Multas do GDPR sobem 230% e atingem €225,9 milhões no 2º trimestre de 2026

A média diária do segundo trimestre foi mais de três vezes superior à do primeiro. Ainda assim, totais trimestrais podem ser distorcidos por um pequeno número de decisões excepcionalmente altas. Portanto, o valor agregado não deve ser interpretado como uma multa típica para toda empresa ou ação fiscalizatória.

Maiores casos envolveram diferentes países europeus

Holanda: multa de €100 milhões ligada ao Yango

O maior caso individual do trimestre envolveu a MLU B.V., empresa sediada na Holanda e associada ao aplicativo de transporte Yango. A Autoridade Holandesa de Proteção de Dados aplicou uma multa de aproximadamente €100 milhões e determinou que a empresa interrompesse determinadas transferências de dados pessoais para a Rússia quando os requisitos do GDPR não fossem atendidos.

O caso se concentrou na falta de salvaguardas adequadas para transferências a países terceiros. Segundo os relatos, os dados afetados estavam relacionados a usuários do Yango na Finlândia e na Noruega, tornando a decisão um alerta importante para empresas que dependem de fluxos internacionais de dados ou de empresas do mesmo grupo localizadas fora da Europa.

A principal lição é que a existência de contratos ou documentos formais de transferência não elimina, por si só, o risco. As empresas também precisam avaliar se o país de destino, o destinatário e as medidas técnicas e organizacionais oferecem proteção efetiva na prática.

França: €42 milhões contra Free Mobile e Free

Reguladores franceses aplicaram um total combinado de €42 milhões em penalidades contra as empresas de telecomunicações Free Mobile e Free. O pacote incluiu uma multa de €27 milhões contra a Free Mobile e outra penalidade contra a Free, com deficiências de segurança entre os problemas relatados.

Operadoras de telecomunicações armazenam grandes volumes de dados de clientes e contas. Por isso, falhas na proteção de informações de assinantes podem ter consequências especialmente graves. Os casos franceses também contribuíram para fazer da França um dos principais países no total de multas do primeiro trimestre, quando França e Reino Unido responderam juntos por 94% das penalidades registradas.

Itália: €31,8 milhões contra o Intesa Sanpaolo

Na Itália, o Intesa Sanpaolo recebeu uma multa de €31,8 milhões por falhas na proteção de dados bancários de clientes, segundo o levantamento de fiscalização do segundo trimestre.

O caso evidencia a exposição de instituições financeiras, que processam informações sensíveis de identidade, transações e contas e precisam manter controles consistentes em ambientes de dados amplos e complexos.

Reino Unido: multa de £14,47 milhões contra o Reddit

O órgão britânico de proteção de dados, o Information Commissioner’s Office (ICO), aplicou ao Reddit uma multa de £14,47 milhões após concluir que a plataforma utilizou ilegalmente informações pessoais de crianças. O ICO afirmou que o Reddit não verificava adequadamente a idade dos usuários que acessavam o serviço e não adotava medidas robustas para proteger menores. A empresa recorreu da notificação de penalidade financeira.

A decisão coloca a verificação etária e a privacidade infantil entre as prioridades das plataformas online — e não como meros complementos de um programa geral de privacidade. O caso também mostra que os reguladores podem analisar como os serviços identificam usuários mais jovens e como seus dados são utilizados, em vez de se limitar à investigação de vazamentos.

Segurança e base legal continuam entre os maiores riscos

Os casos do segundo trimestre refletem problemas recorrentes de conformidade:

• Medidas técnicas e organizacionais de segurança insuficientes, incluindo falhas na proteção de dados de clientes ou assinantes.
• Processamento sem base legal suficiente, como consentimento inadequado ou outro fundamento jurídico não comprovado.
• Controles frágeis de privacidade infantil, incluindo verificações de idade ineficazes e uso ilegal de informações de crianças.
• Salvaguardas insuficientes para transferências internacionais, especialmente quando os dados pessoais são enviados a um país que não oferece nível adequado de proteção.

Esses riscos não aparecem de forma isolada. Uma empresa pode ter uma política de privacidade formalmente bem redigida e, ainda assim, ser punida se seus controles operacionais, avisos aos usuários, práticas de consentimento ou contratos com fornecedores não corresponderem ao que está documentado.

Mídia, finanças e setores intensivos em dados estão mais expostos

O levantamento da Finbold indicou que empresas dos setores de mídia e finanças responderam por seis das dez maiores multas do segundo trimestre. Somados aos casos de telecomunicações e tecnologia, os dados apontam para uma exposição maior de organizações que combinam grandes bases de usuários com informações detalhadas, sensíveis ou comercialmente valiosas.

Isso não significa que a fiscalização esteja restrita a poucos setores. Empresas que processam dados em larga escala e têm contato direto com consumidores simplesmente enfrentam mais pontos de risco, incluindo segurança, criação de perfis, consentimento, retenção, controle de acesso e transferências internacionais.

O que as empresas que atuam na Europa devem priorizar

O padrão de fiscalização sustenta uma lista prática de prioridades:

1. Relacionar cada atividade de tratamento a uma base legal. Documente por que cada categoria de dado pessoal é coletada e utilizada e confirme se o consentimento é válido quando necessário.
2. Testar os controles de segurança na prática. Revise gestão de acessos, autenticação, resposta a incidentes, criptografia e controles de fornecedores — e não apenas as políticas escritas.
3. Criar um processo real de proteção infantil. Serviços que possam ser acessados por menores devem avaliar métodos de verificação de idade e aplicar salvaguardas adequadas ao tratamento de dados de crianças.
4. Reavaliar transferências para países terceiros. Mantenha avaliações de risco, utilize salvaguardas contratuais e técnicas apropriadas e confirme se o destinatário consegue cumprir as exigências no país de destino.
5. Levar tratamentos de alto risco ao nível do conselho. O risco de privacidade deve estar conectado aos relatórios operacionais, de cibersegurança e de riscos corporativos, sobretudo em empresas de mídia, tecnologia, finanças e telecomunicações.

A mensagem mais clara do segundo trimestre é o tamanho do impacto financeiro quando um controle importante falha. A decisão relacionada ao Yango, de €100 milhões, sozinha representou quase metade do valor total das multas reportadas no período. O total, porém, deve ser analisado com cautela, pois agregados de fiscalização podem ser dominados por multas extraordinariamente elevadas.

O total do segundo trimestre e a comparação com o trimestre anterior divulgados pela Finbold são sustentados pelo material fornecido. Já alguns valores detalhados por empresa e a divisão por setores foram extraídos de resumos secundários ou produzidos por usuários. Esses dados devem ser tratados como resultados reportados, e não como substitutos da consulta às decisões originais dos reguladores.