Multas por GDPR disparam 230% e chegam a €225,88 milhões no 2º trimestre de 2026

O resultado neerlandês foi praticamente determinado pela multa de €100 milhões aplicada à MLU B.V., operadora do aplicativo de transporte Yango e sucessora da Ridetech International B.V. A Autoridade de Proteção de Dados dos Países Baixos concluiu que dados pessoais de usuários e motoristas da Finlândia e da Noruega haviam sido transferidos para a Rússia sem proteção adequada. A empresa também recebeu uma ordem para interromper as transferências, salvo se fossem adotadas salvaguardas compatíveis com o GDPR.

Por que o caso Yango é relevante

O caso evidencia um dos pontos mais sensíveis da proteção de dados: usar Cláusulas Contratuais-Padrão da União Europeia não resolve, por si só, todos os riscos de uma transferência internacional. Segundo os relatos disponíveis, a autoridade neerlandesa considerou fatores como o possível acesso russo às chaves de criptografia e a existência de uma gestão compartilhada entre Países Baixos e Rússia — circunstâncias que poderiam facilitar o acesso aos dados e sua reidentificação.

A orientação do regulador neerlandês estabelece que transferências para países terceiros exigem um nível adequado de proteção, salvaguardas apropriadas ou uma exceção específica. As Cláusulas Contratuais-Padrão são uma dessas salvaguardas possíveis, mas as organizações ainda precisam verificar se a proteção funciona efetivamente nas circunstâncias concretas da transferência.

Na França, maiores multas envolveram falhas de segurança

O total de €52 milhões registrado na França incluiu vários casos relevantes. A FREE MOBILE recebeu multa de €27 milhões, enquanto sua controladora, a FREE, foi penalizada em €15 milhões após uma grande violação de dados. A IQVIA Operations France também recebeu uma multa de €15 milhões por falhas relacionadas a dados de saúde.

Em conjunto, os casos reforçam o impacto financeiro de não proteger informações sensíveis ou de manter controles de segurança ineficazes. Eles também mostram que a fiscalização pode alcançar empresas relacionadas quando as responsabilidades pelo tratamento e pela segurança dos dados estão distribuídas dentro de um grupo corporativo.

Itália teve bancos no centro das penalidades

A Itália acumulou €45,50 milhões em multas. A maior parcela veio da penalidade de €31,8 milhões aplicada ao Intesa Sanpaolo por deficiências na proteção dos dados bancários de seus clientes. A Poste Italiane e a PostePay também foram multadas em €6,62 milhões e €5,88 milhões, respectivamente, por falhas relacionadas à gestão de aplicativos bancários.

Os casos italianos colocam as instituições financeiras entre os setores mais expostos quando controles de acesso, governança de dados ou processos de serviços digitais não protegem adequadamente as informações dos clientes.

Multa contra o Reddit destaca risco de verificação de idade insuficiente

O Information Commissioner’s Office (ICO), autoridade britânica de proteção de dados, aplicou ao Reddit uma multa de £14,47 milhões (€16,61 milhões) por falhas na verificação de idade e pelo tratamento ilegal de dados de crianças.

O caso amplia o panorama da fiscalização para além de vazamentos e transferências internacionais. Plataformas que tratam informações de crianças também precisam demonstrar que seus controles de idade e suas práticas de tratamento têm base legal e oferecem proteção adequada.

Quais violações e setores apareceram com mais frequência?

A análise da Finbold identificou que falhas de segurança e a ausência de base legal para o tratamento de dados responderam por praticamente todas as principais penalidades consideradas no levantamento do segundo trimestre.

Entre as dez maiores multas, os setores de mídia e finanças apareceram três vezes cada. Transporte e energia responderam por dois dos dez maiores casos, incluindo a maior penalidade neerlandesa, relacionada à Yango.

O padrão é relevante para organizações que ainda enxergam o risco do GDPR como um problema exclusivamente técnico. Os casos do trimestre indicam que os reguladores também estão avaliando os fundamentos do uso de dados pessoais: se o tratamento é legal, se as salvaguardas funcionam na prática, se as transferências internacionais podem ser justificadas e se a empresa supervisiona adequadamente parceiros e estruturas corporativas.

O que os números do segundo trimestre significam para as empresas

O aumento expressivo não significa que todas as organizações estejam sujeitas ao mesmo nível de exposição. Além disso, a pesquisa é uma compilação de valores de multas reportadas, e não uma previsão de penalidades futuras. Ainda assim, os dados deixam um sinal claro de conformidade: grandes multas podem resultar de fragilidades jurídicas, operacionais, técnicas e organizacionais combinadas.

Para empresas que tratam dados pessoais, as principais áreas de revisão são:

• Base legal: documentar por que cada atividade relevante de tratamento é permitida e verificar se a base declarada corresponde ao uso efetivo dos dados.
• Controles de segurança: testar se acesso, criptografia, monitoramento e resposta a incidentes protegem os dados na prática.
• Transferências internacionais: avaliar o ambiente jurídico e técnico real de cada país de destino, em vez de depender apenas de cláusulas contratuais.
• Supervisão de terceiros: manter contratos de tratamento, divisão de responsabilidades e procedimentos de verificação claros para fornecedores e empresas afiliadas.
• Dados de crianças e garantia de idade: assegurar que os processos de verificação de idade e proteção infantil permitam um tratamento legal e proporcional.

A principal conclusão da análise da Finbold é que a fiscalização do GDPR se tornou um risco financeiro relevante para organizações com governança de dados frágil. Os maiores casos não se limitaram a falhas técnicas pontuais: envolveram problemas estruturais de tratamento legal, segurança, transferências internacionais e supervisão.