Leis de privacidade 2026: RGPD, CCPA, LGPD — guia prático dos seus direitos

Três leis enquadram o ecossistema dos dados pessoais em 2026 — o RGPD europeu (desde 2018), o CCPA/CPRA californiano (2018 reforçado em 2023) e a LGPD brasileira (2020). Em conjunto, cobrem ~700 milhões de pessoas e estruturam a conformidade dos gigantes tecnológicos (Meta, Google, Amazon, Apple, Microsoft) em grande parte do mundo ocidental e latino. Compreender que direitos pode exercer, como exercê-los concretamente e o que fazer quando uma empresa os ignora — é esse o tema deste guia prático de 2026.

RGPD UE — norma global em 2026

O Regulamento Geral sobre a Proteção de Dados (RGPD), em vigor desde 25 de maio de 2018, continua a ser em 2026 a referência global para a proteção de dados pessoais. Seis anos após a entrada em vigor, o ecossistema da conformidade amadureceu: EPD obrigatórios em qualquer organização que trate > 250 funcionários ou dados sensíveis, registos padronizados das atividades de tratamento, avaliações de impacto (AIPD) integradas nos processos de produto na maioria das empresas tecnológicas da UE.

Âmbito: 27 países da UE + 3 do EEE (Noruega, Islândia, Listenstaine), abrangendo ~450 milhões de habitantes. O RGPD aplica-se também a empresas não pertencentes à UE que visam residentes da UE (extraterritorialidade art. 3.º) — é por isso que a Meta, a Google, a Amazon e a Microsoft aplicam o RGPD globalmente aos seus utilizadores europeus.

Seis direitos fundamentais consagrados nos artigos 15.º a 22.º:

• Direito de acesso (art. 15.º): obter uma cópia de todos os dados que lhe dizem respeito.
• Direito de retificação (art. 16.º): corrigir dados inexatos ou incompletos.
• Direito ao apagamento / esquecimento (art. 17.º): ter os dados apagados quando o tratamento deixa de ser justificado.
• Direito à limitação (art. 18.º): congelar temporariamente o tratamento.
• Direito à portabilidade (art. 20.º): recuperar os seus dados num formato estruturado e de uso corrente para os transferir para outro fornecedor.
• Direito de oposição (art. 21.º): recusar determinados tratamentos, em especial o marketing direto (absoluto) ou o interesse legítimo (condicional).

Procedimento de exercício padronizado:

1. Identifique o responsável pelo tratamento (a empresa que decide porquê/como os seus dados são tratados) e o seu EPD (Encarregado da Proteção de Dados).
2. Envie um pedido escrito ao EPD com: identidade, natureza do pedido, formato pretendido.
3. A empresa dispõe de 1 mês para responder (prorrogável por 2 meses em caso de complexidade).
4. Em caso de recusa ou ausência de resposta: reclamação à sua autoridade de controlo nacional (CNIL França, ICO Reino Unido, AEPD Espanha, Garante Itália, Datatilsynet Noruega).

Multas recorde 2024-2026

O RGPD demonstrou o seu alcance dissuasor com sanções recorde:

Tendência 2025-2026: a CNIL multiplica as sanções médias (5-50 milhões €) sobre o consentimento de cookies — 73% dos sites franceses estavam não conformes em janeiro de 2026 segundo a auditoria anual da CNIL.

CCPA / CPRA Califórnia — modelo opt-out

O California Consumer Privacy Act (CCPA) entrou em vigor a 1 de janeiro de 2020, reforçado pelo California Privacy Rights Act (CPRA) a 1 de janeiro de 2023. Protege os residentes da Califórnia definidos como pessoas singulares residentes na Califórnia, independentemente da nacionalidade.

Diferença fundamental face ao RGPD: o CCPA segue o modelo opt-out por predefinição (a recolha é autorizada salvo se o utilizador se opuser), enquanto o RGPD segue o opt-in (consentimento prévio exigido). Este modelo reflete uma cultura jurídica americana mais permissiva no tratamento publicitário.

Âmbito de aplicação: empresas que cumprem pelo menos um de três critérios:

• Volume de negócios anual global > 25 milhões de USD; OU
• Tratamento de > 100 000 consumidores ou agregados familiares da Califórnia/ano; OU

• 50% do volume de negócios da venda ou partilha de dados pessoais.

Sete direitos do CPRA (alargados face ao CCPA inicial):

1. Right to Know — Solicitar que categorias e elementos específicos de dados são recolhidos. Resposta em 45 dias, prorrogável.
2. Right to Delete — Ter os dados apagados (com exceções legais).
3. Right to Correct — Corrigir informações inexatas (acrescentado pelo CPRA 2023).
4. Right to Opt-Out of Sale — Recusar a venda a terceiros. Botão 'Do Not Sell or Share My Personal Information' obrigatório no rodapé.
5. Right to Opt-Out of Sharing for Cross-Context Behavioral Advertising — Recusar a partilha para fins de publicidade comportamental entre contextos (acrescentado pelo CPRA 2023).
6. Right to Limit Use of Sensitive Personal Information — Limitar a utilização de dados sensíveis (geolocalização precisa, saúde, finanças, conteúdo das comunicações). Novo direito do CPRA.
7. Right to Non-Discrimination — Nenhuma desvantagem comercial se exercer os seus direitos.

Execução: via formulário dedicado da empresa (normalmente página privacy@), ou reclamação à California Privacy Protection Agency (CPPA), criada pelo CPRA em 2023. A CPPA tem poder sancionatório direto desde julho de 2023.

Impacto prático para os utilizadores europeus

O CCPA não se aplica aos residentes europeus, salvo viagem temporária à Califórnia. Mas, na prática, muitas empresas tecnológicas aplicam os direitos do CCPA globalmente por simplicidade operacional — é o "California effect": a norma mais rigorosa torna-se a norma por predefinição.

Concretamente, em maio de 2026:

• O botão 'Do Not Sell or Share My Personal Information' aparece em ~85% dos sites dos EUA visíveis a partir de IP norte-americano.
• Muitos sites dos EUA escondem-no dos IPs não norte-americanos — usar uma VPN dos EUA permite mostrá-lo e exercê-lo (com morada postal da CA fornecida).
• A Apple generalizou a App Tracking Transparency a todos os utilizadores globais na sequência do CCPA (abril de 2021).

LGPD Brasil — América Latina 2026

A Lei Geral de Proteção de Dados (LGPD), em vigor desde 18 de agosto de 2020, transpõe o modelo do RGPD para o Brasil. Âmbito: 215 milhões de brasileiros + empresas que tratam dados de residentes brasileiros mesmo fora do Brasil.

Seis bases legais idênticas ao RGPD: consentimento, execução de contrato, obrigação legal, interesse vital, interesse público, interesse legítimo. Direitos do utilizador quase idênticos: confirmação da existência, acesso, correção, anonimização/bloqueio/eliminação, portabilidade, informação sobre a partilha com terceiros, revogação do consentimento.

Sanções: até 2% do volume de negócios brasileiro com um limite de 50 milhões de Reais brasileiros (~9 milhões €) por infração. Significativamente mais fracas do que o RGPD mas representam um risco real para os operadores brasileiros. Recordes 2024-2025:

• Cielo (pagamentos) — 7 milhões BRL (~1,3 milhões €) por partilha não consentida com parceiros de marketing.
• Locaweb (alojamento) — 2,5 milhões BRL por violação de segurança não declarada à ANPD.

O regulador ANPD (Autoridade Nacional de Proteção de Dados), operacional desde 2020, intensifica-se progressivamente em 2025-2026.

Como exercer concretamente os seus direitos

Procedimento unificado aplicável ao RGPD / CCPA / LGPD:

Passo 1 — Identificar o contacto

Passo 2 — Redigir o pedido

Modelo mínimo para o direito de acesso ao abrigo do RGPD:

Assunto: Exercício do direito de acesso ao abrigo do RGPD (art. 15.º)

Exmo./a. Encarregado da Proteção de Dados,

Pretendo exercer o meu direito de acesso ao abrigo do artigo 15.º do RGPD. Solicito que me forneça, dentro do prazo de um mês previsto no artigo 12.º, n.º 3:

1. A cópia completa dos dados pessoais que me dizem respeito e que tratam;
2. As finalidades do tratamento;
3. As categorias de destinatários (terceiros, prestadores, parceiros);
4. O prazo de conservação previsto;
5. A origem dos dados, se não recolhidos junto de mim.

Anexo uma cópia do meu documento de identidade para verificação.

[Nome, morada, identificadores de conta relevantes]

Guarde um comprovativo do envio (email com aviso de receção, carta registada). Este comprovativo é necessário em caso de reclamação à autoridade de controlo.

Passo 3 — Acompanhamento e escalada

Passo 4 — Reclamação em caso de recusa

Armadilhas do RGPD/CCPA a conhecer em 2026

Armadilha 1 — Dark patterns no consentimento. 73% dos sites franceses em 2026 ainda usam designs enganadores: botão 'Aceitar' colorido vs 'Recusar' a cinzento no fundo da página, scroll obrigatório antes da recusa, reapresentação do banner a cada visita se recusado. A CNIL multiplica as sanções (Yahoo 10 milhões € janeiro de 2025). Para detetar: se a recusa exigir mais de 2 cliques, é não conforme.

Armadilha 2 — Falso EPD ou formulário genérico. Muitas empresas indicam um formulário 'contacto' genérico em vez de um EPD contactável. O RGPD exige um email dedicado do EPD. Se a empresa não fornecer um, isso é por si só uma violação do RGPD (art. 37.º-39.º).

Armadilha 3 — Resposta parcial ao direito de acesso. A Meta foi multada várias vezes (DPC 2023, CNIL 2024) por fornecer exportações incompletas — omitindo inferências publicitárias, modelos de envolvimento, dados de inferência. Verifique a exportação recebida: deve conter > 50 ficheiros JSON/CSV para uma conta Meta com > 5 anos.

Armadilha 4 — Dados 'anonimizados' não verdadeiramente anónimos. Muitas empresas alegam que os dados 'pseudonimizados' deixam de estar abrangidos pelo RGPD. Falso — os dados pseudonimizados permanecem pessoais segundo o TJUE (acórdãos CFLA 2019, OC Vilnius 2023). Apenas os dados verdadeiramente anónimos (irreversíveis, k-anonimato > 5) escapam ao RGPD.

Armadilha 5 — Transferência internacional não enquadrada. Desde a invalidação do Privacy Shield (TJUE Schrems II, julho de 2020), as transferências para os EUA exigem Cláusulas Contratuais-Tipo + EU-US Data Privacy Framework (julho de 2023). Verifique a política de privacidade: a menção ao DPF deve aparecer explicitamente para as transferências para os EUA.

Ferramentas práticas 2026

Pontos-chave

O RGPD, o CCPA/CPRA e a LGPD constituem em 2026 o trio jurídico global que enquadra o ecossistema dos dados pessoais. Os seus direitos são reais e exequíveis — não simbólicos. O exercício exige método (email dedicado ao EPD, acompanhamento a 30/45 dias, escalada para o regulador em caso de recusa) mas resulta na maioria dos casos. As multas recorde (Meta 1,2 mil milhões €, Amazon 746 milhões €) provam que os reguladores têm os meios para impor a conformidade aos gigantes tecnológicos.

Combinar estes direitos legais com ferramentas técnicas (VPN no-log auditada, DoH, ECH, navegador de privacidade) maximiza a proteção efetiva. O RGPD fornece o enquadramento, as ferramentas técnicas executam a proteção do dia a dia. Veja a nossa comparação de VPN no-log auditadas e o nosso guia de DNS over HTTPS para a camada técnica.