Digital Inside
O último balanço anual de sanções por incumprimento do Regulamento Geral de Proteção de Dados (RGPD), apresenta um valor significativo tanto em volume como em montante. Em 2025, as autoridades europeias de proteção de dados impuseram mais de 330 sanções por incumprimento do RGPD, com um total de quase 1,15 mil milhões de euros em multas.
A análise aponta como infração mais grave o tratamento de dados pessoais sem base jurídica suficiente, ou seja, sem fundamento legal válido que justifique a recolha e a utilização dessas informações. A infração mais dispendiosa foi o tratamento de dados pessoais sem base jurídica suficiente, que totalizou 1,03 mil milhões de euros em 2025. Este padrão concentrou-se de forma especialmente acentuada em determinados domínios de atividade. Os setores dos meios de comunicação social, telecomunicações e radiodifusão concentraram mais de 80% do total das multas medidas em euros.
Dentro desse grupo, as maiores sanções recaíram sobre empresas de grande visibilidade pública. A TikTok recebeu a maior multa do setor em 2025, com 530 milhões de euros, enquanto a Google foi sancionada com 200 e 125 milhões, e a SHEIN com 150 milhões. No entanto, o montante global nem sempre se traduz numa penalização elevada quando repartido pelo volume de utilizadores afetados. Apesar dos montantes, casos como o da TikTok equivaleram a 2,64 euros por utilizador, mesmo que milhões de utilizadores tenham sido afetados.
Tomas Stamulis, diretor de segurança da Surfshark, interpreta estes números da seguinte forma: “O montante das multas reflete a seriedade com que as práticas ilegais em matéria de dados são agora tratadas. No entanto, é muito preocupante que a maioria destas sanções seja dirigida a empresas que tratam os nossos dados pessoais sem uma base jurídica válida. As grandes empresas tecnológicas tendem a ultrapassar os limites para recolher mais informações do que o permitido, o que realça o quão baratos são os nossos dados pessoais, uma vez que são avaliados em apenas alguns euros”.
A segurança como infração mais comum e o efeito da IA
Embora a falta de base jurídica tenha sido a mais dispendiosa, a infração mais repetida seguiu outra direção: o nível de proteção aplicado aos sistemas e à informação. A multa mais comum em 2025 deveu-se a medidas técnicas e organizativas insuficientes para garantir a segurança da informação, com 97 casos contra 69 em 2024, 29% do total. Em termos práticos, este tipo de incumprimento refere-se ao facto de a empresa não ter implementado controlos adequados (procedimentos, ferramentas e medidas internas) para evitar acessos não autorizados ou perdas de informação.
O estudo relaciona essas sanções, de maneira habitual, com episódios como ataques cibernéticos, divulgações não autorizadas de dados pessoais e fugas de dados. A distribuição setorial também é significativa. O setor industrial e comercial foi o mais afetado por medidas de segurança insuficientes, com 31 das 97 multas, seguido por finanças, seguros e consultoria com 21, e saúde com 14. Para os responsáveis de TI e compras tecnológicas, este mapa de sanções funciona como um termómetro: mostra em que setores as fraquezas de controlo estão a materializar-se com mais frequência e, por extensão, onde a pressão regulatória pode aumentar.
Stamulis associa esta tendência a um fenómeno mais amplo que a Surfshark identifica à escala global há anos. A Surfshark estima em 3,2 mil milhões o número de fugas de dados ocorridas em todo o mundo desde 2004. Na sua perspetiva, o aumento do uso da inteligência artificial intensifica o risco de exposição de dados pessoais, especialmente quando as pessoas partilham informações sensíveis com ferramentas de terceiros sem políticas de privacidade claras ou adequadas, o que reduz a supervisão sobre o destino final desses dados.
Nessa linha, o executivo aponta que o reforço da capacidade de ataque é outro elemento de pressão, ao facilitar que os cibercriminosos executem ações mais poderosas e fáceis de realizar. Dando ainda como exemplo um ciberataque autônomo em grande escala perpetrado no ano passado por uma IA, que evidenciou a facilidade com que um sistema desse tipo pode explorar vulnerabilidades em organizações. Em conjunto, a interpretação que se apresenta é dupla: por um lado, as multas do RGPD atuam como um sinal de alerta para as empresas; por outro, funcionam como um lembrete de que a proteção de dados pessoais exige uma gestão ativa de permissões, aplicações e práticas de uso, além da confiança passiva.
