Diretrizes 04/2026 do CEPD: quando uma infração ao RGPD leva a coima
O CEPD define cinco passos para as autoridades decidirem entre coima e repreensão numa infração ao RGPD. Comentários até 13 de novembro de 2026.
Em 17 de setembro de 2026, o Comité Europeu para a Proteção de Dados (CEPD) adotou as Diretrizes 04/2026. Explicam às autoridades nacionais como decidir se uma infração ao RGPD deve ser punida com coima ou tratada com outra medida corretiva, como uma repreensão ou uma ordem. O CEPD publicou-as em 21 de setembro de 2026. É possível enviar comentários até 13 de novembro de 2026, às 23h59 CET.
As diretrizes substituem as antigas orientações do Grupo de Trabalho do Artigo 29 sobre coimas e complementam as do CEPD sobre o cálculo do montante das coimas.
Os cinco passos
- A infração pode dar lugar a coima? A autoridade precisa de uma base no RGPD ou no direito nacional.
- Esta parte pode ser punida? A responsabilidade do responsável pelo tratamento ou do subcontratante depende de quem está vinculado pela disposição violada.
- Dolo ou negligência? Uma infração culposa é condição para a coima.
- A infração é menor? A autoridade pondera as circunstâncias agravantes e atenuantes do artigo 83.º, n.º 2. Uma infração menor, em regra, não leva a coima e pode ser feita uma repreensão. Se não for menor, existe uma forte presunção de que será aplicada uma coima.
- A coima seria efetiva, proporcionada e dissuasiva? Aqui a autoridade pode encontrar, no caso concreto, um motivo para se afastar da abordagem geral.
As diretrizes explicam também os outros poderes de correção (advertências, repreensões, ordens, limitações incluindo proibições e retirada de certificação) e dão 14 exemplos práticos.
Também definitivas: DSA e RGPD
Na mesma plenária, o CEPD adotou a versão final das Diretrizes 3/2025 sobre a articulação entre o Regulamento dos Serviços Digitais (DSA) e o RGPD, para serviços intermediários que tratam dados pessoais.
O que fazer agora
No passo 4, os fatores do artigo 83.º, n.º 2, decidem entre repreensão e coima: entre eles as medidas tomadas para atenuar os danos, a cooperação com a autoridade, infrações anteriores e as categorias de dados afetadas. Poder demonstrá-lo rapidamente conta.
O Dazr Compliance reúne essas provas num só lugar: o registo das atividades de tratamento (artigo 30.º), as AIPD com o histórico de cada alteração, controlos RGPD recorrentes e um registo de violações com contagem de 72 horas. Para comentar as diretrizes, use o formulário de consulta do CEPD até 13 de novembro.
Fontes
- EDPB: EDPB harmonises fining methodology and adopts final DSA-GDPR guidelines (21 September 2026)
- EDPB: Guidelines 04/2026 on the application of the power to impose administrative fines in relation to other corrective powers under the GDPR, version 1.0 (adopted 17 September 2026)
- EDPB: public consultation on Guidelines 04/2026, 21 September to 13 November 2026
- EDPB: Guidelines 3/2025 on the interplay between the DSA and the GDPR, final version
Apenas para informação, não constitui aconselhamento jurídico. Última atualização: 7 de novembro de 2026.
Também disponível em: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål