Quando se sanciona e quando não: o CEPD põe por escrito a parte que faltava

A distinção entre os dois documentos é a única coisa a perceber bem. As orientações de 2022 respondem à pergunta «quanto»: parte-se da gravidade, encontra-se um ponto de partida, aplicam-se os fatores do art. 83.º, n.º 2, olha-se para o volume de negócios. As 04/2026 respondem a uma pergunta anterior que ninguém tinha posto por escrito de forma ordenada: «chega-se ou não à coima, e porque não a uma repreensão, a uma ordem ou a uma limitação». Até ontem essa parte era prática, ou seja, variava de autoridade para autoridade.

O método tem cinco passos, lidos por ordem: cada um pode encerrar o assunto antes do seguinte.

• Primeiro: a autoridade verifica se a infração imputada pode sequer dar lugar a uma coima, encontrando fundamento no RGPD ou no direito nacional.
• Segundo: verifica se a entidade investigada pode ser destinatária. Se responde o responsável ou o subcontratante depende de quem está vinculado pela disposição violada.
• Terceiro: avalia se a infração foi cometida com dolo ou negligência. A culpa é condição da coima, não um fator de desconto.
• Quarto: pesa as circunstâncias agravantes e atenuantes. Se a infração for menor, em regra não há coima e usa-se a repreensão; se não for menor, existe uma forte presunção de que a coima deve ser aplicada.
• Quinto: verifica se a coima é efetiva, proporcionada e dissuasora no caso concreto, e se há razões para se afastar da abordagem corrente.

O terceiro passo merece a mesma atenção, pela razão inversa. A culpa é apresentada como condição: sem dolo nem negligência não se aplica coima. Parece boa notícia para o responsável, e em parte é, mas converte-se de imediato num ónus prático. A ausência de culpa não se afirma, mostra-se: com a data em que um risco foi detetado, o parecer dado pelo EPD, a decisão tomada pelo órgão que a podia tomar, a intervenção executada. Uma organização que não deixa rasto destas coisas não tem como distinguir-se de uma negligente, porque de fora as duas parecem-se imenso.

A parte mais útil do documento, para quem trabalha, são os catorze exemplos práticos: casos construídos para mostrar como uma autoridade escolhe entre repreensão, ordem, limitação, proibição, retirada da certificação e coima, e quando as combina. É material que vale mais do que muitas páginas de princípios, porque torna legível a fronteira entre situações.

Uma última coisa, e tem prazo. O texto está em consulta pública até 13 de novembro de 2026: qualquer pessoa pode enviar observações, não apenas as associações do setor. Para um escritório que acompanha clientes em vários Estados é uma ocasião concreta, porque é precisamente a disparidade entre autoridades nacionais o problema que estas orientações declaram querer encerrar.