O Que É o GDPR? Guia Completo de Proteção de Dados da UE (2026)

O Regulamento Geral sobre a Proteção de Dados (Regulamento (UE) 2016/679) é a lei de proteção de dados vinculante da União Europeia, exigível desde 25 de maio de 2018. Ele confere aos indivíduos direitos sobre seus dados pessoais, impõe obrigações de conformidade às organizações que os tratam, e alcança qualquer organização no mundo que direcione produtos ou serviços a residentes da UE ou que monitore seu comportamento.

O Regulamento Geral sobre a Proteção de Dados, universalmente conhecido como GDPR, é a lei de proteção de dados mais influente do mundo. Publicado como o Regulamento (UE) 2016/679 no Jornal Oficial da União Europeia em 4 de maio de 2016, tornou-se exigível em 25 de maio de 2018, após um período de transição de dois anos. Ele se aplica diretamente em todos os Estados-Membros da UE e, por meio do Artigo 3, alcança organizações sediadas em qualquer parte do mundo que tratem dados pessoais de pessoas localizadas na UE.

Este guia explica o GDPR desde a origem: suas raízes, o âmbito de aplicação territorial, os sete princípios centrais, as definições-chave, as seis bases legais para o tratamento, uma visão geral dos direitos dos titulares de dados, quem o fiscaliza, como são as penalidades, sua relação com o direito nacional, e os desenvolvimentos mais recentes de 2024 a 2026. Para um tratamento detalhado de temas específicos, use os guias complementares indicados ao longo do texto.

Para o contexto jurídico mais amplo da UE, veja nossa visão geral das leis de privacidade de dados da UE.

Este artigo tem finalidade meramente informativa e não constitui aconselhamento jurídico. Consulte um advogado especializado em proteção de dados ou um profissional de privacidade para obter orientação específica sobre a sua situação.

Resposta Rápida: O Que É o GDPR?

O GDPR é um regulamento da UE diretamente aplicável que estabelece regras uniformes para a coleta, o armazenamento, o uso e o compartilhamento de dados pessoais de indivíduos localizados na UE e no Espaço Econômico Europeu. "Regulamento" é a palavra-chave: diferentemente de uma diretiva da UE, um regulamento não exige que os Estados-Membros aprovem legislação de implementação. Ele se tornou lei vinculante nos 27 Estados-Membros da UE automaticamente, no mesmo dia.

Em sua essência, o GDPR faz três coisas. Ele confere aos indivíduos (chamados "titulares dos dados") direitos exigíveis sobre seus dados pessoais. Ele impõe obrigações às organizações (chamadas "controladores" e "operadores") que tratam esses dados. E ele estabelece autoridades de controle independentes em todos os Estados-Membros para investigar reclamações e aplicar multas quando algo dá errado.

O GDPR substituiu a Diretiva 95/46/CE, a Diretiva de Proteção de Dados de 1995, que havia regido a proteção de dados na UE por mais de duas décadas.

História e Finalidade

A Diretiva de Proteção de Dados de 1995

O primeiro grande marco regulatório de proteção de dados da UE foi a Diretiva 95/46/CE, adotada em outubro de 1995. Uma diretiva não se aplica diretamente; cada Estado-Membro precisou aprovar sua própria lei nacional de implementação. O resultado foi um mosaico de 28 leis nacionais diferentes. As empresas que operavam em toda a Europa precisavam navegar por um regime de conformidade distinto em cada país.

A diretiva funcionou razoavelmente bem na era da internet discada, mas se tornou cada vez mais inadequada à medida que as plataformas de redes sociais, os serviços em nuvem e os smartphones passaram a gerar dados pessoais em escala sem precedentes ao longo dos anos 2000 e do início da década de 2010.

Da Proposta à Adoção

A Autoridade Europeia para a Proteção de Dados (EDPS) documenta que a Comissão Europeia propôs pela primeira vez substituir a diretiva por um regulamento em janeiro de 2012. Escolher um regulamento, em vez de uma nova diretiva, resolveu o problema do mosaico normativo: um único conjunto de regras passaria a se aplicar uniformemente em todos os Estados-Membros.

As negociações entre o Parlamento Europeu, o Conselho da União Europeia e a Comissão duraram quatro anos e envolveram mais de 3.000 emendas parlamentares. O Conselho adotou sua posição em 8 de abril de 2016. O Parlamento Europeu aprovou o texto final em 14 de abril de 2016. O regulamento foi publicado no Jornal Oficial em 4 de maio de 2016, com 25 de maio de 2018 fixado como data de exigibilidade, dando às organizações dois anos para se prepararem.

Evolução Após a Entrada em Vigor

O GDPR não congelou o direito da proteção de dados em 2018. O European Data Protection Board (EDPB) já publicou dezenas de diretrizes interpretando disposições específicas. Tribunais em toda a Europa proferiram decisões históricas sobre consentimento, legítimo interesse e transferências internacionais de dados. As multas acumuladas do GDPR ultrapassaram 7,1 bilhões de euros no início de 2026, com aproximadamente 1,15 bilhão de euros aplicados somente em 2025.

Abril de 2026 marcou dez anos desde a adoção do GDPR, em abril de 2016. O EDPB observou que o regulamento havia estabelecido o primeiro marco regulatório abrangente de proteção de dados de todo um continente e havia influenciado diretamente a legislação de privacidade em mais de 150 países.

Âmbito de Aplicação Territorial: Quem Deve Cumprir o GDPR? (Artigo 3)

O Artigo 3 do GDPR é excepcionalmente amplo para uma lei nacional ou regional. Ele estabelece dois critérios principais de aplicabilidade.

O Critério do Estabelecimento (Artigo 3(1))

O GDPR se aplica a qualquer controlador ou operador que trate dados pessoais "no contexto das atividades de um estabelecimento" na UE. O estabelecimento não exige constituição formal; uma filial, subsidiária ou qualquer arranjo estável se qualifica.

É essencial notar que o tratamento não precisa ocorrer em território da UE. Uma empresa sediada em Berlim que trata dados de clientes em servidores nos Estados Unidos ainda está sujeita ao GDPR, pois o tratamento ocorre no contexto do seu estabelecimento na UE.

O Critério do Direcionamento (Artigo 3(2))

As organizações sem estabelecimento na UE ainda devem cumprir o GDPR se:

• Oferecerem bens ou serviços a indivíduos na UE, seja ou não exigido pagamento; ou
• Monitorarem o comportamento de indivíduos localizados na UE, inclusive por meio de análises de sites, publicidade comportamental, rastreamento de localização e definição de perfis com base em cookies.

As Diretrizes 3/2018 do EDPB sobre o âmbito de aplicação territorial esclarecem que a mera acessibilidade de um site a partir da UE não é suficiente. É necessário haver evidência de intenção de direcionar-se a residentes da UE: aceitar euros, fornecer conteúdo em idiomas da UE, ou fazer referência expressa a clientes da UE são todos indícios relevantes.

A Exigência de Representante na UE (Artigo 27)

As organizações fora da UE sujeitas ao GDPR em virtude do critério de direcionamento devem designar por escrito um representante na UE. Esse representante atua como ponto de contato para as autoridades de controle e os titulares de dados.

Os Sete Princípios de Proteção de Dados (Artigo 5)

O Artigo 5 do GDPR estabelece sete princípios aplicáveis a toda atividade de tratamento. Violá-los aciona o nível mais alto de multas (até 20 milhões de euros ou 4% do faturamento global). O princípio da responsabilização, previsto no Artigo 5(2), coloca sobre a organização o ônus de demonstrar a conformidade com todos os sete princípios.

1. Licitude, Lealdade e Transparência

O tratamento deve ter uma base legal válida nos termos do Artigo 6. Deve ser conduzido de formas que as pessoas razoavelmente esperariam, e não deve causar prejuízo injustificado. As organizações devem informar claramente às pessoas o que acontece com seus dados, por meio de avisos de privacidade acessíveis.

2. Limitação da Finalidade

Os dados pessoais só podem ser coletados para finalidades específicas, explícitas e legítimas, e não podem ser posteriormente tratados de forma incompatível com essas finalidades originais. Coletar endereços de e-mail para confirmações de pedidos e depois usá-los para marketing sem uma base legal separada viola esse princípio. Existem exceções limitadas para fins de arquivamento, pesquisa científica e fins estatísticos.

3. Minimização de Dados

Somente os dados pessoais adequados, pertinentes e limitados ao estritamente necessário para a finalidade declarada podem ser tratados. As organizações não devem coletar dados "só por precaução", caso possam vir a ser úteis futuramente.

4. Exatidão

Os dados pessoais devem ser exatos e mantidos atualizados. As organizações devem tomar todas as medidas razoáveis para apagar ou corrigir dados inexatos sem demora. A orientação do ICO sobre os princípios de proteção de dados observa que a exatidão significa que os dados não podem induzir a erro no contexto em que são usados, e não apenas estar tecnicamente corretos.

5. Limitação da Conservação

Os dados devem ser mantidos em forma identificável apenas pelo tempo necessário para a finalidade do tratamento. Uma vez cumprida a finalidade, a organização deve excluir ou anonimizar os dados. Os prazos de retenção devem ser documentados; o armazenamento por tempo indeterminado não é permitido.

6. Integridade e Confidencialidade (Segurança)

Os dados pessoais devem ser tratados com medidas técnicas e organizacionais de segurança adequadas, para protegê-los contra acesso não autorizado, perda acidental, destruição ou dano. Esse princípio fundamenta as obrigações de notificação de violações previstas nos Artigos 33 e 34.

7. Responsabilização

O controlador é responsável por demonstrar a conformidade com todos os seis princípios acima, e deve estar em condições de fazê-lo. Trata-se de uma obrigação ativa: manter registros das atividades de tratamento, realizar avaliações de impacto sobre a proteção de dados quando exigido, nomear um Encarregado de Proteção de Dados quando obrigatório, e disponibilizar evidências de conformidade às autoridades de controle.

Definições-Chave (Artigo 4)

O Artigo 4 do GDPR contém 26 definições. As seis que aparecem em praticamente toda análise de conformidade são:

Dados Pessoais

Qualquer informação relativa a uma pessoa singular identificada ou identificável (o "titular dos dados"). A definição é deliberadamente ampla e neutra em relação à tecnologia. Ela abrange nomes, endereços de e-mail, números de telefone, endereços IP, identificadores de cookies, dados de localização, dados genéticos, dados biométricos, fotografias, e qualquer combinação de dados capaz de identificar alguém direta ou indiretamente.

A Comissão Europeia destaca que o GDPR se aplica quer os dados estejam armazenados digitalmente, em papel, ou tenham sido captados por meio de videovigilância.

Tratamento

"Tratamento" abrange praticamente qualquer operação realizada sobre dados pessoais: coleta, registro, organização, estruturação, armazenamento, adaptação, recuperação, uso, divulgação, combinação, limitação, apagamento ou destruição. A definição é deliberadamente ampla; se você manuseia dados pessoais de qualquer forma, você os está tratando.

Controlador

O controlador de dados é a pessoa singular ou coletiva, autoridade pública, agência ou outro organismo que determina as finalidades e os meios do tratamento. Os controladores decidem por que os dados são coletados e como serão usados. Eles têm a responsabilidade primária pela conformidade com o GDPR.

Operador

Um operador de dados trata dados pessoais em nome do controlador e segundo as suas instruções. Uma empresa de hospedagem em nuvem que armazena o banco de dados de clientes de um varejista está atuando como operador. Os operadores devem seguir as instruções do controlador, implementar medidas de segurança adequadas e celebrar um contrato de tratamento de dados por escrito nos termos do Artigo 28. As Diretrizes 07/2020 do EDPB fornecem orientação detalhada sobre como determinar esses papéis.

Titular dos Dados

A pessoa singular cujos dados pessoais estão sendo tratados. Os titulares dos dados são os detentores de direitos nos termos do Capítulo III do GDPR.

Categorias Especiais de Dados Pessoais

O Artigo 9 identifica categorias de dados especialmente sensíveis, que merecem proteção adicional: origem racial ou étnica, opiniões políticas, convicções religiosas ou filosóficas, filiação sindical, dados genéticos, dados biométricos usados para identificação única, dados de saúde, e dados sobre a vida sexual ou orientação sexual. O tratamento dessas categorias é proibido por padrão; apenas as exceções específicas do Artigo 9(2) o permitem.

As Seis Bases Legais para o Tratamento (Artigo 6)

Todo ato de tratamento deve se basear em uma das seis bases legais previstas no Artigo 6. Os controladores devem identificar e documentar a base aplicável antes de iniciar o tratamento. As bases não podem ser trocadas depois do fato.

O consentimento é frequentemente identificado, de forma equivocada, como a base padrão. As Diretrizes 1/2024 do EDPB sobre legítimos interesses esclarecem que o legítimo interesse exige um teste de ponderação e não pode ser usado para tratamentos que evidentemente se sobreponham aos direitos individuais.

Para uma orientação detalhada sobre quando o consentimento é necessário e o que o torna válido, veja nosso guia sobre requisitos de consentimento do GDPR.

Direitos dos Titulares de Dados: Visão Geral (Capítulo III)

O Capítulo III do GDPR confere oito categorias de direitos aos titulares de dados. Os controladores devem responder aos pedidos de exercício de direitos sem demora injustificada e dentro de um mês (prorrogável por mais dois meses para pedidos complexos). As respostas devem ser gratuitas.

Nenhum desses direitos é absoluto. O GDPR estabelece fundamentos específicos com base nos quais os controladores podem recusar ou limitar os pedidos. Para um tratamento completo de cada direito e de como as organizações devem responder, veja nosso guia sobre os direitos dos titulares de dados do GDPR.

Fiscalização: Como o GDPR É Fiscalizado

Autoridades Nacionais de Controle (DPAs)

Cada Estado-Membro da UE possui ao menos uma Autoridade de Proteção de Dados independente. As DPAs têm três categorias de poderes nos termos do Artigo 58:

• Poderes de investigação: auditorias, acesso a instalações, exigência de fornecimento de informações e realização de auditorias de proteção de dados.
• Poderes corretivos: advertências, repreensões, ordens de conformidade, proibições temporárias ou definitivas de tratamento, e multas administrativas.
• Poderes de autorização e consultivos: aprovação de regras corporativas vinculantes, emissão de pareceres, autorização de cláusulas contratuais-padrão.

Entre as DPAs mais conhecidas estão a Data Protection Commission (DPC) da Irlanda, a CNIL da França, os diversos Landesbeauftragten da Alemanha, o Garante da Itália, e a AEPD da Espanha.

O European Data Protection Board (EDPB)

O EDPB é o organismo independente da UE composto por todas as DPAs nacionais e pela Autoridade Europeia para a Proteção de Dados. Ele substituiu o Grupo de Trabalho do Artigo 29 quando o GDPR entrou em vigor. O EDPB emite decisões vinculativas em disputas transfronteiriças, publica diretrizes interpretativas e coordena a fiscalização entre os Estados-Membros.

O Mecanismo de Balcão Único

Para organizações que operam em vários Estados-Membros da UE, o mecanismo de balcão único do GDPR designa uma única "autoridade de controle principal": geralmente a DPA do Estado-Membro onde se localiza o principal estabelecimento da organização na UE. Outras DPAs "interessadas" podem levantar objeções a projetos de decisão, e as disputas não resolvidas são escaladas ao EDPB para uma decisão vinculativa.

A DPC irlandesa se tornou o principal órgão de fiscalização em termos de valor monetário, pois muitas grandes empresas de tecnologia (Meta, Google, Apple, TikTok, LinkedIn, X) têm sua sede europeia em Dublin.

Penalidades (Artigos 83 e 84)

O GDPR estabelece dois níveis de multas administrativas:

Nível inferior (Artigo 83(4)): até 10 milhões de euros ou 2% do faturamento global anual, o que for maior. Aplica-se a violações das obrigações de controladores e operadores previstas nos Artigos 8, 11, 25 a 39, 42 e 43 (incluindo requisitos de Encarregado de Proteção de Dados, proteção de dados desde a concepção, e notificação de violações).

Nível superior (Artigo 83(5)): até 20 milhões de euros ou 4% do faturamento global anual, o que for maior. Aplica-se a violações dos princípios básicos (Artigo 5), das bases legais (Artigo 6), das condições de consentimento (Artigo 7), das regras sobre categorias especiais (Artigo 9), dos direitos dos titulares de dados (Capítulo III) e das regras de transferência internacional (Capítulo V).

Os Estados-Membros também podem impor penalidades adicionais nos termos do Artigo 84, incluindo sanções penais.

Exemplos notáveis de fiscalização:

• A DPC irlandesa multou o TikTok em 530 milhões de euros em 2025 por transferências ilícitas de dados de usuários da UE para a China.
• A DPC irlandesa multou a Meta em 1,2 bilhão de euros em 2023 por transferências ilícitas de dados entre a UE e os Estados Unidos por meio de cláusulas contratuais-padrão.
• A DPC irlandesa multou a Meta em 251 milhões de euros em dezembro de 2024 por falhas na notificação de violações e na segurança de dados relacionadas à vulnerabilidade "View As" de 2018.
• O LinkedIn foi multado em 310 milhões de euros em 2024 por usar publicidade comportamental sem uma base legal válida.

As multas acumuladas do GDPR ultrapassaram 7,1 bilhões de euros no início de 2026. Para o detalhamento completo de como as multas são calculadas e a lista completa das principais ações de fiscalização, veja nosso guia sobre multas e penalidades do GDPR.

O GDPR e as Leis Nacionais de Implementação

Apesar de ser um regulamento diretamente aplicável, o GDPR contém mais de 50 cláusulas de abertura que permitem ou exigem que os Estados-Membros acrescentem, restrinjam ou adaptem disposições específicas por meio do direito nacional. O resultado é que a conformidade com o GDPR na Alemanha não é idêntica à conformidade com o GDPR na França ou na Irlanda.

Áreas comuns de variação nacional incluem:

Idade de consentimento para dados de crianças. O Artigo 8 fixa o padrão em 16 anos, mas permite que os Estados-Membros a reduzam para no mínimo 13 anos. O Reino Unido (que aplicava o GDPR antes do Brexit) a fixou em 13 anos.

Categorias especiais de dados. O Artigo 9(4) permite que os Estados-Membros imponham condições adicionais ao tratamento de dados de saúde, dados genéticos e dados biométricos usados para identificação.

Dados no âmbito trabalhista. O Artigo 88 permite que os Estados-Membros adotem regras específicas para dados de empregados, incluindo triagem pré-contratual e monitoramento no local de trabalho.

Liberdade de expressão e jornalismo. O Artigo 85 exige que os Estados-Membros conciliem a proteção de dados com a liberdade de expressão, inclusive para fins jornalísticos, acadêmicos e artísticos.

Dados de condenações criminais. O Artigo 10 deixa a critério dos Estados-Membros as condições sob as quais os registros de infrações penais podem ser tratados por particulares.

As organizações que operam em vários Estados-Membros precisam verificar não apenas o próprio GDPR, mas também a lei nacional de implementação aplicável em cada Estado relevante.

Desenvolvimentos Recentes: 2024 a 2026

Regulamento Processual do GDPR (Regulamento (UE) 2025/2518)

Uma crítica persistente ao GDPR era a de que os casos de fiscalização transfronteiriça demoravam demais. O mecanismo de balcão único exigia ampla cooperação entre a DPA principal e as DPAs interessadas, sem prazos vinculativos.

A UE respondeu a isso com o Regulamento (UE) 2025/2518, o Regulamento Processual do GDPR. Publicado no Jornal Oficial em 12 de dezembro de 2025, entrou em vigor em 1º de janeiro de 2026, e será aplicável a partir de 2 de abril de 2027 (com regras transitórias que protegem as investigações em curso).

Principais mudanças:

• Prazo vinculativo de 15 meses para investigações da DPA principal, prorrogável por 12 meses em casos complexos.
• Procedimentos padronizados para reclamantes e partes investigadas.
• Maiores obrigações de transparência quanto aos prazos de fiscalização.
• Direitos de participação mais claros para reclamantes durante o processo de fiscalização.

Esse regulamento não altera as obrigações materiais do GDPR; ele rege a forma como as DPAs se coordenam e quais direitos processuais as partes possuem.

A Proposta de Digital Omnibus (Novembro de 2025)

Em 19 de novembro de 2025, a Comissão Europeia adotou um amplo pacote Digital Omnibus, propondo alterações a diversas leis digitais da UE, incluindo o GDPR, o Data Act, a Diretiva ePrivacy, a NIS 2, entre outras. Em maio de 2026, o Digital Omnibus ainda é apenas uma proposta legislativa; ele não foi promulgado e está passando pelo procedimento colegislativo padrão da UE, envolvendo o Parlamento Europeu e o Conselho.

As principais alterações propostas ao GDPR incluem:

• Redução da obrigação de manutenção de registros prevista no Artigo 30 para organizações com menos de 750 funcionários, salvo quando o tratamento apresentar alto risco.
• Alteração dos Artigos 13, 14 e 15 para introduzir limites ao alcance dos direitos de informação em circunstâncias definidas.
• Ajuste da regra de limitação da finalidade prevista no Artigo 5(1)(b).
• Introdução de um "ponto único de entrada" para notificações de violações de dados, nos termos de um novo Artigo 33-A.
• Aprimoramento do Artigo 22, relativo a decisões automatizadas.

O EDPB e a EDPS emitiram um parecer conjunto no início de 2026, apoiando certos elementos de simplificação, mas levantando sérias preocupações sobre as alterações propostas à definição de dados pessoais, que, segundo eles, iriam além da jurisprudência consolidada do CJUE e restringiriam significativamente o conceito. O texto atual do GDPR permanece em vigor até que quaisquer alterações concluam o processo legislativo e sejam formalmente publicadas.

O AI Act da UE e o GDPR

O AI Act da UE entrou em aplicação em um cronograma escalonado de 2024 a 2026. O EDPB confirmou que o tratamento de dados pessoais para desenvolver ou implantar sistemas de IA está sujeito às obrigações do GDPR, e o EDPB está trabalhando com o Gabinete de IA da Comissão em diretrizes conjuntas sobre a interação entre o AI Act e o GDPR, cuja adoção é esperada para 2026. O princípio central é simples: a conformidade com o AI Act não substitui a conformidade com o GDPR.

A Influência Global do GDPR

Desde 2018, o GDPR influenciou a legislação de privacidade de mais de 150 países. A Lei Geral de Proteção de Dados (LGPD) do Brasil, a Lei de Proteção de Informações Pessoais (APPI) emendada do Japão, a Lei de Proteção de Informações Pessoais (PIPA) da Coreia do Sul, e a Lei de Proteção de Dados Pessoais Digitais de 2023 da Índia incorporam todas conceitos derivados do GDPR. A CCPA e a CPRA da Califórnia introduziram direitos dos titulares de dados nos moldes do GDPR no direito dos EUA.

O marco de adequação da Comissão Europeia reforça essa influência: os países que buscam receber dados pessoais livremente da UE devem demonstrar proteções "essencialmente equivalentes" ao GDPR, estabelecendo, na prática, a conformidade com o GDPR como um padrão de referência global.