Duas coisas são verdade sobre o RGPD ao mesmo tempo em 2026. A aplicação da lei nunca foi tão intensa — os reguladores estão a aplicar coimas mais depressa, com maior alcance e a empresas mais pequenas do que em qualquer momento desde a entrada em vigor da lei em 2018. E a própria lei está, pela primeira vez, verdadeiramente sujeita a revisão, com um pacote de reforma de Bruxelas que pode reescrever o consentimento de cookies, a notificação de violações e as avaliações de impacto.
Nenhuma das duas coisas está concluída. Essa combinação — aplicação recorde das regras tal como existem hoje, sobreposta a uma reforma ainda não finalizada — é exatamente a situação que apanha as empresas mal preparadas desprevenidas. Eis o que realmente mudou este ano, e o que ainda é apenas uma proposta.
A aplicação tornou-se uma máquina de alto volume
As coimas do RGPD já ultrapassaram 7,1 mil M€ acumulados desde 2018, com mais de 600 M€ aplicados só no primeiro semestre de 2026. Já não é uma história sobre um punhado de sanções mediáticas contra as grandes tecnológicas — é um padrão de aplicação sustentado e de alto volume que agora chega a fundo às pequenas e médias empresas.
Este último número merece atenção. As notificações diárias de violações na UE subiram para 443 por dia — um salto homólogo de 22%, e a primeira vez que este número ultrapassa as 400 desde a entrada em vigor do RGPD. Cada uma dessas notificações é uma empresa que acabou de ter uma má semana, e uma autoridade de controlo a decidir agora se também foi negligente.
A geografia da aplicação também mudou. A França ultrapassou o Luxemburgo em 2025, tornando-se o segundo maior aplicador da UE em coimas totais aplicadas, atrás apenas da Irlanda — os únicos dois países a ultrapassar os 1.000 M€ em sanções RGPD acumuladas. A AEPD espanhola também deixou para trás o seu antigo padrão de queixas de consumidores de alto volume e baixo valor, passando a casos estratégicos deliberados e de alto valor.
Um caso recente é um lembrete útil de como o gatilho para uma coima se tornou vulgar: a Yoti Ltd foi multada em 950.000 € em março de 2026 por três violações distintas, incluindo o tratamento de dados biométricos sem base jurídica válida e transparência inadequada sobre a utilização desses dados. Sem mega-violação, sem escândalo de padrões enganosos — apenas tratamento biométrico e um aviso que não dizia o suficiente. Exatamente o tipo de falha que uma auditoria de rotina apanha.
O foco do CEPD para 2026: o seu aviso de privacidade, não só a sua resposta a violações
Todos os anos, o Comité Europeu para a Proteção de Dados (CEPD) escolhe um tema comum para o seu quadro de aplicação coordenada — um tópico que cada autoridade nacional investiga em paralelo. Para 2026, esse tema é a transparência e as obrigações de informação nos termos dos artigos 12.º a 14.º: se os seus avisos de privacidade dizem mesmo às pessoas, em linguagem clara, o que faz com os dados delas.
É um alvo deliberadamente pouco vistoso, e é precisamente esse o ponto. Os avisos de transparência são o documento do RGPD que a maioria das empresas escreveu uma vez em 2018, nunca mais revisto, e que agora já não corresponde ao que o site, as ferramentas ou as funcionalidades de IA realmente fazem. Se o seu aviso de privacidade foi atualizado pela última vez para cookies e newsletters e não acompanhou o seu CRM, a sua stack de analytics, ou tudo o que é relacionado com IA, este é o ano em que um regulador tem mais probabilidade do que o habitual de reparar nisso.
O Digital Omnibus: a primeira reescrita real do RGPD desde 2018
Em novembro de 2025, a Comissão Europeia propôs o «Digital Omnibus» — um pacote que alteraria tanto o RGPD como a Diretiva ePrivacy. Ainda não é lei. A meados de 2026, as negociações no Conselho continuam por resolver: a Presidência cipriota retirou o seu texto de compromisso da aprovação formal no COREPER II no final de junho, depois de ficar claro que não tinha o apoio de uma maioria qualificada dos Estados-Membros. É de esperar que isto continue a evoluir ao longo do resto de 2026 em vez de ficar fechado de uma só vez.
Há cinco áreas de conformidade em cima da mesa: o registo das atividades de tratamento, as AIPD, a notificação de violações, o âmbito da obrigação de nomear um EPD, e os direitos dos titulares dos dados. As propostas mais avançadas:
| Área | Hoje | Proposta do Digital Omnibus |
|---|---|---|
| Consentimento de cookies | Consentimento exigido para praticamente todos os cookies não essenciais | Estima-se que 60% dos cookies deixariam de exigir consentimento; seria obrigatório um botão de um clique «aceitar/rejeitar tudo» sempre que o consentimento ainda seja pedido |
| Dados pessoais | De um modo geral, qualquer dado que pudesse identificar uma pessoa, do ponto de vista de qualquer entidade | Restringido a dados sobre os quais uma entidade específica tenha «meios razoavelmente suscetíveis de serem utilizados» para identificar uma pessoa — um critério relativo, não absoluto |
| Notificação de violações | Prazo de 72 horas para notificar a autoridade de controlo por praticamente qualquer violação | Possíveis alterações ao prazo de 72 horas, mais novos limiares de materialidade, pelo que violações menores poderiam deixar de desencadear notificação formal |
| Âmbito registo / AIPD / EPD | Limiares fixados em 2018, praticamente inalterados desde então | Em renegociação ativa — deverá alterar quem é obrigado a manter registos formais, realizar avaliações de impacto ou nomear um EPD |
Nada disto está em vigor. Redesenhar o seu banner de cookies ou o seu processo de notificação em torno de uma proposta que ainda pode mudar nas negociações do Conselho é prematuro — mas não a acompanhar de todo significa que uma alteração real das regras pode cair sobre um programa de conformidade ainda construído para 2018.
Pacote de DPA editável, kit de resposta a pedidos de acesso (SAR), e registo das atividades de tratamento nos termos do art. 30 — os documentos que os reguladores pedem primeiro. 39–59 € cada, ou 99 € pelos três, download imediato.
O que fazer mesmo agora
Os dois fios condutores — aplicação mais dura das regras de hoje, e reforma ainda em curso para amanhã — apontam para a mesma resposta prática.
- Audite o seu aviso de privacidade face aos artigos 12.º a 14.º, especificamente este ano. É a prioridade declarada do CEPD para 2026, e é também a lacuna mais fácil de ter sem saber — o aviso costuma parecer correto, até o comparar com o que o seu site realmente faz hoje.
- Não construa antecipadamente em torno do Digital Omnibus. Se o seu banner de cookies, o seu processo de notificação ou os seus limiares de AIPD já estão conformes hoje, deixe-os como estão. Reaja ao texto final assim que o Conselho e o Parlamento chegarem a acordo sobre um, não a uma proposta que já passou por um compromisso falhado.
- Verifique se todo o tratamento biométrico, de IA ou de decisão automatizada tem uma base jurídica documentada e uma explicação em linguagem clara. O caso Yoti é o padrão a vigiar: não uma violação catastrófica, mas tratamento comum sem a documentação que o devia sustentar.
- Se ainda não faz uma autoavaliação periódica do RGPD, comece agora em vez de esperar por uma notificação. A nossa auditoria gratuita de 30 segundos verifica os dez requisitos mais frequentemente esquecidos — as mesmas categorias que surgem repetidamente nas ações de aplicação de 2026.
Em resumo
As manchetes sobre a reforma podem dar a sensação de que o RGPD é um alvo em movimento, mas os dados de aplicação dizem o contrário: os reguladores estão cada vez mais rápidos e consistentes a aplicar as regras exatamente como estão escritas hoje. A conformidade com o RGPD atual — e não uma aposta no que o Digital Omnibus acabará por dizer — é o que o protege ao longo de 2026. Trate a reforma como algo a acompanhar, e os números de aplicação deste ano como algo sobre o qual agir.
Marque uma consulta gratuita com a GDPRGard →
Fontes
- CMS GDPR Enforcement Tracker
- Comité Europeu para a Proteção de Dados (CEPD) — News & Coordinated Enforcement Framework
- Kiteworks — GDPR Fines Hit €7.1 Billion: Enforcement Trends in 2026
- Uniconsent — GDPR Enforcement and Fines 2026
- Privacy Next — Digital Omnibus Negotiations (GDPR), July 2026 Update
Leia também:
- O regulamento da IA já se aplica aos sistemas de alto risco — agora tem dois reguladores
- Os 5 erros mais comuns nos banners de cookies — e como corrigi-los
- Porque toda a empresa SaaS precisa de uma AIPD antes de lançar funcionalidades de IA