Multas por violações de dados pessoais em 2026: valores atualizados
Uma violação de dados pessoais é um incidente relacionado com medidas de segurança técnicas ou organizativas insuficientes, acesso não autorizado ou fuga de dados, envio ao destinatário errado,…
⏱️ Tempo de leitura: 10 min · 📁 Categoria: KVKK & Digital Compliance
Multas por violações de dados pessoais em 2026: valores atualizados
Uma violação de dados pessoais é um incidente relacionado com medidas de segurança técnicas ou organizativas insuficientes, acesso não autorizado ou fuga de dados,
envio ao destinatário errado, perda de dispositivo, ciberataque ou permissões incorretas, que resulte em
divulgação ou acesso ilícitos, perda ou indisponibilidade de dados pessoais.
Em 2026, as coimas administrativas ao abrigo do KVKK foram actualizadas ao abrigo da taxa de reavaliação.
Este guia resume os intervalos de coimas de 2026, as obrigações associadas a cada coima e
os aspetos que o Conselho turco de proteção de dados pessoais considera na prática.
Uma violação é frequentemente associada a uma coima. Contudo, esta é avaliada sobretudo em função do
incumprimento de obrigações de informação, segurança, registo no VERBİS e cumprimento das decisões do Conselho.
A mesma fuga pode, por isso, envolver vários incumprimentos.
bem como obrigações relativas ao cumprimento de decisões do Conselho ou registo no VERBİS. A exposição potencial a coimas
pode, assim, compreender vários riscos distintos. 📊 2) Coimas administrativas KVKK de 2026: valores atualizados
A tabela reproduz os valores mínimos e máximos de 2026 indicados no artigo ao abrigo da Lei n.º 6698. Confirme a tabela oficial atual antes de os utilizar.
| Tipo de infração | Base jurídica | 2026 Limitação inferior (TL) | Máximo de 2026 (TL) | Cenário de risco típico |
|---|---|---|---|---|
| Incumprimento da obrigação de informação | KVKK m.18/1-a (m.10) | 85.437 | 1.709.200 | Aviso ausente ou incorreto; trabalhadores ou clientes não informados |
| Violação das obrigações em matéria de segurança dos dados | KVKK m.18/1-b (m.12) | 256.357 | 17.092.242 | Fraqueza após ataque cibernético, falta de autorização, falta de registos, falta de criptografia |
| Incumprimento de decisões do Conselho | KVKK m.18/1-c (m.15) | 427.263 | 17.092.242 | Não execução atempada das decisões de remoção, correção ou medidas de proteção |
| Violação da obrigação de registo e notificação ao VERBIS | KVKK m.18/1-ç (m.16) | 341.809 | 17.092.242 | VERBIS Falta de registo, inventário/notificação incompleto, desajuste no âmbito |
| Falta de notificação ao Conselho de um contrato-tipo para transferência internacional | KVKK m.18/1-d (m.9/5) | 90.308 | 1.806.177 | Assinar o contrato-tipo sem notificar a Autoridade no prazo de 5 dias úteis |
Na prática, utilize a tabela e o anúncio atuais da Autoridade; a documentação de conformidade deve citar
a tabela oficial. 🧭 3) O que considera o Conselho ao fixar uma coima?
O Conselho avalia normalmente em conjunto os seguintes critérios ao determinar um montante de acordo com o evento concreto dentro do intervalo de limite baixo/alto da multa administrativa:
- Natureza e impacto da violação: âmbito da fuga, categorias de dados e presença de categorias especiais de dados
- Número de pessoas afetadas: dimensão do incidente, mesmo que apenas estimada
- Culpa e negligência: falta de correção de vulnerabilidades conhecidas e infrações repetidas
- Medidas técnicas e organizativas: matriz de permissões, MFA, cifragem, registos, controlos de acesso, políticas e procedimentos
- Resposta após a violação: resposta a incidentes, contenção, ações corretivas e preventivas (CAPA), formação
- Transparência e colaboração: notificação oportuna e coerente, informação precisa/completa
Após uma violação, as coimas incidem mais frequentemente sobre o artigo 12 da KVKK relativo à segurança dos dados, segundo o artigo.
No entanto, de acordo com a natureza do evento, as seguintes combinações são comuns:
- Fuga de dados e segurança insuficiente → m.18/1-b (intervalo de coimas elevado)
- Informação incompleta ou aviso incorreto após a violação → m.18/1-a
- Incumprimento de uma decisão do Conselho → m.18/1-c (intervalo de coimas elevado)
- Incumprimento concomitante das obrigações VERBİS → m.18/1-ç (intervalo de coimas elevado)
- Transferência internacional sem a notificação exigida do contrato-tipo → m.18/1-d
A multa administrativa é apenas parte do quadro. Os seguintes riscos também podem ser levantados após uma violação de dados:
- Pedidos de indemnização dos titulares dos dados por danos materiais ou não patrimoniais
- Publicação de decisões do Conselho com efeitos na reputação
- Sanções contratuais como auditorias de clientes ou fornecedores, rescisão e incumprimento de SLA
- Obrigações regulatórias relacionadas incluindo regras setoriais, resultados de auditoria interna e processos ISO ou de conformidade
risco jurídico, segurança técnica e reputação digital além da mera notificação ao Conselho
pode reduzir os danos globais e o risco de coimas. ✅ 6) Ações para reduzir danos e o risco de coimas
Quando ocorre um evento, as seguintes etapas devem ser realizadas de forma controlada nas 24-72 horas mais críticas:
- Conter o incidente: restringir acessos, corrigir a vulnerabilidade e limitar os sistemas afetados
- Estabelecer a cadeia de custódia das provas: registos, cronologia do incidente e sistemas afetados
- Analisar o âmbito: categorias de dados, número de pessoas e nível de risco
- Planear a comunicação: equipas internas, direção, área jurídica e TI; informar os titulares quando necessário
- Ações corretivas e preventivas: MFA, revisão de permissões, cifragem, cópias de segurança e formação
Os intervalos de penalidade atuais de 2026 mostram claramente a extensão do risco financeiro que as instituições podem enfrentar quando ocorrem violações de dados.
Além do próprio incidente, o Conselho considera também o nível de preparação e a qualidade da gestão do incidente.
Contacte-nos para análise de riscos KVKK e gestão de violações
Fontes e documentos relacionados
Estes documentos servem de referência para os métodos e regras abordados neste artigo.