis pelo tratamento e subcontratantes, desde grandes grupos a pequenas associações.
Do que se trata
O RGPD confere às autoridades de controlo, no art. 58.º, n.º 2, um vasto conjunto de poderes de correção: advertência, repreensão, ordens, limitações e até a proibição de um tratamento, a retirada de uma certificação e, precisamente, a coima nos termos do art. 83.º. O montante de uma coima é regulado desde 2022 pelas Orientações 04/2022 relativas ao cálculo. Até agora, ficava por esclarecer segundo que critérios as autoridades recorrem efetivamente à coima. Sobre isso existiam apenas orientações mais antigas do Grupo de Trabalho do Artigo 29, anteriores à entrada em vigor do RGPD.
As novas orientações substituem essas regras antigas e complementam as orientações de cálculo. O EDPB baseia-se na experiência das autoridades desde 2018 e em vários acórdãos do Tribunal de Justiça da União Europeia. O objetivo é que casos iguais sejam tratados de forma semelhante em todos os Estados-Membros.
O método em cinco passos
O EDPB descreve um procedimento que a autoridade percorre passo a passo:
- A violação constatada pode ser punida com coima, nos termos do RGPD ou do direito nacional?
- A empresa investigada pode ser responsabilizada por essa violação, por exemplo como responsável pelo tratamento ou como subcontratante?
- Houve dolo ou negligência?
- As circunstâncias previstas no art. 83.º, n.º 2, do RGPD apontam para uma violação menor?
- No caso concreto, uma coima seria efetiva, proporcionada e dissuasiva?
Os três primeiros passos verificam os pressupostos jurídicos. Os passos quatro e cinco decidem se se chega efetivamente a uma coima ou se outra medida é mais adequada.
A negligência é facilmente atingida
Na prática, o terceiro passo é particularmente importante. Uma coima pressupõe culpa. Segundo o EDPB, porém, o limiar da negligência é muito baixo. Não importa se uma empresa reconheceu efetivamente a sua violação, mas sim se a poderia ter reconhecido. Espera-se que as empresas se informem sobre as obrigações que lhes são aplicáveis.
Nem um parecer jurídico protege automaticamente. Num dos exemplos das orientações, uma empresa invoca um parecer externo que diverge da opinião dominante. O EDPB não vê nisso uma atenuante, porque a empresa conhecia a posição contrária. O mesmo se aplica a uma avaliação interna que contradiga a posição conhecida da autoridade de controlo.
Menor ou não: o ponto de viragem decisivo
No quarto passo aplica-se uma regra base clara. Se uma violação for menor, em regra não é aplicada coima, mas, no máximo, uma repreensão. Se não for menor, existe uma forte presunção a favor de uma coima. Em ambos os casos, a autoridade mantém margem de apreciação. Em violações pequenas, pode até, segundo as orientações, prescindir totalmente de medidas, se a empresa tiver posto termo ao erro por iniciativa própria e adotado precauções contra a sua repetição.
Na classificação, as autoridades atendem, entre outros aspetos, à natureza, gravidade e duração da violação, ao número de titulares afetados, ao tipo de dados e ao dano causado. Vários pontos são reveladores para as empresas:
- As medidas de atenuação dos danos contam sobretudo quando são tomadas cedo e por iniciativa própria, antes de se tomar conhecimento de uma investigação.
- O mero cumprimento das obrigações do RGPD não é considerado atenuante. Isto aplica-se tanto às medidas técnicas e organizativas como à cooperação com a autoridade exigida por lei. Só atenua o que vá claramente além disso.
- A inexistência de violações anteriores não é, por si só, atenuante, porque o cumprimento do RGPD é a situação normal.
- Erros semelhantes repetidos podem transformar uma violação menor numa violação passível de coima.
As orientações incluem 14 casos fictícios. Vários dizem respeito a pequenas e médias empresas, por exemplo um pedido de acesso sem resposta que tinha ido parar à pasta de spam, ou um pixel de rastreamento que transmitia dados sem ser notado. Em ambos os casos ficou-se por uma repreensão. Noutro exemplo, uma resposta tardia a um pedido de acesso deu origem a um processo de coima, porque casos semelhantes se acumularam.
O que ainda está em aberto
Trata-se da primeira versão para consulta. É possível enviar comentários através do sítio web do EDPB até 13 de novembro de 2026. Depois, o Comité revê o texto. As orientações destinam-se às autoridades de controlo e não vinculam diretamente os tribunais. Mostram, no entanto, como as autoridades irão analisar e fundamentar no futuro.
O texto completo encontra-se na página do EDPB sobre as Orientações 04/2026.
O que isto significa para a sua organização
As orientações recompensam as empresas que detetam erros rapidamente, os corrigem por si próprias e o conseguem comprovar. Quem só reage quando a autoridade pede informações perde esta vantagem. Próximos passos recomendados:
- Verifique se os pedidos de acesso e de apagamento chegam de forma fiável e são tratados dentro do prazo, mesmo quando entram por canais invulgares.
- Registe quando detetou um erro e que medidas tomou. A data e o conteúdo da correção são decisivos em caso de necessidade.
- Analise os erros recorrentes. Um deslize isolado é avaliado de forma diferente de um padrão.
- Reveja regularmente os avisos de privacidade e os serviços de terceiros integrados, não apenas na sua implementação.
- Em tratamentos controversos, não confie apenas num parecer jurídico favorável quando a autoridade de controlo tem visivelmente outra posição.
A Sightadel apoia-o com avaliações guiadas, planos de ação e uma biblioteca de evidências em que as medidas ficam documentadas com data. Saiba mais na página sobre o RGPD. Pode experimentar a plataforma gratuitamente durante 14 dias.
Situação em: 12 de outubro de 2026 · Não constitui aconselhamento jurídico. Prevalece a norma ou a lei na versão em vigor.
