← Leis de proteção de dados e crimes cibernéticos por país

União Europeia: lei de proteção de dados, crimes cibernéticos, multas e penas

GDPR é o regime mais aplicado do mundo: €7,1 bi em multas desde 2018 (DLA Piper). NIS2, DORA, AI Act e Cyber Resilience Act somam obrigações de cibersegurança e IA.

Law

GDPR (Reg. 2016/679)

Authority

Autoridades nacionais de proteção de dados + EDPB

Max fine

€20 mi ou 4% do faturamento global

Breach notification

GDPR: 72h; NIS2: alerta em 24h, notificação em 72h, relatório final em 1 mês

DPO

Obrigatório nos casos do art. 37

Crimes

Risks

• Transferências internacionais (Meta €1,2 bi, TikTok €530 mi, Uber €290 mi)
• Cookies e adtech (CNIL: Google €325 mi, SHEIN €150 mi)
• Dados de menores (Instagram €405 mi, TikTok €345 mi)
• Segurança após breach (Free €42 mi, Vodafone €45 mi)
• Responsabilidade pessoal da gestão sob a NIS2

• NIS2 (Dir. 2022/2555): transposição até 17/10/2024; multas de €10 mi ou 2% (essenciais) e €7 mi ou 1,4% (importantes)
• DORA (Reg. 2022/2554): aplicável ao setor financeiro desde 17/01/2025
• AI Act (Reg. 2024/1689): multas até €35 mi ou 7%; alto risco em 02/08/2026 e 02/08/2027, sujeito ao Digital Omnibus
• Cyber Resilience Act (Reg. 2024/2847): reporte de vulnerabilidades desde 11/09/2026, aplicação plena em 11/12/2027; multas até €15 mi ou 2,5%
• 443 notificações de breach por dia em 2025 (+22%), segundo a DLA Piper
• Multa de €746 mi da Amazon (Luxemburgo) anulada pela Justiça em 12/03/2026

Fonte: EUR-Lex – GDPR · DLA Piper – GDPR Fines Survey 2026 · CMS Enforcement Tracker · EUR-Lex – NIS2 · EUR-Lex – AI Act