TL;DR
Na plenária comunicada a 21 de setembro de 2026 o CEPD adotou as Diretrizes 04/2026 sobre como as autoridades decidem aplicar uma coima, sozinha ou com os outros poderes de correção do art. 58.º, n.º 2. Cinco passos: base jurídica da coima, sujeito responsável, dolo ou negligência, agravantes e atenuantes, eficácia e proporcionalidade. Infração menor: em regra sem coima, eventualmente uma repreensão. Infração não menor: forte presunção de coima. Catorze exemplos práticos. Substituem as diretrizes do Grupo do Artigo 29 de 2017 e completam as 04/2022 sobre o cálculo do montante. Consulta aberta até 13 de novembro de 2026. Na mesma plenária foi adotada a versão final das diretrizes 3/2025 sobre a articulação entre o DSA e o RGPD.
O que muda
As diretrizes 04/2022 explicam como se calcula o montante de uma coima. Faltava o passo anterior: quando uma autoridade deve aplicar coima e quando pode limitar-se a outra medida. As novas diretrizes preenchem esse vazio e substituem o antigo documento do Grupo do Artigo 29. Descrevem também cada poder de correção — advertências, repreensões, ordens, limitações e proibições, retirada de certificação — com a sua finalidade e a forma como se combina com a coima.
Os cinco passos
- BASE JURÍDICA. A autoridade verifica se a infração pode dar lugar a coima, no RGPD ou na lei nacional.
- QUEM RESPONDE. Responsável ou subcontratante, conforme quem está vinculado pela norma violada: a segurança do art. 32.º, por exemplo, vincula ambos.
- DOLO OU NEGLIGÊNCIA. Sem culpa não há coima. É a linha já traçada pelo Tribunal de Justiça no acórdão Deutsche Wohnen (C-807/21, 5 de dezembro de 2023).
- AGRAVANTES E ATENUANTES. Se a infração é menor, em regra sem coima e no máximo uma repreensão; se não é, há uma forte presunção de que a coima deve ser aplicada.
- EFICAZ, PROPORCIONADA, DISSUASIVA. O último controlo, com margem para se afastar da abordagem padrão se o caso o justificar.
A presunção que conta
O ponto mais claro é o quarto passo. Fora das infrações menores, a coima já não é uma opção a justificar mas a regra, de que só se afasta por boas razões. Para quem contava com uma primeira repreensão «de cortesia», a margem estreita-se.
Porque conta também para as pequenas organizações
As diretrizes visam alinhar as autoridades europeias: a mesma infração deveria ter a mesma resposta em Roma, Lisboa ou Estocolmo. Para uma organização, isso torna ainda mais previsível o que pesa no quarto passo — cooperação, medidas já tomadas, documentação existente, correção rápida. E é precisamente isso que se constrói antes, não durante um processo.
O que significa para o EPD
Quatro passos
Um: a culpa é uma condição e avalia-se pelo que a organização sabia e tinha feito. Registo, AIPD, análises de risco e procedimentos datados provam que a negligência não existe ou é ligeira. Dois: manter o rasto das ações corretivas com datas e responsáveis, porque contam como atenuantes. Três: uma repreensão não é «nada»: é uma decisão que fica no processo e pesa como precedente. Quatro: quem quiser comentar tem até 13 de novembro de 2026. No DPO Workspace o diagnóstico do registo e o histórico de atividade já mantêm juntas datas, decisões e fundamentos.
Procura uma ferramenta para o seu trabalho de EPD?
O DPO Workspace foi construído por um DPO certificado. 30 dias de experiência gratuita.
Começar gratuitamente
