Coimas RGPD publicadas em setembro e outubro de 2026: segurança, subcontratantes e direitos das pessoas
Sete decisões RGPD da Noruega, Irlanda, França, Suécia, Grécia e Itália: segurança fraca, contratos de subcontratação em falta e pedidos ignorados.
Entre o início de setembro e meados de outubro de 2026, o Comité Europeu para a Proteção de Dados (CEPD) divulgou uma série de coimas RGPD aplicadas por autoridades nacionais. Além dos grandes casos da Uber e da Google tratados em Aplicação do RGPD em 2026, destacam-se dois temas: segurança fraca, e consentimentos e pedidos que não foram respeitados.
Segurança e subcontratantes
- HSE, 645 000 euros, Irlanda (28 de agosto de 2026). Intrusos chegaram a processos clínicos em papel guardados em antigos hospitais psiquiátricos. Coimas, uma repreensão e ordens de conformidade.
- Hôpital Privé de la Loire, 500 000 euros, França (3 de setembro de 2026). Um atacante acedeu aos dados de 524 867 doentes: sem autenticação multifator para utilizadores externos, acesso não limitado à equipa de cuidados, sem deteção em tempo real, e as 202 246 "pessoas de confiança", cujos dados também foram roubados, não foram informadas.
- Miljödata, 1,8 milhões de coroas suecas, Suécia (22 de setembro de 2026). Um ciberataque a um prestador de serviços informáticos afetou 2,2 milhões de pessoas; sem verificações adequadas ao instalar software novo e sem monitorização em tempo real.
- Ministério grego da Coesão Social e da Família, 200 000 euros, e o seu subcontratante E.E.T.A.A., 150 000 euros (28 de julho de 2026). Sistemas obsoletos apesar de riscos conhecidos e falhas face ao artigo 28.º; ambos têm de celebrar um contrato de subcontratação.
Consentimento e direitos das pessoas
- Xandr, 92 milhões de coroas norueguesas (cerca de 8,6 milhões de euros), Noruega (2 de outubro de 2026). A empresa de publicidade tratou, em leilões em tempo real, dados de utilizadores de uma aplicação de encontros para pessoas gays, bi, trans e queer sem fundamento jurídico válido. Baseou-se no consentimento recolhido pela aplicação, que era inválido: cada responsável conjunto tem de verificar o consentimento por si. É a coima mais alta de sempre da autoridade norueguesa e é definitiva.
- EXTIA, 300 000 euros, França (21 de julho de 2026). Dos 265 pedidos de apagamento recebidos em 2024, 12 nunca foram tratados e 166 pessoas nunca souberam o resultado.
- BBVA, 5 508 000 euros, Itália (3 de julho de 2026). Um cliente opôs-se ao marketing na aplicação do banco, mas recebeu notificações promocionais durante sete meses por uma falha de sincronização entre sistemas internos.
O que fazer agora
Verifique a autenticação multifator e a monitorização dos sistemas com dados sensíveis, um contrato de subcontratação assinado com cada fornecedor e se um pedido ou oposição chega ao sistema que o deve executar.
O Dazr Compliance reúne controlos de segurança RGPD, um registo de fornecedores com ligações aos contratos e datas de revisão, o registo do artigo 30.º e um registo de violações com contagem de 72 horas, com lembretes quando uma revisão está para vencer.
Fontes
- Datatilsynet: Microsoft company fined NOK 92 million (updated 3 November 2026)
- EDPB: Norwegian DPA fines Xandr EUR 8 600 000 for unlawful processing of personal data (16 October 2026)
- Data Protection Commission: Final decision following inquiry into the Health Service Executive (HSE)
- CNIL: Health data breach, EUR 500,000 fine against Hôpital Privé de la Loire
- IMY: Administrative fine against Miljödata
- EDPB: Hellenic DPA decision on a data breach involving E.E.T.A.A. S.A. as processor (8 October 2026)
- CNIL: Failure to respect the rights of individuals, EUR 300,000 fine against EXTIA
- EDPB: News, national news from data protection authorities
- EDPB: Italian DPA fines BBVA EUR 5 508 000 for failing to respect a customer's objection to direct marketing (9 October 2026)
Apenas para informação, não constitui aconselhamento jurídico. Última atualização: 7 de novembro de 2026.
Também disponível em: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål