Resumo

  • As diretrizes 04/2026, adotadas pelo European Data Protection Board para consulta, propõem cinco perguntas para decidir se a multa do GDPR acompanha outra medida corretiva ou a substitui.
  • Para infrações menores, a minuta prevê em geral uma repreensão em vez de multa; se a infração não for menor, há forte presunção de multa, seguida de análise individual de proporcionalidade.

Constatar uma violação de dados pessoais não determina, por si só, qual deve ser a resposta. A autoridade pode ordenar uma correção, interromper um tratamento, aplicar uma repreensão, limitar uma atividade ou impor multa. A questão é qual medida enfrenta o problema comprovado e por quê.

O European Data Protection Board (EDPB) propõe organizar essa escolha em cinco etapas. Na mesma plenária, o EDPB também finalizou diretrizes separadas sobre a interação entre o DSA e o GDPR; esse trabalho não trata da escolha de uma multa. Em 17 de setembro, o órgão adotou a versão 1.0 das Diretrizes 04/2026 e abriu consulta pública.

A minuta pede que a autoridade supervisora nacional competente verifique, em sequência: se o GDPR ou a legislação nacional permite multar aquela infração; se a parte investigada era quem devia cumprir a obrigação violada; se houve intenção ou negligência; se os fatores do artigo 83(2) indicam infração menor; e se uma multa seria eficaz, proporcional e dissuasiva naquele caso.

O quarto passo estabelece a fronteira mais sensível. Segundo a minuta, uma infração menor em regra deve receber repreensão em vez de multa. Se não for menor, existe uma forte presunção a favor da multa. Isso não equivale a uma tabela de preços. A quinta etapa ainda exige avaliar se a sanção atende aos fins legais no caso concreto e se há motivo para sair da prática padrão da autoridade.

O texto trata da escolha da medida, não do cálculo do valor. As Diretrizes 04/2022 do EDPB já abordam como calcular uma multa. Portanto, empresas não devem interpretar a nova minuta como uma planilha que converte automaticamente uma infração em determinado valor. Ela também não cria um novo poder de sancionar: a base legal continua no GDPR, especialmente nos artigos 58 e 83, e a decisão cabe à autoridade supervisora competente, não ao EDPB como conselho.

O Tribunal de Justiça já havia delimitado essa margem no processo C-768/21, Land Hessen. A autoridade de proteção de dados não precisa aplicar multa toda vez que constata uma infração. Mas deve adotar uma medida corretiva quando ela for adequada, necessária e proporcional para corrigir o problema e fazer cumprir o GDPR. A proposta do EDPB busca tornar essa discricionariedade mais compreensível entre casos sem afastar o dever de fiscalização. O texto permite pular etapas que não se aplicam e esclarece que os exemplos ilustram raciocínios, não são precedentes.

A diferença entre advertência e multa mostra por que a sequência importa. A advertência do GDPR trata de operações planejadas que ainda não configuram infração; a minuta diz que não cabe combiná-la com multa pela mesma conduta. Uma repreensão, uma ordem ou uma restrição atende a outra situação jurídica e pode ter outro propósito. Algumas medidas restauram a conformidade; a multa também busca dissuadir. Tratar todas como ferramentas equivalentes esconderia o objetivo da autoridade.

O prazo para comentários termina em 13 de novembro de 2026, às 23h59 CET. O EDPB informa que publicará as contribuições após uma verificação limitada a envios não autorizados, como spam. O órgão pede que participantes removam dados pessoais e metadados que não queiram tornar públicos; endereços de e-mail não serão publicados. A consulta deve testar se o limite entre uma infração menor e a forte presunção de multa orienta as autoridades sem transformar a presunção em punição automática.

Fontes

  1. Comunicado da sessão plenária do EDPB
  2. Diretrizes 04/2026, versão 1.0
  3. Consulta pública e condições de envio
  4. GDPR, Regulamento (UE) 2016/679
  5. Tribunal de Justiça, processo C-768/21, Land Hessen
  6. Diretrizes 04/2022 do EDPB sobre cálculo de multas
  7. Visão do EDPB sobre multas e medidas corretivas do GDPR
  8. Comunicado 149/24 do Tribunal de Justiça sobre Land Hessen
  9. Diretrizes 3/2025 do EDPB sobre a interação entre o DSA e o GDPR