Notícias Regulatórias da UE

Se é filial ou sucursal na UE de um grupo de fora da UE com volume de negócios líquido na UE superior a 150 milhões de euros: Verifique se o seu grupo-mãe de fora da UE supera o limiar do Artigo 40.°-A (volume de negócios líquido na UE de 150 milhões de euros em cada um dos dois últimos exercícios consecutivos, mais uma filial ou sucursal na UE com volume de negócios líquido superior a 40 milhões de euros). Se abrangido, o grupo deve preparar relatórios de sustentabilidade equivalentes ao CSRD ao abrigo das ESRS-40a a partir do exercício com início a 1 de janeiro de 2028. A consulta do EFRAG encerra a 31 de outubro de 2026: envolva a equipa de sustentabilidade ou jurídica do seu grupo para rever o Projeto de Exposição e considere submeter uma resposta. Se é um grupo de fora da UE a avaliar a sua presença regulatória na UE: O Artigo 40.°-A não exige que a sua filial na UE reporte separadamente; a obrigação de relato situa-se ao nível do grupo-mãe de fora da UE numa base consolidada. A avaliação de dupla materialidade do seu grupo e os relatórios ESRS-40a serão registados no registo da UE. Inicie já a análise de lacunas face às normas ESRS-40a provisórias para determinar as alterações de recolha de dados e de governação necessárias antes de 2028. Mapeie as suas obrigações ao abrigo do CSRD e realize a sua avaliação de dupla materialidade com a Avaliação de Prontidão CSRD da Verdaio.

Se desenvolver ou utilizar sistemas de IA de alto risco autónomos nas categorias do Anexo III (biometria, infraestruturas críticas, educação, emprego, serviços essenciais, aplicação da lei, migração ou justiça): O prazo de conformidade para o seu sistema foi prorrogado de 2 de agosto de 2026 para 2 de dezembro de 2027 pelo Regulamento (UE) 2026/1744. Deixou de ser obrigado a estar em plena conformidade até 2 de agosto de 2026, mas o seu trabalho de avaliação de conformidade, documentação de gestão de risco, processo técnico e registo na base de dados da UE devem ser concluídos antes de 2 de dezembro de 2027. Não interrompa as suas preparações de conformidade: utilize o prazo alargado para colmatar lacunas em vez de atrasar. Se desenvolver ou utilizar produtos com IA sujeitos à legislação setorial do Anexo I (dispositivos médicos, máquinas, aviação, veículos): O seu prazo de conformidade foi alterado de 2 de agosto de 2027 para 2 de agosto de 2028. Reveja o seu roteiro de conformidade atual e ajuste os seus marcos face ao novo prazo. Se fornecer ou utilizar qualquer sistema de IA com obrigações de transparência do Artigo 50.° (divulgação de interação, marcação de conteúdo sintético, rotulagem de deepfakes): O Regulamento (UE) 2026/1744 não altera a data de aplicação de 2 de agosto de 2026 das obrigações do Artigo 50.°. Estas aplicam-se conforme planeado. Analise as orientações da Comissão sobre o Artigo 50.° publicadas a 20 de julho de 2026 e certifique-se de que a sua implementação está ativa até 2 de agosto de 2026. Se desenvolver sistemas de IA que possam gerar imagens íntimas ou qualquer conteúdo envolvendo menores: A nova proibição ao abrigo do Artigo 5.° revisto aplica-se a partir de 27 de julho de 2026. Certifique-se de que o seu sistema inclui controlos que impeçam a geração de NCII ou CSAM. Avalie as suas obrigações ao abrigo da Lei IA da UE com a Verificação Rápida Lei IA da Verdaio.

Se é um hospital, clínica ou prestador de cuidados de saúde sujeito à NIS2 como entidade essencial: Analise as orientações de aquisição da ENISA face aos seus modelos de contratos com fornecedores e especificações de aquisição de TIC atuais. As orientações fornecem uma lista de verificação estruturada para as obrigações de segurança da cadeia de fornecimento ao abrigo do Artigo 21.°, n.° 2, alínea d), da NIS2, e a sua adoção reforça a sua documentação de conformidade antes dos requisitos setoriais específicos ao abrigo do Regulamento de Execução (UE) 2024/2690 que se aplicam a partir de 18 de janeiro de 2027. Se é fornecedor de TIC para o setor da saúde: Espere que as equipas de aquisição de clientes hospitalares e de clínicas introduzam requisitos de cibersegurança alinhados com a NIS2 nos documentos de concurso e nos termos contratuais com base nas orientações da ENISA. Analise a sua documentação de segurança, procedimentos de resposta a incidentes e controlos da cadeia de fornecimento de software face aos requisitos para fornecedores das orientações. Se trata dados de doentes ou opera dispositivos médicos ligados a redes hospitalares: Os controlos de segurança da cadeia de fornecimento ao abrigo da NIS2 aplicam-se à sua relação contratual com o operador de saúde. Avalie as suas obrigações NIS2 com o NIS2 Quick Check da Verdaio.

Se fornecer ou utilizar qualquer sistema de IA que gere conteúdo sintético, interaja com utilizadores, reconheça emoções ou categorize utilizadores biometricamente: As obrigações de transparência do Artigo 50.° aplicam-se a partir de 2 de agosto de 2026. Analise as orientações da Comissão em função de cada categoria do Artigo 50.° relevante para o seu sistema: divulgação de interação (Artigo 50.°, n.° 1), marcação legível por máquina de conteúdo sintético (Artigo 50.°, n.° 2), rotulagem de deepfakes e conteúdo manipulado (Artigo 50.°, n.° 4), e aviso de reconhecimento de emoções ou categorização biométrica (Artigo 50.°, n.° 3). Se assinou o Código de Boas Práticas sobre Transparência de Conteúdo Gerado por IA até 22 de julho de 2026, beneficia de uma presunção de conformidade com os Artigos 50.°, n.°s 2, 4 e 5; demonstre a conformidade independente com o Artigo 50.° através de documentação técnica se não assinou. Se fornecer um modelo GPAI cujos resultados são utilizados por fornecedores ou utilizadores a jusante: O Artigo 50.°, n.° 5, exige que equipe os operadores a jusante com as informações necessárias para cumprir as suas próprias obrigações de transparência; analise a sua documentação de API e fichas de modelo face aos requisitos do Artigo 50.°, n.° 5 das orientações. Se o seu sistema de IA já estava no mercado antes de 2 de agosto de 2026: O período de tolerância para sistemas legados até 2 de dezembro de 2026 aplica-se às obrigações de marcação e rotulagem dos Artigos 50.°, n.°s 2 e 4, ao abrigo do acordo do Pacote Omnibus de IA; as obrigações dos Artigos 50.°, n.°s 1 e 3 continuam a aplicar-se a partir de 2 de agosto de 2026. Avalie as suas obrigações ao abrigo da Lei IA da UE com a Verificação Rápida Lei IA da Verdaio.

Se operar num setor em que os funcionários têm acesso a sistemas de gestão de dados de clientes (telecomunicações, serviços financeiros, retalho, saúde, serviços públicos): A decisão do Garante sobre a WINDTRE identifica a engenharia social e a personificação de suporte informático como um risco ao abrigo do Artigo 32.° do RGPD que os operadores devem mitigar. Verifique se a sua formação dos funcionários em consciencialização para a segurança abrange cenários de engenharia social e se os seus procedimentos de concessão de acesso ao sistema em resposta a pedidos de suporte incluem passos de verificação que não possam ser contornados por engenharia social. Se detiver dados de pagamento ou informações financeiras pertencentes a clientes: A presença de dados de pagamento (IBAN, dados parciais de cartão) entre os registos exfiltrados foi um fator agravante no cálculo da coima do Garante. Segmente e restrinja o acesso a dados de pagamento de forma mais rigorosa do que os dados gerais de clientes; aplique o princípio da necessidade de saber e minimize quais os funcionários ou sistemas que podem aceder a repositórios de IBAN e dados de cartão. Se for RPD, responsável de segurança ou responsável de conformidade a preparar uma avaliação de segurança ao abrigo do Artigo 32.° do RGPD: O Garante decidiu que as auditorias de segurança internas de um operador devem ser capazes de identificar vulnerabilidades de engenharia social. Documente o seu processo de modelação de ameaças para demonstrar que a engenharia social é tratada como um vetor de ataque previsível, e registe os controlos implementados em resposta. Mapeie as suas obrigações de segurança ao abrigo do RGPD com a Verificação Rápida RGPD da Verdaio.

Se estiver sujeito a investigações de supervisão, auditorias ou pedidos de informação ao abrigo da Lei IA, do DMA, do DORA, da NIS2 ou do Regulamento AML, e tratar igualmente dados pessoais sujeitos ao RGPD: A declaração do CEPD sinaliza que, uma vez em vigor uma base jurídica para a partilha de informações inter-regulatória, as conclusões de uma investigação regulatória poderão ser partilhadas com as autoridades de supervisão da proteção de dados, e vice-versa. Mantenha registos consistentes, precisos e completos em todos os processos regulatórios, pois as inconsistências entre os processos regulatórios e os registos RGPD tornar-se-ão mais visíveis sob uma fiscalização coordenada. Se for um fornecedor ou utilizador de sistemas de IA sujeito tanto à Lei IA da UE como ao RGPD: A fiscalização ao abrigo da Lei IA pelas autoridades nacionais de vigilância do mercado e a fiscalização ao abrigo do RGPD pelas autoridades de supervisão já estão substantivamente ligadas, uma vez que os sistemas de IA de alto risco envolvem tipicamente o tratamento de dados pessoais. Espere que estes fluxos de fiscalização se tornem formalmente coordenados quando a partilha de informações inter-regulatória for autorizada no direito da UE. Se for uma entidade financeira sujeita ao DORA e tratar igualmente dados pessoais ao abrigo do RGPD: As obrigações de comunicação de incidentes e de testes de resiliência operacional digital ao abrigo do DORA geram dados operacionais que podem cruzar-se com o RGPD. Alinhe os seus quadros de compliance ao abrigo do DORA e do RGPD já, para evitar exposição quando a partilha inter-regulatória for formalizada. Mapeie as suas obrigações ao abrigo do RGPD com a Verificação Rápida RGPD da Verdaio.

Se desenvolver serviços de IA ou assistentes virtuais para Android: A partir do prazo de lançamento do Android 18 (até 1 de agosto de 2027 no máximo), a Google deve disponibilizar ao seu produto acesso a 11 funcionalidades do sistema Android nas mesmas condições que as disponíveis para o Gemini. Analise a decisão de especificação da Comissão para identificar as capacidades de integração com o Android agora obrigatórias, e planeie o seu roteiro de integração técnica para aproveitar estas oportunidades. Se operar um motor de pesquisa ou chatbot de IA que concorra com a Pesquisa Google na UE: A partir de janeiro de 2027, pode solicitar formalmente o acesso a dados anonimizados da Pesquisa Google em condições FRAND. Comece a avaliar os requisitos técnicos e comerciais de um pedido de acesso a dados e determine se o quadro de anonimização da Comissão satisfaz as suas necessidades em termos de qualidade dos dados. Se for uma grande plataforma ou guardião ao abrigo do DMA: Esta especificação estabelece um precedente sobre como a Comissão aplicará as obrigações de não discriminação e interoperabilidade através de medidas técnicas vinculativas. Audite os seus compromissos de interoperabilidade existentes ao abrigo da sua designação DMA face a este padrão antes de a Comissão emitir especificações semelhantes contra si. Avalie as suas obrigações enquanto plataforma digital com a Verificação Rápida RGPD da Verdaio.

Se operar uma plataforma de vídeo, conteúdo ou redes sociais com um programa de partilha de receitas, parceria ou criadores: Este acórdão indica que a avaliação ou análise do conteúdo, tema ou vídeos passados de um canal criador como parte de um processo de admissão a uma parceria comercial pode eliminar a sua isenção de responsabilidade de alojamento para conteúdo publicado nesses canais. Analise os critérios e procedimentos de admissão ao seu programa de parceiros e avalie se as suas práticas de avaliação constituem revisão editorial prévia ao abrigo do critério do TJUE. Se for uma marca, anunciante ou rede que utiliza canais de influenciadores ou parceiros em plataformas de vídeo para alcançar audiências: O acórdão cria nova pressão sobre as plataformas para regular mais de perto o conteúdo dos canais parceiros. Acompanhe se as plataformas atualizam os seus termos de programa de parceiros e políticas de conteúdo em resposta a esta decisão, pois essas alterações afetarão os contratos de criadores e as permissões de conteúdo. Se prestar aconselhamento jurídico ou de conformidade a operadores de plataformas: A distinção entre intermediário passivo e ativo do TJUE ao abrigo da Diretiva sobre Comércio Eletrónico aplica-se agora com maior clareza às práticas de avaliação comercial. Mapeie cada um dos procedimentos de admissão a programas comerciais do seu cliente face ao critério do TJUE e aconselhe sobre se as isenções de responsabilidade estão preservadas. Avalie as suas obrigações de conformidade enquanto plataforma com a Verificação Rápida RGPD da Verdaio.

Se for um programador ou investigador de IA a construir ou planear construir grandes modelos de IA na UE: O apelo do relatório à certeza jurídica sobre dados de treino é diretamente relevante para o seu planeamento. A AI Office sinalizou estar ciente do problema da interseção RGPD-direitos de autor para o treino de IA e tenciona abordá-lo através de orientações ou legislação. Acompanhe as publicações da AI Office e do CEPD sobre orientações relativas a dados de treino, e documente já a proveniência dos seus dados de treino atuais e a base jurídica aplicável para estar em boa posição quando chegarem as orientações ou o esclarecimento legislativo. Se for um programador de modelos de IA de uso geral potencialmente no âmbito das disposições GPAI da Lei IA da UE: As conclusões dos especialistas em IA de fronteira da AI Office moldarão o Código de Boas Práticas final para modelos GPAI, que é o principal mecanismo de conformidade para os fornecedores de GPAI ao abrigo da Lei IA. A ênfase nas obrigações de transparência e na documentação de dados de treino sinaliza que estas terão grande peso no Código. Se for uma empresa que implementa ou integra modelos de IA para aplicações voltadas para a UE: O relatório indica que a política da UE sobre IA de fronteira está a entrar numa fase de alta prioridade. Espera-se que a postura regulatória face a modelos GPAI e sistemas de IA de alta capacidade se intensifique à medida que as disposições GPAI da Lei IA entrarem em pleno vigor. Mapeie as suas obrigações ao abrigo do sistema de IA com a Verificação Rápida Lei IA da Verdaio.

Se operar uma plataforma em linha muito grande ou motor de pesquisa designado ao abrigo do DSA: A aceitação pela Comissão do plano de ação corretivo da X sinaliza como avaliará as propostas de reparação das plataformas. O design de interface enganoso (padrões obscuros ao abrigo do Artigo 25.º do DSA), o incumprimento do repositório de anúncios (Artigo 39.º) e as falhas no acesso de investigadores (Artigo 40.º) são alvos ativos de fiscalização. Analise o design de interface da sua plataforma, a integralidade do repositório de anúncios e o programa de acesso a dados de investigadores face a estes requisitos antes de uma investigação ser aberta contra si. Se for um investigador que pretende aceder a dados de plataformas em linha muito grandes ao abrigo do Artigo 40.º do DSA: O plano de ação aceite pela X inclui compromissos de disponibilizar uma camada gratuita de acesso a dados públicos e critérios de candidatura transparentes. Isto estabelece um padrão de referência que os investigadores podem invocar ao solicitar acesso a dados a outras plataformas designadas ao abrigo do DSA. Se for uma marca, agência ou equipa de conformidade que avalia obrigações de transparência de anúncios: A fiscalização pela Comissão do requisito de repositório de anúncios ao abrigo do Artigo 39.º do DSA confirma que está a ser monitorizado ativamente. Verifique se todas as plataformas nas quais coloca publicidade mantêm um repositório de anúncios em conformidade com o DSA e guarde registos das suas próprias colocações e parâmetros de segmentação de anúncios. Avalie a conformidade da sua plataforma digital com a Verificação Rápida RGPD da Verdaio.

Se operar uma organização desportiva antidopagem, federação desportiva ou organismo nacional de governação que publica informações sobre sanções envolvendo nomes de atletas: Este acórdão exige que implemente uma avaliação de proporcionalidade individual antes de cada publicação do nome e dos detalhes da infração de um atleta. As políticas de publicação automática generalizada não são compatíveis com o RGPD na interpretação do TJUE. Analise os seus procedimentos de publicação de sanções e introduza avaliações individuais documentadas. Implemente igualmente um mecanismo de expiração: remova ou anonimize as entradas publicadas quando o período de sanção terminar. Se operar qualquer registo público, base de dados disciplinar ou publicação de transparência que divulgue dados pessoais com base em interesse público ou interesses legítimos: A análise de proporcionalidade do TJUE aplica-se para além do contexto antidopagem. Qualquer política de divulgação generalizada que não inclua um passo de ponderação individual de interesses está em risco de contestação ao abrigo do RGPD. Analise o seu quadro de divulgação face às duas condições do TJUE: avaliação individual antes da publicação e remoção após o termo do período relevante. Se for um responsável pela proteção de dados num organismo público, regulador ou organização associativa que publica resultados de fiscalização ou disciplinares: Esta decisão acrescenta ao conjunto de jurisprudência do TJUE sobre quando os interesses de transparência pública podem sobrepor-se aos direitos individuais de proteção de dados. Audite as suas publicações existentes e introduza revisão caso a caso onde esta esteja atualmente ausente. Mapeie as suas obrigações ao abrigo do RGPD com a Verificação Rápida RGPD da Verdaio.

Se fabricar ou fornecer produtos com elementos digitais colocados ou a colocar no mercado da UE (incluindo software, dispositivos IoT, bens de consumo ligados ou sistemas de controlo industrial): As obrigações de comunicação ao abrigo do Artigo 14.º do CRA para vulnerabilidades ativamente exploradas e incidentes relacionados com o CRA aplicam-se a partir de 11 de setembro de 2026. Utilize o Modelo de Avaliação de Maturidade CRA para PME da ENISA, gratuito, para avaliar as suas práticas atuais face aos requisitos do CRA e identificar lacunas antes dessa data. A ferramenta disponibiliza um questionário estruturado, cinco níveis de maturidade por pilar e orientações de correção priorizadas. Se for uma PME com experiência interna limitada em cibersegurança: A ferramenta da ENISA foi concebida para o seu contexto. Complete a autoavaliação nos quatro pilares (conceção de segurança, gestão de vulnerabilidades, resposta a incidentes e documentação) antes do prazo de comunicação de setembro de 2026 para identificar as suas lacunas prioritárias. Se for uma empresa de maior dimensão que adquire componentes de hardware ou software a fabricantes PME: As obrigações de segurança da cadeia de abastecimento do Artigo 13.º do CRA exigem que avalie e gira as práticas de segurança dos seus fornecedores de produtos digitais. Partilhe a ferramenta da ENISA com os fornecedores PME como quadro de referência comum para avaliar a sua prontidão CRA antes da data de conformidade plena de dezembro de 2027. Avalie as suas obrigações ao abrigo do CRA e da NIS2 com a Avaliação de Prontidão NIS2 da Verdaio.

Se operar um sítio web ou serviço digital com um painel de consentimento de cookies dirigido a visitantes da UE: A Decisão Vinculativa 1/2026 do CEPD sinaliza uma fiscalização ativa das práticas de painéis de cookies em toda a UE. A decisão obriga a autoridade belga a apreciar substantivamente o painel da VRT quanto à conformidade com o RGPD, incluindo se o consentimento é livremente prestado, específico, informado e inequívoco ao abrigo do Artigo 7.º, e se o tratamento assenta numa base jurídica válida ao abrigo do Artigo 6.º, n.º 1. Audite o seu painel de cookies segundo estes critérios: as opções de rejeição devem ser apresentadas com a mesma proeminência que as de aceitação; as caixas pré-selecionadas e o consentimento por navegação são inválidos; e o consentimento deve ser tão fácil de retirar como de prestar (Artigo 7.º, n.º 3, do RGPD). Se utilizar plataformas de gestão de consentimento (CMPs) para o consentimento de cookies: Verifique se a configuração da sua CMP resulta em consentimento válido ao abrigo do Artigo 7.º do RGPD. As Orientações sobre Cookies do CEPD (Orientações 05/2020) e as orientações nacionais da CNIL, da AEPD e de outras autoridades estabelecem o padrão de referência; certifique-se de que o seu painel não utiliza padrões de manipulação, falsas equivalências ou interfaces enganosas que comprometam a validade do consentimento. Se recebeu uma queixa ao abrigo do RGPD que uma autoridade de supervisão arquivou sem apreciação substantiva: A Decisão Vinculativa 1/2026 estabelece que estes arquivamentos estão sujeitos a revisão pelo CEPD ao abrigo do Artigo 60.º, n.º 3. Se for o reclamante, a decisão confirma que pode opor-se a arquivamentos processuais; se for o responsável pelo tratamento, uma queixa anteriormente arquivada pode ser reapreciada no mérito. Mapeie as suas obrigações ao abrigo do RGPD relativas ao consentimento de cookies com a Verificação Rápida RGPD da Verdaio.

Se operar na Irlanda, em Espanha, em França ou nos Países Baixos num setor abrangido pela NIS2 (energia, transportes, água, saúde, infraestruturas digitais, banca, infraestruturas dos mercados financeiros, administração pública ou espaço): O reenvio para o TJUE sinaliza que a legislação nacional de transposição da NIS2 é iminente em todos os quatro estados. Monitorize a sua autoridade nacional competente para a publicação de regulamentos de execução; uma vez transposta, estará sujeito às medidas de segurança do Artigo 21.º e às obrigações de comunicação de incidentes do Artigo 23.º com pré-aviso mínimo. Inicie já a análise de lacunas face aos requisitos da NIS2, de forma a estar preparado para cumprir assim que a lei nacional estiver em vigor. Se operar noutros Estados-Membros da UE que já completaram a transposição da NIS2: O reenvio não afeta as obrigações nacionais existentes. Contudo, se tiver relações de cadeia de abastecimento com entidades nos quatro estados remetidos, note que essas entidades podem ainda não estar sujeitas a requisitos nacionais equivalentes de cibersegurança ao abrigo da NIS2, o que poderá afetar as suas próprias avaliações de risco da cadeia de abastecimento ao abrigo do Artigo 21.º, n.º 2, alínea d), da NIS2. Se prestar serviços de infraestruturas digitais, serviços geridos de segurança ou serviços de computação em nuvem a entidades na Irlanda, em Espanha, em França ou nos Países Baixos: Antecipe requisitos contratuais NIS2 por parte dos seus clientes nesses estados à medida que a transposição nacional avança e as entidades começam a adequar os respetivos contratos com fornecedores aos requisitos da NIS2. Mapeie as suas obrigações ao abrigo da NIS2 com a Avaliação de Prontidão NIS2 da Verdaio.

Se fornecer ou utilizar sistemas de IA que geram ou manipulam áudio, imagem, vídeo ou texto sintético (chatbots, ferramentas de geração de imagem ou vídeo, síntese de voz, assistentes de escrita com IA): As obrigações de transparência do Artigo 50.º da Lei IA da UE aplicam-se a partir de 2 de agosto de 2026. Este prazo não é prorrogado pelo acordo do Pacote Digital Omnibus; a prorrogação para dezembro de 2027 aplica-se apenas às obrigações de alto risco do Anexo III. Se o seu sistema se enquadrar no âmbito dos Artigos 50.º, n.ºs 2, 4 ou 5, deve implementar marcação legível por máquina ou divulgação até 2 de agosto de 2026. Avalie se deve assinar o Código de Transparência antes de 22 de julho de 2026 às 18:00 CET: a assinatura cria uma presunção de conformidade e reduz o risco de fiscalização. Se for um fornecedor de um modelo GPAI (incluindo modelos integrados em produtos ou serviços de terceiros): O Artigo 50.º, n.º 5 aplica-se ao resultado gerado pelo seu modelo. Avalie se o Código cobre os tipos de resultado do seu modelo e se a assinatura antes do prazo de 22 de julho de 2026 é viável. Se se enquadrar no âmbito do Artigo 50.º mas não assinar o Código: Deve demonstrar a conformidade com o Artigo 50.º de forma independente, através de documentação técnica e práticas de divulgação; o Gabinete de IA da UE indicou que os não signatários no âmbito podem receber pedidos de informação após 2 de agosto de 2026. Avalie as suas obrigações ao abrigo da Lei IA com a Avaliação Lei IA da UE da Verdaio.

Se operar uma base de dados, serviço de informação ou plataforma de inteligência empresarial que disponibilize acesso pesquisável a dados pessoais provenientes de registos de tribunais, processos penais, decisões administrativas ou registos públicos: O acórdão do TJUE no Processo C-199/24 exclui a exceção jornalística prevista no Artigo 85.º, n.º 2, do RGPD para operadores de bases de dados comerciais. Verifique se a sua base jurídica para o tratamento de dados pessoais de fontes públicas é adequada ao abrigo do Artigo 6.º do RGPD, independentemente de qualquer invocação da exceção jornalística, e assegure que os seus processos de tratamento de pedidos de apagamento ao abrigo do Artigo 17.º são operacionais e conformes com a decisão. Se tratar dados pessoais provenientes de processos penais, sanções ou decisões de fiscalização no âmbito de um produto ou serviço comercial: O Artigo 10.º do RGPD (tratamento relativo a condenações penais e infrações) impõe restrições adicionais. Os dados de condenações penais só podem ser tratados sob o controlo de autoridade oficial ou quando autorizado pela lei do estado membro; o modelo de base de dados comercial do Processo C-199/24 deverá enfrentar escrutínio adicional ao abrigo do Artigo 10.º na sequência deste acórdão. Se invocar a exceção jornalística do Artigo 85.º para resistir a pedidos de direitos dos titulares de dados em qualquer contexto de tratamento: O TJUE no Processo C-199/24 confirma que a exceção apenas se aplica quando o tratamento é estritamente necessário para conciliar a proteção de dados com a liberdade de expressão e de informação, e a finalidade principal é genuinamente jornalística, académica, artística ou literária. Verifique se a exceção que invoca satisfaz este critério de necessidade estrita. Mapeie as suas obrigações ao abrigo do RGPD com a Verificação Rápida RGPD da Verdaio.

Se operar uma plataforma de IA, chatbot ou serviço digital semelhante acessível a menores em estados membros da UE: A decisão do Garante sobre a Character.AI estabelece um referencial de conformidade com o RGPD para serviços de IA com restrição de idade. No mínimo, implemente verificação de idade eficaz e proporcional ao risco para os menores, configure perfis de menores como privados por defeito (Artigo 25.º), introduza um período de carência que impeça utilizadores menores bloqueados de se registar de imediato, e realize uma AIPD ao abrigo do Artigo 35.º do RGPD. Se for um responsável pelo tratamento fora da UE que trata dados pessoais de titulares da UE de forma sistemática: O requisito de representante na UE ao abrigo do Artigo 27.º integrou as cinco violações identificadas nesta decisão. Designe um representante na UE por escrito, nomeie-o como ponto de contacto junto das autoridades de supervisão, e informe os titulares dos dados da identidade do representante na sua política de privacidade. Se tratar dados pessoais de menores ao abrigo do RGPD: O Artigo 8.º (idade de consentimento para serviços da sociedade da informação) e o Artigo 25.º (proteção de dados desde a conceção e por defeito) são cada vez mais aplicados em conjunto. Reveja a sua abordagem de verificação de idade, as definições por defeito para utilizadores menores e a documentação da AIPD à luz desta decisão. Utilize o Verificação Rápida RGPD da Verdaio para mapear as suas obrigações ao abrigo do RGPD.

Se treinar modelos de IA ou utilizar web scraping para recolher dados pessoais em grande escala: As orientações provisórias do EDPB exigem uma base jurídica documentada ao abrigo do Artigo 6.º do RGPD para cada operação de web scraping. O interesse legítimo ao abrigo do Artigo 6.º, n.º 1, alínea f), não é automaticamente aplicável e requer um teste de ponderação documentado; os dados de categorias especiais ao abrigo do Artigo 9.º requerem consentimento explícito ou outro fundamento qualificado. Reveja as suas práticas de obtenção de dados de treino à luz das orientações provisórias e considere apresentar uma resposta à consulta até 30 de outubro de 2026. Se recorrer à anonimização para colocar o seu tratamento fora do âmbito do RGPD: As orientações provisórias atualizam o limiar de anonimização à luz do acórdão C-413/23 P do TJUE. Reveja a sua metodologia de anonimização à luz das normas atualizadas antes do encerramento da consulta a 30 de outubro de 2026. Se utilizar blockchain para registar ou partilhar dados pessoais de titulares na UE: As orientações finais sobre blockchain são agora a referência autorizada do EDPB. Realize uma AIPD se ainda não o fez, e implemente medidas técnicas, como armazenamento fora da cadeia, eliminação criptográfica ou provas de conhecimento zero, para dar resposta aos direitos de apagamento e retificação. Utilize o Verificação Rápida RGPD da Verdaio para mapear as suas obrigações ao abrigo do RGPD.

Se desenvolve, fornece ou implementa sistemas de IA ou utiliza ferramentas de IA nas suas operações e está sujeito à NIS2 ou ao DORA: O plano de ação da Comissão confirma que as autoridades de supervisão nacionais e o Gabinete de IA da UE irão avaliar cada vez mais os riscos de cibersegurança específicos da IA no âmbito das revisões de conformidade com o AI Act e a NIS2/DORA. Ao abrigo do Artigo 21.º da NIS2, as suas medidas de gestão do risco devem abranger todas as ameaças relevantes, incluindo os ataques potenciados por IA. A plataforma segura de testes (ENISA e JRC) estará disponível para operadores de setores críticos; acompanhe a ENISA para obter detalhes sobre o acesso à medida que a plataforma é desenvolvida. Se é fornecedor de modelos GPAI sujeito ao Capítulo V do AI Act: O pilar da capacidade de avaliação de modelos de IA da UE sinaliza que as práticas de avaliação por terceiros evoluirão rapidamente a partir de 2 de agosto de 2026, data em que a fiscalização do Gabinete de IA da UE entra em vigor. Alinhe a sua documentação técnica e avaliações de segurança com o Código de Boas Práticas GPAI antes dessa data. Se fabrica produtos com elementos digitais sujeitos ao Regulamento de Cibersegurança: O plano sinaliza maior atenção da Comissão e da ENISA à descoberta e exploração de vulnerabilidades impulsionadas por IA; certifique-se de que os seus processos de gestão de vulnerabilidades e de comunicação de incidentes ao abrigo do Artigo 14.º estão operacionais antes do prazo de 11 de setembro de 2026. Mapeie as suas obrigações ao abrigo do AI Act e da NIS2 com a Avaliação AI Act UE e a Avaliação de Prontidão NIS2 da Verdaio.

Se está atualmente abrangido pelo CSRD (uma grande entidade de interesse público, grande empresa ou PME cotada ao abrigo da Diretiva 2013/34/UE alterada pelo CSRD): As ESRS revistas reduzem a sua carga de divulgação obrigatória em mais de 70%. Verifique se os temas que avaliou anteriormente como materiais se mantêm materiais ao abrigo do novo enquadramento e atualize a sua avaliação de dupla materialidade e os modelos de relatório em conformidade. Para o seu primeiro relatório ao abrigo das ESRS revistas, esperam-se orientações de transição do EFRAG para o final de 2026. Se é uma PME cotada ou uma empresa que estará abrangida pelos limiares revistos do CSRD: O conjunto de ESRS simplificado adotado simultaneamente oferece um enquadramento de relatório proporcional; inicie já a análise de lacunas face aos requisitos das ESRS simplificadas. Se é uma grande empresa com entre 250 e 1.000 trabalhadores que esperava entrar no âmbito do CSRD: Verifique os limiares de âmbito revistos (1.000 trabalhadores + critérios de volume de negócios/balanço) para confirmar se continua sujeito ao relatório obrigatório ao abrigo do CSRD a partir de 2028. Mapeie as suas obrigações ao abrigo do CSRD e realize a sua avaliação de dupla materialidade com a Avaliação de Prontidão CSRD da Verdaio.

Se trata dados pessoais de cidadãos italianos, possui um estabelecimento em Itália, ou oferece bens ou serviços a pessoas em Itália: O Relatório Anual de 2025 confirma que o Garante se encontra numa fase de fiscalização significativamente alargada, com sanções a subir 54,5% em termos anuais e os encaminhamentos penais a quadruplicar. O plano de inspeção do Garante para 2026 tem como alvo bases de dados do setor público e a implantação de novas tecnologias, incluindo sistemas de IA; as entidades do setor privado que tratam dados pessoais com ferramentas de IA generativa, sistemas de identificação biométrica ou grandes volumes de dados enfrentam um risco de inspeção elevado. Se desenvolve, fornece ou implementa sistemas de IA que tratam dados pessoais de utilizadores italianos, geram conteúdo sintético ou utilizam dados biométricos: Reveja a conformidade com os Artigos 9.º (dados de categoria especial), 5.º, n.os 1, alíneas a), c) e e) (licitude, minimização de dados, limitação do prazo de conservação), 13.º e 14.º (transparência) e 25.º (proteção de dados desde a conceção) do RGPD. A aplicação paralela pelo Garante do RGPD e da proibição prevista na Lei IA da UE relativa a sistemas de inferência de emoções no local de trabalho em decisões anteriores indica que a fiscalização transregulatória está a acelerar. Mapeie as suas obrigações ao abrigo do RGPD com a Verificação Rápida RGPD da Verdaio.

Se é uma entidade financeira sujeita a obrigações CBC da UE (bancos, instituições de crédito, instituições de pagamento, instituições de moeda eletrónica, gestores de ativos, prestadores de serviços de ativos virtuais ou outras entidades obrigadas ao abrigo do Regulamento CBC): A partilha de informação ao abrigo do Artigo 75.º estará disponível a partir de 10 de julho de 2027. Acompanhe o desenvolvimento das orientações EDPB-AMLA: está prevista uma consulta pública sobre o projeto para o primeiro semestre de 2027. Comece já a rever a sua arquitetura de governação de dados para casos de utilização de partilha de informação de combate ao branqueamento de capitais, e identifique se as AIPD existentes precisam de ser atualizadas quando o projeto de orientações for publicado. Se está sujeito tanto ao RGPD como ao DORA: A partilha de informação entre entidades para fins de combate ao branqueamento de capitais cria obrigações adicionais de risco de TIC de terceiros ao abrigo dos Artigos 28.º a 44.º do DORA; identifique as contrapartes de partilha de informação no seu Registo de Informação DORA. Mapeie as suas obrigações ao abrigo do RGPD com a Verificação Rápida RGPD da Verdaio.

Se desenvolve, fornece ou implementa sistemas de IA classificados como de alto risco ao abrigo do Anexo III da Lei IA da UE (sistemas de IA em gestão de infraestruturas críticas, educação e formação profissional, gestão do emprego e da mão de obra, acesso a serviços privados e públicos essenciais, aplicação da lei, gestão da migração e das fronteiras, ou administração da justiça): O prazo de conformidade do Anexo III está juridicamente confirmado como 2 de dezembro de 2027 na sequência da adoção formal pelo Conselho a 29 de junho de 2026. Utilize a prorrogação para concluir avaliações de conformidade, preparar documentação técnica, alinhar com as normas harmonizadas à medida que são publicadas e registar-se na base de dados da UE. Não aguarde a publicação no Jornal Oficial para iniciar a implementação: a data está confirmada. Se desenvolve ou implementa sistemas de IA generativa sujeitos às obrigações de transparência do Artigo 50.º: Essas obrigações aplicam-se a partir de 2 de agosto de 2026; o período de tolerância técnica para marcação de água e metadados conformes estende-se até 2 de dezembro de 2026. Se fornece modelos de IA de uso geral: As suas obrigações do Capítulo V de agosto de 2025 não são alteradas pelo Omnibus Digital sobre IA. Mapeie as suas obrigações ao abrigo da Lei IA da UE com a Avaliação da Lei IA da UE da Verdaio.

Se opera em vários Estados-Membros da UE ou do EEE e enfrenta orientações ou posições de aplicação do RGPD conflituantes por parte de diferentes autoridades supervisoras nacionais (por exemplo, posições divergentes sobre avaliações de interesse legítimo, requisitos de consentimento para cookies ou prazos de conservação de dados): O formulário de coerência do CEPD oferece um canal direto para trazer essas divergências ao conhecimento do Conselho. As submissões que documentem inconsistências sistémicas podem levar o CEPD a emitir orientações que beneficiem o seu programa de conformidade em todas as jurisdições afetadas. O formulário não produz decisões individuais, mas comunicar uma divergência bem documentada é uma medida prática quando a inconsistência transfronteiriça gera custos reais de conformidade. Se submeter uma comunicação: inclua referências regulatórias específicas, as posições das autoridades nacionais envolvidas e o impacto prático, para fornecer ao CEPD a informação estruturada necessária a avaliar se uma ação de coerência é justificada. Mapeie as suas obrigações ao abrigo do RGPD com o GDPR Quick Check da Verdaio.

Se desenvolve, fornece ou implementa sistemas de IA classificados como de alto risco ao abrigo do Anexo III da Lei IA da UE (sistemas de IA em gestão de infraestruturas críticas, educação e formação profissional, emprego e gestão de recursos humanos, acesso a serviços privados e públicos essenciais, aplicação da lei, gestão de migração e fronteiras, ou administração da justiça): O prazo de conformidade para as principais obrigações do Anexo III (avaliação de conformidade, documentação técnica, registo na base de dados da Lei IA da UE, requisitos de transparência para implementadores e monitorização pós-comercialização) foi adiado para 2 de dezembro de 2027. Aproveite o tempo adicional para concluir uma avaliação estruturada de prontidão, alinhar com as normas harmonizadas publicadas quando disponíveis, e preparar a sua documentação técnica e o processo de avaliação de conformidade. Se desenvolve ou implementa sistemas de IA generativa ou sistemas abrangidos pelas obrigações de transparência do Artigo 50.º: As obrigações do Artigo 50.º continuam a aplicar-se a partir de 2 de agosto de 2026; o período de transição técnica de três meses prolonga a implementação de soluções de marcação de água e metadados conformes até 2 de dezembro de 2026. Se desenvolve ou implementa aplicações de nudificação que geram imagens íntimas sintéticas de pessoas reais: Estas são agora permanentemente proibidas ao abrigo do Artigo 5.º da Lei IA. Mapeie as suas obrigações ao abrigo da Lei IA da UE com a Avaliação Lei IA da UE da Verdaio.

Se fabrica, desenvolve ou coloca no mercado da UE produtos de hardware ou software com elementos digitais (dispositivos IoT, routers, firewalls, equipamentos de rede, sistemas operativos, software de segurança, sistemas de controlo industrial ou produtos de consumo ligados): O prazo do Artigo 14.º para 11 de setembro de 2026 está agora a menos de 90 dias. Conclua o registo na Plataforma Única de Notificação (SRP) da ENISA durante junho de 2026, enquanto o apoio de formação e simulação está disponível; mapeie os seus procedimentos internos de gestão de vulnerabilidades e resposta a incidentes face às janelas de notificação de 24 horas, 72 horas e 14 dias; e confirme o seu estabelecimento principal na UE para efeitos de encaminhamento das notificações ao CSIRT. Se o seu produto se enquadra na Classe II ao abrigo do Anexo III do CRA (firewalls, VPNs, módulos de segurança de hardware, sistemas operativos, microprocessadores, sistemas de automação industrial): A avaliação de conformidade por terceiros é obrigatória. Contacte um organismo de avaliação da conformidade notificado por um Estado-Membro ao abrigo do Capítulo IV. Verifique a classificação do seu produto ao abrigo do CRA e prepare a sua documentação técnica com o CRA Product Compliance Checker da Verdaio.

Se opera infraestruturas críticas no setor dos transportes ferroviários ou marítimos (operadores portuários, gestores de infraestruturas ferroviárias, serviços de tráfego de embarcações, plataformas de logística de mercadorias ou redes ferroviárias de passageiros) como entidade essencial ao abrigo da NIS2: O Cyber Europe 2026 confirma que o seu setor é um alvo prioritário no planeamento de cenários de ameaças à escala da UE. Reveja as medidas de segurança do Artigo 21.º da NIS2, confirme a sua prontidão para a notificação de incidentes ao abrigo do Artigo 23.º (aviso prévio de 24 horas ao CSIRT nacional) e verifique se os seus contactos na autoridade nacional de gestão de crises de cibersegurança estão atualizados. Se presta serviços a operadores de infraestruturas críticas do setor dos transportes como entidade importante ao abrigo da NIS2, ou fornece tecnologia operacional (OT), sistemas de controlo industrial (ICS) ou software de gestão de tráfego de embarcações ao setor dos transportes: A segurança da cadeia de abastecimento e a convergência OT/IT são elementos centrais dos requisitos de gestão de riscos do Artigo 21.º da NIS2. Verifique as suas obrigações NIS2 e controlos de segurança com a Avaliação de Conformidade NIS2 da Verdaio.

Se desenvolve ou implementa sistemas de IA generativa (geração de imagem a partir de texto, síntese de voz, geração de vídeo, chatbots ou ferramentas de deep fake) que produzem ou manipulam áudio, imagem, vídeo ou texto para utilizadores na UE: A sua obrigação de marcação ao abrigo do Artigo 50.º, n.º 2, aplica-se a partir de 2 de agosto de 2026. Implemente metadados legíveis por máquina ou marcas de água no seu fluxo de produção antes dessa data; o Código de Conduta define o referencial técnico com base no qual o Gabinete de IA da UE e as autoridades nacionais de fiscalização do mercado avaliarão o cumprimento. Se ainda não adotou um mecanismo técnico conforme, o prazo transitório de 2 de dezembro de 2026 aplica-se a esses passos de implementação técnica. Se gere uma plataforma que publica conteúdo gerado ou manipulado por IA sobre questões de interesse público (notícias, publicidade política, campanhas de informação pública): A obrigação de rotulagem de deep fakes e de texto de interesse público ao abrigo do Artigo 50.º, n.º 4, aplica-se a partir de 2 de agosto de 2026. Reveja os seus fluxos editoriais e a colocação das etiquetas face à Secção 2 do Código de Conduta. Se implementa chatbots ou assistentes virtuais que interagem diretamente com utilizadores: A obrigação de divulgação da presença de IA ao abrigo do Artigo 50.º, n.º 1, também se aplica a partir de 2 de agosto de 2026. Mapeie as suas obrigações de transparência ao abrigo da Lei IA da UE com a Avaliação Lei IA da UE da Verdaio.

Se atua como responsável pelo tratamento em um ou mais Estados-Membros da UE ou do EEE: O modelo comum de notificação de violações do CEPD substituirá, após a sua finalização e adoção pelas autoridades de controlo nacionais, o formulário de notificação atual de cada APD por um formato único harmonizado. Reveja agora o seu manual de resposta a incidentes: os seus procedimentos internos de notificação, os seus runbooks de SIEM e os seus acordos de resposta a incidentes subcontratados devem ser estruturados em torno dos elementos de informação obrigatórios do Artigo 33.º, n.º 3, para que se adaptem facilmente aos novos campos quando o modelo entrar em vigor. Se opera de forma transfronteiriça e mantém atualmente procedimentos de notificação distintos para os formulários das diferentes APD nacionais: o modelo comum simplificará materialmente a resposta transfronteiriça a violações logo que entre em vigor. Participe na consulta pública (aberta até 5 de agosto de 2026) se a sua organização tem experiência prática com os formulários de notificação de violações atuais. Mapeie os seus controlos RGPD e a prontidão de resposta a violações com a Verificação Rápida RGPD da Verdaio.

Se opera serviços de alojamento, viagens ou aluguer de veículos que recolhem dados de hóspedes ou viajantes em nome da polícia ou de mandatos regulatórios em qualquer Estado-Membro da UE: Este processo de infração sinaliza que a Comissão considera as obrigações genéricas de dados de viajantes desproporcionadas ao abrigo da DAL, independentemente das justificações de segurança nacional. Audite as categorias e os prazos de conservação dos dados de viajantes que é obrigado por lei nacional a recolher e transmitir, e documente a base jurídica DAL e a análise de necessidade no seu ROPA. Se opera em Espanha ao abrigo do Real Decreto 933/2021: Acompanhe os desenvolvimentos de perto; se a Comissão escalar para um parecer fundamentado ou remessa ao Tribunal, a Espanha poderá ser obrigada a alterar ou revogar o decreto, o que alteraria as suas obrigações de conformidade. Reveja o seu mapeamento de dados e os procedimentos de direitos dos titulares com o GDPR Quick Check da Verdaio.

Se vende serviços cloud, SaaS ou ferramentas de IA a organismos públicos da UE (administração central, saúde, banca, energia ou justiça): A CADA introduz avaliações formais de risco de soberania na contratação pública. Prepare-se para responder a questões sobre a jurisdição da empresa-mãe, direitos de acesso de países terceiros a dados, transparência da cadeia de fornecimento de software e disposições de depósito de dados. Os fornecedores não controlados pela UE enfrentam barreiras estruturais aos níveis de contratação 3 e 4. Se constrói ou implementa sistemas de IA alojados em infraestrutura cloud: O quadro de soberania CADA pode condicionar as opções de fornecedor de cloud para cargas de trabalho reguladas do setor público quando a lei entrar em vigor. Mapeie a sua infraestrutura face aos quatro níveis CADA e avalie se os acordos atuais com fornecedores cloud exigirão renegociação. Ambas as propostas estão em fase inicial e têm de percorrer o processo legislativo completo da UE. Mapeie as suas obrigações ao abrigo da Lei IA com a Avaliação Lei IA da UE da Verdaio e a sua exposição ao CRA com o CRA Product Compliance Checker.

Se fornece, implementa ou integra modelos de IA de propósito geral (incluindo modelos de linguagem de grande dimensão, modelos de fundação multimodais ou modelos de IA disponibilizados via API) nos seus produtos ou serviços: O Painel Científico confere agora ao Escritório de IA da UE uma especialização independente dedicada para identificar riscos sistémicos nos modelos GPAI, aconselhar sobre classificação e coordenar a fiscalização transfronteiriça a partir de 2 de agosto de 2026. Reveja as suas obrigações como fornecedor de modelos GPAI ao abrigo dos Artigos 53.º a 55.º da Lei IA da UE: documentação técnica, medidas de transparência incluindo resumos de direitos de autor, cooperação com o Escritório de IA e avaliações de riscos sistémicos para modelos com capacidades de elevado impacto. Se o seu modelo GPAI estava no mercado antes de 2 de agosto de 2025, tem até 2 de agosto de 2027 para alcançar a conformidade total. Se constrói ou implementa sistemas de IA que utilizam modelos GPAI como componentes: as suas obrigações como implementador dependem de o uso a jusante criar ou não um sistema de IA de risco elevado. Classifique o seu sistema de IA e mapeie as suas obrigações com a Avaliação Lei IA da UE da Verdaio.

Se constrói, implementa ou contrata ferramentas de IA que classificam o sentimento, o humor, o stress ou o bem-estar dos trabalhadores a partir de dados de comunicação: Reveja a base legal de qualquer produto deste tipo face ao Artigo 9.º do RGPD (categorias especiais de dados) e à proibição do Artigo 5.º, n.º 1, alínea f) da Lei IA da UE sobre IA de inferência de emoções no local de trabalho. Rótulos de agregação, anonimização ou de "bem-estar" não vão salvar um produto que infere estados psicológicos a partir de dados de conversação ou de voz. Se a sua empresa utiliza suites de colaboração como o Slack ou o Microsoft Teams em toda a equipa: Audite quaisquer plug-ins ou integrações de terceiros que realizem análise de sentimento, emoções ou stress, documente a base legal e a AIPD, e reforce as cláusulas de contratação antes da compra. Mapeie a sua exposição à Lei IA com a Avaliação Lei IA da UE da Verdaio e os seus controlos de RGPD com o GDPR Quick Check.

Se opera um armazém de dados, uma plataforma de investigação ou outro tratamento em larga escala que tenha caracterizado como anónimo: A decisão da CNIL confirma que o limiar de anonimização ao abrigo do RGPD é elevado e que o teste consiste em saber se a reidentificação continua razoavelmente possível. Reavalie a sua metodologia de anonimização à luz dos critérios de singularização, ligabilidade e inferência do parecer do Grupo de Trabalho do Artigo 29.º (WP216), e evite confiar apenas em rótulos. Se recolhe dados pessoais através de farmácias, médicos, intermediários ou outros parceiros: Os deveres de transparência do Artigo 14.º do RGPD continuam a recair sobre o responsável pelo tratamento. Não pode confiar num terceiro para entregar um aviso; tem de verificar se a informação chega efetivamente aos titulares dos dados e se existe um direito de oposição eficaz. Reforce os seus avisos de informação, registos e controlos de acesso com o GDPR Quick Check da Verdaio.

Se a sua organização está registada como entidade essencial ou importante ao abrigo do NIS2: O NIS360 de 2026 é a referência pública mais autoritativa sobre o posicionamento de cada setor de criticidade elevada em matéria de maturidade cibernética, e um sinal de onde a atenção de supervisão é mais provável de incidir primeiro. Compare a sua governação, gestão de riscos, resposta a incidentes e controlos da cadeia de fornecimento face aos quatro pilares da ENISA (legislação, preparação das empresas, capacidade das autoridades e ecossistema) e priorize as lacunas que puxam o perfil do seu setor para baixo. Se opera num setor sinalizado como estando dentro da zona de risco: espere maior escrutínio da sua autoridade nacional competente durante o próximo ciclo de supervisão e preveja orçamento para remediação acelerada. Mapeie as suas obrigações NIS2 e identifique lacunas com a Avaliação de Prontidão NIS2 da Verdaio.

Se é uma entidade essencial ou importante ao abrigo do NIS2 com operações em mais do que um Estado-Membro: Os modelos comuns irão reduzir materialmente o custo de cumprir o relógio de reporte do Artigo 23.º, ao substituírem formulários nacionais paralelos por um formato único à escala da UE. Acompanhe o ato de execução previsto pela Comissão e, em seguida, atualize os seus manuais de resposta a incidentes, os seus runbooks de SIEM e os seus contratos de subcontratação para que os relatórios de 24 horas, 72 horas e um mês se mapeiem de forma limpa nos novos campos. Se é prestador de serviços geridos ou fornecedor de entidades NIS2: Espere que os clientes empurrem os requisitos dos modelos harmonizados através de cláusulas contratuais sobre notificação de incidentes e cooperação. Mapeie as suas obrigações NIS2 e reforce o seu processo de resposta a incidentes com a Avaliação de Prontidão NIS2 da Verdaio.

Se opera qualquer serviço de consumo que trate dados pessoais e receba pedidos de acesso ao abrigo do Artigo 15.º do RGPD: A decisão do Tribunal Superior reforça que as autoridades podem investigar falhas sistémicas no direito de acesso e propor coimas elevadas, mesmo quando uma investigação começa numa reclamação individual. Audite o seu fluxo de tratamento de pedidos de acesso de ponta a ponta, garanta que todas as categorias de dados pessoais (incluindo dados conservados em armazéns analíticos internos, registos e ferramentas de back-end) são devolvidas de forma completa e inteligível dentro do prazo de um mês do Artigo 12.º, e documente qualquer restrição em que se baseie ao abrigo do Artigo 15.º, n.º 4. Se está a considerar contestar uma decisão preliminar da DPC ou de outra autoridade de controlo do EEE: Argumentos processuais sobre o âmbito de uma investigação dificilmente afastarão conclusões de mérito quando a autoridade identificou problemas sistémicos que afetam muitos utilizadores. Mapeie o seu processo de direitos dos titulares com a Verificação Rápida RGPD da Verdaio.

Se trata dados pessoais de utilizadores em França ou vende para o mercado francês: Os números da CNIL de 2025 mostram que a intensidade da fiscalização está a aumentar em cookies, monitorização de trabalhadores e segurança de dados, as três áreas que a autoridade identifica como responsáveis pela maioria das coimas do ano passado. Reveja os seus banners de cookies, monitorize os seus tempos de resposta a violações de dados face ao prazo de 72 horas do Artigo 33.º, e audite os seus controlos de segurança face aos princípios de limitação da conservação e de segurança dos Artigos 5.º e 32.º do RGPD. Se constrói, implementa ou distribui sistemas de IA utilizados em França: A CNIL está a posicionar-se como uma das reguladoras da Lei IA da UE mais ativas e está em vias de supervisionar várias categorias de risco elevado do Anexo III (biometria, migração, aplicação da lei, emprego, educação) assim que for formalmente designada. Mapeie os seus sistemas de IA face às práticas proibidas do Artigo 5.º e às categorias de risco elevado do Anexo III. Faça uma revisão de privacidade com a Verificação Rápida RGPD da Verdaio e uma classificação Lei IA com a Avaliação Lei IA UE da Verdaio.

Se armazena credenciais de utilizadores ou opera qualquer serviço que detém palavras-passe de contas: O armazenamento de palavras-passe em texto simples e a cifragem fraca continuam a ser das falhas de segurança mais evidentes que um regulador pode encontrar. Cifre as palavras-passe com um algoritmo moderno e com sal, nunca as guarde de forma legível, e elimine as credenciais de sistemas e contas que já não utiliza, em conformidade com o princípio da limitação da conservação. Se trata violações de dados pessoais: Notificar a autoridade de controlo no prazo de 72 horas ao abrigo do Artigo 33.º é apenas metade da obrigação. Quando uma violação representa um risco elevado para as pessoas, o Artigo 34.º exige que informe essas pessoas sem demora injustificada, e os receios comerciais ou reputacionais não suspendem esse prazo. Mapeie o seu plano de resposta a violações e os seus controlos de segurança com a Verificação Rápida RGPD da Verdaio.

Se constrói, implementa ou distribui sistemas de IA e tem dúvidas se estes são considerados de risco elevado: Este projeto de orientações é a indicação oficial mais detalhada até à data sobre onde se traça a linha do risco elevado. Mapeie os seus sistemas de IA face à via de segurança dos produtos do Anexo I e às oito áreas do Anexo III, e use os exemplos práticos para testar casos-limite como ferramentas de RH, avaliação de crédito e biometria. Se um caso de utilização específico não for claro, submeta o seu contributo à consulta antes de 23 de junho de 2026. A classificação é o primeiro passo de qualquer programa de conformidade com a Lei IA: um sistema classificado como de risco elevado desencadeia obrigações de gestão de risco, governação de dados, registo, transparência e supervisão humana. Faça uma verificação de classificação com a Avaliação Lei IA UE da Verdaio.

Se constrói, implementa ou distribui sistemas de IA de risco elevado ou IA de propósito geral: Os novos prazos (2 de dezembro de 2027 para o Anexo III, 2 de agosto de 2028 para o Anexo I) estão agora fixados pelo Coreper, mas ainda não são lei até o Parlamento aprovar em primeira leitura. Até essa adoção, mantém-se o prazo original de 2 de agosto de 2026. Se constrói produtos de IA generativa para consumidores: O período de transição reduzido para três meses significa que as soluções de marcação de água e de proveniência de conteúdo têm de estar implementadas até 2 de dezembro de 2026, três meses antes do prazo de seis meses originalmente proposto. Audite as suas ferramentas face às novas proibições de "nudification" e CSAM antes da adoção. Faça uma verificação de classificação com a Avaliação Lei IA da UE da Verdaio.

Se fornece sistemas de IA a escolas, universidades ou centros de formação profissional, ou se implementa IA num contexto educativo ou formativo: Os ministros da educação estão agora formalmente alinhados num modelo de implementação humano-centrado. Espere que os Estados-Membros pressionem requisitos de aquisição que incluam formação dos professores em literacia em IA, critérios de avaliação transparentes e salvaguardas contra enviesamento e desinformação. As conclusões reforçam também que a obrigação de literacia em IA do Artigo 4.º se aplica a todos os implementadores de IA, não apenas aos de setores de risco elevado. Se vende ferramentas de IA para RH, recrutamento, avaliação ou pontuação num contexto educativo ou formativo: A classificação como risco elevado no Anexo III está agora combinada com estas conclusões políticas, elevando o nível exigido em transparência, supervisão humana e avaliação. Faça uma verificação de classificação com a Avaliação Lei IA da UE da Verdaio e reveja o seu programa de formação com o guia Literacia em IA da Verdaio.

Se constrói ou implementa IA generativa, chatbots, ferramentas de deepfake, reconhecimento de emoções ou sistemas de categorização biométrica: O prazo de transparência de 2 de agosto de 2026 mantém-se. Planeie já a divulgação obrigatória em chatbots, a marcação legível por máquina das saídas sintéticas e a rotulagem clara de deepfakes, e envie comentários antes de 3 de junho de 2026 se o seu caso de uso necessitar de clarificação. Faça uma classificação com a Avaliação Lei IA da UE da Verdaio.

Se opera um centro de contactos ou qualquer canal de atendimento por voz que trate dados pessoais ou financeiros: A engenharia social por canal de voz continua a ser uma das principais preocupações dos reguladores. Mapeie os seus procedimentos de autenticação de chamadas em função dos Artigos 5.º, n.º 1, alínea f), e 32.º, n.º 1; forme o pessoal sobre as fragilidades da autenticação baseada em conhecimento e os indicadores de personificação; e garanta que o seu processo de resposta a incidentes deteta e notifica a autoridade de controlo dentro da janela de 72 horas do Artigo 33.º. Faça um diagnóstico estruturado com o GDPR Quick Check da Verdaio.

Se constrói, implementa ou distribui sistemas de IA de risco elevado (RH, educação, crédito, biometria, IA em produtos regulados) ou IA de propósito geral: Planeie para o prazo de 2 de dezembro de 2027 (Anexo III) ou de 2 de agosto de 2028 (Anexo I), mas não interrompa o trabalho de conformidade. A adoção formal ainda está pendente e o prazo original de 2 de agosto de 2026 aplica-se até ambos os colegisladores assinarem. O tempo adicional é mais útil para amadurecer a gestão de risco, a governação de dados e os controlos de supervisão humana, e não para os atrasar. Se constrói produtos de IA generativa para consumidores: Audite as suas ferramentas face às novas proibições de "nudification" e CSAM antes da adoção do acordo. Faça uma verificação de classificação com a Avaliação Lei IA UE da Verdaio.

Se é uma empresa no âmbito da CSRD (mais de 1.000 trabalhadores, mais de €450M de volume de negócios): Reveja já o projeto revisto das ESRS, sobretudo as alterações à avaliação de materialidade e o conjunto reduzido de pontos de dados, e decida se aplica as normas revistas antecipadamente ao exercício de 2026 ou se aguarda pelo exercício de 2027. Envie comentários antes de 3 de junho de 2026 se tiver preocupações específicas. Se é uma empresa mais pequena numa cadeia de valor abrangida pela CSRD: A norma voluntária e o limite de cadeia de valor restringem o que os seus grandes clientes podem exigir-lhe em dados de sustentabilidade. Faça um diagnóstico com a Análise de Lacunas ESRS da Verdaio.

Se opera ou distribui serviços numa plataforma guardiã designada (App Store, Google Play, Amazon Marketplace, Facebook, Instagram, TikTok, Search, Booking.com): Espere que a Comissão acelere os processos de incumprimento em curso e se foque nos efeitos práticos (escolha real, interoperabilidade real) em vez do cumprimento formal. Planeie coimas mais elevadas para incumprimento repetido ou continuado, e maior escrutínio das ferramentas de pesquisa e assistentes alimentados por IA integrados em serviços de gatekeepers. Acompanhe as evoluções do DMA e alinhe os seus fluxos de distribuição, publicidade e consentimento em conformidade.

Se opera transferências internacionais de dados (sobretudo para jurisdições sem decisão de adequação) ou se baseia em Cláusulas Contratuais-Tipo com medidas suplementares: a decisão da DPC mantém-se como referência da UE sobre o que o artigo 46.º, n.º 1, do RGPD exige em matéria de "proteção essencialmente equivalente". A suspensão apenas congela a execução enquanto os tribunais irlandeses analisam a decisão de fundo; não enfraquece a obrigação substantiva de conformidade. Audite as suas avaliações de impacto de transferência, medidas suplementares e controlos de acesso a jusante. Faça uma verificação estruturada com o GDPR Quick Check da Verdaio.

Se opera um hotel, B&B ou alojamento local em Itália (ou trata dados de hóspedes italianos a partir do estrangeiro): Audite agora o seu fluxo de check-in. Deixe de fotografar ou armazenar documentos de identidade após a comunicação no Alloggiati Web; conserve apenas o recibo de transmissão. Reveja a sua política de retenção, forme o pessoal de receção sobre as novas orientações e garanta que os seus sistemas de reservas e PMS não preservam por defeito imagens dos documentos. Faça um diagnóstico com o GDPR Quick Check da Verdaio.

Se constrói, implementa ou distribui sistemas de IA de alto risco (em particular em RH, educação, pontuação de crédito, biometria, ou IA integrada em produtos regulados): Planeie como se o prazo de 2 de agosto de 2026 se mantivesse. A incerteza do trílogo não justifica adiar o trabalho de conformidade. Mesmo que venha a ser acordado um adiamento, um arranque antecipado protege-o de um calendário comprimido. Faça uma classificação com a Avaliação da Lei IA da UE da Verdaio.

Se opera uma plataforma digital, um produto de ad-tech ou qualquer serviço cujos termos condicionem o acesso ao uso de dados: Espere que as autoridades europeias de concorrência avaliem as suas práticas de tratamento de dados sob a ótica do RGPD, e que o EDPB integre resultados de concorrência nas suas orientações. Reveja o alinhamento dos seus avisos de privacidade, fluxos de consentimento e mecanismos de portabilidade de dados face a ambos os enquadramentos. Faça um diagnóstico com o GDPR Quick Check da Verdaio.

Se gere marketing por email, emails transacionais ou newsletters dirigidas a destinatários italianos: Reveja todos os pixels, rastreadores de abertura e rastreadores de cliques na sua pilha de ESP ou CRM, mapeie cada um para uma base jurídica específica e alinhe os fluxos de consentimento e os avisos de privacidade com as Diretrizes. Reveja os controlos de minimização de dados (IDs pseudonímicos, retenção curta) e documente a exceção em que se baseia quando não é recolhido consentimento. Faça uma verificação de lacunas com a Verificação Rápida RGPD da Verdaio.

Se opera uma app móvel que lê o estado do dispositivo (apps instaladas, processos em execução, impressão digital do dispositivo): A decisão do Garante estabelece um precedente claro: autorizações obrigatórias e tudo-ou-nada para aceder a dados do dispositivo são desproporcionadas, mesmo para prevenção de fraude. Reveja a minimização de dados, os fluxos de informação ao utilizador, a cobertura de AIPD e os controlos de segurança/retenção das suas apps móveis. Faça um diagnóstico com o GDPR Quick Check da Verdaio.

Se trata dados pessoais para investigação: Comece por mapear as suas atividades face aos seis fatores indicativos e reveja como documenta o consentimento, as salvaguardas e os limites aos direitos dos titulares. Se transfere dados pessoais para fora da UE/EEE: A certificação é agora uma alternativa prática às Cláusulas Contratuais Padrão e às Regras Vinculativas, útil quando os fornecedores relutam em assinar SCCs ou a jurisdição de destino cria incerteza. Reveja a sua postura RGPD e verifique se transferências baseadas em certificação se adequam ao seu conjunto de fornecedores.

Se implementa sistemas biométricos (reconhecimento facial, impressão digital) para acesso, autenticação ou experiência do cliente: O tratamento biométrico em espaços públicos ou semi-públicos tem de cumprir requisitos estritos de necessidade, cifragem e retenção, mesmo com consentimento. Reveja a base jurídica do Artigo 9.º do RGPD, as salvaguardas técnicas e se oferece uma alternativa não-biométrica real. Sistemas biométricos podem também desencadear obrigações da Lei IA da UE. Verifique a sua postura com o GDPR Quick Check e a Avaliação da Lei IA da UE da Verdaio.

Se realiza AIPDs: Pela primeira vez a UE oferece um formato único e consistente de AIPD que será reconhecido em todos os Estados-Membros. Os responsáveis pelo tratamento multinacionais beneficiam mais, um template, uma estrutura, aceite por todas as CPDs. Ação: Reveja a sua metodologia atual de AIPD face ao template preliminar, submeta feedback antes de 9 de junho se relevante, e planeie migrar as AIPDs existentes assim que as CPDs nacionais o adotem formalmente. Faça um diagnóstico com o GDPR Quick Check da Verdaio.

Se opera em qualquer dos 18 setores NIS2: O prazo de conformidade está agora a menos de 6 meses. Comece com uma avaliação de lacunas para compreender a sua postura atual, particularmente no que diz respeito ao reporte de incidentes (requisito de notificação em 72 horas), gestão de riscos da cadeia de valor e responsabilização ao nível do conselho de administração. Não tem a certeza se o NIS2 se aplica à sua empresa? Execute a Avaliação de Prontidão NIS2 gratuita.

Se tiver menos de 1.000 trabalhadores: Provavelmente está fora do âmbito obrigatório com o novo limiar. No entanto, grandes clientes e instituições financeiras poderão ainda exigir divulgações alinhadas com o CSRD através dos seus próprios relatórios de cadeia de valor. Se tiver 1.000+ trabalhadores: O reporte obrigatório continua, as normas ESRS principais permanecem inalteradas.

Se implementar IA de alto risco: A extensão tem grande probabilidade de ser aprovada, mas ainda não é lei. A abordagem responsável é preparar-se para o prazo de agosto de 2026, esperando o alívio. Se adotada conforme esperado, terá até dezembro de 2027 para sistemas do Anexo III. Use o tempo para construir processos conformes em vez de esperar. Atualizaremos esta notícia quando o texto final for publicado.

Se reporta ao abrigo das ESRS: Embora o Omnibus reduza o âmbito obrigatório, o setor financeiro, os seus bancos, investidores e seguradoras, continua a esperar dados de sustentabilidade abrangentes. Empresas que cumpram apenas os requisitos mínimos simplificados poderão enfrentar dificuldades no acesso a financiamento verde ou em satisfazer pedidos de due diligence de clientes de maior dimensão.

Se já está a reportar: Reveja quais as atividades que ficam abaixo do limiar de 10%, poderá excluir uma parte significativa do âmbito da sua avaliação atual. Se ainda não começou: Esta simplificação torna o primeiro reporte da Taxonomia consideravelmente mais acessível. O limiar aplica-se a períodos de reporte a partir de 2025.

Ação imediata necessária: Se a sua organização usa ou implementa sistemas de IA, reveja-os agora face à lista de práticas proibidas do Artigo 5.º. As violações podem resultar em coimas até €35M ou 7% do volume de negócios anual global. A maioria das ferramentas de IA empresariais (produtividade, análise, serviço ao cliente) não são proibidas, mas a IA usada em recrutamento, pontuação de crédito ou que afeta indivíduos em contextos sensíveis requer revisão cuidadosa.

Se utiliza plataformas guardiãs: Estas decisões sinalizam que as lojas de aplicações, classificações de pesquisa e sistemas publicitários nas principais plataformas poderão mudar para cumprir os requisitos do DMA, potencialmente afetando as suas estratégias de distribuição e marketing. Se é uma plataforma guardiã: O DMA está agora ativamente aplicado.

Para qualquer empresa que transfira dados pessoais para fora da UE/EEE: Esta coima reforça que os mecanismos de transferência devem ser sólidos. As Cláusulas Contratuais Padrão (SCCs) não são suficientes se as leis do país de destino impedirem o importador de dados de cumpri-las na prática. Reveja as suas avaliações de impacto de transferência de dados (DTIAs), particularmente para transferências para os EUA, Índia e China.