Notícias Regulatórias da UE

Se a sua empresa desenvolve, ajusta ou implementa um modelo de inteligência artificial de uso geral acessível a utilizadores na UE: Reveja o cumprimento do Capítulo V da Lei IA da UE conforme aplicável desde 2 de agosto de 2026. Confirme que a sua documentação técnica foi elaborada e está atualizada (Artigo 53.°), que foi preparado um resumo dos dados de treino para publicação (Artigo 53.°, n.° 1, al. d)), e que dispõe de uma política documentada de conformidade com o direito de autor (Artigo 53.°, n.° 1, al. c)). Se o Escritório de IA lhe emitir um pedido de informação ao abrigo do Artigo 91.°, responda dentro do prazo especificado e garanta que as respostas são precisas e completas: respostas enganosas ou incompletas implicam coimas de até 15 milhões de euros ou 3% do volume de negócios mundial anual. Se o seu modelo foi designado pelo Escritório de IA como um modelo MGIAU com risco sistémico, ou se não tem certeza se o seu modelo satisfaz o limiar de risco sistémico: Verifique se realizou avaliações do modelo e testes adversariais (Artigo 55.°, n.° 1, al. a)), estabeleceu monitorização pós-implementação (Artigo 55.°, n.° 1, al. c)), implementou medidas de cibersegurança (Artigo 55.°, n.° 1, al. d)), e estabeleceu um processo de notificação de incidentes graves ao Escritório de IA (Artigo 55.°, n.° 1, al. b)). Os pedidos de informação de agosto de 2026 abrangem explicitamente a segurança do modelo, avaliações independentes, monitorização pós-implementação e dados de treino - as quatro áreas são de cumprimento ao abrigo do Capítulo V e do Artigo 55.°. Se a sua empresa utiliza um modelo MGIAU através de uma API ou como utilizador a jusante: As obrigações do Capítulo V relativas aos MGIAU recaem sobre o fornecedor, não sobre o utilizador. No entanto, verifique se o seu fornecedor de IA consegue apresentar evidências do cumprimento do Capítulo V quando solicitado, e que os seus contratos refletem as obrigações aplicáveis. Avalie as suas obrigações ao abrigo da Lei IA da UE com a Avaliação de Prontidão Lei IA da Verdaio.

Se fabrica produtos com elementos digitais colocados no mercado da UE, incluindo hardware conectado, software embebido, dispositivos IoT de consumo, sistemas industriais ou produtos de software comercial: O Artigo 14.° do CRA aplica-se a partir de 11 de setembro de 2026. Registe-se e familiarize-se com a Plataforma de Notificação Única (SRP) da ENISA agora. Quando descobrir uma vulnerabilidade ativamente explorada em qualquer dos seus produtos, quer reportada por um investigador, encontrada internamente ou divulgada por terceiros, dispõe de 24 horas para apresentar um aviso prévio à ENISA através da SRP. Segue-se uma notificação completa de 72 horas com avaliação preliminar do impacto e um relatório final de 14 dias após a resolução. Estabeleça agora um fluxo de trabalho interno de triagem de vulnerabilidades e notificação, antes do primeiro evento desencadeador, e designe uma equipa ou pessoa responsável pelas submissões na SRP e pela coordenação com a ENISA. Se a sua equipa de divulgação de vulnerabilidades ou de segurança de produtos opera atualmente ao abrigo de uma política de divulgação responsável ou coordena com CSIRT nacionais ao abrigo da NIS2: O canal de notificação do Artigo 14.° do CRA (SRP da ENISA) é separado da notificação à CSIRT ao abrigo da NIS2. Se a sua organização é simultaneamente fabricante ao abrigo do CRA e uma entidade sujeita à NIS2, mapeie ambas as obrigações de notificação e confirme que os seus procedimentos de resposta a incidentes encaminham as notificações de vulnerabilidades de produtos para a ENISA e os incidentes ao nível do serviço para a sua CSIRT nacional. Se fornece produtos TIC, ferramentas de software ou dispositivos conectados a entidades essenciais ou importantes sujeitas à NIS2: Uma vulnerabilidade no seu produto pode acionar simultaneamente uma obrigação do Artigo 14.° do CRA (notificar a ENISA via SRP) e uma obrigação NIS2 para o seu cliente (notificar o impacto no serviço à sua CSIRT nacional). Coordene o seu calendário de divulgação com a equipa de resposta a incidentes NIS2 do seu cliente para garantir que ambas as obrigações de notificação são cumpridas dentro dos respetivos prazos. Avalie as suas obrigações ao abrigo do CRA e da NIS2 com a Avaliação de Prontidão NIS2 da Verdaio.

Se a sua empresa utiliza sistemas automatizados para tomar decisões sobre contas individuais, emprego, acesso, pontuação ou matérias semelhantes: A decisão da AP relativamente à Uber confirma que o Artigo 22.° do RGPD é executado à escala, com coimas calculadas sobre o volume de negócios global. Audite todos os fluxos de decisão automatizada que produzam um efeito significativo sobre uma pessoa singular - suspensão ou encerramento de conta, pontuação de crédito ou seguro, recusa de acesso, fixação de preços, classificação ou fim de contrato - e confirme que a decisão (a) é necessária para a execução de um contrato com a pessoa singular, (b) é autorizada pelo direito da UE ou do Estado-Membro aplicável, ou (c) se baseia no consentimento explícito da pessoa singular. Se nenhuma destas condições se verificar, a decisão não pode ser tomada exclusivamente por meios automatizados: implemente uma etapa de revisão humana significativa antes de a decisão produzir efeitos e garanta ao titular o direito a obter revisão humana, a exprimir o seu ponto de vista e a contestar a decisão. Quanto às obrigações de transparência (Artigos 13.° e 14.° do RGPD): No momento da recolha dos dados, informe claramente os titulares caso venham a ser tomadas decisões automatizadas sobre eles, descreva a lógica subjacente em termos compreensíveis e explique o significado e as consequências previstas. Os avisos genéricos não satisfazem esta obrigação. Se desenvolve ou comercializa plataformas de RH, gestão de prestadores de serviços, pontuação ou controlo de acesso: As funcionalidades de avaliação automatizada do desempenho, rescisão de contrato ou revogação de acesso criam exposição ao Artigo 22.° para os seus clientes e potencialmente para si enquanto responsável (conjunto) pelo tratamento. Avalie a base jurídica de cada tipo de decisão automatizada e documente a sua arquitetura de supervisão humana. Avalie as suas obrigações ao abrigo do RGPD com o Diagnóstico Rápido RGPD da Verdaio.

Se a sua empresa oferece serviços de comunicações eletrónicas, alojamento, mensagens, email, VoIP, registo de domínios ou endereçamento IP a utilizadores na UE: O Regulamento e-Evidence é agora aplicável. Se a sua empresa estava em atividade antes de 18 de fevereiro de 2026, o ponto de contacto designado na UE deveria já estar em funcionamento em 18 de agosto de 2026. Se ainda não designou um ponto de contacto, faça-o imediatamente e notifique a autoridade nacional competente. Estabeleça procedimentos internos para receção, registo e resposta a EPO e EPPO, incluindo os prazos de execução padrão de 10 dias e de emergência de 8 horas. Para ordens de dados de conteúdo: Inclua uma etapa de revisão jurídica no seu fluxo de resposta - as EPO de dados de conteúdo requerem certificação judicial do Estado emissor, e pode impugnar ordens que conflituem com as obrigações do RGPD. Para minimização e retenção de dados: Reveja as suas políticas de minimização e retenção de dados do RGPD tendo em conta a nova obrigação de divulgar dados na receção de uma EPO válida: os dados que não detém não podem ser divulgados. Avalie as suas obrigações RGPD com o Diagnóstico Rápido RGPD da Verdaio.

Se efetua ou contrata chamadas comerciais não solicitadas a consumidores em França: A partir de 11 de agosto de 2026, é necessário consentimento prévio e expresso antes de cada chamada. O registo Bloctel de opt-out já não constitui uma base de conformidade para a prospeção telefónica B2C em França. Audite as suas listas de telemarketing a consumidores franceses e confirme que cada contacto está respaldado por consentimento prévio documentado. As chamadas efetuadas sem consentimento estão sujeitas a coimas de até 375.000 euros por chamada (empresas) ao abrigo do Artigo L242-11 do Código do Consumidor. Elimine os contactos para os quais não pode demonstrar consentimento prévio e implemente um fluxo de recolha de consentimento para quaisquer novos dados de consumidores franceses. Se recolhe dados pessoais de consumidores franceses (incluindo números de telefone) para fins de marketing: O novo requisito de consentimento para telemarketing reforça o padrão de consentimento do Artigo 7.° do RGPD. Reveja os seus fluxos de recolha de consentimento para confirmar que produzem consentimento livremente prestado, específico, informado e inequívoco que abranja o contacto telefónico, que estão documentados nos seus registos de atividades de tratamento (Artigo 30.° do RGPD) e que podem ser retirados pelo consumidor em qualquer momento. O consentimento conjunto ou implícito não satisfaz os requisitos do Código do Consumidor nem do RGPD. Se fornece serviços de CRM, automação de marketing ou geração de leads a empresas que operam em França: O cumprimento, pelos seus clientes, do regime de consentimento para telemarketing depende da qualidade dos dados e da documentação de consentimento fornecida pelo seu serviço. Garanta que a sua plataforma capta e armazena a base de consentimento para cada contacto, assinala os contactos sem consentimento de telemarketing e disponibiliza um mecanismo fácil para os clientes filtrarem os contactos de consumidores franceses com consentimento prévio documentado. Avalie a sua postura de gestão de consentimento RGPD com o Diagnóstico Rápido RGPD da Verdaio.

Se a sua organização opera nos Países Baixos num setor abrangido pela NIS2 (energia, transportes, água, banca, infraestruturas dos mercados financeiros, saúde, infraestrutura digital, administração pública, serviços postais, gestão de resíduos, produtos químicos, alimentação, fabrico ou prestadores digitais): A Cyberbeveiligingswet entrou em vigor a 15 de agosto de 2026. Se é uma entidade essencial ou importante ao abrigo da NIS2, tem agora obrigações imediatas: implementar medidas de segurança baseadas no risco abrangendo gestão de riscos, segurança da cadeia de fornecimento, controlo de acessos, cifragem e gestão de incidentes; registar-se junto do NCSC dentro do período especificado nos regulamentos de execução; e assegurar que os fluxos de trabalho de notificação de incidentes estão em vigor (alerta precoce de 24 horas, notificação completa de 72 horas ao NCSC para incidentes significativos). Se ainda não implementou procedimentos alinhados com a NIS2, está em incumprimento desde 15 de agosto de 2026. Se é membro do órgão de gestão de uma organização holandesa abrangida pela Cyberbeveiligingswet: A transposição holandesa da NIS2 impõe responsabilidade pessoal aos membros individuais do conselho de administração pela governação da cibersegurança. Assegure que a sua organização dispõe de aprovação a nível do conselho das suas medidas de gestão de riscos de cibersegurança e que a cibersegurança é um ponto fixo da ordem do dia do conselho. O NCSC pode exigir que complete formação em conformidade com a NIS2 se a organização for considerada não conforme. Se fornece produtos, serviços ou serviços geridos de TIC a entidades essenciais ou importantes holandesas: A segurança da cadeia de fornecimento é uma obrigação fundamental da NIS2. Os seus clientes holandeses devem avaliar e gerir o risco de cibersegurança dos fornecedores. Espere requisitos contratuais de cibersegurança, questionários de segurança de fornecedores e obrigações de notificação de incidentes nos seus acordos com entidades holandesas sujeitas à NIS2. Prepare agora a sua documentação de segurança de fornecedor. Avalie as suas obrigações NIS2 com a Avaliação de Prontidão NIS2 da Verdaio.

Se fabrica ou fornece qualquer uma das 17 categorias de produtos abrangidas por estes projetos de EN do ETSI (gestores de palavras-passe, software antivírus ou anti-malware, VPN para utilizadores individuais, gateways ou routers domésticos, assistentes domésticos inteligentes, brinquedos conectados, dispositivos de saúde portáteis, câmaras IP ou videoporteiros, contadores inteligentes, fechaduras de porta conectadas, sistemas de alarme com conectividade de rede, software de monitorização de rede, dispositivos IoT industriais, software de acesso remoto, sistemas operativos de uso geral, microprocessadores ou microcontroladores, ou hipervisores): Estas Normas Europeias, uma vez adotadas e referenciadas no Jornal Oficial, permitir-lhe-ão invocar a presunção de conformidade do CRA para os requisitos essenciais de cibersegurança que abrangem. Acompanhe o processo de inquérito público do ETSI (meados de setembro a meados de novembro de 2026) e considere a apresentação de comentários formais para influenciar a norma final para a categoria do seu produto. Comece a avaliar se o design de segurança do seu produto está alinhado com os requisitos do projeto, para minimizar o trabalho de colmatação de lacunas antes de dezembro de 2027. Se está a preparar a sua abordagem de avaliação de conformidade com o CRA para produtos não abrangidos por estes 17 projetos de EN: O CRA permite a avaliação de conformidade por outras vias, incluindo o uso de certificados europeus de cibersegurança ou avaliação de conformidade por terceiros para produtos de Classe I e II. Acompanhe o programa de publicação de normas harmonizadas CRA através do ETSI e do Jornal Oficial, uma vez que se esperam normas adicionais para outras categorias de produtos. Se é uma equipa de aquisição ou jurídica a adquirir produtos digitais: Quando as normas harmonizadas forem referenciadas no Jornal Oficial, exija que os fornecedores declarem a conformidade com a EN relevante nas suas declarações de conformidade. Até então, solicite aos fabricantes que descrevam a sua abordagem de avaliação de conformidade com o CRA e o respetivo calendário. Avalie as suas obrigações CRA e NIS2 com a Avaliação de Prontidão NIS2 da Verdaio.

Se produz, encomenda ou distribui conteúdo de vídeo ou áudio gerado por IA que represente a imagem, semelhança ou voz de uma pessoa real num contexto editorial, de entretenimento ou publicitário dirigido à UE: A decisão do Garante confirma que os Artigos 5.° e 25.° do RGPD se aplicam à produção e transmissão de conteúdo de deepfake gerado por IA e exigem que a divulgação seja clara, evidente e compreensível não apenas para os espetadores atentos do programa, mas também para os públicos menos atentos e para os espetadores que se deparam com o conteúdo como um clipe autónomo nas redes sociais. Reveja o seu fluxo de produção e distribuição de conteúdo de IA e verifique que todos os canais de distribuição apresentam divulgações que satisfazem este padrão de compreensibilidade, não apenas a transmissão original. Se utiliza ferramentas de geração por IA para criar conteúdo que represente pessoas reais identificáveis e distribui esse conteúdo por canais digitais: A partir de 2 de agosto de 2026, o Artigo 50.° da Lei IA da UE exige igualmente marcações legíveis por máquina no conteúdo gerado por IA e etiquetas visíveis e legíveis por humanos em vídeo ou áudio de deepfake que represente pessoas reais. A sua obrigação de conformidade abrange agora tanto a transparência do Artigo 5.° do RGPD como a divulgação do Artigo 50.° da Lei IA. Um aviso que está tecnicamente presente numa transmissão mas impercetível num clipe nas redes sociais não satisfaz nenhum dos dois requisitos. Reveja cada canal de distribuição e garanta que as divulgações conformes estão incorporadas ao nível do clipe, e não apenas ao nível do programa. Se desenvolve ou fornece ferramentas de IA que geram vídeo ou áudio sintético de pessoas reais: O Artigo 25.° do RGPD exige proteção de dados desde a conceção e por defeito. O Garante concluiu que a ausência de mecanismos de divulgação adequados integrados constituiu uma violação do Artigo 25.° ao nível da ferramenta ou do processo de produção. Avalie se o seu sistema disponibiliza controlos que permitam aos utilizadores incorporar marcadores de divulgação que satisfaçam o padrão de compreensibilidade exigido pelo Garante, juntamente com os requisitos de marcação legível por máquina do Artigo 50.° da Lei IA da UE. Avalie as suas obrigações de proteção de dados e de IA com a Verificação Rápida RGPD e a Verificação de Prontidão para a Lei IA da Verdaio.

Se desenvolve, fornece ou integra sistemas de identificação biométrica, tecnologia de reconhecimento facial ou soluções de videovigilância para forças de segurança, segurança de recintos ou controlo de acesso na UE: O parecer do Garante confirma que o Artigo 5.° da Lei IA da UE impõe exceções estritas e não extensíveis para a identificação biométrica remota em tempo real em espaços públicos. Qualquer sistema que recolha e conserve dados biométricos da população em geral num local definido - ainda que por um curto período e para fins investigativos - provavelmente ficará fora das exceções do Artigo 5.°, n.° 1, alínea h), a não ser que seja direcionado a um suspeito identificado, uma ameaça ativa e específica ou um crime grave passado específico listado no Anexo II. Analise o âmbito e a finalidade do seu sistema face a cada exceção antes de o implementar em espaços públicos ou quase-públicos na UE. Se é uma autoridade pública, organizador de eventos ou operador de infraestruturas que planeia implementar reconhecimento facial ou videovigilância biométrica em estádios, espaços públicos ou centros de transporte na UE: A posição do Garante indica que a recolha e conservação preventivas de dados biométricos de indivíduos presentes num local - mesmo quando enquadradas como medida de segurança pública - não satisfazem as condições específica, substancial e iminente das exceções do Artigo 5.°, n.° 1, alínea h). Obtenha aconselhamento jurídico especializado antes de implementar qualquer sistema com uma função de recolha de dados a nível populacional, em vez de uma função de identificação direcionada. Avalie as suas obrigações ao abrigo da Lei IA da UE com a Verificação de Prontidão para a Lei IA da Verdaio.

Se envia emails de marketing ou promocionais a indivíduos que iniciaram mas não concluíram um processo de registo no seu sítio Web ou aplicação: A decisão do Garante confirma que o Artigo 6.°, n.° 1, alínea b), do RGPD (execução contratual) não constitui base jurídica válida para emails de marketing dirigidos a utilizadores com registo não confirmado. O envio de comunicações de marketing a utilizadores com registo parcial que não finalizaram a criação da conta e não aceitaram os termos exige consentimento ao abrigo do Artigo 6.°, n.° 1, alínea a), ou uma base de interesses legítimos ao abrigo do Artigo 6.°, n.° 1, alínea f), com uma avaliação de proporcionalidade documentada. Analise o seu fluxo de registo e os acionadores de marketing por email para confirmar que o marketing apenas é desencadeado para utilizadores com base jurídica confirmada e documentada. Se utiliza endereços de email recolhidos em processos de registo incompletos ou abandonados para qualquer finalidade diferente da conclusão do registo: Os dados recolhidos antes de o registo ser confirmado só podem ser utilizados para a finalidade para a qual foram recolhidos nessa fase. A sua utilização para marketing ou outras finalidades secundárias exige uma base jurídica independente. Mapeie o seu fluxo de dados de registo para comunicação face aos Artigos 5.° e 6.° do RGPD e documente a base jurídica aplicável em cada fase. Se a sua organização trata pedidos de exercício de direitos dos titulares dos dados, incluindo pedidos de apagamento: O Garante detetou falhas na resposta a pedidos de apagamento dentro do prazo de um mês do Artigo 12.° do RGPD. Verifique o seu processo de tratamento de pedidos de direitos para assegurar que todos os pedidos recebidos são encaminhados para uma equipa responsável e que os prazos de resposta são acompanhados e cumpridos. Avalie as suas obrigações de proteção de dados com a Verificação Rápida de RGPD da Verdaio.

Se coloca sistemas de IA no mercado alemão ou utiliza sistemas de IA em operações comerciais na Alemanha: A Bundesnetzagentur é agora o seu principal contacto regulatório da Lei IA da UE na Alemanha. Tem autoridade para solicitar informações, realizar auditorias, ordenar medidas corretivas e remeter infrações para aplicação. Identifique quais dos seus sistemas de IA se enquadram na Lei IA da UE (proibições do Artigo 5.°, categorias de alto risco do Anexo III, ou obrigações de transparência do Artigo 50.°), mapeie-os para o âmbito da Bundesnetzagentur ou para as afetações setoriais específicas ao BaFin, e assegure que tem uma designação de contacto para correspondência regulatória. Se opera sistemas de IA em serviços financeiros na Alemanha (avaliação de crédito, subscrição de seguros, negociação algorítmica ou outros casos de uso financeiro regulado): O BaFin é a sua autoridade de supervisão da Lei IA da UE designada para esses sistemas. O BaFin tem autoridade sobre as proibições do Artigo 5.° da Lei IA da UE e as obrigações de alto risco do Anexo III para aplicações de IA no setor financeiro, com coimas administrativas até 40 milhões de euros. Certifique-se de que a documentação do seu sistema de IA (ficheiro técnico, avaliação de conformidade, registo na base de dados da UE) identifica o BaFin como a autoridade competente nacional relevante. Se os seus sistemas de IA tratam dados pessoais e se enquadram tanto na Lei IA da UE como no RGPD: O BfDI e as autoridades de proteção de dados dos Lander mantêm competência de supervisão RGPD para a dimensão do tratamento de dados, incluindo avaliações de impacto sobre a proteção de dados ao abrigo do Artigo 35.° do RGPD para tratamentos de alto risco que envolvam IA. Coordene a sua documentação de conformidade com o RGPD e a Lei IA da UE para evitar avaliações contraditórias entre dois regimes de supervisão. Avalie as suas obrigações ao abrigo da Lei IA da UE com a Verificação de Prontidão para a Lei IA da Verdaio.

Se utilizar chatbots de IA, assistentes virtuais ou outros sistemas de IA que interagem diretamente com utilizadores (clientes, trabalhadores ou o público): As obrigações de transparência do Artigo 50.° são agora exequíveis. Assegure-se de que cada sessão de interação com um sistema de IA conversacional inclui uma divulgação clara, atempada e compreensível de que o utilizador está a comunicar com uma IA, e não com um ser humano. Uma breve divulgação no início da interação ou um indicador persistente na interface é o mínimo exigido; a divulgação deve ser feita antes ou no início da interação, e não enterrada nos termos e condições. Se gerar, publicar ou distribuir conteúdos de áudio, vídeo, imagem ou texto utilizando ferramentas de geração de IA: Os conteúdos gerados por IA devem agora incluir marcações legíveis por máquina que os identifiquem como gerados por IA. Verifique se o seu processo de produção de conteúdos inclui marcas de água legíveis por máquina ou etiquetas de metadados para todos os resultados sintéticos. Para vídeos ou áudios deepfake que representam indivíduos reais identificáveis, é exigida uma divulgação visível e legível por humanos adicional. Se desenvolver, afinar ou implementar modelos de IAGP (grandes modelos de linguagem, modelos de base multimodal) colocados no mercado da UE: Os poderes de supervisão do Gabinete de IA estão agora ativos. Certifique-se de que a sua documentação técnica ao abrigo do Artigo 53.° e a sua política de conformidade com direitos de autor estão em ordem. Se o seu modelo estava no mercado antes de 2 de agosto de 2026, o período transitório para conformidade com os requisitos de marcação legível por máquina decorre até 2 de dezembro de 2026. Se o seu modelo exceder o limiar de computação de risco sistémico, certifique-se de que os resultados de testes adversariais e os canais de comunicação de incidentes estão implementados. Se integrar modelos de IAGP de terceiros nos seus produtos ou serviços: Analise a documentação de conformidade com a Lei IA do fornecedor do modelo. Como utilizador, as suas obrigações de divulgação ao abrigo do Artigo 50.° aplicam-se independentemente de o modelo subjacente ter sido desenvolvido internamente ou obtido junto de terceiros. Avalie as suas obrigações ao abrigo da Lei IA com a Verificação de Prontidão para a Lei IA da Verdaio.

Se conduzir ou planear conduzir investigações internas que impliquem o acesso a contas de email de trabalhadores, sistemas de mensagens ou outras plataformas de comunicação: A decisão relativa à Piaggio confirma que o acesso a emails de trabalhadores constitui uma operação de tratamento sujeita ao pleno cumprimento do RGPD, incluindo uma base jurídica válida ao abrigo do Artigo 6.°, minimização dos dados ao abrigo do Artigo 5.°, n.° 1, alínea c), e limitação da conservação ao abrigo do Artigo 5.°, n.° 1, alínea e). Defina antecipadamente o âmbito de qualquer acesso a emails, limite a análise às comunicações estritamente necessárias para a investigação específica e documente uma avaliação de proporcionalidade antes de qualquer acesso. Se implementar políticas de backup de email ou conservação que abranjam todas as comunicações dos trabalhadores por períodos prolongados: A decisão do Garante indica que a conservação de backups de email durante todo o período de emprego e cinco anos após a cessação, sem limitações de âmbito ou mecanismos de acesso controlado, pode não ser compatível com os princípios de minimização dos dados e limitação da conservação do RGPD. Reveja a sua política de conservação de email e certifique-se de que está alinhada com o Artigo 5.° do RGPD e sustentada por uma finalidade legítima com períodos de conservação proporcionados. Se os trabalhadores tiverem sido previamente informados sobre o potencial acesso às suas comunicações no âmbito de uma política geral de utilização aceitável ou de TI: O Garante concluiu que as políticas genéricas de TI não satisfazem as obrigações de informação ao abrigo dos Artigos 13.° e 14.° do RGPD relativamente ao acesso específico a emails em contexto de investigação. Verifique se os avisos de privacidade dos trabalhadores abrangem explicitamente as circunstâncias em que o email pode ser acedido no âmbito de uma investigação interna. Avalie as suas obrigações de proteção de dados com a Verificação Rápida RGPD da Verdaio.

Se utilizar plataformas de inteligência de dados B2B ou de enriquecimento de contactos que obtêm dados de contacto profissional de terceiros, corretores de dados ou web scraping para identificar ou contactar profissionais sediados na UE: A decisão do Garante confirma que o responsável pelo tratamento que utiliza tal plataforma assume responsabilidade partilhada pela licitude da recolha de dados subjacente. Verifique se o seu fornecedor de enriquecimento de dados consegue demonstrar uma base jurídica válida ao abrigo do RGPD para os dados que fornece, incluindo avisos de informação conformes aos titulares de dados e canais de exercício de direitos acessíveis. Se o fornecedor não conseguir demonstrar conformidade com o RGPD, fica exposto a responsabilidade como responsável pelo tratamento por utilizar dados tratados de forma ilícita. Se for um corretor de dados B2B, fornecedor de enriquecimento de contactos ou revendedor de dados de marketing que trata dados de contacto profissional de residentes na UE sem estabelecimento na UE: A decisão do Garante confirma que o Artigo 3.°, n.° 2, alínea b), do RGPD é aplicável ao seu tratamento se mantiver, atualizar e enriquecer perfis de pessoas da UE ao longo do tempo. Designe um representante na UE ao abrigo do Artigo 27.° do RGPD, assegure uma base jurídica válida para cada finalidade de tratamento e implemente avisos de informação ao abrigo dos Artigos 13.°/14.° acessíveis aos titulares de dados cujos dados detém. Se realizar atividades de marketing de saída ou prospeção comercial utilizando listas de contactos B2B adquiridas ou enriquecidas dirigidas a residentes na UE: Verifique se os dados de contacto foram recolhidos com uma base jurídica que abranja a finalidade de marketing específica para a qual os está a utilizar. A decisão do Garante reforça que a base de interesses legítimos não confere um direito ilimitado a utilizar dados pessoais para prospeção comercial dirigida a pessoas da UE. Avalie as suas obrigações de proteção de dados com a Verificação Rápida RGPD da Verdaio.

Se fabricar ou fornecer produtos com elementos digitais colocados ou a colocar no mercado da UE (hardware com software incorporado, produtos de consumo ligados, software empresarial, dispositivos IoT ou sistemas de controlo industrial): As obrigações de notificação ao abrigo do Artigo 14.° para vulnerabilidades ativamente exploradas e incidentes de segurança relacionados com a LRC aplicam-se a partir de 11 de setembro de 2026. Leia o Aviso da Comissão C(2026) 5252 para verificar se o seu produto está abrangido e para compreender o processo de notificação em duas fases: aviso prévio de 24 horas à ENISA e notificação completa em 72 horas. Os 67 exemplos práticos das orientações abrangem as categorias de produtos mais comuns. Se não tiver a certeza se o seu produto satisfaz a definição de âmbito da LRC ou se uma atualização planeada constitui uma modificação substancial: As orientações fornecem um teste de âmbito estruturado e um teste de modificação substancial com exemplos práticos. Aplique ambos antes do prazo de setembro de 2026 para confirmar as suas obrigações de notificação e evitar desencadear inadvertidamente um novo requisito de avaliação de conformidade. Se for um fabricante PME com recursos limitados de conformidade: A secção dedicada às PME das orientações fornece uma lista de verificação por prioridades para atingir a prontidão de notificação ao abrigo do Artigo 14.° até 11 de setembro de 2026. Utilize-a em conjunto com o Modelo de Avaliação de Maturidade PME da ENISA para a LRC (publicado a 13 de julho de 2026) para identificar e colmatar as suas lacunas prioritárias antes do prazo de notificação. Se fizer parte de uma equipa de aquisições ou jurídica numa organização que procura produtos digitais de fabricantes: As obrigações de notificação ao abrigo do Artigo 14.° da LRC recaem sobre o fabricante, não sobre o cliente. Verifique se os seus principais fornecedores de produtos digitais dispõem de um processo de notificação documentado ao abrigo do Artigo 14.°. Avalie as suas obrigações ao abrigo da LRC e da NIS2 com a Avaliação de Prontidão NIS2 da Verdaio.

Se transfere dados pessoais da UE para destinatários na Coreia do Sul (incluindo dados de RH, dados de clientes, dados de fornecedores ou transferências intragrupo para afiliadas coreanas): O resultado positivo da primeira revisão periódica da Comissão significa que a decisão de adequação de 2021 se mantém em vigor. As suas transferências ao abrigo da decisão de adequação permanecem lícitas sem medidas suplementares. Não é necessária nenhuma ação. Atualize os seus registos de transferências de dados e o ROPA para anotar que a base de adequação foi revista em julho de 2026 e confirmada. Se implementou cláusulas contratuais-tipo ou regras vinculativas aplicáveis às empresas como precaução juntamente com a decisão de adequação: Estas medidas suplementares não são exigidas para as transferências abrangidas pela decisão de adequação. Pode removê-las ou arquivá-las da sua documentação de transferências para transferências da UE para a Coreia do Sul, embora mantê-las como camada de mitigação de risco para transferências fora do âmbito da decisão de adequação (por exemplo, para entidades não sujeitas à PIPA) continue a ser uma boa prática. Se depende de outras decisões de adequação da UE para transferências internacionais de dados (Reino Unido, Japão, Suíça, Quadro de Privacidade de Dados UE-EUA, Argentina, Israel ou Nova Zelândia): A conclusão da revisão da Coreia do Sul pela Comissão indica que o programa de revisão periódica ao abrigo do Artigo 45.°, n.° 3, alínea b), está agora operacionalmente ativo. Está previsto que outras decisões de adequação entrem em revisão até 2027. Acompanhe os anúncios da Comissão e prepare-se para demonstrar a legalidade continuada das suas disposições de transferência. Mapeie as suas obrigações de transferência internacional de dados com o Verificador RGPD da Verdaio.

Se é filial ou sucursal na UE de um grupo de fora da UE com volume de negócios líquido na UE superior a 150 milhões de euros: Verifique se o seu grupo-mãe de fora da UE supera o limiar do Artigo 40.°-A (volume de negócios líquido na UE de 150 milhões de euros em cada um dos dois últimos exercícios consecutivos, mais uma filial ou sucursal na UE com volume de negócios líquido superior a 40 milhões de euros). Se abrangido, o grupo deve preparar relatórios de sustentabilidade equivalentes ao CSRD ao abrigo das ESRS-40a a partir do exercício com início a 1 de janeiro de 2028. A consulta do EFRAG encerra a 31 de outubro de 2026: envolva a equipa de sustentabilidade ou jurídica do seu grupo para rever o Projeto de Exposição e considere submeter uma resposta. Se é um grupo de fora da UE a avaliar a sua presença regulatória na UE: O Artigo 40.°-A não exige que a sua filial na UE reporte separadamente; a obrigação de relato situa-se ao nível do grupo-mãe de fora da UE numa base consolidada. A avaliação de dupla materialidade do seu grupo e os relatórios ESRS-40a serão registados no registo da UE. Inicie já a análise de lacunas face às normas ESRS-40a provisórias para determinar as alterações de recolha de dados e de governação necessárias antes de 2028. Mapeie as suas obrigações ao abrigo do CSRD e realize a sua avaliação de dupla materialidade com a Avaliação de Prontidão CSRD da Verdaio.

Se desenvolver ou utilizar sistemas de IA de alto risco autónomos nas categorias do Anexo III (biometria, infraestruturas críticas, educação, emprego, serviços essenciais, aplicação da lei, migração ou justiça): O prazo de conformidade para o seu sistema foi prorrogado de 2 de agosto de 2026 para 2 de dezembro de 2027 pelo Regulamento (UE) 2026/1744. Deixou de ser obrigado a estar em plena conformidade até 2 de agosto de 2026, mas o seu trabalho de avaliação de conformidade, documentação de gestão de risco, processo técnico e registo na base de dados da UE devem ser concluídos antes de 2 de dezembro de 2027. Não interrompa as suas preparações de conformidade: utilize o prazo alargado para colmatar lacunas em vez de atrasar. Se desenvolver ou utilizar produtos com IA sujeitos à legislação setorial do Anexo I (dispositivos médicos, máquinas, aviação, veículos): O seu prazo de conformidade foi alterado de 2 de agosto de 2027 para 2 de agosto de 2028. Reveja o seu roteiro de conformidade atual e ajuste os seus marcos face ao novo prazo. Se fornecer ou utilizar qualquer sistema de IA com obrigações de transparência do Artigo 50.° (divulgação de interação, marcação de conteúdo sintético, rotulagem de deepfakes): O Regulamento (UE) 2026/1744 não altera a data de aplicação de 2 de agosto de 2026 das obrigações do Artigo 50.°. Estas aplicam-se conforme planeado. Analise as orientações da Comissão sobre o Artigo 50.° publicadas a 20 de julho de 2026 e certifique-se de que a sua implementação está ativa até 2 de agosto de 2026. Se desenvolver sistemas de IA que possam gerar imagens íntimas ou qualquer conteúdo envolvendo menores: A nova proibição ao abrigo do Artigo 5.° revisto aplica-se a partir de 27 de julho de 2026. Certifique-se de que o seu sistema inclui controlos que impeçam a geração de NCII ou CSAM. Avalie as suas obrigações ao abrigo da Lei IA da UE com a Verificação Rápida Lei IA da Verdaio.

Se é um hospital, clínica ou prestador de cuidados de saúde sujeito à NIS2 como entidade essencial: Analise as orientações de aquisição da ENISA face aos seus modelos de contratos com fornecedores e especificações de aquisição de TIC atuais. As orientações fornecem uma lista de verificação estruturada para as obrigações de segurança da cadeia de fornecimento ao abrigo do Artigo 21.°, n.° 2, alínea d), da NIS2, e a sua adoção reforça a sua documentação de conformidade antes dos requisitos setoriais específicos ao abrigo do Regulamento de Execução (UE) 2024/2690 que se aplicam a partir de 18 de janeiro de 2027. Se é fornecedor de TIC para o setor da saúde: Espere que as equipas de aquisição de clientes hospitalares e de clínicas introduzam requisitos de cibersegurança alinhados com a NIS2 nos documentos de concurso e nos termos contratuais com base nas orientações da ENISA. Analise a sua documentação de segurança, procedimentos de resposta a incidentes e controlos da cadeia de fornecimento de software face aos requisitos para fornecedores das orientações. Se trata dados de doentes ou opera dispositivos médicos ligados a redes hospitalares: Os controlos de segurança da cadeia de fornecimento ao abrigo da NIS2 aplicam-se à sua relação contratual com o operador de saúde. Avalie as suas obrigações NIS2 com o NIS2 Quick Check da Verdaio.

Se fornecer ou utilizar qualquer sistema de IA que gere conteúdo sintético, interaja com utilizadores, reconheça emoções ou categorize utilizadores biometricamente: As obrigações de transparência do Artigo 50.° aplicam-se a partir de 2 de agosto de 2026. Analise as orientações da Comissão em função de cada categoria do Artigo 50.° relevante para o seu sistema: divulgação de interação (Artigo 50.°, n.° 1), marcação legível por máquina de conteúdo sintético (Artigo 50.°, n.° 2), rotulagem de deepfakes e conteúdo manipulado (Artigo 50.°, n.° 4), e aviso de reconhecimento de emoções ou categorização biométrica (Artigo 50.°, n.° 3). Se assinou o Código de Boas Práticas sobre Transparência de Conteúdo Gerado por IA até 22 de julho de 2026, beneficia de uma presunção de conformidade com os Artigos 50.°, n.°s 2, 4 e 5; demonstre a conformidade independente com o Artigo 50.° através de documentação técnica se não assinou. Se fornecer um modelo GPAI cujos resultados são utilizados por fornecedores ou utilizadores a jusante: O Artigo 50.°, n.° 5, exige que equipe os operadores a jusante com as informações necessárias para cumprir as suas próprias obrigações de transparência; analise a sua documentação de API e fichas de modelo face aos requisitos do Artigo 50.°, n.° 5 das orientações. Se o seu sistema de IA já estava no mercado antes de 2 de agosto de 2026: O período de tolerância para sistemas legados até 2 de dezembro de 2026 aplica-se às obrigações de marcação e rotulagem dos Artigos 50.°, n.°s 2 e 4, ao abrigo do acordo do Pacote Omnibus de IA; as obrigações dos Artigos 50.°, n.°s 1 e 3 continuam a aplicar-se a partir de 2 de agosto de 2026. Avalie as suas obrigações ao abrigo da Lei IA da UE com a Verificação Rápida Lei IA da Verdaio.

Se operar num setor em que os funcionários têm acesso a sistemas de gestão de dados de clientes (telecomunicações, serviços financeiros, retalho, saúde, serviços públicos): A decisão do Garante sobre a WINDTRE identifica a engenharia social e a personificação de suporte informático como um risco ao abrigo do Artigo 32.° do RGPD que os operadores devem mitigar. Verifique se a sua formação dos funcionários em consciencialização para a segurança abrange cenários de engenharia social e se os seus procedimentos de concessão de acesso ao sistema em resposta a pedidos de suporte incluem passos de verificação que não possam ser contornados por engenharia social. Se detiver dados de pagamento ou informações financeiras pertencentes a clientes: A presença de dados de pagamento (IBAN, dados parciais de cartão) entre os registos exfiltrados foi um fator agravante no cálculo da coima do Garante. Segmente e restrinja o acesso a dados de pagamento de forma mais rigorosa do que os dados gerais de clientes; aplique o princípio da necessidade de saber e minimize quais os funcionários ou sistemas que podem aceder a repositórios de IBAN e dados de cartão. Se for RPD, responsável de segurança ou responsável de conformidade a preparar uma avaliação de segurança ao abrigo do Artigo 32.° do RGPD: O Garante decidiu que as auditorias de segurança internas de um operador devem ser capazes de identificar vulnerabilidades de engenharia social. Documente o seu processo de modelação de ameaças para demonstrar que a engenharia social é tratada como um vetor de ataque previsível, e registe os controlos implementados em resposta. Mapeie as suas obrigações de segurança ao abrigo do RGPD com a Verificação Rápida RGPD da Verdaio.

Se estiver sujeito a investigações de supervisão, auditorias ou pedidos de informação ao abrigo da Lei IA, do DMA, do DORA, da NIS2 ou do Regulamento AML, e tratar igualmente dados pessoais sujeitos ao RGPD: A declaração do CEPD sinaliza que, uma vez em vigor uma base jurídica para a partilha de informações inter-regulatória, as conclusões de uma investigação regulatória poderão ser partilhadas com as autoridades de supervisão da proteção de dados, e vice-versa. Mantenha registos consistentes, precisos e completos em todos os processos regulatórios, pois as inconsistências entre os processos regulatórios e os registos RGPD tornar-se-ão mais visíveis sob uma fiscalização coordenada. Se for um fornecedor ou utilizador de sistemas de IA sujeito tanto à Lei IA da UE como ao RGPD: A fiscalização ao abrigo da Lei IA pelas autoridades nacionais de vigilância do mercado e a fiscalização ao abrigo do RGPD pelas autoridades de supervisão já estão substantivamente ligadas, uma vez que os sistemas de IA de alto risco envolvem tipicamente o tratamento de dados pessoais. Espere que estes fluxos de fiscalização se tornem formalmente coordenados quando a partilha de informações inter-regulatória for autorizada no direito da UE. Se for uma entidade financeira sujeita ao DORA e tratar igualmente dados pessoais ao abrigo do RGPD: As obrigações de comunicação de incidentes e de testes de resiliência operacional digital ao abrigo do DORA geram dados operacionais que podem cruzar-se com o RGPD. Alinhe os seus quadros de compliance ao abrigo do DORA e do RGPD já, para evitar exposição quando a partilha inter-regulatória for formalizada. Mapeie as suas obrigações ao abrigo do RGPD com a Verificação Rápida RGPD da Verdaio.

Se desenvolver serviços de IA ou assistentes virtuais para Android: A partir do prazo de lançamento do Android 18 (até 1 de agosto de 2027 no máximo), a Google deve disponibilizar ao seu produto acesso a 11 funcionalidades do sistema Android nas mesmas condições que as disponíveis para o Gemini. Analise a decisão de especificação da Comissão para identificar as capacidades de integração com o Android agora obrigatórias, e planeie o seu roteiro de integração técnica para aproveitar estas oportunidades. Se operar um motor de pesquisa ou chatbot de IA que concorra com a Pesquisa Google na UE: A partir de janeiro de 2027, pode solicitar formalmente o acesso a dados anonimizados da Pesquisa Google em condições FRAND. Comece a avaliar os requisitos técnicos e comerciais de um pedido de acesso a dados e determine se o quadro de anonimização da Comissão satisfaz as suas necessidades em termos de qualidade dos dados. Se for uma grande plataforma ou guardião ao abrigo do DMA: Esta especificação estabelece um precedente sobre como a Comissão aplicará as obrigações de não discriminação e interoperabilidade através de medidas técnicas vinculativas. Audite os seus compromissos de interoperabilidade existentes ao abrigo da sua designação DMA face a este padrão antes de a Comissão emitir especificações semelhantes contra si. Avalie as suas obrigações enquanto plataforma digital com a Verificação Rápida RGPD da Verdaio.

Se operar uma plataforma de vídeo, conteúdo ou redes sociais com um programa de partilha de receitas, parceria ou criadores: Este acórdão indica que a avaliação ou análise do conteúdo, tema ou vídeos passados de um canal criador como parte de um processo de admissão a uma parceria comercial pode eliminar a sua isenção de responsabilidade de alojamento para conteúdo publicado nesses canais. Analise os critérios e procedimentos de admissão ao seu programa de parceiros e avalie se as suas práticas de avaliação constituem revisão editorial prévia ao abrigo do critério do TJUE. Se for uma marca, anunciante ou rede que utiliza canais de influenciadores ou parceiros em plataformas de vídeo para alcançar audiências: O acórdão cria nova pressão sobre as plataformas para regular mais de perto o conteúdo dos canais parceiros. Acompanhe se as plataformas atualizam os seus termos de programa de parceiros e políticas de conteúdo em resposta a esta decisão, pois essas alterações afetarão os contratos de criadores e as permissões de conteúdo. Se prestar aconselhamento jurídico ou de conformidade a operadores de plataformas: A distinção entre intermediário passivo e ativo do TJUE ao abrigo da Diretiva sobre Comércio Eletrónico aplica-se agora com maior clareza às práticas de avaliação comercial. Mapeie cada um dos procedimentos de admissão a programas comerciais do seu cliente face ao critério do TJUE e aconselhe sobre se as isenções de responsabilidade estão preservadas. Avalie as suas obrigações de conformidade enquanto plataforma com a Verificação Rápida RGPD da Verdaio.

Se for um programador ou investigador de IA a construir ou planear construir grandes modelos de IA na UE: O apelo do relatório à certeza jurídica sobre dados de treino é diretamente relevante para o seu planeamento. A AI Office sinalizou estar ciente do problema da interseção RGPD-direitos de autor para o treino de IA e tenciona abordá-lo através de orientações ou legislação. Acompanhe as publicações da AI Office e do CEPD sobre orientações relativas a dados de treino, e documente já a proveniência dos seus dados de treino atuais e a base jurídica aplicável para estar em boa posição quando chegarem as orientações ou o esclarecimento legislativo. Se for um programador de modelos de IA de uso geral potencialmente no âmbito das disposições GPAI da Lei IA da UE: As conclusões dos especialistas em IA de fronteira da AI Office moldarão o Código de Boas Práticas final para modelos GPAI, que é o principal mecanismo de conformidade para os fornecedores de GPAI ao abrigo da Lei IA. A ênfase nas obrigações de transparência e na documentação de dados de treino sinaliza que estas terão grande peso no Código. Se for uma empresa que implementa ou integra modelos de IA para aplicações voltadas para a UE: O relatório indica que a política da UE sobre IA de fronteira está a entrar numa fase de alta prioridade. Espera-se que a postura regulatória face a modelos GPAI e sistemas de IA de alta capacidade se intensifique à medida que as disposições GPAI da Lei IA entrarem em pleno vigor. Mapeie as suas obrigações ao abrigo do sistema de IA com a Verificação Rápida Lei IA da Verdaio.

Se operar uma plataforma em linha muito grande ou motor de pesquisa designado ao abrigo do DSA: A aceitação pela Comissão do plano de ação corretivo da X sinaliza como avaliará as propostas de reparação das plataformas. O design de interface enganoso (padrões obscuros ao abrigo do Artigo 25.º do DSA), o incumprimento do repositório de anúncios (Artigo 39.º) e as falhas no acesso de investigadores (Artigo 40.º) são alvos ativos de fiscalização. Analise o design de interface da sua plataforma, a integralidade do repositório de anúncios e o programa de acesso a dados de investigadores face a estes requisitos antes de uma investigação ser aberta contra si. Se for um investigador que pretende aceder a dados de plataformas em linha muito grandes ao abrigo do Artigo 40.º do DSA: O plano de ação aceite pela X inclui compromissos de disponibilizar uma camada gratuita de acesso a dados públicos e critérios de candidatura transparentes. Isto estabelece um padrão de referência que os investigadores podem invocar ao solicitar acesso a dados a outras plataformas designadas ao abrigo do DSA. Se for uma marca, agência ou equipa de conformidade que avalia obrigações de transparência de anúncios: A fiscalização pela Comissão do requisito de repositório de anúncios ao abrigo do Artigo 39.º do DSA confirma que está a ser monitorizado ativamente. Verifique se todas as plataformas nas quais coloca publicidade mantêm um repositório de anúncios em conformidade com o DSA e guarde registos das suas próprias colocações e parâmetros de segmentação de anúncios. Avalie a conformidade da sua plataforma digital com a Verificação Rápida RGPD da Verdaio.

Se operar uma organização desportiva antidopagem, federação desportiva ou organismo nacional de governação que publica informações sobre sanções envolvendo nomes de atletas: Este acórdão exige que implemente uma avaliação de proporcionalidade individual antes de cada publicação do nome e dos detalhes da infração de um atleta. As políticas de publicação automática generalizada não são compatíveis com o RGPD na interpretação do TJUE. Analise os seus procedimentos de publicação de sanções e introduza avaliações individuais documentadas. Implemente igualmente um mecanismo de expiração: remova ou anonimize as entradas publicadas quando o período de sanção terminar. Se operar qualquer registo público, base de dados disciplinar ou publicação de transparência que divulgue dados pessoais com base em interesse público ou interesses legítimos: A análise de proporcionalidade do TJUE aplica-se para além do contexto antidopagem. Qualquer política de divulgação generalizada que não inclua um passo de ponderação individual de interesses está em risco de contestação ao abrigo do RGPD. Analise o seu quadro de divulgação face às duas condições do TJUE: avaliação individual antes da publicação e remoção após o termo do período relevante. Se for um responsável pela proteção de dados num organismo público, regulador ou organização associativa que publica resultados de fiscalização ou disciplinares: Esta decisão acrescenta ao conjunto de jurisprudência do TJUE sobre quando os interesses de transparência pública podem sobrepor-se aos direitos individuais de proteção de dados. Audite as suas publicações existentes e introduza revisão caso a caso onde esta esteja atualmente ausente. Mapeie as suas obrigações ao abrigo do RGPD com a Verificação Rápida RGPD da Verdaio.

Se fabricar ou fornecer produtos com elementos digitais colocados ou a colocar no mercado da UE (incluindo software, dispositivos IoT, bens de consumo ligados ou sistemas de controlo industrial): As obrigações de comunicação ao abrigo do Artigo 14.º do CRA para vulnerabilidades ativamente exploradas e incidentes relacionados com o CRA aplicam-se a partir de 11 de setembro de 2026. Utilize o Modelo de Avaliação de Maturidade CRA para PME da ENISA, gratuito, para avaliar as suas práticas atuais face aos requisitos do CRA e identificar lacunas antes dessa data. A ferramenta disponibiliza um questionário estruturado, cinco níveis de maturidade por pilar e orientações de correção priorizadas. Se for uma PME com experiência interna limitada em cibersegurança: A ferramenta da ENISA foi concebida para o seu contexto. Complete a autoavaliação nos quatro pilares (conceção de segurança, gestão de vulnerabilidades, resposta a incidentes e documentação) antes do prazo de comunicação de setembro de 2026 para identificar as suas lacunas prioritárias. Se for uma empresa de maior dimensão que adquire componentes de hardware ou software a fabricantes PME: As obrigações de segurança da cadeia de abastecimento do Artigo 13.º do CRA exigem que avalie e gira as práticas de segurança dos seus fornecedores de produtos digitais. Partilhe a ferramenta da ENISA com os fornecedores PME como quadro de referência comum para avaliar a sua prontidão CRA antes da data de conformidade plena de dezembro de 2027. Avalie as suas obrigações ao abrigo do CRA e da NIS2 com a Avaliação de Prontidão NIS2 da Verdaio.

Se operar um sítio web ou serviço digital com um painel de consentimento de cookies dirigido a visitantes da UE: A Decisão Vinculativa 1/2026 do CEPD sinaliza uma fiscalização ativa das práticas de painéis de cookies em toda a UE. A decisão obriga a autoridade belga a apreciar substantivamente o painel da VRT quanto à conformidade com o RGPD, incluindo se o consentimento é livremente prestado, específico, informado e inequívoco ao abrigo do Artigo 7.º, e se o tratamento assenta numa base jurídica válida ao abrigo do Artigo 6.º, n.º 1. Audite o seu painel de cookies segundo estes critérios: as opções de rejeição devem ser apresentadas com a mesma proeminência que as de aceitação; as caixas pré-selecionadas e o consentimento por navegação são inválidos; e o consentimento deve ser tão fácil de retirar como de prestar (Artigo 7.º, n.º 3, do RGPD). Se utilizar plataformas de gestão de consentimento (CMPs) para o consentimento de cookies: Verifique se a configuração da sua CMP resulta em consentimento válido ao abrigo do Artigo 7.º do RGPD. As Orientações sobre Cookies do CEPD (Orientações 05/2020) e as orientações nacionais da CNIL, da AEPD e de outras autoridades estabelecem o padrão de referência; certifique-se de que o seu painel não utiliza padrões de manipulação, falsas equivalências ou interfaces enganosas que comprometam a validade do consentimento. Se recebeu uma queixa ao abrigo do RGPD que uma autoridade de supervisão arquivou sem apreciação substantiva: A Decisão Vinculativa 1/2026 estabelece que estes arquivamentos estão sujeitos a revisão pelo CEPD ao abrigo do Artigo 60.º, n.º 3. Se for o reclamante, a decisão confirma que pode opor-se a arquivamentos processuais; se for o responsável pelo tratamento, uma queixa anteriormente arquivada pode ser reapreciada no mérito. Mapeie as suas obrigações ao abrigo do RGPD relativas ao consentimento de cookies com a Verificação Rápida RGPD da Verdaio.

Se operar na Irlanda, em Espanha, em França ou nos Países Baixos num setor abrangido pela NIS2 (energia, transportes, água, saúde, infraestruturas digitais, banca, infraestruturas dos mercados financeiros, administração pública ou espaço): O reenvio para o TJUE sinaliza que a legislação nacional de transposição da NIS2 é iminente em todos os quatro estados. Monitorize a sua autoridade nacional competente para a publicação de regulamentos de execução; uma vez transposta, estará sujeito às medidas de segurança do Artigo 21.º e às obrigações de comunicação de incidentes do Artigo 23.º com pré-aviso mínimo. Inicie já a análise de lacunas face aos requisitos da NIS2, de forma a estar preparado para cumprir assim que a lei nacional estiver em vigor. Se operar noutros Estados-Membros da UE que já completaram a transposição da NIS2: O reenvio não afeta as obrigações nacionais existentes. Contudo, se tiver relações de cadeia de abastecimento com entidades nos quatro estados remetidos, note que essas entidades podem ainda não estar sujeitas a requisitos nacionais equivalentes de cibersegurança ao abrigo da NIS2, o que poderá afetar as suas próprias avaliações de risco da cadeia de abastecimento ao abrigo do Artigo 21.º, n.º 2, alínea d), da NIS2. Se prestar serviços de infraestruturas digitais, serviços geridos de segurança ou serviços de computação em nuvem a entidades na Irlanda, em Espanha, em França ou nos Países Baixos: Antecipe requisitos contratuais NIS2 por parte dos seus clientes nesses estados à medida que a transposição nacional avança e as entidades começam a adequar os respetivos contratos com fornecedores aos requisitos da NIS2. Mapeie as suas obrigações ao abrigo da NIS2 com a Avaliação de Prontidão NIS2 da Verdaio.

Se fornecer ou utilizar sistemas de IA que geram ou manipulam áudio, imagem, vídeo ou texto sintético (chatbots, ferramentas de geração de imagem ou vídeo, síntese de voz, assistentes de escrita com IA): As obrigações de transparência do Artigo 50.º da Lei IA da UE aplicam-se a partir de 2 de agosto de 2026. Este prazo não é prorrogado pelo acordo do Pacote Digital Omnibus; a prorrogação para dezembro de 2027 aplica-se apenas às obrigações de alto risco do Anexo III. Se o seu sistema se enquadrar no âmbito dos Artigos 50.º, n.ºs 2, 4 ou 5, deve implementar marcação legível por máquina ou divulgação até 2 de agosto de 2026. Avalie se deve assinar o Código de Transparência antes de 22 de julho de 2026 às 18:00 CET: a assinatura cria uma presunção de conformidade e reduz o risco de fiscalização. Se for um fornecedor de um modelo GPAI (incluindo modelos integrados em produtos ou serviços de terceiros): O Artigo 50.º, n.º 5 aplica-se ao resultado gerado pelo seu modelo. Avalie se o Código cobre os tipos de resultado do seu modelo e se a assinatura antes do prazo de 22 de julho de 2026 é viável. Se se enquadrar no âmbito do Artigo 50.º mas não assinar o Código: Deve demonstrar a conformidade com o Artigo 50.º de forma independente, através de documentação técnica e práticas de divulgação; o Gabinete de IA da UE indicou que os não signatários no âmbito podem receber pedidos de informação após 2 de agosto de 2026. Avalie as suas obrigações ao abrigo da Lei IA com a Avaliação Lei IA da UE da Verdaio.

Se operar uma base de dados, serviço de informação ou plataforma de inteligência empresarial que disponibilize acesso pesquisável a dados pessoais provenientes de registos de tribunais, processos penais, decisões administrativas ou registos públicos: O acórdão do TJUE no Processo C-199/24 exclui a exceção jornalística prevista no Artigo 85.º, n.º 2, do RGPD para operadores de bases de dados comerciais. Verifique se a sua base jurídica para o tratamento de dados pessoais de fontes públicas é adequada ao abrigo do Artigo 6.º do RGPD, independentemente de qualquer invocação da exceção jornalística, e assegure que os seus processos de tratamento de pedidos de apagamento ao abrigo do Artigo 17.º são operacionais e conformes com a decisão. Se tratar dados pessoais provenientes de processos penais, sanções ou decisões de fiscalização no âmbito de um produto ou serviço comercial: O Artigo 10.º do RGPD (tratamento relativo a condenações penais e infrações) impõe restrições adicionais. Os dados de condenações penais só podem ser tratados sob o controlo de autoridade oficial ou quando autorizado pela lei do estado membro; o modelo de base de dados comercial do Processo C-199/24 deverá enfrentar escrutínio adicional ao abrigo do Artigo 10.º na sequência deste acórdão. Se invocar a exceção jornalística do Artigo 85.º para resistir a pedidos de direitos dos titulares de dados em qualquer contexto de tratamento: O TJUE no Processo C-199/24 confirma que a exceção apenas se aplica quando o tratamento é estritamente necessário para conciliar a proteção de dados com a liberdade de expressão e de informação, e a finalidade principal é genuinamente jornalística, académica, artística ou literária. Verifique se a exceção que invoca satisfaz este critério de necessidade estrita. Mapeie as suas obrigações ao abrigo do RGPD com a Verificação Rápida RGPD da Verdaio.

Se operar uma plataforma de IA, chatbot ou serviço digital semelhante acessível a menores em estados membros da UE: A decisão do Garante sobre a Character.AI estabelece um referencial de conformidade com o RGPD para serviços de IA com restrição de idade. No mínimo, implemente verificação de idade eficaz e proporcional ao risco para os menores, configure perfis de menores como privados por defeito (Artigo 25.º), introduza um período de carência que impeça utilizadores menores bloqueados de se registar de imediato, e realize uma AIPD ao abrigo do Artigo 35.º do RGPD. Se for um responsável pelo tratamento fora da UE que trata dados pessoais de titulares da UE de forma sistemática: O requisito de representante na UE ao abrigo do Artigo 27.º integrou as cinco violações identificadas nesta decisão. Designe um representante na UE por escrito, nomeie-o como ponto de contacto junto das autoridades de supervisão, e informe os titulares dos dados da identidade do representante na sua política de privacidade. Se tratar dados pessoais de menores ao abrigo do RGPD: O Artigo 8.º (idade de consentimento para serviços da sociedade da informação) e o Artigo 25.º (proteção de dados desde a conceção e por defeito) são cada vez mais aplicados em conjunto. Reveja a sua abordagem de verificação de idade, as definições por defeito para utilizadores menores e a documentação da AIPD à luz desta decisão. Utilize o Verificação Rápida RGPD da Verdaio para mapear as suas obrigações ao abrigo do RGPD.

Se treinar modelos de IA ou utilizar web scraping para recolher dados pessoais em grande escala: As orientações provisórias do EDPB exigem uma base jurídica documentada ao abrigo do Artigo 6.º do RGPD para cada operação de web scraping. O interesse legítimo ao abrigo do Artigo 6.º, n.º 1, alínea f), não é automaticamente aplicável e requer um teste de ponderação documentado; os dados de categorias especiais ao abrigo do Artigo 9.º requerem consentimento explícito ou outro fundamento qualificado. Reveja as suas práticas de obtenção de dados de treino à luz das orientações provisórias e considere apresentar uma resposta à consulta até 30 de outubro de 2026. Se recorrer à anonimização para colocar o seu tratamento fora do âmbito do RGPD: As orientações provisórias atualizam o limiar de anonimização à luz do acórdão C-413/23 P do TJUE. Reveja a sua metodologia de anonimização à luz das normas atualizadas antes do encerramento da consulta a 30 de outubro de 2026. Se utilizar blockchain para registar ou partilhar dados pessoais de titulares na UE: As orientações finais sobre blockchain são agora a referência autorizada do EDPB. Realize uma AIPD se ainda não o fez, e implemente medidas técnicas, como armazenamento fora da cadeia, eliminação criptográfica ou provas de conhecimento zero, para dar resposta aos direitos de apagamento e retificação. Utilize o Verificação Rápida RGPD da Verdaio para mapear as suas obrigações ao abrigo do RGPD.

Se desenvolve, fornece ou implementa sistemas de IA ou utiliza ferramentas de IA nas suas operações e está sujeito à NIS2 ou ao DORA: O plano de ação da Comissão confirma que as autoridades de supervisão nacionais e o Gabinete de IA da UE irão avaliar cada vez mais os riscos de cibersegurança específicos da IA no âmbito das revisões de conformidade com o AI Act e a NIS2/DORA. Ao abrigo do Artigo 21.º da NIS2, as suas medidas de gestão do risco devem abranger todas as ameaças relevantes, incluindo os ataques potenciados por IA. A plataforma segura de testes (ENISA e JRC) estará disponível para operadores de setores críticos; acompanhe a ENISA para obter detalhes sobre o acesso à medida que a plataforma é desenvolvida. Se é fornecedor de modelos GPAI sujeito ao Capítulo V do AI Act: O pilar da capacidade de avaliação de modelos de IA da UE sinaliza que as práticas de avaliação por terceiros evoluirão rapidamente a partir de 2 de agosto de 2026, data em que a fiscalização do Gabinete de IA da UE entra em vigor. Alinhe a sua documentação técnica e avaliações de segurança com o Código de Boas Práticas GPAI antes dessa data. Se fabrica produtos com elementos digitais sujeitos ao Regulamento de Cibersegurança: O plano sinaliza maior atenção da Comissão e da ENISA à descoberta e exploração de vulnerabilidades impulsionadas por IA; certifique-se de que os seus processos de gestão de vulnerabilidades e de comunicação de incidentes ao abrigo do Artigo 14.º estão operacionais antes do prazo de 11 de setembro de 2026. Mapeie as suas obrigações ao abrigo do AI Act e da NIS2 com a Avaliação AI Act UE e a Avaliação de Prontidão NIS2 da Verdaio.

Se está atualmente abrangido pelo CSRD (uma grande entidade de interesse público, grande empresa ou PME cotada ao abrigo da Diretiva 2013/34/UE alterada pelo CSRD): As ESRS revistas reduzem a sua carga de divulgação obrigatória em mais de 70%. Verifique se os temas que avaliou anteriormente como materiais se mantêm materiais ao abrigo do novo enquadramento e atualize a sua avaliação de dupla materialidade e os modelos de relatório em conformidade. Para o seu primeiro relatório ao abrigo das ESRS revistas, esperam-se orientações de transição do EFRAG para o final de 2026. Se é uma PME cotada ou uma empresa que estará abrangida pelos limiares revistos do CSRD: O conjunto de ESRS simplificado adotado simultaneamente oferece um enquadramento de relatório proporcional; inicie já a análise de lacunas face aos requisitos das ESRS simplificadas. Se é uma grande empresa com entre 250 e 1.000 trabalhadores que esperava entrar no âmbito do CSRD: Verifique os limiares de âmbito revistos (1.000 trabalhadores + critérios de volume de negócios/balanço) para confirmar se continua sujeito ao relatório obrigatório ao abrigo do CSRD a partir de 2028. Mapeie as suas obrigações ao abrigo do CSRD e realize a sua avaliação de dupla materialidade com a Avaliação de Prontidão CSRD da Verdaio.

Se trata dados pessoais de cidadãos italianos, possui um estabelecimento em Itália, ou oferece bens ou serviços a pessoas em Itália: O Relatório Anual de 2025 confirma que o Garante se encontra numa fase de fiscalização significativamente alargada, com sanções a subir 54,5% em termos anuais e os encaminhamentos penais a quadruplicar. O plano de inspeção do Garante para 2026 tem como alvo bases de dados do setor público e a implantação de novas tecnologias, incluindo sistemas de IA; as entidades do setor privado que tratam dados pessoais com ferramentas de IA generativa, sistemas de identificação biométrica ou grandes volumes de dados enfrentam um risco de inspeção elevado. Se desenvolve, fornece ou implementa sistemas de IA que tratam dados pessoais de utilizadores italianos, geram conteúdo sintético ou utilizam dados biométricos: Reveja a conformidade com os Artigos 9.º (dados de categoria especial), 5.º, n.os 1, alíneas a), c) e e) (licitude, minimização de dados, limitação do prazo de conservação), 13.º e 14.º (transparência) e 25.º (proteção de dados desde a conceção) do RGPD. A aplicação paralela pelo Garante do RGPD e da proibição prevista na Lei IA da UE relativa a sistemas de inferência de emoções no local de trabalho em decisões anteriores indica que a fiscalização transregulatória está a acelerar. Mapeie as suas obrigações ao abrigo do RGPD com a Verificação Rápida RGPD da Verdaio.

Se é uma entidade financeira sujeita a obrigações CBC da UE (bancos, instituições de crédito, instituições de pagamento, instituições de moeda eletrónica, gestores de ativos, prestadores de serviços de ativos virtuais ou outras entidades obrigadas ao abrigo do Regulamento CBC): A partilha de informação ao abrigo do Artigo 75.º estará disponível a partir de 10 de julho de 2027. Acompanhe o desenvolvimento das orientações EDPB-AMLA: está prevista uma consulta pública sobre o projeto para o primeiro semestre de 2027. Comece já a rever a sua arquitetura de governação de dados para casos de utilização de partilha de informação de combate ao branqueamento de capitais, e identifique se as AIPD existentes precisam de ser atualizadas quando o projeto de orientações for publicado. Se está sujeito tanto ao RGPD como ao DORA: A partilha de informação entre entidades para fins de combate ao branqueamento de capitais cria obrigações adicionais de risco de TIC de terceiros ao abrigo dos Artigos 28.º a 44.º do DORA; identifique as contrapartes de partilha de informação no seu Registo de Informação DORA. Mapeie as suas obrigações ao abrigo do RGPD com a Verificação Rápida RGPD da Verdaio.

Se desenvolve, fornece ou implementa sistemas de IA classificados como de alto risco ao abrigo do Anexo III da Lei IA da UE (sistemas de IA em gestão de infraestruturas críticas, educação e formação profissional, gestão do emprego e da mão de obra, acesso a serviços privados e públicos essenciais, aplicação da lei, gestão da migração e das fronteiras, ou administração da justiça): O prazo de conformidade do Anexo III está juridicamente confirmado como 2 de dezembro de 2027 na sequência da adoção formal pelo Conselho a 29 de junho de 2026. Utilize a prorrogação para concluir avaliações de conformidade, preparar documentação técnica, alinhar com as normas harmonizadas à medida que são publicadas e registar-se na base de dados da UE. Não aguarde a publicação no Jornal Oficial para iniciar a implementação: a data está confirmada. Se desenvolve ou implementa sistemas de IA generativa sujeitos às obrigações de transparência do Artigo 50.º: Essas obrigações aplicam-se a partir de 2 de agosto de 2026; o período de tolerância técnica para marcação de água e metadados conformes estende-se até 2 de dezembro de 2026. Se fornece modelos de IA de uso geral: As suas obrigações do Capítulo V de agosto de 2025 não são alteradas pelo Omnibus Digital sobre IA. Mapeie as suas obrigações ao abrigo da Lei IA da UE com a Avaliação da Lei IA da UE da Verdaio.

Se opera em vários Estados-Membros da UE ou do EEE e enfrenta orientações ou posições de aplicação do RGPD conflituantes por parte de diferentes autoridades supervisoras nacionais (por exemplo, posições divergentes sobre avaliações de interesse legítimo, requisitos de consentimento para cookies ou prazos de conservação de dados): O formulário de coerência do CEPD oferece um canal direto para trazer essas divergências ao conhecimento do Conselho. As submissões que documentem inconsistências sistémicas podem levar o CEPD a emitir orientações que beneficiem o seu programa de conformidade em todas as jurisdições afetadas. O formulário não produz decisões individuais, mas comunicar uma divergência bem documentada é uma medida prática quando a inconsistência transfronteiriça gera custos reais de conformidade. Se submeter uma comunicação: inclua referências regulatórias específicas, as posições das autoridades nacionais envolvidas e o impacto prático, para fornecer ao CEPD a informação estruturada necessária a avaliar se uma ação de coerência é justificada. Mapeie as suas obrigações ao abrigo do RGPD com o GDPR Quick Check da Verdaio.

Se desenvolve, fornece ou implementa sistemas de IA classificados como de alto risco ao abrigo do Anexo III da Lei IA da UE (sistemas de IA em gestão de infraestruturas críticas, educação e formação profissional, emprego e gestão de recursos humanos, acesso a serviços privados e públicos essenciais, aplicação da lei, gestão de migração e fronteiras, ou administração da justiça): O prazo de conformidade para as principais obrigações do Anexo III (avaliação de conformidade, documentação técnica, registo na base de dados da Lei IA da UE, requisitos de transparência para implementadores e monitorização pós-comercialização) foi adiado para 2 de dezembro de 2027. Aproveite o tempo adicional para concluir uma avaliação estruturada de prontidão, alinhar com as normas harmonizadas publicadas quando disponíveis, e preparar a sua documentação técnica e o processo de avaliação de conformidade. Se desenvolve ou implementa sistemas de IA generativa ou sistemas abrangidos pelas obrigações de transparência do Artigo 50.º: As obrigações do Artigo 50.º continuam a aplicar-se a partir de 2 de agosto de 2026; o período de transição técnica de três meses prolonga a implementação de soluções de marcação de água e metadados conformes até 2 de dezembro de 2026. Se desenvolve ou implementa aplicações de nudificação que geram imagens íntimas sintéticas de pessoas reais: Estas são agora permanentemente proibidas ao abrigo do Artigo 5.º da Lei IA. Mapeie as suas obrigações ao abrigo da Lei IA da UE com a Avaliação Lei IA da UE da Verdaio.

Se fabrica, desenvolve ou coloca no mercado da UE produtos de hardware ou software com elementos digitais (dispositivos IoT, routers, firewalls, equipamentos de rede, sistemas operativos, software de segurança, sistemas de controlo industrial ou produtos de consumo ligados): O prazo do Artigo 14.º para 11 de setembro de 2026 está agora a menos de 90 dias. Conclua o registo na Plataforma Única de Notificação (SRP) da ENISA durante junho de 2026, enquanto o apoio de formação e simulação está disponível; mapeie os seus procedimentos internos de gestão de vulnerabilidades e resposta a incidentes face às janelas de notificação de 24 horas, 72 horas e 14 dias; e confirme o seu estabelecimento principal na UE para efeitos de encaminhamento das notificações ao CSIRT. Se o seu produto se enquadra na Classe II ao abrigo do Anexo III do CRA (firewalls, VPNs, módulos de segurança de hardware, sistemas operativos, microprocessadores, sistemas de automação industrial): A avaliação de conformidade por terceiros é obrigatória. Contacte um organismo de avaliação da conformidade notificado por um Estado-Membro ao abrigo do Capítulo IV. Verifique a classificação do seu produto ao abrigo do CRA e prepare a sua documentação técnica com o CRA Product Compliance Checker da Verdaio.

Se opera infraestruturas críticas no setor dos transportes ferroviários ou marítimos (operadores portuários, gestores de infraestruturas ferroviárias, serviços de tráfego de embarcações, plataformas de logística de mercadorias ou redes ferroviárias de passageiros) como entidade essencial ao abrigo da NIS2: O Cyber Europe 2026 confirma que o seu setor é um alvo prioritário no planeamento de cenários de ameaças à escala da UE. Reveja as medidas de segurança do Artigo 21.º da NIS2, confirme a sua prontidão para a notificação de incidentes ao abrigo do Artigo 23.º (aviso prévio de 24 horas ao CSIRT nacional) e verifique se os seus contactos na autoridade nacional de gestão de crises de cibersegurança estão atualizados. Se presta serviços a operadores de infraestruturas críticas do setor dos transportes como entidade importante ao abrigo da NIS2, ou fornece tecnologia operacional (OT), sistemas de controlo industrial (ICS) ou software de gestão de tráfego de embarcações ao setor dos transportes: A segurança da cadeia de abastecimento e a convergência OT/IT são elementos centrais dos requisitos de gestão de riscos do Artigo 21.º da NIS2. Verifique as suas obrigações NIS2 e controlos de segurança com a Avaliação de Conformidade NIS2 da Verdaio.

Se desenvolve ou implementa sistemas de IA generativa (geração de imagem a partir de texto, síntese de voz, geração de vídeo, chatbots ou ferramentas de deep fake) que produzem ou manipulam áudio, imagem, vídeo ou texto para utilizadores na UE: A sua obrigação de marcação ao abrigo do Artigo 50.º, n.º 2, aplica-se a partir de 2 de agosto de 2026. Implemente metadados legíveis por máquina ou marcas de água no seu fluxo de produção antes dessa data; o Código de Conduta define o referencial técnico com base no qual o Gabinete de IA da UE e as autoridades nacionais de fiscalização do mercado avaliarão o cumprimento. Se ainda não adotou um mecanismo técnico conforme, o prazo transitório de 2 de dezembro de 2026 aplica-se a esses passos de implementação técnica. Se gere uma plataforma que publica conteúdo gerado ou manipulado por IA sobre questões de interesse público (notícias, publicidade política, campanhas de informação pública): A obrigação de rotulagem de deep fakes e de texto de interesse público ao abrigo do Artigo 50.º, n.º 4, aplica-se a partir de 2 de agosto de 2026. Reveja os seus fluxos editoriais e a colocação das etiquetas face à Secção 2 do Código de Conduta. Se implementa chatbots ou assistentes virtuais que interagem diretamente com utilizadores: A obrigação de divulgação da presença de IA ao abrigo do Artigo 50.º, n.º 1, também se aplica a partir de 2 de agosto de 2026. Mapeie as suas obrigações de transparência ao abrigo da Lei IA da UE com a Avaliação Lei IA da UE da Verdaio.

Se atua como responsável pelo tratamento em um ou mais Estados-Membros da UE ou do EEE: O modelo comum de notificação de violações do CEPD substituirá, após a sua finalização e adoção pelas autoridades de controlo nacionais, o formulário de notificação atual de cada APD por um formato único harmonizado. Reveja agora o seu manual de resposta a incidentes: os seus procedimentos internos de notificação, os seus runbooks de SIEM e os seus acordos de resposta a incidentes subcontratados devem ser estruturados em torno dos elementos de informação obrigatórios do Artigo 33.º, n.º 3, para que se adaptem facilmente aos novos campos quando o modelo entrar em vigor. Se opera de forma transfronteiriça e mantém atualmente procedimentos de notificação distintos para os formulários das diferentes APD nacionais: o modelo comum simplificará materialmente a resposta transfronteiriça a violações logo que entre em vigor. Participe na consulta pública (aberta até 5 de agosto de 2026) se a sua organização tem experiência prática com os formulários de notificação de violações atuais. Mapeie os seus controlos RGPD e a prontidão de resposta a violações com a Verificação Rápida RGPD da Verdaio.

Se opera serviços de alojamento, viagens ou aluguer de veículos que recolhem dados de hóspedes ou viajantes em nome da polícia ou de mandatos regulatórios em qualquer Estado-Membro da UE: Este processo de infração sinaliza que a Comissão considera as obrigações genéricas de dados de viajantes desproporcionadas ao abrigo da DAL, independentemente das justificações de segurança nacional. Audite as categorias e os prazos de conservação dos dados de viajantes que é obrigado por lei nacional a recolher e transmitir, e documente a base jurídica DAL e a análise de necessidade no seu ROPA. Se opera em Espanha ao abrigo do Real Decreto 933/2021: Acompanhe os desenvolvimentos de perto; se a Comissão escalar para um parecer fundamentado ou remessa ao Tribunal, a Espanha poderá ser obrigada a alterar ou revogar o decreto, o que alteraria as suas obrigações de conformidade. Reveja o seu mapeamento de dados e os procedimentos de direitos dos titulares com o GDPR Quick Check da Verdaio.

Se vende serviços cloud, SaaS ou ferramentas de IA a organismos públicos da UE (administração central, saúde, banca, energia ou justiça): A CADA introduz avaliações formais de risco de soberania na contratação pública. Prepare-se para responder a questões sobre a jurisdição da empresa-mãe, direitos de acesso de países terceiros a dados, transparência da cadeia de fornecimento de software e disposições de depósito de dados. Os fornecedores não controlados pela UE enfrentam barreiras estruturais aos níveis de contratação 3 e 4. Se constrói ou implementa sistemas de IA alojados em infraestrutura cloud: O quadro de soberania CADA pode condicionar as opções de fornecedor de cloud para cargas de trabalho reguladas do setor público quando a lei entrar em vigor. Mapeie a sua infraestrutura face aos quatro níveis CADA e avalie se os acordos atuais com fornecedores cloud exigirão renegociação. Ambas as propostas estão em fase inicial e têm de percorrer o processo legislativo completo da UE. Mapeie as suas obrigações ao abrigo da Lei IA com a Avaliação Lei IA da UE da Verdaio e a sua exposição ao CRA com o CRA Product Compliance Checker.

Se fornece, implementa ou integra modelos de IA de propósito geral (incluindo modelos de linguagem de grande dimensão, modelos de fundação multimodais ou modelos de IA disponibilizados via API) nos seus produtos ou serviços: O Painel Científico confere agora ao Escritório de IA da UE uma especialização independente dedicada para identificar riscos sistémicos nos modelos GPAI, aconselhar sobre classificação e coordenar a fiscalização transfronteiriça a partir de 2 de agosto de 2026. Reveja as suas obrigações como fornecedor de modelos GPAI ao abrigo dos Artigos 53.º a 55.º da Lei IA da UE: documentação técnica, medidas de transparência incluindo resumos de direitos de autor, cooperação com o Escritório de IA e avaliações de riscos sistémicos para modelos com capacidades de elevado impacto. Se o seu modelo GPAI estava no mercado antes de 2 de agosto de 2025, tem até 2 de agosto de 2027 para alcançar a conformidade total. Se constrói ou implementa sistemas de IA que utilizam modelos GPAI como componentes: as suas obrigações como implementador dependem de o uso a jusante criar ou não um sistema de IA de risco elevado. Classifique o seu sistema de IA e mapeie as suas obrigações com a Avaliação Lei IA da UE da Verdaio.

Se constrói, implementa ou contrata ferramentas de IA que classificam o sentimento, o humor, o stress ou o bem-estar dos trabalhadores a partir de dados de comunicação: Reveja a base legal de qualquer produto deste tipo face ao Artigo 9.º do RGPD (categorias especiais de dados) e à proibição do Artigo 5.º, n.º 1, alínea f) da Lei IA da UE sobre IA de inferência de emoções no local de trabalho. Rótulos de agregação, anonimização ou de "bem-estar" não vão salvar um produto que infere estados psicológicos a partir de dados de conversação ou de voz. Se a sua empresa utiliza suites de colaboração como o Slack ou o Microsoft Teams em toda a equipa: Audite quaisquer plug-ins ou integrações de terceiros que realizem análise de sentimento, emoções ou stress, documente a base legal e a AIPD, e reforce as cláusulas de contratação antes da compra. Mapeie a sua exposição à Lei IA com a Avaliação Lei IA da UE da Verdaio e os seus controlos de RGPD com o GDPR Quick Check.

Se opera um armazém de dados, uma plataforma de investigação ou outro tratamento em larga escala que tenha caracterizado como anónimo: A decisão da CNIL confirma que o limiar de anonimização ao abrigo do RGPD é elevado e que o teste consiste em saber se a reidentificação continua razoavelmente possível. Reavalie a sua metodologia de anonimização à luz dos critérios de singularização, ligabilidade e inferência do parecer do Grupo de Trabalho do Artigo 29.º (WP216), e evite confiar apenas em rótulos. Se recolhe dados pessoais através de farmácias, médicos, intermediários ou outros parceiros: Os deveres de transparência do Artigo 14.º do RGPD continuam a recair sobre o responsável pelo tratamento. Não pode confiar num terceiro para entregar um aviso; tem de verificar se a informação chega efetivamente aos titulares dos dados e se existe um direito de oposição eficaz. Reforce os seus avisos de informação, registos e controlos de acesso com o GDPR Quick Check da Verdaio.

Se a sua organização está registada como entidade essencial ou importante ao abrigo do NIS2: O NIS360 de 2026 é a referência pública mais autoritativa sobre o posicionamento de cada setor de criticidade elevada em matéria de maturidade cibernética, e um sinal de onde a atenção de supervisão é mais provável de incidir primeiro. Compare a sua governação, gestão de riscos, resposta a incidentes e controlos da cadeia de fornecimento face aos quatro pilares da ENISA (legislação, preparação das empresas, capacidade das autoridades e ecossistema) e priorize as lacunas que puxam o perfil do seu setor para baixo. Se opera num setor sinalizado como estando dentro da zona de risco: espere maior escrutínio da sua autoridade nacional competente durante o próximo ciclo de supervisão e preveja orçamento para remediação acelerada. Mapeie as suas obrigações NIS2 e identifique lacunas com a Avaliação de Prontidão NIS2 da Verdaio.

Se é uma entidade essencial ou importante ao abrigo do NIS2 com operações em mais do que um Estado-Membro: Os modelos comuns irão reduzir materialmente o custo de cumprir o relógio de reporte do Artigo 23.º, ao substituírem formulários nacionais paralelos por um formato único à escala da UE. Acompanhe o ato de execução previsto pela Comissão e, em seguida, atualize os seus manuais de resposta a incidentes, os seus runbooks de SIEM e os seus contratos de subcontratação para que os relatórios de 24 horas, 72 horas e um mês se mapeiem de forma limpa nos novos campos. Se é prestador de serviços geridos ou fornecedor de entidades NIS2: Espere que os clientes empurrem os requisitos dos modelos harmonizados através de cláusulas contratuais sobre notificação de incidentes e cooperação. Mapeie as suas obrigações NIS2 e reforce o seu processo de resposta a incidentes com a Avaliação de Prontidão NIS2 da Verdaio.

Se opera qualquer serviço de consumo que trate dados pessoais e receba pedidos de acesso ao abrigo do Artigo 15.º do RGPD: A decisão do Tribunal Superior reforça que as autoridades podem investigar falhas sistémicas no direito de acesso e propor coimas elevadas, mesmo quando uma investigação começa numa reclamação individual. Audite o seu fluxo de tratamento de pedidos de acesso de ponta a ponta, garanta que todas as categorias de dados pessoais (incluindo dados conservados em armazéns analíticos internos, registos e ferramentas de back-end) são devolvidas de forma completa e inteligível dentro do prazo de um mês do Artigo 12.º, e documente qualquer restrição em que se baseie ao abrigo do Artigo 15.º, n.º 4. Se está a considerar contestar uma decisão preliminar da DPC ou de outra autoridade de controlo do EEE: Argumentos processuais sobre o âmbito de uma investigação dificilmente afastarão conclusões de mérito quando a autoridade identificou problemas sistémicos que afetam muitos utilizadores. Mapeie o seu processo de direitos dos titulares com a Verificação Rápida RGPD da Verdaio.

Se trata dados pessoais de utilizadores em França ou vende para o mercado francês: Os números da CNIL de 2025 mostram que a intensidade da fiscalização está a aumentar em cookies, monitorização de trabalhadores e segurança de dados, as três áreas que a autoridade identifica como responsáveis pela maioria das coimas do ano passado. Reveja os seus banners de cookies, monitorize os seus tempos de resposta a violações de dados face ao prazo de 72 horas do Artigo 33.º, e audite os seus controlos de segurança face aos princípios de limitação da conservação e de segurança dos Artigos 5.º e 32.º do RGPD. Se constrói, implementa ou distribui sistemas de IA utilizados em França: A CNIL está a posicionar-se como uma das reguladoras da Lei IA da UE mais ativas e está em vias de supervisionar várias categorias de risco elevado do Anexo III (biometria, migração, aplicação da lei, emprego, educação) assim que for formalmente designada. Mapeie os seus sistemas de IA face às práticas proibidas do Artigo 5.º e às categorias de risco elevado do Anexo III. Faça uma revisão de privacidade com a Verificação Rápida RGPD da Verdaio e uma classificação Lei IA com a Avaliação Lei IA UE da Verdaio.

Se armazena credenciais de utilizadores ou opera qualquer serviço que detém palavras-passe de contas: O armazenamento de palavras-passe em texto simples e a cifragem fraca continuam a ser das falhas de segurança mais evidentes que um regulador pode encontrar. Cifre as palavras-passe com um algoritmo moderno e com sal, nunca as guarde de forma legível, e elimine as credenciais de sistemas e contas que já não utiliza, em conformidade com o princípio da limitação da conservação. Se trata violações de dados pessoais: Notificar a autoridade de controlo no prazo de 72 horas ao abrigo do Artigo 33.º é apenas metade da obrigação. Quando uma violação representa um risco elevado para as pessoas, o Artigo 34.º exige que informe essas pessoas sem demora injustificada, e os receios comerciais ou reputacionais não suspendem esse prazo. Mapeie o seu plano de resposta a violações e os seus controlos de segurança com a Verificação Rápida RGPD da Verdaio.

Se constrói, implementa ou distribui sistemas de IA e tem dúvidas se estes são considerados de risco elevado: Este projeto de orientações é a indicação oficial mais detalhada até à data sobre onde se traça a linha do risco elevado. Mapeie os seus sistemas de IA face à via de segurança dos produtos do Anexo I e às oito áreas do Anexo III, e use os exemplos práticos para testar casos-limite como ferramentas de RH, avaliação de crédito e biometria. Se um caso de utilização específico não for claro, submeta o seu contributo à consulta antes de 23 de junho de 2026. A classificação é o primeiro passo de qualquer programa de conformidade com a Lei IA: um sistema classificado como de risco elevado desencadeia obrigações de gestão de risco, governação de dados, registo, transparência e supervisão humana. Faça uma verificação de classificação com a Avaliação Lei IA UE da Verdaio.

Se constrói, implementa ou distribui sistemas de IA de risco elevado ou IA de propósito geral: Os novos prazos (2 de dezembro de 2027 para o Anexo III, 2 de agosto de 2028 para o Anexo I) estão agora fixados pelo Coreper, mas ainda não são lei até o Parlamento aprovar em primeira leitura. Até essa adoção, mantém-se o prazo original de 2 de agosto de 2026. Se constrói produtos de IA generativa para consumidores: O período de transição reduzido para três meses significa que as soluções de marcação de água e de proveniência de conteúdo têm de estar implementadas até 2 de dezembro de 2026, três meses antes do prazo de seis meses originalmente proposto. Audite as suas ferramentas face às novas proibições de "nudification" e CSAM antes da adoção. Faça uma verificação de classificação com a Avaliação Lei IA da UE da Verdaio.

Se fornece sistemas de IA a escolas, universidades ou centros de formação profissional, ou se implementa IA num contexto educativo ou formativo: Os ministros da educação estão agora formalmente alinhados num modelo de implementação humano-centrado. Espere que os Estados-Membros pressionem requisitos de aquisição que incluam formação dos professores em literacia em IA, critérios de avaliação transparentes e salvaguardas contra enviesamento e desinformação. As conclusões reforçam também que a obrigação de literacia em IA do Artigo 4.º se aplica a todos os implementadores de IA, não apenas aos de setores de risco elevado. Se vende ferramentas de IA para RH, recrutamento, avaliação ou pontuação num contexto educativo ou formativo: A classificação como risco elevado no Anexo III está agora combinada com estas conclusões políticas, elevando o nível exigido em transparência, supervisão humana e avaliação. Faça uma verificação de classificação com a Avaliação Lei IA da UE da Verdaio e reveja o seu programa de formação com o guia Literacia em IA da Verdaio.

Se constrói ou implementa IA generativa, chatbots, ferramentas de deepfake, reconhecimento de emoções ou sistemas de categorização biométrica: O prazo de transparência de 2 de agosto de 2026 mantém-se. Planeie já a divulgação obrigatória em chatbots, a marcação legível por máquina das saídas sintéticas e a rotulagem clara de deepfakes, e envie comentários antes de 3 de junho de 2026 se o seu caso de uso necessitar de clarificação. Faça uma classificação com a Avaliação Lei IA da UE da Verdaio.

Se opera um centro de contactos ou qualquer canal de atendimento por voz que trate dados pessoais ou financeiros: A engenharia social por canal de voz continua a ser uma das principais preocupações dos reguladores. Mapeie os seus procedimentos de autenticação de chamadas em função dos Artigos 5.º, n.º 1, alínea f), e 32.º, n.º 1; forme o pessoal sobre as fragilidades da autenticação baseada em conhecimento e os indicadores de personificação; e garanta que o seu processo de resposta a incidentes deteta e notifica a autoridade de controlo dentro da janela de 72 horas do Artigo 33.º. Faça um diagnóstico estruturado com o GDPR Quick Check da Verdaio.

Se constrói, implementa ou distribui sistemas de IA de risco elevado (RH, educação, crédito, biometria, IA em produtos regulados) ou IA de propósito geral: Planeie para o prazo de 2 de dezembro de 2027 (Anexo III) ou de 2 de agosto de 2028 (Anexo I), mas não interrompa o trabalho de conformidade. A adoção formal ainda está pendente e o prazo original de 2 de agosto de 2026 aplica-se até ambos os colegisladores assinarem. O tempo adicional é mais útil para amadurecer a gestão de risco, a governação de dados e os controlos de supervisão humana, e não para os atrasar. Se constrói produtos de IA generativa para consumidores: Audite as suas ferramentas face às novas proibições de "nudification" e CSAM antes da adoção do acordo. Faça uma verificação de classificação com a Avaliação Lei IA UE da Verdaio.

Se é uma empresa no âmbito da CSRD (mais de 1.000 trabalhadores, mais de €450M de volume de negócios): Reveja já o projeto revisto das ESRS, sobretudo as alterações à avaliação de materialidade e o conjunto reduzido de pontos de dados, e decida se aplica as normas revistas antecipadamente ao exercício de 2026 ou se aguarda pelo exercício de 2027. Envie comentários antes de 3 de junho de 2026 se tiver preocupações específicas. Se é uma empresa mais pequena numa cadeia de valor abrangida pela CSRD: A norma voluntária e o limite de cadeia de valor restringem o que os seus grandes clientes podem exigir-lhe em dados de sustentabilidade. Faça um diagnóstico com a Análise de Lacunas ESRS da Verdaio.

Se opera ou distribui serviços numa plataforma guardiã designada (App Store, Google Play, Amazon Marketplace, Facebook, Instagram, TikTok, Search, Booking.com): Espere que a Comissão acelere os processos de incumprimento em curso e se foque nos efeitos práticos (escolha real, interoperabilidade real) em vez do cumprimento formal. Planeie coimas mais elevadas para incumprimento repetido ou continuado, e maior escrutínio das ferramentas de pesquisa e assistentes alimentados por IA integrados em serviços de gatekeepers. Acompanhe as evoluções do DMA e alinhe os seus fluxos de distribuição, publicidade e consentimento em conformidade.

Se opera transferências internacionais de dados (sobretudo para jurisdições sem decisão de adequação) ou se baseia em Cláusulas Contratuais-Tipo com medidas suplementares: a decisão da DPC mantém-se como referência da UE sobre o que o artigo 46.º, n.º 1, do RGPD exige em matéria de "proteção essencialmente equivalente". A suspensão apenas congela a execução enquanto os tribunais irlandeses analisam a decisão de fundo; não enfraquece a obrigação substantiva de conformidade. Audite as suas avaliações de impacto de transferência, medidas suplementares e controlos de acesso a jusante. Faça uma verificação estruturada com o GDPR Quick Check da Verdaio.

Se opera um hotel, B&B ou alojamento local em Itália (ou trata dados de hóspedes italianos a partir do estrangeiro): Audite agora o seu fluxo de check-in. Deixe de fotografar ou armazenar documentos de identidade após a comunicação no Alloggiati Web; conserve apenas o recibo de transmissão. Reveja a sua política de retenção, forme o pessoal de receção sobre as novas orientações e garanta que os seus sistemas de reservas e PMS não preservam por defeito imagens dos documentos. Faça um diagnóstico com o GDPR Quick Check da Verdaio.

Se constrói, implementa ou distribui sistemas de IA de alto risco (em particular em RH, educação, pontuação de crédito, biometria, ou IA integrada em produtos regulados): Planeie como se o prazo de 2 de agosto de 2026 se mantivesse. A incerteza do trílogo não justifica adiar o trabalho de conformidade. Mesmo que venha a ser acordado um adiamento, um arranque antecipado protege-o de um calendário comprimido. Faça uma classificação com a Avaliação da Lei IA da UE da Verdaio.

Se opera uma plataforma digital, um produto de ad-tech ou qualquer serviço cujos termos condicionem o acesso ao uso de dados: Espere que as autoridades europeias de concorrência avaliem as suas práticas de tratamento de dados sob a ótica do RGPD, e que o EDPB integre resultados de concorrência nas suas orientações. Reveja o alinhamento dos seus avisos de privacidade, fluxos de consentimento e mecanismos de portabilidade de dados face a ambos os enquadramentos. Faça um diagnóstico com o GDPR Quick Check da Verdaio.

Se gere marketing por email, emails transacionais ou newsletters dirigidas a destinatários italianos: Reveja todos os pixels, rastreadores de abertura e rastreadores de cliques na sua pilha de ESP ou CRM, mapeie cada um para uma base jurídica específica e alinhe os fluxos de consentimento e os avisos de privacidade com as Diretrizes. Reveja os controlos de minimização de dados (IDs pseudonímicos, retenção curta) e documente a exceção em que se baseia quando não é recolhido consentimento. Faça uma verificação de lacunas com a Verificação Rápida RGPD da Verdaio.

Se opera uma app móvel que lê o estado do dispositivo (apps instaladas, processos em execução, impressão digital do dispositivo): A decisão do Garante estabelece um precedente claro: autorizações obrigatórias e tudo-ou-nada para aceder a dados do dispositivo são desproporcionadas, mesmo para prevenção de fraude. Reveja a minimização de dados, os fluxos de informação ao utilizador, a cobertura de AIPD e os controlos de segurança/retenção das suas apps móveis. Faça um diagnóstico com o GDPR Quick Check da Verdaio.

Se trata dados pessoais para investigação: Comece por mapear as suas atividades face aos seis fatores indicativos e reveja como documenta o consentimento, as salvaguardas e os limites aos direitos dos titulares. Se transfere dados pessoais para fora da UE/EEE: A certificação é agora uma alternativa prática às Cláusulas Contratuais Padrão e às Regras Vinculativas, útil quando os fornecedores relutam em assinar SCCs ou a jurisdição de destino cria incerteza. Reveja a sua postura RGPD e verifique se transferências baseadas em certificação se adequam ao seu conjunto de fornecedores.

Se implementa sistemas biométricos (reconhecimento facial, impressão digital) para acesso, autenticação ou experiência do cliente: O tratamento biométrico em espaços públicos ou semi-públicos tem de cumprir requisitos estritos de necessidade, cifragem e retenção, mesmo com consentimento. Reveja a base jurídica do Artigo 9.º do RGPD, as salvaguardas técnicas e se oferece uma alternativa não-biométrica real. Sistemas biométricos podem também desencadear obrigações da Lei IA da UE. Verifique a sua postura com o GDPR Quick Check e a Avaliação da Lei IA da UE da Verdaio.

Se realiza AIPDs: Pela primeira vez a UE oferece um formato único e consistente de AIPD que será reconhecido em todos os Estados-Membros. Os responsáveis pelo tratamento multinacionais beneficiam mais, um template, uma estrutura, aceite por todas as CPDs. Ação: Reveja a sua metodologia atual de AIPD face ao template preliminar, submeta feedback antes de 9 de junho se relevante, e planeie migrar as AIPDs existentes assim que as CPDs nacionais o adotem formalmente. Faça um diagnóstico com o GDPR Quick Check da Verdaio.

Se opera em qualquer dos 18 setores NIS2: O prazo de conformidade está agora a menos de 6 meses. Comece com uma avaliação de lacunas para compreender a sua postura atual, particularmente no que diz respeito ao reporte de incidentes (requisito de notificação em 72 horas), gestão de riscos da cadeia de valor e responsabilização ao nível do conselho de administração. Não tem a certeza se o NIS2 se aplica à sua empresa? Execute a Avaliação de Prontidão NIS2 gratuita.

Se tiver menos de 1.000 trabalhadores: Provavelmente está fora do âmbito obrigatório com o novo limiar. No entanto, grandes clientes e instituições financeiras poderão ainda exigir divulgações alinhadas com o CSRD através dos seus próprios relatórios de cadeia de valor. Se tiver 1.000+ trabalhadores: O reporte obrigatório continua, as normas ESRS principais permanecem inalteradas.

Se implementar IA de alto risco: A extensão tem grande probabilidade de ser aprovada, mas ainda não é lei. A abordagem responsável é preparar-se para o prazo de agosto de 2026, esperando o alívio. Se adotada conforme esperado, terá até dezembro de 2027 para sistemas do Anexo III. Use o tempo para construir processos conformes em vez de esperar. Atualizaremos esta notícia quando o texto final for publicado.

Se reporta ao abrigo das ESRS: Embora o Omnibus reduza o âmbito obrigatório, o setor financeiro, os seus bancos, investidores e seguradoras, continua a esperar dados de sustentabilidade abrangentes. Empresas que cumpram apenas os requisitos mínimos simplificados poderão enfrentar dificuldades no acesso a financiamento verde ou em satisfazer pedidos de due diligence de clientes de maior dimensão.

Se já está a reportar: Reveja quais as atividades que ficam abaixo do limiar de 10%, poderá excluir uma parte significativa do âmbito da sua avaliação atual. Se ainda não começou: Esta simplificação torna o primeiro reporte da Taxonomia consideravelmente mais acessível. O limiar aplica-se a períodos de reporte a partir de 2025.

Ação imediata necessária: Se a sua organização usa ou implementa sistemas de IA, reveja-os agora face à lista de práticas proibidas do Artigo 5.º. As violações podem resultar em coimas até €35M ou 7% do volume de negócios anual global. A maioria das ferramentas de IA empresariais (produtividade, análise, serviço ao cliente) não são proibidas, mas a IA usada em recrutamento, pontuação de crédito ou que afeta indivíduos em contextos sensíveis requer revisão cuidadosa.

Se utiliza plataformas guardiãs: Estas decisões sinalizam que as lojas de aplicações, classificações de pesquisa e sistemas publicitários nas principais plataformas poderão mudar para cumprir os requisitos do DMA, potencialmente afetando as suas estratégias de distribuição e marketing. Se é uma plataforma guardiã: O DMA está agora ativamente aplicado.

Para qualquer empresa que transfira dados pessoais para fora da UE/EEE: Esta coima reforça que os mecanismos de transferência devem ser sólidos. As Cláusulas Contratuais Padrão (SCCs) não são suficientes se as leis do país de destino impedirem o importador de dados de cumpri-las na prática. Reveja as suas avaliações de impacto de transferência de dados (DTIAs), particularmente para transferências para os EUA, Índia e China.