GDPR
A Europa tenta proteger os seus dados desde 1995. Só em 2018 a lei passou a ter força de verdade. As multas aplicadas já somam mais de €7 bilhões. E a publicidade comportamental continua sendo o modelo de negócios dominante.
Como ler esta página. Toque em qualquer palavra sublinhada para ver o termo jurídico exato e uma definição curta. Abra qualquer caixa "Mais a fundo" para ver as evidências e os pontos contestados. O texto principal se sustenta sozinho — você pode pular as duas coisas e ainda assim acompanhar o argumento inteiro.
O longo caminho
A Diretiva de Proteção de Dados da UE, de 1995, estabeleceu direitos básicos de privacidade. Nos anos 2010, ela já estava ultrapassada — Facebook, Google e Amazon tinham construído negócios bilionários sobre a coleta de dados comportamentais, numa escala que a Diretiva nunca tinha previsto. O GDPR foi adotado formalmente em 2016 e passou a ser aplicável em 25 de maio de 2018.
O que o GDPR exige
Dados pessoais só podem ser coletados com uma hipótese legal (lawful basis) — o que inclui um consentimento genuíno e informado. As pessoas têm o direito de acessar, corrigir e apagar os seus dados. Vazamentos de dados precisam ser comunicados em até 72 horas. As multas podem chegar a 4% do faturamento anual global. O regulamento vale para qualquer organização que trate dados de pessoas na UE — não importa onde a organização esteja sediada.
Hipótese legal (lawful basis)
Pelo GDPR, uma empresa não pode tratar os seus dados pessoais só porque quer; ela precisa de uma das seis “hipóteses legais”, e a mais discutida delas é o seu consentimento dado livremente, informado e específico. O detalhe está no “dado livremente”: um consentimento escondido numa caixa já marcada ou arrancado por um banner manipulador não é consentimento válido perante a lei — e é por isso que tanta fiscalização gira em torno de como a escolha foi desenhada, e não de se uma caixa foi clicada.
Fontes
- GDPR Article 6 — lawfulness of processing.
- GDPR Recital 32 — conditions for consent.
- European Data Protection Board (2023), Report of the work undertaken by the Cookie Banner Taskforce.
As multas
2019: a França multa o Google em €50 milhões. 2021: Luxemburgo multa a Amazon em €746 milhões — uma decisão anulada em recurso em março de 2026: o tribunal confirmou as infrações, mas devolveu o caso à autoridade reguladora. 2023: a Irlanda multa a Meta em €1,2 bilhão — a maior multa do GDPR já registrada — por transferir ilegalmente dados de usuários da UE para os Estados Unidos. 2023: a Irlanda multa o TikTok em €345 milhões por violações envolvendo dados de crianças. 2024: a Irlanda multa o LinkedIn em €310 milhões. 2025: o TikTok leva mais uma multa, de €530 milhões. As multas aplicadas com base no GDPR passam de €7 bilhões no total.
O que ele conquistou e o que não conquistou
O GDPR deixou estabelecido que a proteção de dados é um direito garantido por lei, com consequências financeiras. Ele criou uma norma global: seu alcance extraterritorial deu às empresas do mundo inteiro um motivo para atualizar suas práticas. O que ele não fez foi acabar com o capitalismo de vigilância. Os banners de consentimento de cookies, frequentemente desenhados como dark patterns para empurrar os usuários a aceitar, garantem uma conformidade apenas no papel. O modelo de vigilância comportamental continua. As multas são grandes em termos absolutos e pequenas diante das empresas a que são aplicadas: a multa recorde de €1,2 bilhão aplicada à Meta correspondeu a cerca de 1% da receita do grupo no ano anterior — mais ou menos quatro dias dessa receita — diante de um teto legal de 4%. A maior parte das maiores multas ainda está em recurso e não foi paga, e se multas desse tamanho mudam comportamentos é algo contestado: há poucas evidências, em qualquer sentido, de seu efeito dissuasório. O GDPR é o marco de privacidade mais forte do mundo e, ao mesmo tempo, uma resposta insuficiente para o tamanho do problema.
Dark patterns
Designs de interface que conduzem você para a escolha que a empresa prefere, e não para a que você faria livremente: o botão enorme de “Aceitar tudo” ao lado de um “Rejeitar” acinzentado, escondido a três cliques de distância. Eles exploram as configurações padrão, o atrito e a hierarquia visual. Pelo GDPR, há bons argumentos de que um consentimento obtido assim não foi dado livremente — mas os banners continuam quase universais, porque o custo de ignorar a regra é baixo diante do valor dos dados.
Fontes
- EDPB Guidelines 03/2022 on deceptive design patterns (2022; versão 2.0, adotada em 14 de fevereiro de 2023).
Como sabemos — por que €7 bilhões em multas aplicadas não mudaram o modelo
Três razões estruturais. Primeiro, a escala: uma multa recorde de €1,2 bilhão é dinheiro de verdade, mas correspondeu a cerca de 1% da receita da Meta no ano anterior, e ainda está em recurso; o quanto multas desse tamanho dissuadem é algo contestado, e há poucas evidências em qualquer sentido. Segundo, o gargalo da fiscalização: pelo mecanismo de “one-stop-shop” (balcão único) do GDPR, quem conduz o caso é a autoridade do país onde a empresa tem sua sede na UE — o que faz a maior parte dos casos da Big Tech passar pela DPC da Irlanda, criticada por outras autoridades por uma fiscalização lenta e restrita. Terceiro, o teatro da conformidade: um banner de consentimento pode estar tecnicamente presente e, mesmo assim, ser desenhado para anular a escolha que diz oferecer.
A leitura honesta. O GDPR conseguiu firmar a proteção de dados como um direito exigível e uma norma global; não conseguiu desmontar a vigilância como modelo de negócios, porque a economia desse modelo sobrevive às multas. Esse é um argumento sobre fiscalização e design, não sobre se valeu a pena aprovar a lei.
Fontes
- GDPR Enforcement Tracker — uma tabela atualizada das multas aplicadas com base no GDPR, citada pelo total acumulado: €7,57 bilhões em 17 de outubro de 2026.
- GDPR Article 6 — lawfulness of processing.
- GDPR Article 33 — notification of a personal data breach.
- GDPR Article 83 — general conditions for imposing administrative fines — “até 20 000 000 EUR, ou, no caso de uma empresa, até 4 % do seu volume de negócios anual a nível mundial correspondente ao exercício financeiro anterior, consoante o montante que for mais elevado” (art. 83(5)).
- EDPB Guidelines 03/2022 on deceptive design patterns (2022; versão 2.0, adotada em 14 de fevereiro de 2023).
- European Data Protection Supervisor (EDPS) — autoridade independente que supervisiona o tratamento de dados feito pelas próprias instituições da UE (diferente do EDPB, que coordena a aplicação do GDPR entre as autoridades nacionais).
- Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 … repealing Directive 95/46/EC (General Data Protection Regulation) — artigo 99(2): aplicável a partir de 25 de maio de 2018; artigo 94 e nota 4: a Diretiva 95/46/CE, de 24 de outubro de 1995, revogada a partir da mesma data.
- Conseil d'État, Décision n° 430810 du 19 juin 2020, Google LLC — confirma a multa de €50 milhões aplicada pela CNIL ao Google (deliberação SAN-2019-001, de 21 de janeiro de 2019).
- European Data Protection Board (28 de julho de 2021), Binding decision 1/2021 on the dispute arisen on the draft decision of the Irish Supervisory Authority regarding WhatsApp Ireland under Article 65(1)(a) GDPR — objeções de outras autoridades ao “limited scope of the investigation” (o escopo limitado da investigação); o Comitê “instructs the IE SA to set out a higher fine amount” (determina que a autoridade irlandesa fixe uma multa maior).
- Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (Alemanha), Ulrich Kelber (16 de março de 2021), carta à comissão LIBE do Parlamento Europeu sobre a DPC irlandesa (em alemão; cópia publicada pela noyb) — mais de 50 reclamações sobre o WhatsApp enviadas à DPC desde 2018, “von denen bis heute keine einzige abgeschlossen ist” (nenhuma delas encerrada até hoje).
- Zuboff, S. (2019), The Age of Surveillance Capitalism, PublicAffairs.
- Data Protection Commission, final decision IN-20-8-1 on Meta Platforms Ireland (data transfers) (12 de maio de 2023) — a multa de €1,2 bilhão e, como base, a receita da Meta em 2022, de US$ 116,61 bilhões (§9.124); a proporção (cerca de 1%) e os dias (cerca de quatro) foram calculados pela taxa de referência do BCE na data da decisão.
- Data Protection Commission — fines (atualizado em 21 de setembro de 2026): mais de €4,4 bilhões em multas aplicadas, cerca de €20 milhões arrecadados; uma multa em recurso não pode ser cobrada.
- Lintvedt, M. N. (2022), Putting a price on data protection infringement, International Data Privacy Law 12(1), 1–15 — “there is little evidence of the effect of mere imposition of fines” (há poucas evidências do efeito da simples aplicação de multas).
- Cour administrative (Luxembourg), arrêt n° 52757C du rôle (12 de março de 2026), Arrêt de la Cour administrative en relation avec un des grands acteurs mondiaux au niveau du commerce en ligne (Justice Luxembourg, 13 de março de 2026) — a decisão da CNPD de 15 de julho de 2021, que multou a Amazon em €746 milhões, anulada por inteiro; as infrações, confirmadas em linhas gerais; o caso, devolvido à CNPD para avaliar a culpa e escolher a medida.