Ce qui bouge du côté des autorités, de la jurisprudence et des outils. Chaque entrée renvoie à sa source officielle, et dit ce qu'il faut en retenir.
Europa
O Comité Europeu obriga a autoridade belga a apreciar o mérito de uma queixa sobre um banner de cookies
A autoridade belga pretendia afastar uma queixa da associação noyb dirigida ao banner de cookies do serviço público de radiodifusão VRT, invocando um abuso de direito. Numa decisão vinculativa de 28 de maio de 2026, publicada a 14 de julho, o Comité Europeu para a Proteção de Dados exige-lhe que decida sobre o mérito e que apresente um novo projeto de decisão.
Uma queixa apresentada por uma associação já não pode ser afastada apenas por esse motivo processual. Se o seu banner de consentimento for objeto de queixa, conte com uma instrução sobre o mérito.
O Comité Europeu adota orientações sobre a anonimização
O Comité Europeu para a Proteção de Dados adotou orientações sobre a anonimização e sobre a recolha automatizada de dados para a IA generativa. Os dados são considerados anónimos se não permitirem nem a individualização, nem a correlação, nem a inferência. O texto integra o acórdão do Tribunal de Justiça de 4 de setembro de 2025 e mantém-se em consulta pública até 30 de outubro de 2026.
O caráter anónimo é apreciado caso a caso, entidade a entidade. Se apresenta as suas estatísticas como anónimas, documente este teste de três critérios em vez de confiar num rótulo do fornecedor.
Vinte e três sanções simplificadas da CNIL desde janeiro de 2026, várias delas sobre cookies
A CNIL aplicou 23 sanções em procedimento simplificado desde janeiro de 2026, num total de 133 750 euros. Dezanove delas resultam de queixas de particulares. Os incumprimentos apurados dizem respeito, nomeadamente, a banners sem um mecanismo de recusa tão simples como o de aceitação e a cookies publicitários colocados antes de qualquer consentimento.
O procedimento simplificado visa sites de todas as dimensões, não apenas as grandes plataformas. Verifique que recusar exige um único clique, exatamente como aceitar, e que nenhum rastreador publicitário é acionado antes da escolha.
O Encarregado Federal suíço publica o seu 33.º relatório de atividades
O relatório 2025/26 do Encarregado Federal da Proteção de Dados e da Transparência dá conta de mais de 2000 comunicações de potenciais violações de dados, de 156 intervenções junto de responsáveis pelo tratamento e de 9 investigações. Refere igualmente o primeiro acórdão definitivo proferido ao abrigo da nova lei, em 6 de outubro de 2025, que confirma a prática decisória da autoridade.
A nova lei suíça é hoje aplicada e confirmada em tribunal. Se trata dados de residentes suíços, o seu registo das atividades de tratamento e o seu procedimento de comunicação de violações têm de estar operacionais.
Google Analytics: o sinal de consentimento passa a ser o único controlo dos dados publicitários
Desde 15 de junho de 2026, a definição Google Signals no Google Analytics passou a comandar apenas a associação dos dados a utilizadores com sessão iniciada, para os relatórios comportamentais. A partilha de dados com o Google Ads depende agora das definições do Ads e do sinal de consentimento publicitário. A Google anuncia uma segunda etapa sobre a personalização publicitária ainda em 2026.
Se utiliza o Google Analytics, a configuração que tinha validado com o seu jurista talvez já não produza o mesmo efeito. Repita o teste: recuse tudo no seu banner e verifique o que sai realmente.
A CNIL publica a sua recomendação sobre os pixels de seguimento no correio eletrónico
Adotada em 12 de março de 2026 (deliberação n.º 2026-042) e publicada a 14 de abril, a recomendação qualifica os pixels de seguimento presentes nos e-mails como rastreadores na aceção do artigo 82.º da lei Informática e Liberdades. A sua utilização está, por isso, em princípio sujeita ao consentimento prévio do destinatário. A medição individual da entregabilidade dos e-mails transacionais figura entre os casos discutidos como isentos.
As taxas de abertura das suas campanhas assentam nestes pixels. Para os endereços recolhidos antes de 14 de abril de 2026, a CNIL exige uma informação clara e uma oposição simples no prazo de três meses.
O Encarregado Federal suíço alerta para falsos e-mails enviados em seu nome
O PFPDT alerta para uma campanha de mensagens fraudulentas que usurpam a sua identidade. Estes e-mails visam os operadores de sites web e acusam-nos de infrações à lei suíça de proteção de dados, com pedido de pagamento ou de transmissão de dados. A autoridade participou o caso às autoridades competentes.
Uma autoridade de proteção de dados nunca exige um pagamento por e-mail. Verifique o domínio do remetente, não abra os anexos e contacte a autoridade pelos seus canais oficiais.
Ação coordenada europeia 2026: a transparência e a informação das pessoas
O Comité Europeu para a Proteção de Dados lançou em 19 de março de 2026 a sua ação coordenada anual. Vinte e cinco autoridades nacionais examinam o cumprimento das obrigações de transparência e de informação previstas nos artigos 12.º, 13.º e 14.º do RGPD. Os resultados serão agregados no segundo semestre de 2026.
A sua política de privacidade e as suas menções informativas estão no programa das fiscalizações deste ano. Reveja-as ponto por ponto: finalidades, bases legais, prazos de conservação, destinatários.
O Tribunal Administrativo luxemburguês anula a coima de 746 milhões de euros aplicada pela CNPD
Por acórdão n.º 52757C de 12 de março de 2026, o Tribunal Administrativo do Luxemburgo anulou a decisão da CNPD de julho de 2021 que aplicava 746 milhões de euros a um grande operador do comércio eletrónico pelas suas práticas de publicidade comportamental. O tribunal censura a autoridade por não ter analisado o caráter doloso ou negligente do comportamento, nem o leque de medidas corretivas disponíveis. O processo é devolvido à CNPD.
A anulação incide sobre o método, não sobre o mérito do processo. Retenha sobretudo que a autoridade luxemburguesa terá de fundamentar mais finamente as suas sanções, o que alonga os procedimentos sem reduzir o nível de exigência.
Fim do período de transição para a versão 2.3 do quadro de consentimento publicitário
Publicada em 19 de junho de 2025, a versão 2.3 do Transparency and Consent Framework da IAB Europe torna obrigatório o segmento disclosedVendors na cadeia de consentimento. O período de transição terminou em 28 de fevereiro de 2026. As cadeias criadas depois dessa data sem esse segmento são consideradas inválidas.
Se a sua plataforma de gestão do consentimento não foi atualizada, os sinais que produz podem ser rejeitados pelos seus parceiros publicitários. Peça ao seu prestador uma confirmação escrita da atualização.
A CNPD luxemburguesa passa a poder intentar ações coletivas
A lei de 20 de novembro de 2025, em vigor desde 25 de novembro de 2025, transpõe a diretiva 2020/1828 relativa às ações representativas e cria um novo Livro 5 do Código do Consumo. A CNPD é aí reconhecida como entidade qualificada. Pode, por isso, pedir em tribunal uma medida inibitória, uma medida de reparação, ou ambas.
No Luxemburgo, um incumprimento do RGPD que afete numerosos clientes pode agora dar origem a uma ação coletiva de reparação, além de uma coima administrativa. O risco financeiro já não se limita à sanção da autoridade.
Parecer conjunto crítico das autoridades europeias sobre o omnibus digital
O Comité Europeu para a Proteção de Dados e a Autoridade Europeia para a Proteção de Dados adotaram um parecer conjunto sobre a proposta de omnibus digital. Consideram que a redefinição da noção de dado de caráter pessoal vai bem além de um ajustamento técnico e se afasta da jurisprudência do Tribunal de Justiça. Em contrapartida, apoiam as medidas contra a fadiga do consentimento e a proliferação de banners, bem como os sinais automatizados legíveis por máquina.
O quadro aplicável aos rastreadores vai mudar, mas ainda não. Acompanhe o processo sem reescrever já os seus banners: o texto não está estabilizado.
Suíça: um grande site de comércio torna a personalização desativável com um clique
Na sequência de uma recomendação formal do PFPDT, o site Digitec Galaxus permite agora desativar a personalização do site numa única ação, com desativação automática dos cookies associados. A autoridade tinha considerado que a associação entre o processo de encomenda, a criação de conta e o tratamento para fins de marketing contrariava o princípio da proporcionalidade. O processo foi encerrado.
Também na Suíça, ligar uma compra a um tratamento de marketing não necessário levanta problemas. A oposição deve ser tão simples como a ativação e repercutir-se realmente nos rastreadores colocados.
Balanço 2025 da CNIL: 486,8 milhões de euros de coimas
A CNIL proferiu 259 decisões em 2025, entre as quais 83 sanções, 143 notificações para cumprimento, 31 chamadas de atenção às obrigações legais e 2 advertências. O montante acumulado das coimas atinge 486 839 500 euros. Vinte e um organismos foram sancionados a título dos cookies e outros rastreadores.
Os rastreadores continuam a ser o primeiro motivo de sanção em França. Uma auditoria anual do seu banner e dos scripts realmente carregados é o mínimo defensável.
A CNIL enquadra o consentimento aos rastreadores válido em vários equipamentos
A CNIL publicou em 16 de janeiro de 2026 as suas recomendações finais sobre o consentimento multiequipamento, decorrentes da deliberação n.º 2025-131 de 18 de dezembro de 2025 que altera a recomendação cookies de 2020. O dispositivo é facultativo e só vale nos ambientes em que o utilizador está autenticado. A recusa deve continuar tão simples como a aceitação e a informação deve precisar o alcance da escolha. Estão anunciados para 2026 trabalhos sobre o consentimento multipropriedade.
Se os seus utilizadores dispõem de conta, pode associar a escolha deles a essa conta em vez de a associar ao navegador. Preveja uma regra explícita de resolução em caso de escolhas contraditórias entre dispositivos.
A Meta compromete-se a oferecer uma escolha sobre a publicidade personalizada na União Europeia
Após uma decisão de não conformidade com o regulamento dos mercados digitais proferida em abril de 2025, a Meta comprometeu-se perante a Comissão Europeia a propor aos utilizadores do Facebook e do Instagram uma alternativa ao modelo binário. As pessoas podem escolher entre uma publicidade inteiramente personalizada e uma experiência que utiliza menos dados pessoais. Estas opções foram apresentadas aos utilizadores europeus em janeiro de 2026.
O modelo que opõe apenas consentimento e subscrição paga é contestado pelos reguladores. Se equaciona um muro de consentimento, preveja uma terceira via menos ávida de dados.
A Comissão Europeia propõe transferir as regras dos cookies para o RGPD
Apresentada em 19 de novembro de 2025, a proposta de regulamento omnibus digital (processo 2025/0360) transfere para o RGPD as regras de acesso às informações armazenadas no equipamento terminal, hoje previstas na diretiva ePrivacy. O consentimento continua a ser a regra, com uma lista alargada de finalidades isentas e a ideia de uma escolha memorizada ao nível do navegador. O texto continua em negociação entre o Parlamento e o Conselho.
Nada é aplicável nesta fase. Não desmonte o seu dispositivo de consentimento na antecipação de um texto que ainda pode mudar.
A Google retira dez tecnologias do programa Privacy Sandbox
Em 17 de outubro de 2025, a Google anunciou o abandono de dez tecnologias do programa Privacy Sandbox, entre as quais Topics, Protected Audience, Attribution Reporting e Private Aggregation, invocando um baixo nível de adoção. Alguns blocos são conservados, nomeadamente CHIPS, FedCM e Private State Tokens.
As alternativas aos cookies de terceiros prometidas pelo navegador não vão chegar. Os rastreadores publicitários continuam, portanto, sujeitos a consentimento, sem solução técnica de substituição à vista.
O Tribunal de Justiça precisa quando é que dados pseudonimizados continuam a ser dados pessoais
No processo C-413/23 P que opõe a Autoridade Europeia para a Proteção de Dados ao Conselho Único de Resolução, o Tribunal de Justiça decide que dados pseudonimizados não constituem em todos os casos e para todas as pessoas dados de caráter pessoal. Consoante as circunstâncias, a pseudonimização pode impedir um destinatário de identificar os titulares dos dados. O caráter identificável aprecia-se do ponto de vista do responsável no momento da recolha, que continua obrigado a informar as pessoas.
O estatuto dos seus dados depende de quem os detém e do que essa entidade pode cruzar. Documente, para cada destinatário, os meios de que dispõe realmente para reidentificar uma pessoa.
A CNIL sanciona a Google em 325 milhões de euros e a Shein em 150 milhões
Em 3 de setembro de 2025, a CNIL aplicou duas coimas por incumprimento das regras aplicáveis aos rastreadores. A Google é sancionada, nomeadamente, pela exibição de publicidade entre as mensagens da caixa de entrada e pela colocação de rastreadores durante a criação de conta sem consentimento válido. A filial irlandesa da Shein é sancionada pela colocação de cookies publicitários logo na primeira visita e por informação insuficiente sobre as finalidades e a recusa.
O montante recorde não deve esconder a acusação: rastreadores colocados antes da escolha e informação incompleta. São exatamente os pontos verificados nas fiscalizações em linha, seja qual for a dimensão do site.
O Tribunal Geral da União Europeia rejeita o recurso contra o quadro de transferência para os Estados Unidos
No processo T-553/23, o Tribunal Geral da União Europeia rejeitou o recurso de anulação interposto contra a decisão de adequação de 10 de julho de 2023 que enquadra as transferências de dados para os Estados Unidos. Considera que o nível de proteção oferecido é essencialmente equivalente ao garantido na União. Foi interposto recurso para o Tribunal de Justiça no outono de 2025.
As transferências para um prestador norte-americano certificado continuam hoje possíveis. Tenha, ainda assim, presente que há um recurso pendente e cartografe as suas dependências fora da União Europeia.
A CNIL substitui o seu programa de avaliação por uma autoavaliação das soluções de medição de audiência
Em 4 de julho de 2025, a CNIL disponibilizou uma ferramenta de autoavaliação que permite aos fornecedores verificar se a sua solução de medição de audiência pode ser isenta de consentimento. O antigo programa de avaliação e a respetiva lista pública de soluções terminaram em 1 de janeiro de 2026. Os fornecedores devem documentar a sua análise e não podem invocar qualquer certificação da CNIL.
Uma menção comercial do tipo solução isenta já não basta. Peça ao seu prestador o documento de autoavaliação e a configuração exata a aplicar, porque o editor do site continua responsável em caso de fiscalização.
O Tribunal dos Mercados belga decide sobre o quadro de consentimento publicitário
Por acórdão de 14 de maio de 2025, o Tribunal dos Mercados de Bruxelas confirma que a cadeia de consentimento designada por TC String é um dado de caráter pessoal e que a IAB Europe atua como responsável pelo tratamento das preferências dos utilizadores no âmbito do TCF. Afasta, em contrapartida, essa qualificação para os tratamentos realizados através do protocolo OpenRTB. A coima de 250 000 euros é mantida, tendo a decisão inicial sido anulada por um motivo processual.
A cadeia de consentimento produzida pela sua plataforma é um dado pessoal de pleno direito. Deve constar do seu registo das atividades de tratamento e da informação que presta aos visitantes.
O Chrome desiste do seu novo pedido de escolha sobre os cookies de terceiros
Em 22 de abril de 2025, a Google anunciou que mantém a sua abordagem atual dos cookies de terceiros no Chrome e que não vai implementar o pedido de escolha que estava previsto. Os utilizadores conservam a possibilidade de gerir as suas preferências nas definições do navegador. Esta decisão põe fim a vários anos de anúncios sobre o desaparecimento dos cookies de terceiros.
O desaparecimento dos cookies de terceiros, muitas vezes apresentado como iminente, não acontecerá por via do navegador. As suas obrigações de consentimento, essas, mantêm-se inalteradas e decorrem do direito, não do Chrome.
O Encarregado Federal suíço publica um guia sobre os cookies e tecnologias semelhantes
O PFPDT publicou em 3 de fevereiro de 2025 um guia que descreve as exigências aplicáveis ao tratamento de dados através de cookies e de tecnologias semelhantes pelos responsáveis privados. Deduz essas exigências da lei federal de proteção de dados, do respetivo regulamento e da jurisprudência. Uma versão 1.1 do documento foi divulgada em 6 de outubro de 2025.
O direito suíço não decalca o regime europeu do consentimento prévio, mas impõe transparência e proporcionalidade. Se se dirige a um público suíço, alinhe a sua política de privacidade por este guia em vez de supor uma equivalência com o RGPD.