Se ouviu dizer que o RGPD vai finalmente ficar mais simples, só ouviu metade da história. O pacote Digital Omnibus da Comissão Europeia promete um alívio real em regras que transformaram a conformidade numa morte lenta: banners de cookies, notificação de violações e até aquilo que conta como dado pessoal. Ao mesmo tempo, a fiscalização nunca foi tão intensa, e já não visa apenas as grandes tecnológicas.
Para as pequenas e médias empresas de toda a Europa, 2026 é o ano em que as regras começaram a mudar enquanto os riscos continuavam a subir — as duas coisas ao mesmo tempo. Eis o que fica mesmo mais simples, o que é apenas uma proposta e o que isso significa para o seu trabalho de conformidade neste outono.
Um Omnibus, dois calendários muito diferentes
A maioria das notícias fala do «Omnibus» como se fosse um único pacote em discussão em Bruxelas. Não é, e essa diferença determina sobre o que pode agir hoje.
- O Digital Omnibus sobre IA já é lei. Altera o Regulamento Europeu da IA, foi publicado no Jornal Oficial a 24 de julho de 2026 e entrou em vigor a 27 de julho.
- A parte do RGPD continua a ser uma proposta. A parte que altera o RGPD, as regras ePrivacy e a NIS2 continua em discussões preparatórias no Conselho. A comissão competente do Parlamento não adotou posição negocial, os trílogos entre as instituições não começaram e a adoção final não é esperada antes do final de 2026, na melhor das hipóteses.
Por isso, tudo o que se segue sobre cookies, notificação de violações e definição de dado pessoal descreve para onde a lei poderá ir. Tudo o que diz respeito ao Regulamento da IA descreve onde ela já está.
O que a proposta do RGPD tornaria mais simples
A proposta da Comissão é a maior revisão do direito europeu da proteção de dados desde 2018, e aponta diretamente à carga administrativa que mais pesa sobre as organizações pequenas.
Banners de cookies. Deixaria de ser necessário consentimento para cookies usados para transmitir uma comunicação, prestar um serviço pedido pelo utilizador, medir de forma agregada a audiência do próprio site ou garantir a segurança do serviço — as categorias que representam a maior parte do que um site típico de PME instala. Quando o consentimento continuasse a ser exigido, recusar teria de exigir um único clique, e a recusa teria de ser respeitada durante seis meses, em vez de voltar a perguntar a cada visita. Os navegadores poderiam também transmitir automaticamente a escolha do utilizador.
Notificação de violações. Hoje, o responsável pelo tratamento tem de notificar a autoridade de controlo de qualquer violação no prazo de 72 horas, salvo se for improvável que resulte num risco — um limiar que leva muitas organizações a notificar, por precaução, incidentes menores. A proposta exigiria notificação apenas quando for provável um risco elevado, alargaria o prazo para 96 horas e encaminharia as notificações por um ponto de entrada único da UE, em vez de canais separados ao abrigo do RGPD, da NIS2 e de outros quadros.
O que conta como dado pessoal. A proposta consagra na lei um critério centrado no responsável: uma informação não seria dado pessoal para uma organização que não consegue razoavelmente identificar a pessoa, mesmo que um terceiro consiga. Para empresas com conjuntos de dados pseudonimizados ou agregados, isto poderia reduzir à partida o que cai no âmbito do RGPD.
Treino de IA. A proposta confirmaria que o interesse legítimo pode ser o fundamento jurídico para tratar dados pessoais com vista a desenvolver e operar sistemas de IA, desde que existam salvaguardas como a minimização de dados e o direito de oposição.
| Área | Regra atual | Proposta |
|---|---|---|
| Cookies | Consentimento para tudo o que não seja estritamente necessário | Sem consentimento para finalidades de baixo risco; recusa num clique respeitada 6 meses |
| Violações | 72 horas, salvo risco improvável | 96 horas, só para violações de risco elevado, um portal da UE |
| Dado pessoal | Critério de identificabilidade amplo e objetivo | Avaliado na perspetiva do responsável |
| Treino de IA | Interesse legítimo justificado caso a caso | Interesse legítimo confirmado, com salvaguardas |
Nem tudo vai sobreviver. O texto de trabalho do Conselho retirou em junho de 2026 a reformulação dos cookies e a cláusula do interesse legítimo para a IA, e as organizações de defesa da privacidade criticam o pacote como desregulação disfarçada de simplificação. Um programa de conformidade construído sobre o projeto original da Comissão poderá ter de ser refeito quando chegar o texto final.
As alterações ao Regulamento da IA que já são lei
A parte do pacote dedicada à IA está fechada, e dá margem real às empresas que desenvolvem ou utilizam IA:
- Prazos de alto risco adiados. As regras para sistemas de IA de alto risco do anexo III — recrutamento, avaliação de crédito, educação e utilizações semelhantes — aplicam-se agora a partir de 2 de dezembro de 2027, em vez de 2 de agosto de 2026. Os sistemas abrangidos pela legislação europeia de segurança dos produtos (anexo I) seguem-se a 2 de agosto de 2028.
- Literacia em IA atenuada, não eliminada. As empresas deixam de ter de garantir um determinado nível de literacia em IA para cada trabalhador, e a Comissão e os Estados-Membros assumem um papel maior na sua promoção. Continuam a ser esperadas medidas que a apoiem, por isso guarde os registos de formação.
- Deteção de enviesamentos. As organizações podem tratar categorias especiais de dados pessoais quando necessário para detetar e corrigir enviesamentos, com salvaguardas rigorosas.
O que não mudou: as proibições de práticas de IA proibidas, em vigor desde fevereiro de 2025. E nada disto altera o RGPD. Uma ferramenta de IA que trate dados de clientes ou trabalhadores continua a precisar de um fundamento jurídico, de uma política de privacidade que a mencione e, em muitos casos, de uma AIPD — hoje, não em 2027.
O que não fica mais fácil: a fiscalização
Enquanto as regras são renegociadas, as autoridades continuam a aplicar as que estão em vigor — e os números não abrandam.
As coimas que fazem manchetes continuam a ter nomes conhecidos. O TikTok foi multado em 530 milhões de euros em 2025 por transferências de dados de utilizadores europeus para a China, depois da coima recorde de 1,2 mil milhões de euros aplicada à Meta em 2023 por transferências da UE para os EUA. Mas, para as empresas mais pequenas, a tendência mais importante é para onde a fiscalização se está a alargar.
As autoridades já não esperam por queixas. Verificam sites por iniciativa própria em busca de falhas nos cookies e na transparência, e as coimas atingem cada vez mais organizações das finanças, da saúde, das telecomunicações e do setor público. As infrações em foco são as fundamentais: os princípios do artigo 5.º, como a minimização dos dados, a limitação das finalidades e a limitação da conservação, e ainda os deveres de transparência dos artigos 12.º a 14.º, que o CEPD escolheu como tema da sua ação coordenada de 2026. São precisamente as áreas em que as organizações sem uma equipa de conformidade dedicada costumam ter lacunas — a começar por não saberem onde estão realmente todos os seus dados pessoais.
Cinco coisas a fazer já
O resumo honesto não é «o RGPD está a ficar mais fácil» nem «o RGPD está a ficar mais rigoroso». Está a ficar mais específico, enquanto a fiscalização se alarga. Isso pede alguns passos já, em vez de esperar para ver:
- Não desmonte o seu sistema de consentimento de cookies. As isenções propostas não são lei, o Conselho já as retirou uma vez do texto de trabalho e as autoridades verificam banners hoje. Corrigir os erros mais comuns dos banners compensa tanto com as regras antigas como com as novas.
- Passe a escrito o seu plano de resposta a violações. Quer o prazo acabe em 72 ou em 96 horas, não chega para decidir na altura quem decide, quem notifica e o que fica registado. Um plano documentado e ensaiado é o que torna qualquer dos prazos cumprível.
- Mapeie onde estão os seus dados pessoais. Um registo das atividades de tratamento e um mapa de dados atualizados são a base de todas as outras obrigações — e a primeira coisa que uma autoridade pede.
- Documente o fundamento jurídico da IA. Se desenvolve ou compra ferramentas de IA, registe já o fundamento ao abrigo do artigo 6.º e a sua avaliação de interesse legítimo. Se a cláusula proposta sobreviver, as autoridades vão rapidamente testar até que ponto esse interesse é realmente «legítimo» na prática.
- Aproveite o adiamento do Regulamento da IA, sem se acomodar. Se as regras de alto risco se aplicam a si, dezembro de 2027 está a cerca de 15 meses — mais ou menos o tempo que leva a montar um verdadeiro programa de gestão de riscos e documentação.
Conclusão
«Simplificação» não significa «menos escrutínio». O Regulamento da IA deu tempo às empresas, mas as alterações ao RGPD continuam em negociação e as autoridades de controlo verificam sites sem esperar que alguém lho peça. As empresas que ficarão à frente em 2026 serão as que corrigem o que é fiscalizado hoje, acompanhando ao mesmo tempo o que pode mudar amanhã.
Para as PME sem equipa jurídica ou de conformidade interna, este é o momento em que uma orientação estruturada e atualizada vale mais do que uma lista de verificação genérica do RGPD — porque a própria lista está a ser reescrita. Faça a auditoria gratuita da GDPRGard → para ver onde está hoje o seu site, ou marque uma consulta gratuita.
Fontes
- Comissão Europeia — entrada em vigor do AI Omnibus (em inglês)
- Parlamento Europeu — Legislative Train: proposta de Regulamento Digital Omnibus (em inglês)
- DLA Piper — GDPR Fines and Data Breach Survey, janeiro de 2026 (em inglês)
- RGPD — artigo 33.º, notificação de uma violação de dados pessoais
- RGPD — artigo 5.º, princípios relativos ao tratamento de dados pessoais
Leia também:
- Digital Omnibus da UE: o que muda no RGPD, e o que ficou encravado
- RGPD em 2026: coimas recorde, uma reforma em curso, e o que fazer agora
- O seu chatbot de IA não anonimiza nada