O que mudou no CSRD, RGPD, Lei IA da UE, DMA e Taxonomia da UE , e o que significa para o seu negócio.
RGPD17 de abril de 2026
Garante Italiano Adota Diretrizes sobre Pixels de Rastreio em Email: Consentimento Obrigatório, 6 Meses para Cumprir
O Garante italiano adotou Diretrizes sobre o uso de pixels de rastreio em comunicações por email a 17 de abril de 2026, confirmando que o rastreio por pixel se enquadra no Artigo 122 do Código de Privacidade italiano e, portanto, exige consentimento prévio livre, informado e específico do destinatário, salvo se uma exceção estritamente delimitada se aplicar. As Diretrizes terminam um período prolongado de incerteza regulatória ao alinharem o rastreio por pixel com o regime de cookies e tecnologias semelhantes do Artigo 5(3) da ePrivacy.
O que mudou
Os pixels de rastreio são imagens de tamanho mínimo, normalmente invisíveis para o destinatário, inseridas em mensagens de email para detetar aberturas, cliques e sinais comportamentais ou de dispositivo. As Diretrizes do Garante classificam o rastreio por pixel como armazenamento ou acesso a informação no terminal do utilizador, equivalente, do ponto de vista jurídico, aos cookies não estritamente necessários.
As Diretrizes aplicam-se de forma ampla a prestadores de serviços da sociedade da informação, fornecedores de serviços de email, gestores de plataformas de envio em massa e qualquer entidade que utilize pixels de rastreio em comunicações eletrónicas dirigidas a destinatários em Itália.
O que significa para o seu negócio
Se gere marketing por email, emails transacionais ou newsletters dirigidas a destinatários italianos: Reveja todos os pixels, rastreadores de abertura e rastreadores de cliques na sua pilha de ESP ou CRM, mapeie cada um para uma base jurídica específica e alinhe os fluxos de consentimento e os avisos de privacidade com as Diretrizes. Reveja os controlos de minimização de dados (IDs pseudonímicos, retenção curta) e documente a exceção em que se baseia quando não é recolhido consentimento. Faça uma verificação de lacunas com a Verificação Rápida RGPD da Verdaio.
Garante Italiano Multa Poste Italiane e Postepay em €12,5M por Monitorização Ilegal de Dados em Apps
A autoridade italiana de proteção de dados (Garante) aplicou coimas totalizando mais de €12,5 milhões a Poste Italiane (€6,624M) e Postepay (€5,877M) pela monitorização ilegal de dados do dispositivo dos utilizadores nas apps móveis BancoPosta e Postepay. Os utilizadores eram obrigados a autorizar o acesso às aplicações instaladas como condição obrigatória do serviço.
O que mudou
O Garante determinou que a autorização obrigatória das apps BancoPosta e Postepay para monitorizar aplicações instaladas e processos em execução nos dispositivos dos utilizadores era excessivamente invasiva e não estritamente necessária para a prevenção de fraudes. A investigação seguiu-se a reclamações recebidas pela Autoridade a partir de abril de 2024. Outras violações identificadas incluem informação insuficiente aos utilizadores, ausência de uma Avaliação de Impacto sobre a Proteção de Dados adequada, falha em adotar medidas de segurança e retenção apropriadas, e irregularidades na designação dos responsáveis pelo tratamento e subcontratantes.
A Poste Italiane anunciou que vai recorrer ao Tribunal de Roma, argumentando que o acesso aos dados do dispositivo cumpria a PSD2 e tinha sido reconhecido pelo Banco de Itália como medida legítima de prevenção de fraude. A ação de aplicação total de €12,5M é uma das maiores coimas italianas do RGPD em 2026 e prolonga o foco do Garante na privacidade em apps móveis, após decisões anteriores contra apps bancárias e de pagamento.
O que significa para o seu negócio
Se opera uma app móvel que lê o estado do dispositivo (apps instaladas, processos em execução, impressão digital do dispositivo): A decisão do Garante estabelece um precedente claro: autorizações obrigatórias e tudo-ou-nada para aceder a dados do dispositivo são desproporcionadas — mesmo para prevenção de fraude. Reveja a minimização de dados, os fluxos de informação ao utilizador, a cobertura de AIPD e os controlos de segurança/retenção das suas apps móveis. Faça um diagnóstico com o GDPR Quick Check da Verdaio.
Plenário do EDPB: Orientações sobre Investigação Científica e Primeiro Selo Europrivacy para Transferências
No plenário de 16 de abril de 2026, o Comité Europeu de Proteção de Dados adotou as Orientações 1/2026 sobre o tratamento de dados pessoais para fins de investigação científica e — pela primeira vez — aprovou um Selo Europeu de Proteção de Dados (Europrivacy) como ferramenta válida do Artigo 46.º para transferências internacionais.
O que mudou
As Orientações 1/2026 clarificam os limites do conceito de "investigação científica" no RGPD. O EDPB define seis fatores indicativos para identificar o tratamento para investigação (abordagem metódica, padrões éticos, verificabilidade, autonomia, objetivo da investigação e contributo para o conhecimento) e explica como os direitos dos titulares — incluindo o direito ao apagamento e o direito de oposição — podem ser limitados ao abrigo do Artigo 89.º do RGPD. O Comité aborda também salvaguardas técnicas e organizativas adequadas, incluindo pseudonimização, anonimização, ambientes seguros de tratamento e supervisão ética. As Orientações estão abertas a consulta pública até 25 de junho de 2026. Uma "sprint team" dedicada foi criada para finalizar as Orientações sobre anonimização até ao verão.
O Comité adotou ainda o Parecer 15/2026 que reconhece os critérios de certificação Europrivacy como Selo Europeu de Proteção de Dados ao abrigo dos Artigos 42.º e 46.º, n.º 2, alínea f), do RGPD. É a primeira vez que um mecanismo de certificação é aprovado a nível da UE como ferramenta válida para transferências. Importadores de dados fora da UE/EEE que não estejam sujeitos ao RGPD podem agora candidatar-se à certificação Europrivacy e basear-se nela, em conjunto com compromissos vinculativos e executórios, para receber dados pessoais de responsáveis pelo tratamento da UE.
O que significa para o seu negócio
Se trata dados pessoais para investigação: Comece por mapear as suas atividades face aos seis fatores indicativos e reveja como documenta o consentimento, as salvaguardas e os limites aos direitos dos titulares. Se transfere dados pessoais para fora da UE/EEE: A certificação é agora uma alternativa prática às Cláusulas Contratuais Padrão e às Regras Vinculativas — útil quando os fornecedores relutam em assinar SCCs ou a jurisdição de destino cria incerteza. Reveja a sua postura RGPD e verifique se transferências baseadas em certificação se adequam ao seu conjunto de fornecedores.
Garante Italiano: "FaceBoarding" de Reconhecimento Facial em Milão Linate Viola o RGPD
O Garante italiano declarou ilegal o sistema de embarque com reconhecimento facial "FaceBoarding" no aeroporto de Milão Linate, operado pela SEA — ordenando a cessação definitiva do tratamento de dados biométricos. A decisão alinha-se com o parecer de 2025 do EDPB sobre reconhecimento facial em aeroportos e visa a falta de cifragem, retenção excessiva e captura de dados sem consentimento.
O que mudou
A Autoridade concluiu que a SEA, operadora do aeroporto de Milão Linate, tratou dados biométricos dos passageiros (modelos faciais) sem base jurídica válida, não cifrou os modelos biométricos armazenados, reteve os modelos até 12 meses (período excessivo) e forneceu informação inexata aos titulares dos dados. O sistema captou também imagens faciais de passageiros que não aderiram ao FaceBoarding mas utilizaram portas de embarque híbridas, tratando os seus dados biométricos sem consentimento.
A decisão confirma uma medida provisória de limitação adotada em setembro de 2025 e está explicitamente alinhada com o parecer de 2025 do EDPB sobre reconhecimento facial em aeroportos, que concluiu que a conveniência do passageiro não justifica tratamento biométrico por defeito. O FaceBoarding é a primeira aplicação italiana de alto perfil do parecer do EDPB e reforça as expectativas à escala da UE para biometria aeroportuária: cifragem dos modelos, retenção minimizada, adesão explícita e alternativas não-biométricas genuínas.
O que significa para o seu negócio
Se implementa sistemas biométricos (reconhecimento facial, impressão digital) para acesso, autenticação ou experiência do cliente: O tratamento biométrico em espaços públicos ou semi-públicos tem de cumprir requisitos estritos de necessidade, cifragem e retenção — mesmo com consentimento. Reveja a base jurídica do Artigo 9.º do RGPD, as salvaguardas técnicas e se oferece uma alternativa não-biométrica real. Sistemas biométricos podem também desencadear obrigações da Lei IA da UE. Verifique a sua postura com o GDPR Quick Check e a Avaliação da Lei IA da UE da Verdaio.
EDPB Adota Template Harmonizado de AIPD — Consulta Pública até 9 de Junho de 2026
O Comité Europeu de Proteção de Dados adotou um template harmonizado de Avaliação de Impacto sobre a Proteção de Dados para ajudar os responsáveis pelo tratamento a estruturar, harmonizar e evidenciar os seus relatórios de AIPD em toda a UE. É o primeiro template de AIPD a nível da UE e está aberto a consulta pública até 9 de junho de 2026.
O que mudou
Cumprindo o compromisso da Declaração de Helsínquia do EDPB de simplificar a conformidade com o RGPD, o Comité adotou um template comum de AIPD que cobre todos os elementos centrais do Artigo 35.º: descrição do tratamento e finalidades, avaliação de necessidade e proporcionalidade, riscos para os titulares e medidas mitigadoras. O template é acompanhado por um documento explicativo que decompõe conceitos-chave em linguagem simples e responde a perguntas comuns dos responsáveis pelo tratamento.
O uso do template não é obrigatório, mas as organizações que o utilizem beneficiam de campos pré-definidos que orientam respostas completas e estruturadas, servindo de prova de responsabilidade. Após o encerramento da consulta pública em 9 de junho de 2026, as autoridades nacionais de supervisão iniciarão os passos para adotar o template como a sua norma única ou como um meta-template ao qual se alinharão os templates nacionais específicos existentes.
O que significa para o seu negócio
Se realiza AIPDs: Pela primeira vez a UE oferece um formato único e consistente de AIPD que será reconhecido em todos os Estados-Membros. Os responsáveis pelo tratamento multinacionais beneficiam mais — um template, uma estrutura, aceite por todas as CPDs. Ação: Reveja a sua metodologia atual de AIPD face ao template preliminar, submeta feedback antes de 9 de junho se relevante, e planeie migrar as AIPDs existentes assim que as CPDs nacionais o adotem formalmente. Faça um diagnóstico com o GDPR Quick Check da Verdaio.
Prazo de Conformidade NIS2: Outubro 2026 — Primeiras Auditorias até Junho
As empresas abrangidas pela Diretiva NIS2 têm até outubro de 2026 para alcançar a conformidade plena. O prazo da primeira auditoria foi definido para 30 de junho de 2026, e os Estados-Membros devem identificar as entidades críticas até 17 de julho de 2026.
O que mudou
A Diretiva NIS2 (2022/2555) alargou significativamente o âmbito das obrigações de cibersegurança da UE em relação à Diretiva NIS original. Abrange organizações de média e grande dimensão em 18 setores, incluindo energia, transportes, banca, saúde, infraestrutura digital e gestão de serviços TIC. As empresas devem implementar medidas de gestão de riscos, procedimentos de reporte de incidentes, avaliações de segurança da cadeia de valor e planos de continuidade de negócio.
O prazo da primeira auditoria de conformidade estava originalmente definido para 31 de dezembro de 2025, mas foi adiado para 30 de junho de 2026. Até 17 de julho de 2026, cada Estado-Membro deve identificar formalmente as entidades críticas na sua jurisdição. As coimas por incumprimento podem atingir €10M ou 2% do volume de negócios global para entidades essenciais, e €7M ou 1,4% para entidades importantes. A gestão de topo pode ser responsabilizada pessoalmente.
O que significa para o seu negócio
Se opera em qualquer dos 18 setores NIS2: O prazo de conformidade está agora a menos de 6 meses. Comece com uma avaliação de lacunas para compreender a sua postura atual — particularmente no que diz respeito ao reporte de incidentes (requisito de notificação em 72 horas), gestão de riscos da cadeia de valor e responsabilização ao nível do conselho de administração. Não tem a certeza se o NIS2 se aplica à sua empresa? Execute a Avaliação de Prontidão NIS2 gratuita.
Omnibus CSRD Agora É Lei: Âmbito Reduzido 80%, Apenas Empresas com 1.000+ Trabalhadores
O pacote Omnibus I de simplificação da UE eleva o limiar de reporte do CSRD para empresas com 1.000+ trabalhadores e €450M+ de volume de negócios, excluindo cerca de 80% das empresas anteriormente abrangidas. As PMEs cotadas ficam totalmente isentas.
O que mudou
A Diretiva Omnibus I elevou o limiar de aplicabilidade do CSRD do limiar original de 250 trabalhadores para 1.000 trabalhadores e €450 milhões de volume de negócios líquido. A lei também remove as PMEs cotadas do âmbito obrigatório na totalidade — estas apenas reportarão numa base voluntária utilizando uma norma VSME simplificada.
O prazo da onda 2 (exercício financeiro 2025, reporte em 2026) e o prazo da onda 3 (EF 2026) são ambos adiados dois anos. As empresas da onda 1 — aquelas que já estão a reportar para o EF 2024 — não são afetadas. A Diretiva Omnibus I foi publicada no Jornal Oficial da UE em 26 de fevereiro de 2026 e entrou em vigor em 19 de março de 2026. Estas alterações são agora lei vinculativa.
O que significa para o seu negócio
Se tiver menos de 1.000 trabalhadores: Provavelmente está fora do âmbito obrigatório com o novo limiar. No entanto, grandes clientes e instituições financeiras poderão ainda exigir divulgações alinhadas com o CSRD através dos seus próprios relatórios de cadeia de valor. Se tiver 1.000+ trabalhadores: O reporte obrigatório continua — as normas ESRS principais permanecem inalteradas.
Prazo da Lei IA para Alto Risco: Extensão até Dezembro de 2027 em Negociações Finais
O pacote Digital Omnibus da UE propõe a extensão do prazo de conformidade para sistemas de IA de alto risco de agosto de 2026 para dezembro de 2027. As negociações de trílogo estão em curso com acordo político esperado para o final de abril de 2026. Até ser formalmente adotado, 2 de agosto de 2026 continua a ser o prazo legal.
O que mudou
O pacote Digital Omnibus da UE propõe a extensão do prazo de conformidade para sistemas de IA de alto risco ao abrigo da Lei IA da UE. O prazo original do Artigo 6.º Anexo III é 2 de agosto de 2026. A proposta adiaria para dezembro de 2027 para sistemas de alto risco autónomos, e para agosto de 2028 para IA de alto risco integrada em produtos regulados (dispositivos médicos, maquinaria). As negociações de trílogo entre o Parlamento Europeu e o Conselho iniciaram-se a 26 de março de 2026, com acordo político esperado até 28 de abril de 2026.
A extensão proposta abrange as obrigações dos Artigos 9.º a 15.º da Lei IA: sistemas de gestão de risco, governação de dados, documentação técnica, registo, transparência, supervisão humana e requisitos de precisão/robustez. A proibição de práticas proibidas (em vigor desde fevereiro de 2025) e as obrigações dos modelos GPAI (em vigor desde agosto de 2025) não são afetadas. O Omnibus propõe ainda uma nova prática proibida: sistemas de IA que geram imagens íntimas não consensuais.
O que significa para o seu negócio
Se implementar IA de alto risco: A extensão tem grande probabilidade de ser aprovada, mas ainda não é lei. A abordagem responsável é preparar-se para o prazo de agosto de 2026, esperando o alívio. Se adotada conforme esperado, terá até dezembro de 2027 para sistemas do Anexo III. Use o tempo para construir processos conformes em vez de esperar. Atualizaremos esta notícia quando o texto final for publicado.
BCE, EBA e ESMA Alertam: Simplificações ESRS Arriscam Enfraquecer Qualidade dos Dados
Quatro reguladores financeiros da UE publicaram pareceres conjuntos alertando que as isenções e flexibilidades permanentes nas ESRS revistas poderão reduzir significativamente a disponibilidade de dados de sustentabilidade úteis para a tomada de decisão.
O que mudou
Em fevereiro de 2026, o Banco Central Europeu (BCE), a Autoridade Bancária Europeia (EBA), a Autoridade Europeia dos Seguros e Pensões Complementares de Reforma (EIOPA) e a Autoridade Europeia dos Valores Mobiliários e dos Mercados (ESMA) publicaram os seus pareceres sobre as Normas Europeias de Relatório de Sustentabilidade revistas. Os quatro reguladores partilham uma preocupação central: o efeito cumulativo das isenções permanentes, faseamentos e exceções arrisca comprometer a disponibilidade de dados quantitativos essenciais de que as instituições financeiras necessitam para a avaliação de risco e decisões de crédito.
Os reguladores destacaram ainda que várias isenções vão além, ou se desviam, do quadro IFRS/ISSB — criando lacunas de interoperabilidade entre as normas europeias e internacionais de reporte de sustentabilidade. Isto é relevante para empresas com investidores ou operações globais, que poderão ter de reportar ao abrigo de ambos os quadros.
O que significa para o seu negócio
Se reporta ao abrigo das ESRS: Embora o Omnibus reduza o âmbito obrigatório, o setor financeiro — os seus bancos, investidores e seguradoras — continua a esperar dados de sustentabilidade abrangentes. Empresas que cumpram apenas os requisitos mínimos simplificados poderão enfrentar dificuldades no acesso a financiamento verde ou em satisfazer pedidos de due diligence de clientes de maior dimensão.
Reporte da Taxonomia da UE Simplificado: Limiar de Materialidade de 10% Introduzido
Um novo ato delegado da UE introduz um limiar de materialidade de 10% para o reporte da Taxonomia, reduzindo significativamente o número de atividades que as empresas devem avaliar e divulgar.
O que mudou
A Comissão Europeia adotou um novo ato delegado que altera o Regulamento Delegado de Divulgações da Taxonomia da UE. A mudança principal é um limiar de materialidade de 10%: as empresas já não precisam de avaliar e reportar o alinhamento com a Taxonomia para atividades que representem menos de 10% das suas receitas totais, despesas de capital (CapEx) ou despesas operacionais (OpEx).
O ato delegado também introduz simplificações à avaliação "Não Causar Dano Significativo" (DNSH), reduz o número de pontos de dados obrigatórios e fornece orientações mais claras sobre como tratar atividades que abrangem múltiplos códigos NACE.
O que significa para o seu negócio
Se já está a reportar: Reveja quais as atividades que ficam abaixo do limiar de 10% — poderá excluir uma parte significativa do âmbito da sua avaliação atual. Se ainda não começou: Esta simplificação torna o primeiro reporte da Taxonomia consideravelmente mais acessível. O limiar aplica-se a períodos de reporte a partir de 2025.
Lei IA da UE: Práticas de IA Proibidas São Agora Aplicáveis
A partir de 2 de fevereiro de 2025, a proibição da Lei IA da UE sobre sistemas de IA de risco inaceitável tornou-se legalmente aplicável em todos os Estados-Membros. Sistemas que manipulam utilizadores, exploram vulnerabilidades ou permitem pontuação social são agora proibidos por lei.
O que mudou
O Artigo 5.º da Lei IA da UE — que lista sistemas de IA com risco inaceitável — tornou-se aplicável em 2 de fevereiro de 2025, seis meses após a entrada em vigor do regulamento. Isto inclui proibições absolutas sobre: sistemas de IA que utilizam técnicas subliminares para influenciar comportamentos, sistemas que exploram vulnerabilidades de grupos específicos, identificação biométrica em tempo real em espaços públicos (com exceções restritas), pontuação social por autoridades públicas e IA usada para inferir emoções em locais de trabalho e escolas.
Os Estados-Membros foram obrigados a designar autoridades nacionais de vigilância do mercado e notificar o Gabinete Europeu de IA até esta data. O Gabinete de IA, estabelecido na Comissão Europeia, supervisiona a aplicação para modelos de IA de uso geral. As autoridades nacionais tratam da aplicação para outros sistemas de IA.
O que significa para o seu negócio
Ação imediata necessária: Se a sua organização usa ou implementa sistemas de IA, reveja-os agora face à lista de práticas proibidas do Artigo 5.º. As violações podem resultar em coimas até €35M ou 7% do volume de negócios anual global. A maioria das ferramentas de IA empresariais (produtividade, análise, serviço ao cliente) não são proibidas — mas a IA usada em recrutamento, pontuação de crédito ou que afeta indivíduos em contextos sensíveis requer revisão cuidadosa.
Primeiras Coimas do DMA: Apple Multada em €500M, Meta em €200M
A Comissão Europeia emitiu as suas primeiras decisões de aplicação do Regulamento dos Mercados Digitais, multando a Apple em €500M e a Meta em €200M por não cumprirem as suas obrigações do DMA enquanto guardiões designados.
O que mudou
Em 23 de abril de 2025, a Comissão Europeia emitiu as suas primeiras decisões de aplicação ao abrigo do Regulamento dos Mercados Digitais (DMA). A Apple foi multada em €500M pelas práticas da App Store — especificamente por não permitir que os programadores de aplicações direcionassem livremente os utilizadores para opções de compra alternativas fora da App Store. A Meta foi multada em €200M pelo seu modelo publicitário "pagar ou consentir" no Facebook e Instagram.
Ambas as empresas foram também ordenadas a corrigir as suas práticas não conformes num prazo de 60 dias. O DMA tem como alvo grandes plataformas digitais designadas como "guardiões" — atualmente Apple, Alphabet, Meta, Amazon, Microsoft, ByteDance e Booking.com. As coimas podem atingir até 10% do volume de negócios anual global (20% para infrações repetidas).
O que significa para o seu negócio
Se utiliza plataformas guardiãs: Estas decisões sinalizam que as lojas de aplicações, classificações de pesquisa e sistemas publicitários nas principais plataformas poderão mudar para cumprir os requisitos do DMA — potencialmente afetando as suas estratégias de distribuição e marketing. Se é uma plataforma guardiã: O DMA está agora ativamente aplicado.
Recorde de Aplicação do RGPD: TikTok Multado em €530M por Enviar Dados da UE para a China
A Comissão de Proteção de Dados da Irlanda multou o TikTok em €530M — a terceira maior coima RGPD alguma vez registada — por transferir dados pessoais de utilizadores europeus para a China sem salvaguardas legais adequadas ao abrigo do Capítulo V do RGPD.
O que mudou
A Comissão de Proteção de Dados (DPC) irlandesa concluiu uma investigação multi-anual às transferências internacionais de dados do TikTok, constatando que o TikTok tinha transferido dados de utilizadores da UE/EEE para a sua empresa-mãe ByteDance na China sem cumprir os requisitos de adequação estritos do Capítulo V do RGPD. A coima de €530M consiste em €485M pelas violações de transferência e €45M por uma infração de transparência.
Esta é a terceira maior coima RGPD alguma vez emitida, atrás da coima de €1,2 mil milhões da Meta (2023) e da coima de €746M da Amazon (2021). O TikTok foi também ordenado a colocar o seu processamento de dados em conformidade num prazo de seis meses. Mais de 360 coimas RGPD foram emitidas em toda a Europa em 2025.
O que significa para o seu negócio
Para qualquer empresa que transfira dados pessoais para fora da UE/EEE: Esta coima reforça que os mecanismos de transferência devem ser sólidos. As Cláusulas Contratuais Padrão (SCCs) não são suficientes se as leis do país de destino impedirem o importador de dados de cumpri-las na prática. Reveja as suas avaliações de impacto de transferência de dados (DTIAs), particularmente para transferências para os EUA, Índia e China.