--- title: "GDPR" description: "O marco europeu de proteção de dados — o que ele conquistou, o que não conquistou e multas aplicadas que, somadas, passam de €7 bilhões." url: https://attentionmachine.org/pt/leis/gdpr/ lang: pt updated: 2026-10-25 license: "CC BY-NC-SA 4.0 (https://creativecommons.org/licenses/by-nc-sa/4.0/)" --- > **Conteúdo em revisão por voluntários** Falantes nativos estão conferindo esta tradução com o original em inglês. [Como traduzimos e como informar um erro (em inglês)](https://attentionmachine.org/en/about/translations/#volunteer-review) # GDPR A Europa tenta proteger os seus dados desde 1995. Só em 2018 a lei passou a ter força de verdade. As multas aplicadas já somam mais de €7 bilhões. E a publicidade comportamental continua sendo o modelo de negócios dominante. ## O longo caminho A Diretiva de Proteção de Dados da UE, de 1995[^src-regulation-2016], estabeleceu direitos básicos de privacidade. Nos anos 2010, ela já estava ultrapassada — Facebook, Google e Amazon tinham construído negócios bilionários sobre a coleta de dados comportamentais[^src-zuboff-2019], numa escala que a Diretiva nunca tinha previsto. O GDPR foi adotado formalmente em 2016 e passou a ser aplicável em 25 de maio de 2018[^src-regulation-2016]. ## O que o GDPR exige Dados pessoais só podem ser coletados com uma hipótese legal (lawful basis) — o que inclui um consentimento genuíno e informado. As pessoas têm o direito de acessar, corrigir e apagar os seus dados[^src-regulation-2016]. Vazamentos de dados precisam ser comunicados em até 72 horas[^src-gdpr-c]. As multas podem chegar a 4% do faturamento anual global[^src-gdpr-d]. O regulamento vale para qualquer organização que trate dados de pessoas na UE[^src-regulation-2016] — não importa onde a organização esteja sediada. > **Hipótese legal (lawful basis)** > > Pelo GDPR, uma empresa não pode tratar os seus dados pessoais só porque quer; ela precisa de uma das seis “hipóteses legais”, e a mais discutida delas é o seu consentimento dado livremente, informado e específico. O detalhe está no “dado livremente”: um consentimento escondido numa caixa já marcada ou arrancado por um banner manipulador não é consentimento válido perante a lei — e é por isso que tanta fiscalização gira em torno de como a escolha foi desenhada, e não de se uma caixa foi clicada. > > **Fontes** > > - [GDPR Article 6 — lawfulness of processing](https://gdpr-info.eu/art-6-gdpr/). > - [GDPR Recital 32 — conditions for consent](https://gdpr-info.eu/recitals/no-32/). > - European Data Protection Board (2023), [_Report of the work undertaken by the Cookie Banner Taskforce_](https://www.edpb.europa.eu/system/files/documents/2023-01/edpb_20230118_report_cookie_banner_taskforce_en.pdf). ## As multas 2019: a França multa o Google em €50 milhões[^src-conseil-detat-2020]. 2021: Luxemburgo multa a Amazon em €746 milhões — uma decisão anulada em recurso em março de 2026[^src-cour-administrative-2026]: o tribunal confirmou as infrações, mas devolveu o caso à autoridade reguladora. 2023: a Irlanda multa a Meta em €1,2 bilhão[^src-data-protection-2023] — a maior multa do GDPR já registrada — por transferir ilegalmente dados de usuários da UE para os Estados Unidos. 2023: a Irlanda multa o TikTok em €345 milhões[^src-data-protection-2026] por violações envolvendo dados de crianças. 2024: a Irlanda multa o LinkedIn em €310 milhões[^src-data-protection-2026]. 2025: o TikTok leva mais uma multa, de €530 milhões[^src-data-protection-2026]. As multas aplicadas com base no GDPR[^src-gdpr] passam de €7 bilhões no total. ## O que ele conquistou e o que não conquistou O GDPR deixou estabelecido que a proteção de dados é um direito garantido por lei, com consequências financeiras. Ele criou uma norma global: seu alcance extraterritorial deu às empresas do mundo inteiro um motivo para atualizar suas práticas. O que ele não fez foi acabar com o capitalismo de vigilância[^src-zuboff-2019]. Os banners de consentimento de cookies, frequentemente desenhados como dark patterns para empurrar os usuários a aceitar, garantem uma conformidade apenas no papel. O modelo de vigilância comportamental continua. As multas são grandes em termos absolutos e pequenas diante das empresas a que são aplicadas: a multa recorde de €1,2 bilhão aplicada à Meta correspondeu a cerca de 1% da receita do grupo no ano anterior[^src-data-protection-2023] — mais ou menos quatro dias dessa receita — diante de um teto legal de 4%[^src-gdpr-d]. A maior parte das maiores multas ainda está em recurso e não foi paga[^src-data-protection-2026], e se multas desse tamanho mudam comportamentos é algo contestado: há poucas evidências, em qualquer sentido, de seu efeito dissuasório[^src-lintvedt-2022]. O GDPR é o marco de privacidade mais forte do mundo e, ao mesmo tempo, uma resposta insuficiente para o tamanho do problema. > **Dark patterns** > > Designs de interface que conduzem você para a escolha que a empresa prefere, e não para a que você faria livremente: o botão enorme de “Aceitar tudo” ao lado de um “Rejeitar” acinzentado, escondido a três cliques de distância. Eles exploram as configurações padrão, o atrito e a hierarquia visual. Pelo GDPR, há bons argumentos de que um consentimento obtido assim não foi dado livremente — mas os banners continuam quase universais, porque o custo de ignorar a regra é baixo diante do valor dos dados. > > **Fontes** > > - [EDPB Guidelines 03/2022 on deceptive design patterns](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-032022-deceptive-design-patterns-social-media_en) (2022; versão 2.0, adotada em 14 de fevereiro de 2023). **Como sabemos — por que €7 bilhões em multas aplicadas não mudaram o modelo** Três razões estruturais. Primeiro, a escala: uma multa recorde de €1,2 bilhão[^src-data-protection-2023] é dinheiro de verdade, mas correspondeu a cerca de 1% da receita da Meta no ano anterior, e ainda está em recurso[^src-data-protection-2026]; o quanto multas desse tamanho dissuadem é algo contestado, e há poucas evidências em qualquer sentido[^src-lintvedt-2022]. Segundo, o gargalo da fiscalização: pelo mecanismo de “one-stop-shop” (balcão único) do GDPR, quem conduz o caso é a autoridade do país onde a empresa tem sua sede na UE — o que faz a maior parte dos casos da Big Tech passar pela DPC da Irlanda, criticada por outras autoridades[^src-european-data-2021] por uma fiscalização lenta e restrita[^src-federal-commissioner-2021]. Terceiro, o teatro da conformidade: um banner de consentimento pode estar tecnicamente presente e, mesmo assim, ser desenhado para anular a escolha que diz oferecer. **A leitura honesta.** O GDPR conseguiu firmar a proteção de dados como um direito exigível e uma norma global; não conseguiu desmontar a vigilância como modelo de negócios, porque a economia desse modelo sobrevive às multas. Esse é um argumento sobre fiscalização e design, não sobre se valeu a pena aprovar a lei. ## Fontes [^src-gdpr]: [GDPR Enforcement Tracker](https://www.enforcementtracker.com) — uma tabela atualizada das multas aplicadas com base no GDPR, citada pelo total acumulado: €7,57 bilhões em 17 de outubro de 2026. [^src-gdpr-b]: [GDPR Article 6 — lawfulness of processing](https://gdpr-info.eu/art-6-gdpr/). [^src-gdpr-c]: [GDPR Article 33 — notification of a personal data breach](https://gdpr-info.eu/art-33-gdpr/). [^src-gdpr-d]: [GDPR Article 83 — general conditions for imposing administrative fines](https://gdpr-info.eu/art-83-gdpr/) — “até 20 000 000 EUR, ou, no caso de uma empresa, até 4 % do seu volume de negócios anual a nível mundial correspondente ao exercício financeiro anterior, consoante o montante que for mais elevado” (art. 83(5)). [^src-edpb-2022]: [EDPB Guidelines 03/2022 on deceptive design patterns](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-032022-deceptive-design-patterns-social-media_en) (2022; versão 2.0, adotada em 14 de fevereiro de 2023). [^src-edps]: [European Data Protection Supervisor (EDPS) — autoridade independente que supervisiona o tratamento de dados feito pelas próprias instituições da UE](https://www.edps.europa.eu/data-protection/our-work_en) (diferente do EDPB, que coordena a aplicação do GDPR entre as autoridades nacionais). [^src-regulation-2016]: [_Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 … repealing Directive 95/46/EC (General Data Protection Regulation)_](https://eur-lex.europa.eu/eli/reg/2016/679/oj) — artigo 99(2): aplicável a partir de 25 de maio de 2018; artigo 94 e nota 4: a Diretiva 95/46/CE, de 24 de outubro de 1995, revogada a partir da mesma data. [^src-conseil-detat-2020]: Conseil d'État, [_Décision n° 430810 du 19 juin 2020, Google LLC_](https://www.conseil-etat.fr/fr/arianeweb/CE/decision/2020-06-19/430810) — confirma a multa de €50 milhões aplicada pela CNIL ao Google (deliberação SAN-2019-001, de 21 de janeiro de 2019). [^src-european-data-2021]: European Data Protection Board (28 de julho de 2021), [_Binding decision 1/2021 on the dispute arisen on the draft decision of the Irish Supervisory Authority regarding WhatsApp Ireland under Article 65(1)(a) GDPR_](https://www.edpb.europa.eu/system/files/documents/2021-09/edpb_bindingdecision_202101_ie_sa_whatsapp_redacted_en.pdf) — objeções de outras autoridades ao “limited scope of the investigation” (o escopo limitado da investigação); o Comitê “instructs the IE SA to set out a higher fine amount” (determina que a autoridade irlandesa fixe uma multa maior). [^src-federal-commissioner-2021]: Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (Alemanha), Ulrich Kelber (16 de março de 2021), [carta à comissão LIBE do Parlamento Europeu sobre a DPC irlandesa](https://noyb.eu/sites/default/files/2021-03/Letter%20BfDI%20-%20LIBE%20on%20Irish%20DPC.pdf) (em alemão; cópia publicada pela noyb) — mais de 50 reclamações sobre o WhatsApp enviadas à DPC desde 2018, “von denen bis heute keine einzige abgeschlossen ist” (nenhuma delas encerrada até hoje). [^src-zuboff-2019]: Zuboff, S. (2019), _The Age of Surveillance Capitalism_, PublicAffairs. [^src-data-protection-2023]: [Data Protection Commission, final decision IN-20-8-1 on Meta Platforms Ireland (data transfers)](https://www.dataprotection.ie/sites/default/files/uploads/2023-06/12.05.2023%20Decision%20IN-20-8-1%20Meta%20Platform%20Ireland%20Limited%20%28Facebook%29%20data%20transfers.pdf) (12 de maio de 2023) — a multa de €1,2 bilhão e, como base, a receita da Meta em 2022, de US$ 116,61 bilhões (§9.124); a proporção (cerca de 1%) e os dias (cerca de quatro) foram calculados pela taxa de referência do BCE na data da decisão. [^src-data-protection-2026]: [Data Protection Commission — fines](https://www.dataprotection.ie/en/dpc-guidance/decisions/fines) (atualizado em 21 de setembro de 2026): mais de €4,4 bilhões em multas aplicadas, cerca de €20 milhões arrecadados; uma multa em recurso não pode ser cobrada. [^src-lintvedt-2022]: Lintvedt, M. N. (2022), [_Putting a price on data protection infringement_](https://doi.org/10.1093/idpl/ipab024), International Data Privacy Law 12(1), 1–15 — “there is little evidence of the effect of mere imposition of fines” (há poucas evidências do efeito da simples aplicação de multas). [^src-cour-administrative-2026]: Cour administrative (Luxembourg), arrêt n° 52757C du rôle (12 de março de 2026), [_Arrêt de la Cour administrative en relation avec un des grands acteurs mondiaux au niveau du commerce en ligne_](https://justice.public.lu/fr/actualites/2026/03/arret-cour-administrative-amazon.html) (Justice Luxembourg, 13 de março de 2026) — a decisão da CNPD de 15 de julho de 2021, que multou a Amazon em €746 milhões, anulada por inteiro; as infrações, confirmadas em linhas gerais; o caso, devolvido à CNPD para avaliar a culpa e escolher a medida. [Digital Services Act →](https://attentionmachine.org/pt/leis/dsa/) --- Parte do conteúdo deste site foi criada com o auxílio de ferramentas de IA e pode conter erros. [Como usamos IA →](https://attentionmachine.org/pt/sobre/como-usamos-ia/)