Aplicação do RGPD em 2026: coimas elevadas e novos procedimentos

Publicado 19 de outubro de 2026 · Atualizado 22 de outubro de 2026 · Por Dazr

Coima de 403 milhões de euros à Google por dados de localização, procedimentos transfronteiriços mais rápidos desde abril de 2027 e alterações propostas.

Oito anos depois de o RGPD começar a aplicar-se, a sua aplicação continua a produzir grandes decisões, e a forma de tratar os casos transfronteiriços vai mudar.

Decisões recentes

Uber, 824,99 milhões de euros (publicada a 8 de outubro de 2026). A autoridade neerlandesa de proteção de dados (AP) concluiu que a Uber desativava contas de motoristas através de decisões totalmente automatizadas, temporariamente por suspeita de fraude ou avaliações baixas e definitivamente por avaliações baixas persistentes, em violação do artigo 22.º, e não informava suficientemente os motoristas (artigo 13.º). O caso começou com queixas de 171 motoristas franceses apresentadas à CNIL e abrange os anos de 2018 a 2022. A Uber recorreu, pelo que a decisão não é definitiva.
Google, 403 milhões de euros (21 de setembro de 2026). A Data Protection Commission irlandesa (DPC), como autoridade de controlo principal, concluiu que a Google violou o RGPD no tratamento de dados de localização na Atividade da Web e de apps, no Histórico de localizações e na Precisão da localização: licitude e lealdade, transparência, responsabilidade e conservação. A Google tem de pôr o tratamento em conformidade no prazo de seis meses.
TikTok, 530 milhões de euros (2 de maio de 2025). A DPC concluiu que o TikTok não demonstrou que os dados dos utilizadores do EEE, acedidos remotamente por pessoal na China, tinham uma proteção essencialmente equivalente (artigo 46.º, n.º 1), e que a política de privacidade não indicava os países envolvidos (artigo 13.º, n.º 1, alínea f)).

Em conjunto, lembram que as decisões automatizadas, as transferências internacionais, a transparência e não conservar dados mais tempo do que o necessário são a origem das coimas mais elevadas.

Procedimentos transfronteiriços mais rápidos a partir de 2 de abril de 2027

O Regulamento (UE) 2025/2518 acrescenta regras processuais para os casos transfronteiriços do RGPD. Foi publicado em 12 de dezembro de 2025 e aplica-se a partir de 2 de abril de 2027. Harmoniza a admissibilidade das reclamações, dá aos reclamantes e às empresas o direito de serem ouvidos e de conhecerem as conclusões preliminares, e fixa prazos: em princípio 15 meses para uma investigação, prorrogáveis por 12 meses nos casos complexos, e um procedimento simplificado para os casos simples. As regras substantivas do RGPD não mudam.

Alterações propostas ao RGPD

O Omnibus Digital proposto pela Comissão em novembro de 2025 inclui alterações ao RGPD, como um limiar mais alto e um prazo mais longo para notificar violações de dados às autoridades e um ponto único de notificação de incidentes. O CEPD e a AEPD apoiaram partes no parecer conjunto de fevereiro de 2026 e manifestaram preocupações sobre outras. São propostas: hoje continua a aplicar-se o prazo de 72 horas para notificar uma violação.

O que verificar

O registo das atividades de tratamento e os prazos de conservação, sobretudo para dados de localização e outros dados sensíveis.
As avaliações de transferências para qualquer acesso a partir de fora do EEE, incluindo o suporte remoto.
Políticas de privacidade que indiquem com clareza destinatários e países.
Um procedimento de violação de dados que cumpra o prazo de 72 horas.
Onde um software decide sobre pessoas, por exemplo ao bloquear uma conta: uma verdadeira revisão humana e uma explicação clara para os visados.

Fontes

Apenas para informação, não constitui aconselhamento jurídico. Última atualização: 22 de outubro de 2026.

Temas: RGPD, Coimas, UE

Também disponível em: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål