Checklist de Conformidade com o GDPR 2026: Guia Passo a Passo

A conformidade com o GDPR, nos termos do Regulamento (UE) 2016/679, exige que as organizações adotem ações documentadas em quatorze áreas interligadas, desde o mapeamento de dados e a identificação da base legal até a resposta a violações e o treinamento contínuo de equipe. O princípio da responsabilização, previsto no Artigo 5(2), exige que os controladores possam demonstrar a conformidade a qualquer momento, tornando uma abordagem sistemática e baseada em evidências a obrigação de base.

A conformidade com o GDPR não é um projeto único. O Regulamento Geral sobre a Proteção de Dados (Regulamento (UE) 2016/679) exige evidências documentadas de conformidade, e cada mudança em suas atividades de tratamento pode gerar novas obrigações. Este checklist cobre cada área central de conformidade, com referências aos artigos relevantes do GDPR, às orientações oficiais do EDPB, e aos desenvolvimentos recentes mais significativos.

Informações verificadas pela última vez em 19/05/2026. Este artigo apresenta informação jurídica geral e não constitui consultoria jurídica. Consulte um advogado ou profissional de proteção de dados certificado e qualificado para orientação específica à sua organização.

Âmbito jurisdicional: Este checklist trata da conformidade com o Regulamento Geral sobre a Proteção de Dados da UE (Regulamento (UE) 2016/679), conforme aplicável nos Estados-membros da UE e do EEE. Não trata do UK GDPR (que divergiu do GDPR da UE após o Brexit) nem das leis nacionais de implementação. Para uma comparação, consulte GDPR vs. UK GDPR. Para uma visão geral do regulamento, consulte O Que É o GDPR.

O checklist de conformidade com o GDPR: uma visão geral

A conformidade com o GDPR exige ações em quatorze áreas interligadas. As seções abaixo abordam cada uma delas. Comece pelo mapeamento de dados, porque todas as demais etapas dependem de saber quais dados você possui e por quê.

Etapa 1: Mapeamento de dados e registros de atividades de tratamento (Artigo 30)

Antes que sua organização possa cumprir o GDPR, ela precisa saber quais dados pessoais coleta, de onde vêm esses dados, para onde vão e por que são tratados. O mapeamento de dados é a base de toda outra atividade de conformidade. O Artigo 30 exige então que esse conhecimento seja formalizado em registros escritos de atividades de tratamento (RoPA).

O que documentar em seu inventário de dados

Para cada atividade de tratamento, registre:

• Categorias de dados pessoais (nomes, endereços de e-mail, endereços IP, dados de saúde, registros financeiros, dados biométricos)
• Categorias de titulares de dados (clientes, funcionários, visitantes do site, candidatos a emprego)
• Finalidade de cada atividade de tratamento
• Base legal para o tratamento (ver Etapa 2)
• Locais de armazenamento e sistemas
• Quem tem acesso (funções internas e destinatários externos)
• Períodos de retenção, ou os critérios para determiná-los
• Se os dados saem da UE/EEE e, em caso afirmativo, por qual mecanismo de transferência

O que os controladores devem registrar nos termos do Artigo 30(1)

O Artigo 30(1) exige que os controladores mantenham registros escritos contendo:

• O nome e os dados de contato do controlador (e os dados de contato do DPO, quando aplicável)
• Finalidades do tratamento
• Categorias de titulares de dados e de dados pessoais
• Categorias de destinatários, incluindo países terceiros
• Detalhes das transferências internacionais e o mecanismo jurídico utilizado
• Prazos de retenção previstos
• Uma descrição geral das medidas técnicas e organizacionais de segurança

Os operadores têm uma obrigação paralela, nos termos do Artigo 30(2): devem registrar as categorias de tratamento realizadas em nome de cada controlador.

A isenção para PMEs e a mudança proposta pelo Digital Omnibus

O Artigo 30(5) atualmente dispensa organizações com menos de 250 funcionários de manter um RoPA completo, desde que o tratamento não seja suscetível de gerar risco para os indivíduos, seja apenas ocasional, e não inclua dados de categoria especial. Na prática, a maioria das organizações trata dados com regularidade suficiente para que essa isenção raramente se aplique integralmente.

A proposta de Digital Omnibus de novembro de 2025 elevaria esse limiar para menos de 750 funcionários (com critérios financeiros), sujeita à mesma exceção de alto risco. O EDPB e a EDPS, em seu Parecer Conjunto 2/2026, receberam positivamente o objetivo de simplificação, recomendando ao mesmo tempo que a isenção seja vinculada às definições estatutárias de PME e pequena empresa de média capitalização, para maior clareza. Essa proposta ainda não entrou em vigor na data deste artigo.

Etapa 2: Identificar a base legal para cada atividade de tratamento (Artigo 6)

O Artigo 6 do GDPR exige que toda atividade de tratamento se apoie em uma de seis bases legais. A base deve ser identificada antes do início do tratamento; mudar de base posteriormente não é permitido.

As seis bases legais

Para categorias especiais de dados, nos termos do Artigo 9 (saúde, dados biométricos, genéticos, origem racial ou étnica, opiniões políticas, convicções religiosas, filiação sindical, condenações criminais), são exigidas tanto uma base legal do Artigo 6 quanto uma condição separada do Artigo 9.

Muitas organizações optam por padrão pelo consentimento quando o legítimo interesse ou a necessidade contratual seriam mais adequados. O consentimento cria obrigações contínuas de gestão, incluindo rastreamento, mecanismos de retirada e, potencialmente, a necessidade de novo consentimento. Para orientações detalhadas, consulte requisitos de consentimento do GDPR.

Etapa 3: Redigir avisos de privacidade claros (Artigos 12, 13, 14)

Os Artigos 13 e 14 exigem que as organizações forneçam informações transparentes aos titulares de dados. A ação de fiscalização do CEF 2026 do EDPB concentra-se especificamente nas obrigações de transparência e informação dos Artigos 12, 13 e 14, o que significa que as APDs de todos os Estados-membros da UE estão auditando ativamente os avisos de privacidade neste ano.

Conteúdo exigido de um aviso de privacidade conforme o GDPR

Um aviso de privacidade conforme deve incluir:

• A identidade e os dados de contato do controlador, e os dados de contato do DPO, quando aplicável
• As finalidades e a base legal de cada atividade de tratamento
• Categorias de dados pessoais coletados
• Destinatários ou categorias de destinatários
• Detalhes de quaisquer transferências internacionais de dados e as salvaguardas em vigor
• Prazos de retenção, ou os critérios usados para determiná-los
• Todos os oito direitos dos titulares de dados
• O direito de apresentar reclamação a uma autoridade de supervisão
• Se o fornecimento dos dados é uma exigência estatutária ou contratual
• Informações sobre decisões automatizadas, incluindo perfilamento, e a lógica envolvida

Quando os dados são coletados diretamente do indivíduo (Artigo 13), o aviso deve ser fornecido no momento da coleta. Quando os dados são obtidos de um terceiro (Artigo 14), o aviso deve ser fornecido em até um mês. O Artigo 12 exige linguagem clara e simples, concisa, transparente e de fácil acesso; uma abordagem em camadas (resumo curto com links para seções detalhadas) funciona bem.

Etapa 4: Estabelecer um processo de gestão de consentimento (Artigos 7, 8)

Quando o consentimento é a base legal escolhida, o Artigo 7 impõe requisitos específicos. O consentimento que não atende a esses requisitos é inválido, e o tratamento fica sem base legal.

Requisitos para um consentimento válido no GDPR

"O controlador deve poder demonstrar que o titular dos dados consentiu com o tratamento de seus dados pessoais." (GDPR, Artigo 7(1))

O consentimento válido, nos termos do Artigo 7, deve ser:

• Livre: sem condicionar um serviço ao consentimento com tratamento desnecessário; sem desequilíbrio de poder que impeça uma escolha genuína
• Específico: consentimento separado para cada finalidade distinta de tratamento; o consentimento agrupado não é válido
• Informado: o indivíduo deve saber quem coleta os dados, para qual finalidade, e que pode retirar o consentimento
• Inequívoco: exige-se um ato afirmativo claro; caixas pré-marcadas, silêncio e inatividade não constituem consentimento
• Revogável: a retirada deve ser tão fácil quanto a concessão do consentimento; o tratamento contínuo após a retirada não é permitido

Para o tratamento de dados pessoais de crianças, o Artigo 8 exige consentimento parental para crianças menores de 16 anos; os Estados-membros podem reduzir esse limite para 13 anos.

Requisitos de infraestrutura de gestão de consentimento

• Registrar a hora, o mecanismo e o texto exibido no momento do consentimento para cada indivíduo
• Habilitar a retirada do consentimento e acionar a supressão em todos os sistemas a jusante
• Sinalizar quando o consentimento foi obtido e se ele permanece válido
• Suportar fluxos de novo consentimento quando as finalidades de tratamento mudarem
• Armazenar os registros de consentimento em um formato acessível à autoridade de supervisão mediante solicitação

Etapa 5: Construir procedimentos para os direitos dos titulares de dados (Artigos 15 a 22)

O GDPR concede aos indivíduos oito direitos sobre seus dados pessoais. Para uma análise detalhada de cada direito, consulte direitos dos titulares de dados no GDPR.

Os oito direitos em resumo

Checklist operacional para procedimentos de direitos

• Designar uma equipe ou indivíduo responsável por atender às solicitações de acesso dos titulares de dados
• Criar canais de entrada e confirmar o recebimento prontamente
• Construir procedimentos de verificação de identidade para evitar divulgação não autorizada
• Mapear todos os sistemas que contêm dados pessoais, para que os dados possam ser localizados e compilados rapidamente
• Documentar como cada tipo de direito é tratado, incluindo respostas parciais e recusas
• Acompanhar os prazos: o período padrão é de um mês corrido, prorrogável para três meses em solicitações complexas, mas o indivíduo deve ser notificado no primeiro mês
• Treinar a equipe de atendimento ao cliente para reconhecer solicitações de direitos, mesmo quando o indivíduo não use terminologia jurídica

Etapa 6: Nomear um Encarregado de Proteção de Dados quando exigido (Artigo 37)

O Artigo 37 do GDPR torna a nomeação de um DPO obrigatória em três circunstâncias.

Quando um DPO é obrigatório

Um DPO deve ser nomeado quando:

• O controlador ou operador é uma autoridade ou órgão público (tribunais atuando em capacidade judicial estão excluídos)
• As atividades centrais exigem monitoramento regular e sistemático em larga escala de indivíduos
• As atividades centrais envolvem tratamento em larga escala de categorias especiais de dados (Artigo 9) ou dados de condenações criminais (Artigo 10)

"Atividades centrais" significa as atividades principais da organização, não o tratamento acessório de RH ou TI comum a todos os empregadores. "Larga escala" não possui um limiar numérico fixo; as Diretrizes do EDPB sobre DPOs consideram o número de titulares de dados, o volume de dados, a extensão geográfica e a duração do tratamento.

Requisitos do DPO nos termos dos Artigos 38 a 39

O DPO deve possuir conhecimento especializado do direito de proteção de dados, reportar-se diretamente ao mais alto nível de gestão, operar de forma independente, sem receber instruções sobre como desempenhar suas funções, e receber recursos adequados e acesso às operações de tratamento. O DPO não pode ser destituído ou penalizado por desempenhar suas funções. Os dados de contato do DPO devem ser publicados e comunicados à autoridade de supervisão.

O relatório de Fiscalização Coordenada de 2023 do EDPB sobre DPOs constatou que muitas organizações ainda falham em conceder independência genuína e recursos adequados aos DPOs, e atribuem tarefas conflitantes que geram conflitos de interesse.

Etapa 7: Conduzir Avaliações de Impacto sobre a Proteção de Dados (Artigo 35)

Uma DPIA é exigida antes de qualquer tratamento suscetível de resultar em alto risco para os direitos e liberdades das pessoas físicas. A obrigação surge antes do início do tratamento; DPIAs retrospectivas não cumprem o Artigo 35.

Quando uma DPIA é sempre exigida

Uma DPIA é obrigatória para:

• Perfilamento sistemático e extensivo com efeitos significativos sobre os indivíduos
• Tratamento em larga escala de dados de categoria especial ou de condenações criminais
• Monitoramento sistemático de áreas de acesso público em larga escala

As autoridades nacionais de supervisão publicam suas próprias listas de operações de tratamento que exigem uma DPIA. Consulte a lista publicada por sua APD líder.

Sistemas de IA e DPIAs

A Lei de IA da UE (Regulamento (UE) 2024/1689), que entrou em vigor em 1º de agosto de 2024, aplica-se em conjunto com o GDPR sempre que sistemas de IA tratam dados pessoais. A CNIL e o EDPB confirmaram que uma DPIA, nos termos do Artigo 35 do GDPR, deve ser presumida necessária para sistemas de IA de alto risco (listados no Anexo III da Lei de IA). Os requisitos de documentação técnica e governança de dados dos Artigos 10 e 11 da Lei de IA podem alimentar a DPIA, desde que esta contenha todos os elementos exigidos pelo Artigo 35(7) do GDPR.

O que uma DPIA deve conter, nos termos do Artigo 35(7)

• Uma descrição sistemática das operações de tratamento e de suas finalidades
• Uma avaliação da necessidade e proporcionalidade do tratamento
• Uma avaliação dos riscos aos direitos e liberdades dos titulares de dados
• As medidas previstas para tratar esses riscos

Quando a DPIA revelar riscos residuais elevados que não podem ser mitigados, o controlador deve consultar a autoridade de supervisão antes de prosseguir (consulta prévia do Artigo 36). As DPIAs devem ser revisadas sempre que houver uma mudança significativa no tratamento.

Etapa 8: Formalizar contratos com operadores (Artigo 28)

Quando prestadores de serviço terceirizados tratam dados pessoais em seu nome, o Artigo 28 exige um acordo de tratamento de dados por escrito, antes do início do tratamento.

Disposições obrigatórias em um DPA do Artigo 28

Todo contrato com operador deve especificar que o operador:

• Trata os dados pessoais apenas mediante instruções documentadas do controlador
• Garante que todo o pessoal autorizado esteja vinculado a obrigações de confidencialidade
• Implementa medidas técnicas e organizacionais adequadas de segurança (Artigo 32)
• Auxilia o controlador a responder a solicitações de direitos dos titulares de dados
• Auxilia nas DPIAs, na consulta prévia, na notificação de violações e nas obrigações de segurança
• Exclui ou devolve todos os dados pessoais ao final do contrato, à escolha do controlador
• Disponibiliza todas as informações necessárias para demonstrar a conformidade com o Artigo 28 e permite auditorias
• Contrata sub-operadores apenas mediante autorização prévia por escrito do controlador

Checklist de avaliação de fornecedores

• Auditar todos os contratos existentes com fornecedores que tratam dados pessoais
• Confirmar que os DPAs estão em vigor e incluem todas as disposições obrigatórias do Artigo 28
• Avaliar as medidas de segurança dos fornecedores por meio de questionários, certificações (ISO 27001, SOC 2 Tipo II), ou direitos de auditoria
• Verificar se o fornecedor transfere dados para fora da UE/EEE e confirmar o mecanismo jurídico de transferência
• Revisar as listas de sub-operadores e os procedimentos para mudanças de sub-operadores
• Estabelecer um ciclo regular de revisão de fornecedores (no mínimo anualmente, ou a cada mudança material)

Etapa 9: Implementar medidas técnicas e organizacionais de segurança (Artigo 32)

O Artigo 32 exige medidas técnicas e organizacionais adequadas, para garantir um nível de segurança apropriado ao risco. As medidas devem ser calibradas de acordo com o estado da técnica, os custos de implementação, e a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como a probabilidade e a gravidade variáveis dos riscos para os indivíduos.

O Artigo 32 menciona especificamente

• Pseudonimização e criptografia de dados pessoais
• A capacidade de garantir a confidencialidade, integridade, disponibilidade e resiliência contínuas dos sistemas de tratamento
• A capacidade de restaurar a disponibilidade e o acesso aos dados pessoais em tempo hábil após um incidente
• Um processo para testar, avaliar e verificar regularmente a eficácia das medidas de segurança

Além desses exemplos previstos em lei, as organizações comumente implementam: controles de acesso baseados em função e o princípio do menor privilégio; autenticação multifator; segmentação de rede; gestão de vulnerabilidades e cronogramas de correção; proteção de endpoints; controles de prevenção contra perda de dados; segurança física; e avaliações de segurança de fornecedores.

As medidas organizacionais incluem uma política documentada de segurança da informação, um esquema de classificação de dados, funções e responsabilidades claras, gestão de incidentes de segurança, e procedimentos de gestão de risco de terceiros.

Etapa 10: Construir e testar um plano de resposta a violações (Artigos 33, 34)

O GDPR impõe prazos rígidos para a notificação de violações. Deixar de reportar a tempo pode resultar em multas significativas, independentemente de qualquer multa pela falha de segurança subjacente. Para um tratamento detalhado dos requisitos de notificação, consulte regra das 72 horas de notificação de violação do GDPR.

A obrigação de notificação em 72 horas, nos termos do Artigo 33

Nos termos do Artigo 33(1), um controlador deve notificar a autoridade de supervisão competente "sem demora indevida e, sempre que possível, no prazo de 72 horas após ter conhecimento" de uma violação de dados pessoais. O EDPB interpreta "conhecimento" como o momento em que o controlador tem um grau razoável de certeza de que ocorreu um incidente de segurança que afetou dados pessoais.

As notificações, nos termos do Artigo 33(3), devem incluir: a natureza da violação e o número aproximado de titulares de dados e registros afetados; os dados de contato do DPO; as prováveis consequências da violação; e as medidas tomadas ou propostas para tratá-la.

A obrigação do Artigo 34 de notificar os indivíduos afetados

Quando uma violação for suscetível de resultar em alto risco para os indivíduos afetados, o controlador deve notificá-los sem demora indevida. O Artigo 34(3) prevê exceções limitadas quando os dados estavam criptografados ou tornados ininteligíveis, medidas posteriores tornaram improvável o alto risco, ou a notificação individual exigiria esforço desproporcional (caso em que uma comunicação pública pode substituí-la).

Os operadores devem notificar o controlador sem demora indevida após tomarem conhecimento de uma violação (Artigo 33(2)). Os contratos com operadores devem especificar um prazo contratual, tipicamente de 24 a 48 horas.

Checklist operacional de resposta a violações

• Implementar controles técnicos de detecção: detecção de intrusões, monitoramento de logs e alertas de anomalias
• Estabelecer uma equipe de resposta a violações com funções definidas, um caminho de escalonamento, e uma definição clara de "conhecimento" organizacional
• Criar um modelo de avaliação de violações para avaliar o risco para os titulares de dados
• Preparar modelos de notificação para a autoridade de supervisão e os indivíduos afetados
• Manter um registro de violações documentando todos os incidentes, inclusive aqueles abaixo do limiar de notificação
• Testar o procedimento de resposta a violações por meio de exercícios de simulação (tabletop), pelo menos anualmente

Etapa 11: Implementar salvaguardas de transferência internacional de dados (Capítulo V)

As transferências de dados pessoais para países fora da UE/EEE só são permitidas quando um dos mecanismos do Capítulo V estiver em vigor.

Mecanismos de transferência

Avaliações de impacto de transferência

Ao utilizar CCP ou BCR, as Recomendações 01/2020 do EDPB exigem uma avaliação de impacto de transferência para avaliar se a legislação do país destinatário oferece proteção essencialmente equivalente ao direito da UE. A avaliação deve considerar as leis de vigilância, os direitos de acesso governamental, os recursos legais disponíveis, e o histórico das autoridades públicas no país de destino. As decisões de adequação devem ser monitoradas: o Tribunal de Justiça já invalidou decisões de adequação anteriormente, e o Data Privacy Framework entre UE e EUA continua sujeito a desafios legais em curso.

Etapa 12: Incorporar a proteção de dados desde a concepção e por padrão (Artigo 25)

O Artigo 25 exige que os controladores implementem os princípios de proteção de dados desde as fases mais iniciais de qualquer nova atividade ou sistema de tratamento (desde a concepção), e garantam que apenas os dados minimamente necessários sejam tratados para cada finalidade (por padrão).

Proteção de dados desde a concepção na prática

• Incluir uma revisão de proteção de dados como um marco obrigatório em seu processo de gestão de projetos ou desenvolvimento de produtos
• Incorporar controles de acesso, criptografia e pseudonimização à arquitetura do sistema desde o início
• Selecionar tecnologias que minimizem a exposição de dados
• Documentar as decisões de design e as ponderações de privacidade consideradas

Proteção de dados por padrão na prática

As configurações padrão devem ser as mais protetoras da privacidade disponíveis. Medidas práticas incluem: formulários de coleta de dados com o mínimo de campos; padrões de opt-in, em vez de opt-out, para tratamentos não essenciais; exclusão automática após o período de retenção; controles de acesso baseados em função; e padrões que preservam a privacidade nas configurações de análise e rastreamento.

Etapa 13: Treinamento de equipe e responsabilização (Artigo 39(1)(b))

O Artigo 39(1)(b) lista o treinamento de conscientização da equipe como uma das tarefas obrigatórias do DPO. O princípio da responsabilização, nos termos do Artigo 5(2), exige que as organizações sem DPO obrigatório também demonstrem treinamento. As decisões de fiscalização frequentemente citam o treinamento inadequado de equipe como um fator agravante.

Requisitos do programa de treinamento

• Fornecer treinamento básico sobre o GDPR a toda a equipe que trate dados pessoais, antes de começarem o tratamento, e renovado pelo menos anualmente
• Oferecer treinamento específico por função para funções de alto risco: RH, marketing, TI e desenvolvimento, atendimento ao cliente
• Treinar a equipe sobre os avisos de privacidade específicos de sua organização, as bases legais, as políticas de retenção, e os procedimentos de notificação de violações
• Documentar todo o treinamento: quem participou, data, formato e conteúdo
• Avaliar a competência, não apenas a presença

Organizações com desempenho consistentemente bom em auditorias regulatórias incorporam a proteção de dados à sua cultura por meio de compromisso visível da liderança, agentes de privacidade em cada departamento, caminhos de escalonamento claros para questões de privacidade, e comunicações internas regulares reforçando as expectativas de privacidade.

Etapa 14: Gestão de fornecedores e revisão contínua (Artigos 24, 28)

O Artigo 24 exige que os controladores implementem medidas adequadas e possam demonstrar a conformidade de forma contínua. Os programas de conformidade precisam de ciclos regulares de revisão, não apenas de uma implementação inicial.

Marco de revisão contínua de conformidade

• Auditoria anual de conformidade: revisar seu RoPA, avisos de privacidade, registros de consentimento, DPAs e medidas de segurança pelo menos uma vez por ano, ou quando ocorrer qualquer mudança material no tratamento
• Revisões de DPIA: revisitar as DPIAs sempre que a natureza, o âmbito, o contexto ou a finalidade do tratamento mudar significativamente
• Revisões de fornecedores: reavaliar os operadores em intervalos regulares; revisar as listas de sub-operadores, certificações e mecanismos de transferência; monitorar incidentes de segurança dos fornecedores
• Monitoramento legislativo: acompanhar as diretrizes do EDPB, as orientações das APDs nacionais, as decisões do TJUE, e desenvolvimentos, incluindo o processo legislativo do Digital Omnibus
• Revisões de incidentes: após qualquer incidente de segurança, realizar uma revisão pós-incidente e atualizar procedimentos, controles e treinamento de acordo

Documentação de responsabilização

Mantenha um arquivo de conformidade contendo: seu RoPA; as DPIAs e seu histórico de revisão; os contratos com operadores; os registros de consentimento e os registros de retirada; os registros de treinamento de equipe; as avaliações de segurança; o registro de violações; e a documentação de nomeação do DPO. Esses registros formam a base de evidências caso uma autoridade de supervisão inicie uma investigação.

Desenvolvimentos recentes: a Lei de IA da UE e o Digital Omnibus de novembro de 2025

A Lei de IA da UE e a conformidade com o GDPR

A Lei de IA da UE (Regulamento (UE) 2024/1689) entrou em vigor em 1º de agosto de 2024 e se aplica em fases. As proibições para sistemas de IA de risco inaceitável aplicaram-se a partir de 2 de fevereiro de 2025. As obrigações para fornecedores de modelos de IA de finalidade geral aplicaram-se a partir de 2 de agosto de 2025. A maioria das obrigações para sistemas de IA de alto risco aplica-se a partir de 2 de agosto de 2026.

O Artigo 2(7) da Lei de IA confirma expressamente que o direito de proteção de dados da UE permanece plenamente aplicável a todo o tratamento de dados pessoais ao longo do ciclo de vida dos sistemas de IA. O EDPB, na Declaração 3/2024, confirmou que as autoridades de proteção de dados mantêm seu papel de supervisão pleno sob o GDPR, mesmo quando a Lei de IA cria obrigações paralelas.

Para organizações que desenvolvem ou implantam sistemas de IA que tratam dados pessoais:

• O tratamento de dados pessoais para treinar modelos de IA exige uma base legal, nos termos do Artigo 6 do GDPR (e do Artigo 9 para dados de categoria especial)
• Sistemas de IA de alto risco (Anexo III da Lei de IA) que tratam dados pessoais devem ser tratados como exigindo uma DPIA, nos termos do Artigo 35 do GDPR; a documentação técnica da Lei de IA pode alimentar a DPIA, desde que todos os elementos do Artigo 35(7) estejam presentes
• Os requisitos de governança de dados do Artigo 10 da Lei de IA para sistemas de IA de alto risco, que tratam da qualidade dos dados e do exame de vieses, são complementares aos princípios de minimização de dados e exatidão do GDPR

A CNIL publicou recomendações detalhadas sobre a conformidade com o GDPR para o desenvolvimento de sistemas de IA, abrangendo bases legais para dados de treinamento, minimização de dados no desenvolvimento de modelos, direitos dos titulares de dados cujos dados são usados em treinamento, e privacidade desde a concepção na arquitetura de modelos.

A proposta de Digital Omnibus de novembro de 2025

Em 19 de novembro de 2025, a Comissão Europeia publicou o pacote Digital Omnibus, propondo alterações ao GDPR, à Diretiva ePrivacy, à Diretiva NIS2, ao Data Act e à Lei de IA da UE. As alterações propostas ao GDPR estão em processo legislativo na UE e ainda não estão em vigor.

As principais mudanças propostas ao GDPR no Digital Omnibus incluem:

• Elevação do limiar do Artigo 30(5): a isenção de RoPA para PMEs subiria de menos de 250 para menos de 750 funcionários (com critérios financeiros), condicionada a o tratamento não representar alto risco
• Treinamento de IA como legítimo interesse: um esclarecimento de que o tratamento de dados pessoais para o desenvolvimento e a implantação de sistemas de IA pode constituir um legítimo interesse, nos termos do Artigo 6(1)(f), sujeito a necessidade, proporcionalidade e salvaguardas adequadas
• Definição revisada de dados pessoais: informações deixariam de constituir dados pessoais para uma entidade que não dispusesse de meios razoavelmente suscetíveis de serem usados para identificar o indivíduo, ou quando a identificação fosse legalmente proibida ou exigisse esforço desproporcional
• Mudanças nas regras de cookies e rastreamento: alterações às regras do ePrivacy para reduzir a fadiga de consentimento causada pelos banners de cookies

O EDPB e a EDPS emitiram o Parecer Conjunto 2/2026, recebendo positivamente a simplificação do registro, ao mesmo tempo em que levantaram preocupações sobre a redefinição de dados pessoais e sua compatibilidade com a Carta de Direitos Fundamentais da UE. Organizações de defesa da privacidade criticaram diversas disposições. As organizações devem monitorar o processo, mas não ajustar seus programas de conformidade com base na proposta até que ela seja promulgada.

Aviso Legal

Este artigo apresenta informação jurídica geral sobre o Regulamento Geral sobre a Proteção de Dados (Regulamento (UE) 2016/679) e legislação correlata da UE, tal como vigente em 19/05/2026. Não constitui consultoria jurídica e não cria uma relação advogado-cliente. Os requisitos de conformidade dependem de suas atividades específicas de tratamento, do setor, do porte, e dos Estados-membros em que você opera. Consulte um advogado especializado em proteção de dados ou um profissional de privacidade certificado, licenciado na jurisdição relevante, antes de tomar decisões de conformidade. As propostas do Digital Omnibus de novembro de 2025 mencionadas neste artigo são propostas legislativas e não entraram em vigor.

Sobre o Autor

[PLACEHOLDER: lista de autores pendente]

Autoridades Citadas

1. Regulamento Geral sobre a Proteção de Dados, Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016. https://eur-lex.europa.eu/eli/reg/2016/679/oj
2. Comitê Europeu para a Proteção de Dados (EDPB). https://edpb.europa.eu/edpb_en
3. Comissão Europeia, Proteção de Dados na UE. https://commission.europa.eu/law/law-topic/data-protection/data-protection-eu_en
4. Comissão Europeia, Quando uma DPIA é Exigida? https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations/obligations/when-data-protection-impact-assessment-dpia-required_en
5. Comissão Europeia, Requisitos do DPO. https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations/obligations/data-protection-officers/does-my-companyorganisation-need-have-data-protection-officer-dpo_en
6. EDPB, Diretrizes sobre DPIAs e Tratamento de Alto Risco. https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/data-protection-impact-assessments-high-risk-processing_en
7. EDPB, Artigo 30, Registros de Atividades de Tratamento. https://www.edpb.europa.eu/gdpr-articles/article-30-records-processing-activities_en
8. EDPB, Artigo 33, Notificação de Violação à Autoridade de Supervisão. https://www.edpb.europa.eu/gdpr-articles/article-33-notification-personal-data-breach-supervisory-authority_en
9. EDPB, Relatório de Fiscalização Coordenada: DPOs (Janeiro de 2024). https://www.edpb.europa.eu/system/files/2024-01/edpb_report_20240116_cef_dpo_en.pdf
10. Comissão Europeia, O Que É uma Violação de Dados Pessoais? https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations/obligations/what-data-breach-and-what-do-we-have-do-case-data-breach_en
11. ICO, Quando Precisamos Fazer uma DPIA? https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/accountability-and-governance/data-protection-impact-assessments-dpias/when-do-we-need-to-do-a-dpia/
12. ICO, Como Documentamos Nossas Atividades de Tratamento? https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/accountability-and-governance/documentation/how-do-we-document-our-processing-activities/
13. Comissão Europeia, Princípios do GDPR. https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations/principles-gdpr_en
14. Lei de IA da UE, Regulamento (UE) 2024/1689. https://eur-lex.europa.eu/eli/reg/2024/1689/oj/eng
15. Comissão Europeia, A Lei de IA Entra em Vigor (1º de Agosto de 2024). https://commission.europa.eu/news-and-media/news/ai-act-enters-force-2024-08-01_en
16. Declaração 3/2024 do EDPB sobre o Papel das APDs no Marco da Lei de IA. https://www.edpb.europa.eu/news/news/2024/edpb-adopts-statement-dpas-role-ai-act-framework-eu-us-data-privacy-framework-faq_en
17. Comissão Europeia, Proposta de Regulamento Digital Omnibus (19 de Novembro de 2025). https://digital-strategy.ec.europa.eu/en/library/digital-omnibus-regulation-proposal
18. EDPB e EDPS, Parecer Conjunto 2/2026 sobre o Digital Omnibus. https://www.edpb.europa.eu/news/news/2026/digital-omnibus-edpb-and-edps-support-simplification-and-competitiveness-while_en
19. EDPB e EDPS, Modificações Direcionadas do GDPR: Simplificação do Registro. https://www.edpb.europa.eu/news/news/2025/targeted-modifications-gdpr-edpb-edps-welcome-simplification-record-keeping_en
20. EDPB, CEF 2026: Fiscalização Coordenada sobre Transparência e Obrigações de Informação. https://www.edpb.europa.eu/news/news/2026/cef-2026-edpb-launches-coordinated-enforcement-action-transparency-and-information_en
21. CNIL, Desenvolvimento de Sistemas de IA: Recomendações para Cumprir o GDPR. https://www.cnil.fr/en/ai-system-development-cnils-recommendations-to-comply-gdpr
22. EDPB, Diretrizes sobre a Interação entre o DSA e o GDPR. https://www.edpb.europa.eu/news/news/2025/interplay-between-dsa-and-gdpr-edpb-adopts-guidelines_en

Artigos Relacionados

• O Que É o GDPR: uma visão geral abrangente do regulamento
• Direitos dos Titulares de Dados no GDPR: orientações detalhadas sobre todos os oito direitos individuais
• Requisitos de Consentimento do GDPR: padrões de consentimento válido e obrigações de gestão
• Notificação de Violação de Dados no GDPR: A Regra das 72 Horas: os requisitos completos de notificação de violações
• GDPR para Pequenas Empresas: orientações específicas para PMEs, incluindo as mudanças propostas pelo Digital Omnibus
• Leis de Privacidade de Dados da UE: o hub completo sobre proteção de dados na UE

---

Última atualização: 19/05/2026. Os estatutos e as orientações citados refletem sua versão em vigor em 19/05/2026. As propostas do Digital Omnibus mencionadas são propostas legislativas de 19 de novembro de 2025 e ainda não entraram em vigor.

Perguntas frequentes

Qual é o primeiro passo na conformidade com o GDPR?

O primeiro passo é realizar um exercício de mapeamento de dados e construir seus registros de atividades de tratamento, nos termos do Artigo 30. É preciso identificar cada categoria de dados pessoais que sua organização coleta, de onde ela vem, como é tratada, quem tem acesso, e onde é armazenada. Sem um panorama completo de seus fluxos de dados, não é possível identificar corretamente as bases legais, redigir avisos de privacidade precisos, ou implementar medidas de segurança adequadas.

Todas as organizações precisam de um Encarregado de Proteção de Dados?

Não. Um DPO é obrigatório apenas para autoridades públicas, organizações cujas atividades centrais exigem monitoramento sistemático e regular em larga escala de indivíduos, e organizações que tratam dados de categoria especial (saúde, dados biométricos, condenações criminais) em larga escala (Artigo 37 do GDPR). Muitas organizações nomeiam um DPO voluntariamente. Se você designar um DPO, seja por exigência ou voluntariamente, todas as regras do GDPR sobre independência, recursos e proteção contra destituição se aplicam.

Com que frequência a conformidade com o GDPR deve ser revisada?

A conformidade com o GDPR exige manutenção contínua. Os registros de tratamento devem ser atualizados sempre que o tratamento mudar. As DPIAs devem ser revisadas quando a natureza, o âmbito ou a finalidade do tratamento mudar significativamente. Os avisos de privacidade devem ser atualizados quando um novo tratamento for introduzido. O treinamento de equipe deve ser renovado pelo menos anualmente. A maioria das organizações realiza uma auditoria abrangente de conformidade uma vez por ano e aciona revisões intermediárias diante de mudanças operacionais materiais.

Quando uma Avaliação de Impacto sobre a Proteção de Dados é exigida?

Uma DPIA é exigida antes de qualquer tratamento suscetível de resultar em alto risco para os direitos e liberdades dos indivíduos (Artigo 35 do GDPR). É sempre exigida para perfilamento sistemático com efeitos significativos, tratamento em larga escala de dados de categoria especial, e monitoramento sistemático em larga escala de áreas públicas. As autoridades nacionais de supervisão publicam listas adicionais de operações que exigem DPIAs. Para implementadores de sistemas de IA de alto risco, sob a Lei de IA da UE, a CNIL e o EDPB confirmaram que uma DPIA deve ser presumida necessária.

O que deve ser incluído em um aviso de privacidade do GDPR?

Um aviso de privacidade deve incluir a identidade e os dados de contato do controlador, os dados de contato do DPO quando aplicável, as finalidades e a base legal do tratamento, as categorias de dados coletados, os destinatários, os prazos de retenção, os detalhes de transferência internacional, todos os oito direitos dos titulares de dados, o direito de reclamar a uma autoridade de supervisão, e informações sobre decisões automatizadas. O aviso deve usar linguagem clara e simples (Artigo 12 do GDPR). A ação de fiscalização do CEF 2026 do EDPB concentra-se especificamente nos avisos de privacidade, nos termos dos Artigos 12, 13 e 14.

Quais são as penalidades do GDPR por descumprimento?

As multas do GDPR podem chegar a 20 milhões de euros ou 4% do faturamento anual global (o que for maior) para violações dos princípios centrais, dos direitos dos titulares de dados e das regras de transferência internacional. Multas de nível inferior, de até 10 milhões de euros ou 2% do faturamento, aplicam-se a violações administrativas, incluindo a falha em manter registros do Artigo 30 ou nomear um DPO exigido. As autoridades de supervisão também podem emitir advertências, repreensões, e proibições de tratamento. Consulte multas e penalidades do GDPR para dados de fiscalização e exemplos de casos.

O que os contratos com operadores devem incluir, nos termos do Artigo 28?

Os DPAs do Artigo 28 devem especificar: objeto, duração, natureza e finalidade do tratamento; tipos de dados pessoais e categorias de titulares de dados; obrigações do operador de agir apenas mediante instruções documentadas do controlador; obrigações de confidencialidade da equipe; medidas de segurança; assistência com os direitos dos titulares de dados e a notificação de violações; exclusão ou devolução dos dados ao final do contrato; direitos de auditoria; e condições para subcontratação exigindo autorização prévia por escrito.

Como a Lei de IA da UE afeta a conformidade com o GDPR?

A Lei de IA da UE (Regulamento (UE) 2024/1689) aplica-se em conjunto com o GDPR sempre que sistemas de IA tratam dados pessoais. O Artigo 2(7) da Lei de IA preserva expressamente as obrigações do GDPR na íntegra. Para sistemas de IA de alto risco listados no Anexo III, os implementadores devem tratar uma DPIA como presumivelmente exigida, nos termos do Artigo 35 do GDPR. A proposta de Digital Omnibus de novembro de 2025 inclui um esclarecimento de que o tratamento para o desenvolvimento de IA pode constituir um legítimo interesse, mas essa proposta ainda não é lei.

O que a proposta de Digital Omnibus de novembro de 2025 muda para o GDPR?

O Digital Omnibus, publicado em 19 de novembro de 2025, propõe elevar a isenção de registro do Artigo 30(5) para PMEs de menos de 250 para menos de 750 funcionários; esclarecer que o treinamento de IA pode constituir um legítimo interesse, nos termos do Artigo 6(1)(f); restringir a definição de dados pessoais para entidades que não conseguem identificar o indivíduo; e ajustar as regras de consentimento de rastreamento on-line. São propostas em negociação legislativa, ainda não em vigor.

O que é uma avaliação de impacto de transferência e quando ela é exigida?

Uma avaliação de impacto de transferência (TIA) é uma análise de se o marco jurídico de um país terceiro oferece proteção essencialmente equivalente ao direito da UE, exigida ao utilizar Cláusulas Contratuais-Padrão ou Normas Corporativas Vinculantes para transferências internacionais de dados, nos termos do Capítulo V do GDPR. As Recomendações 01/2020 do EDPB fornecem a metodologia. A TIA deve examinar as leis de vigilância, os direitos de acesso governamental, os recursos legais disponíveis, e o histórico das autoridades públicas no país de destino.