O Comité Europeu para a Proteção de Dados (EDPB) publicou um projeto de diretrizes que poderá alterar a forma como a aplicação do RGPD funciona na prática. De acordo com um resumo do projeto, a proposta estabelece uma presunção do EDPB de multas ao abrigo do RGPD para infrações não menores, acompanhada de um limiar deliberadamente baixo para estabelecer a negligência. Em termos simples, os reguladores partiriam do princípio de que uma violação grave merece uma multa, e as empresas assumiriam uma maior parte do ónus de demonstrar por que razão tal não deveria acontecer.
O material de origem disponível para esta notícia limita-se a um resumo, pelo que este artigo cinge-se ao que esse resumo afirma e explica as prováveis implicações em termos gerais.
O que o projeto de diretrizes do EDPB propõe
O cerne do projeto é uma mudança na regra predefinida. Até agora, as autoridades de controlo dispunham de uma série de poderes corretivos ao abrigo do RGPD, desde repreensões e ordens para cumprir até coimas administrativas. O projeto de diretrizes propõe que, para infrações que não sejam menores, uma multa seja o resultado esperado, em vez de uma opção entre muitas.
Dois elementos destacam-se no resumo:
- Uma presunção a favor de multas para infrações não menores.
- Um limiar deliberadamente baixo para a negligência, o que é relevante porque a culpa é uma condição essencial para a imposição de uma multa.
O resumo observa também que as organizações terão de demonstrar medidas robustas para provar que agiram com o cuidado adequado. O projeto é uma proposta, não orientação final, pelo que os detalhes podem mudar após a consulta.
Por que um limiar baixo de negligência altera a aplicação
As multas ao abrigo do RGPD dependem geralmente de saber se uma infração foi intencional ou negligente. Se provar a negligência for difícil, os reguladores podem hesitar em multar, ou os processos podem arrastar-se em discussões sobre o que uma empresa sabia ou deveria saber.
Um limiar baixo altera essa dinâmica. Se uma empresa não tomou as medidas que uma organização razoavelmente cuidadosa tomaria, a negligência pode ser estabelecida sem muita investigação adicional. Combinado com uma presunção de multas, isso tornaria mais difícil para uma organização argumentar que uma violação foi simplesmente azar ou um descuido honesto.
Isto enquadra-se no esforço mais amplo rumo à consistência. O EDPB já introduziu uma abordagem em cinco passos para o cálculo das multas, que abordámos no nosso explicador sobre o método de multas do EDPB em cinco passos do RGPD. Esse método trata de quanto deve ser a multa. O novo projeto aborda a questão anterior de saber se uma multa deve ser imposta de todo. Para contexto sobre os níveis de multas e o papel da culpa, consulte o nosso guia sobre multas e sanções do RGPD em 2026.
O que isto significa para si
Para as pessoas comuns, o efeito prático seria indireto mas significativo. Os direitos de privacidade no papel só importam se houver consequências quando são ignorados. Se as multas se tornarem a resposta esperada a violações graves, as empresas terão uma razão financeira mais forte para:
- Recolher menos dados pessoais desde o início.
- Proteger os dados que mantêm e documentar como o fazem.
- Responder atempadamente a pedidos de acesso, apagamento e oposição.
- Formar o pessoal e avaliar os fornecedores que tratam dados de clientes.
Isto não significa que todas as reclamações terminarão numa sanção, nem garante resultados mais rápidos para os indivíduos. Espera-se que as infrações menores sejam tratadas de forma diferente, e as diretrizes ainda estão em fase de projeto. Mas a direção é no sentido de uma aplicação que tenha peso real.
Entretanto, as organizações provavelmente centrar-se-ão nas provas. Nesta abordagem, poder demonstrar registos, avaliações de risco e ações corretivas rápidas poderá ser a diferença entre uma multa e uma resposta mais leve.
Como exercer os seus direitos ao abrigo do RGPD hoje
Não precisa de esperar que as diretrizes sejam finalizadas. Se estiver na UE ou no EEE, ou se uma empresa estiver a tratar os seus dados ao abrigo do RGPD, já pode agir:
- Peça acesso. Envie um pedido de acesso do titular dos dados para saber o que uma empresa detém sobre si e como o utiliza.
- Solicite o apagamento. Se os dados já não forem necessários ou se retirar o consentimento, peça à empresa para os eliminar.
- Oponha-se ao tratamento. Pode opor-se a determinadas utilizações, incluindo o marketing direto.
- Mantenha um registo. Guarde cópias dos seus pedidos e das respostas, com datas.
- Escale se for ignorado. Se uma empresa não responder adequadamente, pode apresentar uma reclamação à sua autoridade nacional de proteção de dados.
Uma reclamação documentada e bem fundamentada é o tipo de prova sobre a qual os reguladores podem agir, e uma posição de aplicação mais firme tornaria essas reclamações mais consequentes.
Principais conclusões
A presunção do EDPB de multas ao abrigo do RGPD, se adotada conforme redigida, tornaria as sanções a resposta normal a violações não menores e tornaria a negligência mais fácil de estabelecer. Isso pressiona as empresas a tratar os dados pessoais com cuidado e dá mais força prática aos direitos dos indivíduos.
Use os direitos que já tem: peça acesso, solicite o apagamento e oponha-se quando apropriado. Para compreender como as sanções são calculadas quando uma multa está em cima da mesa, leia os nossos explicadores sobre o método de multas em cinco passos do EDPB e os níveis de sanções do RGPD.
