O quadro jurídico da proteção de dados pessoais não se resume ao texto do RGPD. As evoluções regulatórias de 2025 e 2026 modificam profundamente as obrigações operacionais dos responsáveis pelo tratamento, especialmente em relação à segurança dos sistemas de informação e ao controle dos fluxos de dados em aplicativos móveis.
Controle dos SDKs em aplicativos móveis: a nova fronteira do RGPD
A CNIL abriu uma frente técnica que a maioria dos artigos sobre proteção de dados ignora. Desde a primavera de 2025, uma campanha específica visa os SDKs integrados em aplicativos móveis para verificar se esses componentes realmente param de transmitir dados quando o usuário recusa o rastreamento.
Essa abordagem se baseia na deliberação n° 2025-024 de 27 de março de 2025, publicada no Diário Oficial em 11 de abril de 2025. A recomendação impõe aos editores de aplicativos garantir que cada SDK de terceiros respeite a escolha de consentimento expressa pela pessoa afetada.
Uma recusa de cookies em uma banner web permanece visível e verificável. Um SDK embutido no código de um aplicativo móvel pode continuar a coletar dados de geolocalização ou identificadores publicitários sem que o usuário perceba.
É precisamente essa discrepância entre a interface de consentimento e o comportamento real do tratamento que a CNIL agora monitora. Para entender melhor as obrigações que cercam esses tratamentos, recomendamos consultar a página jurídica do BackUpYourBrain que detalha os fundamentos regulatórios aplicáveis.
Sanções CNIL em 2026: a segurança dos dados no centro da atividade repressiva
O valor das multas impostas pela CNIL foi multiplicado por quase nove entre 2024 e 2025. Essa aceleração não é apenas um endurecimento de tom: ela reflete um reagrupamento estratégico da autoridade de controle.
A multa de 42 milhões de euros imposta à Free e Free Mobile por falta de segurança dos dados ilustra a prioridade dada à cibersegurança. A CNIL anunciou que cerca de a metade de suas fiscalizações e ações repressivas de 2026 será dedicada à segurança dos dados e às intrusões.
Observamos que essa orientação muda a hierarquia dos riscos para os responsáveis pelo tratamento. Até recentemente, as sanções se concentravam principalmente em falhas de consentimento ou na informação das pessoas afetadas. Hoje, uma falha de criptografia, a ausência de segmentação de rede ou uma gestão deficiente das permissões de acesso expõe a sanções de mesma magnitude.
O que isso implica para os responsáveis pelo tratamento
A conformidade documental (registro de tratamentos, análises de impacto, política de privacidade) não é mais suficiente para demonstrar a boa-fé de uma entidade. A CNIL agora verifica a realidade técnica das medidas de segurança declaradas.
- Os testes de invasão e auditorias de vulnerabilidade devem ser realizados regularmente, não apenas durante a implementação de um sistema
- A segmentação de bancos de dados pessoais deve impedir que uma única violação dê acesso a todas as informações
- Os procedimentos de notificação de violação (artigo 33 do RGPD, prazo de 72 horas) devem ser testados por exercícios de simulação, não apenas documentados
- A registragem de acessos a dados pessoais deve permitir uma rastreabilidade utilizável em caso de fiscalização
Regulamento ePrivacy e fim programado das banners de cookies
O projeto de regulamento ePrivacy, há muito paralisado a nível europeu, está passando por um relançamento significativo. A União Europeia explora a possibilidade de eliminar as banners de consentimento para cookies em favor de um mecanismo de gestão centralizado a nível do navegador ou do sistema operacional.
Essa mudança de paradigma teria consequências diretas na arquitetura de conformidade dos sites. As CMPs (Plataformas de Gestão de Consentimento) que atualmente gerenciam as banners se tornariam em parte obsoletas se o consentimento fosse expresso uma única vez no nível do terminal.
Recomendamos não esperar a adoção definitiva do texto para antecipar essa transição. As entidades que se baseiam exclusivamente em uma banner de cookies para fundamentar a legalidade de seus tratamentos de dados de marketing se expõem a um risco de não conformidade abrupto no dia da entrada em vigor.
Inteligência artificial e RGPD: as obrigações específicas para sistemas automatizados
A articulação entre o RGPD e o regulamento europeu sobre inteligência artificial (AI Act) cria um duplo quadro de conformidade para os tratamentos automatizados de dados pessoais. Os sistemas de IA que tratam dados pessoais continuam sujeitos aos princípios de minimização, limitação de finalidades e transparência do RGPD.
O direito de oposição a uma decisão totalmente automatizada (artigo 22 do RGPD) assume uma nova dimensão com a generalização dos modelos de pontuação, perfilagem e recomendação. A pessoa afetada mantém o direito de obter uma intervenção humana, de expressar seu ponto de vista e de contestar a decisão.
Treinamento de modelos e base legal do tratamento
A utilização de dados pessoais para treinar um modelo de IA levanta a questão da base legal aplicável. O consentimento, o interesse legítimo do responsável pelo tratamento ou a execução de um contrato: cada fundamento impõe obrigações diferentes em matéria de informação e direito de retirada.
- O consentimento deve ser obtido antes da integração dos dados no conjunto de treinamento, não retroativamente
- O interesse legítimo requer um balanceamento documentado entre as necessidades do responsável pelo tratamento e os direitos da pessoa afetada
- O direito ao apagamento também se aplica aos dados já incorporados em um modelo, o que levanta dificuldades técnicas significativas
O quadro jurídico da proteção de dados pessoais se torna mais denso a cada ano. As fiscalizações da CNIL agora se concentram na realidade técnica das medidas de segurança, não apenas na documentação. Antecipar as evoluções regulatórias em vez de sofrer suas consequências continua sendo o melhor alavancador de conformidade para qualquer responsável pelo tratamento.
