Aplicação do RGPD em 2025: destaques do relatório anual do CEPD

Em 2025, a aplicação do RGPD na Europa evoluiu não só através de coimas, mas também da cooperação transfronteiriça, dos direitos dos titulares dos dados e da interação entre regulamentos digitais.

Esta avaliação baseia-se nos dados oficiais do Relatório Anual de 2025 do Comité Europeu para a Proteção de Dados (CEPD), publicado em 9 de abril de 2026. Em vez de uma classificação não verificada dos «sete temas mais sancionados», focamo-nos nos indicadores concretos de aplicação divulgados pelo CEPD.

Dados oficiais do CEPD relativos a 2025

Segundo o Relatório Anual de 2025 do CEPD:

No registo de casos do CEPD, foram registados 414 casos transfronteiriços.
O mecanismo de balcão único previsto no artigo 60.º do RGPD deu origem a 1.299 procedimentos.
Destes, 572 resultaram numa decisão final.
Em 2025, as autoridades nacionais de proteção de dados aplicaram coimas num total aproximado de 1,15 mil milhões de euros.

Estes números, por si só, não permitem classificar os artigos do RGPD mais sancionados.

Aplicação transfronteiriça do RGPD

Nos produtos digitais e serviços SaaS presentes em vários países, as verificações de proteção de dados podem envolver mais de uma autoridade nacional.

O sistema de balcão único é um dos principais mecanismos de cooperação entre a autoridade de controlo principal e as outras autoridades de controlo interessadas no tratamento transfronteiriço de dados.

2025 Quadro de Execução Coordenada

A ação coordenada do CEPD em 2025 centrou-se no direito ao apagamento.

Isto mostra que as empresas precisam de mais do que uma política de privacidade: os pedidos dos titulares dos dados também têm de poder ser executados nos sistemas reais.

É possível executar tecnicamente os pedidos de apagamento?

Ao afirmar que os dados de um cliente foram apagados, é necessário conhecer o seu estado nos seguintes sistemas:

CRM,
sistemas de apoio ao cliente,
sistemas de automação de marketing,
armazéns de dados,
sistemas de cópias de segurança

O estado dos dados deve ser conhecido em cada um destes sistemas.

Intersecção de AI e RGPD

Ao longo de 2025, o CEPD trabalhou sobre a interação entre o direito da proteção de dados, a IA e os restantes regulamentos digitais europeus.

A empresa não deve avaliar um projeto de IA apenas à luz do Regulamento da IA. Se o sistema tratar dados pessoais, são também relevantes as disposições do RGPD sobre fundamento jurídico, transparência, minimização dos dados e direitos dos titulares.

Lições operacionais da aplicação do RGPD em 2025

A política de privacidade deve corresponder ao funcionamento real dos sistemas.
Os pedidos dos titulares dos dados não devem ficar apenas a cargo da equipa jurídica.
Os pedidos de apagamento, acesso e retificação devem estar ligados aos sistemas técnicos relevantes.
Os fluxos de dados transfronteiriços devem ser visíveis.
A IA e os processos de perfilamento devem ser incluídos no inventário de dados.
As provas de conformidade devem ser conservadas num formato auditável.

Uma multa não é o único risco.

Ao avaliar a aplicação do RGPD, não se deve olhar apenas para o montante das coimas.

Outras consequências para as empresas incluem:

Parar a actividade de processamento,
Obrigação de suprimir dados,
medidas corretivas,
impacto na reputação,
Custo de operação

Estes aspetos também podem ter consequências significativas.

2025 Lista de verificação da aplicação do RGPD

Os pedidos dos titulares dos dados podem ser executados nos sistemas?
Os fluxos transfronteiriços de dados estão documentados?
Foi avaliado o âmbito de aplicação do mecanismo de balcão único?
Os sistemas de IA constam do inventário de dados?
Os processos de conservação e apagamento funcionam nos sistemas reais?
As provas de conformidade são conservadas?

A abordagem B10

Nos processos de conformidade com o RGPD e a KVKK, a B10 Digital Agency analisa os requisitos jurídicos em conjunto com os fluxos reais de dados, os sistemas SaaS e as operações técnicas.

Fonte Oficial

Comité Europeu para a Proteção de Dados – Relatório Anual de 2025

Conclusão

Os dados de 2025 sobre a aplicação do RGPD mostram que a conformidade não se limita à elaboração de documentos. A execução dos direitos dos titulares nos sistemas reais e a gestão operacional dos dados transfronteiriços são componentes essenciais da governação de dados nas empresas.