Cronologia da privacidade e da cibersegurança digital na UE: obrigações em 2026

A regulamentação digital europeia não avança como uma única cronologia de privacidade. O RGPD protege os dados pessoais; a Lei dos Mercados Digitais (DMA) impõe obrigações específicas a plataformas designadas como guardiãs, e o Regulamento de Ciberresiliência (CRA) fixa requisitos de cibersegurança para produtos com elementos digitais. São quadros distintos, com sujeitos obrigados e calendários diferentes.

A diferença importa para decidir o que fazer agora. Uma empresa que trata informação identificável deve rever a base jurídica, a transparência, a segurança e os direitos exigidos pelo RGPD. Um fabricante de dispositivos conectados deve também atender ao calendário do CRA. E uma empresa utilizadora de uma grande plataforma não fica automaticamente sujeita às obrigações da DMA que correspondem às guardiãs designadas.

Neste artigo, 'em vigor' não significa que todos os deveres de um regulamento se apliquem já. O CRA, por exemplo, está em vigor como norma, mas tem datas de aplicação escalonadas: a notificação de determinados incidentes já é exigível, enquanto a maioria dos requisitos para produtos se aplica em 2027. As propostas legislativas, por sua vez, não devem ser tratadas como direito aplicável até serem adotadas e começarem a produzir efeitos.

O Regulamento Geral sobre a Proteção de Dados, Regulamento (UE) 2016/679, foi adotado em 27 de abril de 2016 e começou a aplicar-se em 25 de maio de 2018. Estabelece regras para o tratamento de dados pessoais e procura proteger os direitos das pessoas, além de permitir a circulação desses dados dentro da União. O seu núcleo continua a ser a referência para avaliar um tratamento, também quando se empregam tecnologias novas.

O RGPD não proíbe recolher dados por omissão nem converte o consentimento na única base jurídica possível. Exige que cada tratamento tenha uma base válida, uma finalidade definida e salvaguardas adequadas; também reconhece direitos como o acesso, a retificação e a supressão, sujeitos às condições do próprio regulamento. Para as organizações, o ponto de partida prático é documentar que dados se usam, para quê, com quem se partilham e durante quanto tempo.

A década transcorrida desde a sua adoção não deve ser confundida com uma nova entrada em vigor em 2026. As publicações comemorativas desse ano recordam a trajetória do regulamento, mas não substituem o seu texto nem alteram por si só as suas obrigações. Também não se pode inferir que uma tecnologia cumpra o RGPD só porque se utiliza em setores regulados: a conformidade depende dos dados, das finalidades, da base jurídica e da execução concreta.

A DMA, Regulamento (UE) 2022/1925, entrou em vigor em 1 de novembro de 2022 e as obrigações para as guardiãs de acesso designadas começaram a aplicar-se em março de 2024. O seu objetivo central é que determinados mercados digitais sejam mais disputáveis e equitativos. Não é uma segunda lei geral de privacidade: regula práticas de plataformas que cumprem os critérios de designação e não substitui o RGPD.

Para as empresas utilizadoras e os consumidores, a DMA pode mudar as condições de acesso a certos serviços e as práticas de plataformas designadas. Mas não é correto transferir diretamente os seus deveres para qualquer aplicação, loja online ou fornecedor de serviços digitais. A pergunta operacional é se a organização está sujeita a uma obrigação própria do regulamento ou se interage com uma plataforma que o está.

A cronologia tem assim dois marcos claros: entrada em vigor em 2022 e início do cumprimento pelas guardiãs designadas em 2024. O número de empresas designadas pode mudar com novas decisões da Comissão, pelo que convém consultar fontes oficiais atualizadas antes de afirmar um número. Para uma avaliação de privacidade, a DMA também não elimina a necessidade de determinar separadamente se há tratamento de dados pessoais sujeito ao RGPD.

O Regulamento de Ciberresiliência, Regulamento (UE) 2024/2847, estabelece requisitos de cibersegurança para produtos com elementos digitais e atribui obrigações a fabricantes, importadores e distribuidores, consoante o seu papel. A Comissão descreve-o como um quadro que cobre o design, o desenvolvimento, a manutenção e a gestão de vulnerabilidades. Afeta o produto e o seu ciclo de vida, não qualquer operação de tratamento de dados pelo mero facto de usar software.

O primeiro marco operacional já chegou: desde 11 de setembro de 2026 aplicam-se as obrigações do artigo 14 sobre notificação de vulnerabilidades exploradas ativamente e incidentes graves que afetem a segurança do produto. Segundo a síntese consultada, os avisos têm prazos diferenciados — 24 horas para um alerta inicial sobre vulnerabilidade explorada e 72 horas para a notificação de um incidente grave — e devem ser canalizados através dos mecanismos previstos, incluindo o ponto único de notificação. Não é uma obrigação geral de notificar qualquer violação de dados à ENISA: o caso deve encaixar no CRA e nos seus critérios.

A maioria dos outros requisitos do regulamento, incluindo os requisitos essenciais de cibersegurança para produtos, aplicar-se-á desde 11 de dezembro de 2027. Por isso, em outubro de 2026, convém separar a preparação da conformidade exigível: rever o inventário de produtos e funções, atribuir responsáveis por vulnerabilidades e incidentes e definir processos de suporte e atualização, sem apresentar todos os deveres futuros como já plenamente aplicáveis.

A tabela resume datas gerais, não substitui uma análise de âmbito. O produto, o papel da empresa na cadeia de abastecimento, as exclusões aplicáveis e o tipo de incidente determinam que dever concreto corresponde. Em particular, as obrigações do CRA não devem ser confundidas com as do RGPD sobre violações de dados pessoais: um incidente pode ativar um, ambos ou nenhum, consoante as suas circunstâncias e os respetivos critérios.

O Comité Europeu de Proteção de Dados (CEPD ou EDPB) publicou em 13 de outubro de 2026 uma declaração sobre os desafios de proteção de dados associados aos óculos inteligentes. A publicação disponível no seu site web atesta a existência da declaração, mas o material de investigação não permite reconstruir com precisão cada recomendação do seu texto. Por isso, não corresponde descrevê-la como um guia exaustivo nem atribuir-lhe requisitos específicos sem consultar o documento completo.

Uma declaração ou orientação do CEPD não equivale a uma nova lei autónoma. A sua utilidade consiste em ajudar a interpretar as normas de proteção de dados existentes em situações concretas; o RGPD continua a ser a base jurídica. Em óculos com câmara, microfone ou funções de análise, uma organização deveria avaliar que informação pode captar, quem pode ficar registado, qual é o propósito e que medidas de informação, minimização, segurança e conservação resultam adequadas.

Para uma empresa que avalie estes dispositivos no trabalho, a decisão não deveria limitar-se a perguntar se o equipamento tem uma luz indicadora ou uma função de gravação. É necessário determinar o contexto, a necessidade e a proporcionalidade do uso, assim como as responsabilidades entre organização e fornecedor. A avaliação deve centrar-se no tratamento real, incluindo o eventual envio para serviços em nuvem, e não só no rótulo comercial de 'dispositivo inteligente'.

Em outubro de 2026, a data por si só não permite saber que norma obriga uma organização. O critério prático é identificar o papel que desempenha e o objeto regulado: tratamento de dados pessoais sob o RGPD, prestação de serviços por uma plataforma designada sob a DMA, ou colocação no mercado e manutenção de produtos digitais sob o CRA.

Uma revisão inicial pode organizar-se nestes passos:

1. Mapear os tratamentos de dados pessoais e verificar finalidades, bases jurídicas, informação oferecida, prazos de conservação e procedimentos para atender direitos conforme ao RGPD.
2. Verificar o papel face à DMA: distinguir entre ser uma guardiã de acesso designada, um fornecedor que interage com uma ou uma empresa utilizadora dos seus serviços.
3. Inventariar produtos com elementos digitais e determinar se a organização é fabricante, importador ou distribuidor a efeitos do CRA.
4. Ativar o processo do artigo 14, se o produto e o incidente entrarem no seu âmbito, incluindo deteção, escalamento e notificação nos prazos aplicáveis desde setembro de 2026.
5. Preparar a aplicação geral de 2027: rever design, gestão de vulnerabilidades, atualizações e documentação pertinente para os produtos afetados.
6. Avaliar separadamente os dispositivos de captação — como óculos inteligentes — com atenção ao contexto de uso e aos dados de terceiros que possam recolher.

Esta lista é um ponto de partida, não uma conclusão jurídica para todos os setores. Um mesmo fornecedor pode ter obrigações sob vários quadros, mas cada uma depende de factos concretos. Por exemplo, o fabricante de um dispositivo pode ter deveres do CRA e, se decidir também as finalidades e meios de um tratamento de dados pessoais, responsabilidades sob o RGPD. A coexistência de normas exige análise por atividade, não um rótulo global de 'conformidade digital'.

A linha temporal mais sólida para 2026 é a das datas fixadas nos próprios regulamentos: o RGPD aplica-se desde 2018; as obrigações da DMA para guardiãs designadas desde 2024; e as notificações do artigo 14 do CRA desde 11 de setembro de 2026, com a aplicação geral da maioria das obrigações prevista para 11 de dezembro de 2027. Essas datas não são intercambiáveis e devem ligar-se ao âmbito de cada norma.

Em contrapartida, não se pode apresentar uma reforma proposta do Regulamento de Inteligência Artificial como uma obrigação já vigente. A cobertura jurídica fornecida descreve propostas de modificação em 2026, mas não demonstra que tenham sido aprovadas nem que tenham entrado em vigor. Além disso, a Lei de IA não é uma norma de privacidade: pode interagir com o RGPD quando um sistema de IA trata dados pessoais, mas cada regulamento conserva o seu próprio objeto e requisitos.

A declaração do CEPD sobre óculos inteligentes aparece como uma publicação de outubro de 2026, embora a fonte primária incluída na investigação só permita confirmar o seu anúncio e data, não detalhar o seu conteúdo íntegro. Essa é uma limitação de âmbito, não uma razão para inventar recomendações. Para decisões de conformidade, a regra segura é verificar o texto oficial vigente e as decisões das autoridades competentes antes de fixar obrigações concretas.