Como mencionamos em uma notícia recente, o subcontratado é um ator central e essencial para muitos controladores de dados, e um elo frágil na cadeia de segurança de dados.

A jurisprudência recente, bem como as decisões das autoridades de proteção de dados, reiteraram que o controlador de dados permanece na linha de frente em caso de violação de dados ocorrida em seu subcontratado.

Contudo, isso não altera a responsabilidade do subcontratado quando alvo de um ciberataque. Sua posição crucial no centro dos sistemas de dados justifica padrões particularmente elevados em termos de organização e capacidade de resposta.

Em um cenário publicado no final de maio em seu site, a CNIL se inspira em eventos reais para apresentar um caso prático e descrever as diferentes etapas e medidas que devem ser tomadas por um subcontratado que enfrenta um ataque cibernético.

A Comissão destaca o papel de duas pessoas-chave na empresa, o Diretor de Segurança da Informação (CISO) e o Encarregado da Proteção de Dados (DPO), e a sua essencial capacidade de resposta em caso de relatos de atividades anormais.

Destaca também o papel essencial das ferramentas de monitoramento na detecção de tais atividades (instabilidade, latência, perda de dados, erros, etc.).

A equipe de gerenciamento de crises, criada pela subcontratada, deve determinar quais ações serão tomadas internamente e por quem. Acima de tudo, deve organizar uma resposta em duas frentes: gerenciar o ataque aos dados da própria subcontratada e, simultaneamente, lidar com a violação dos dados do cliente.

O subcontratado tem 72 horas para avaliar a gravidade da situação e as violações de dados, e para tomar diversas providências:

• Notificar a CNIL (Autoridade Francesa de Proteção de Dados) sobre a violação de dados relativa aos seus próprios dados e, com o consentimento dos seus clientes, também relativa ao tratamento de dados realizado em nome destes. Alternativamente, o responsável pelo tratamento de dados pode ainda apoiar e aconselhar os seus clientes neste procedimento de notificação.
• Informe os clientes sobre a extensão da violação e suas consequências o mais rápido possível e complemente essas informações em tempo real, conforme a situação se desenvolva.
• Informar os indivíduos afetados sobre a possível violação de seus dados, levando em consideração os riscos de infração de seus direitos e liberdades.

Com os sistemas informáticos sujeitos a ataques muito frequentes, a CNIL insiste na necessidade de estarmos previamente preparados para a ocorrência deste tipo de situação, protegendo os dados (criptografia, autenticação de dois fatores, etc.) e disponibilizando um procedimento de gestão adequado.

Vale lembrar que a França é um dos países do mundo mais afetados por violações de segurança, a ponto de cerca de cinquenta senadores terem solicitado, em meados de maio, a criação de uma comissão parlamentar de inquérito sobre o assunto. 

Além disso, embora a CNIL tenha sido compreensiva por um tempo, agora sanciona severamente as empresas que não tomaram medidas oportunas que lhes teriam permitido bloquear ou mitigar os ataques.

Na França

A CNIL publicou seu relatório de atividades para o ano de 2025 em meados de maio.

O relatório resume um ano marcado por um aumento acentuado de reclamações e um número recorde de violações de dadosMetade dos quais estão ligados à pirataria informática.

A autoridade realizou 323 verificações e emitiu 83 sanções por um montante total sem precedentes de quase 487 milhões de euros.

A cibersegurança tornou-se uma prioridade fundamental: em 2026, metade das verificações da CNIL (Comissão Nacional de Informática e Liberdades) terá como foco a segurança de dados.

Em paralelo, a CNIL continua suas missões de apoio às empresas e também reforça suas ações de conscientização junto ao público em geral, particularmente os jovens.

O relatório também enfatiza o ascensão da inteligência artificial.

A CNIL está se preparando para implementar a regulamentação europeia sobre IA e está desenvolvendo ferramentas para regular seus usos.

No entanto, para 2026, a autoridade não obteve quaisquer novos cargos, apesar de ter adquirido novas competências nesta área.

Em 26 de maio, a CNIL multou a Iqvia Operations France em 5 milhões de euros, nomeadamente por não cumprir as medidas de segurança destinadas a limitar os riscos para os indivíduos no contexto da gestão de bases de dados de saúde.

Em 11 de maio, a CNIL lançou um plano de ação relacionado a óculos conectados.

A autoridade ressalta que esses dispositivos, frequentemente associados à inteligência artificial, podem levar à vigilância quase constante em espaços públicos e privados.

Uma pesquisa mostra que 67% dos franceses consideram isso um risco para sua privacidade.

A CNIL (Autoridade Francesa de Proteção de Dados) reitera que a utilização de imagens continua sujeita ao RGPD (Regulamento Geral de Proteção de Dados), aos direitos de imagem e à exigência de obtenção do consentimento das pessoas filmadas ou gravadas. Anuncia um plano de ação europeu e recomenda diversas boas práticas para limitar usos invasivos.

Esta comunicação surge no momento em que a Meta desenvolve uma função de reconhecimento facial para seus óculos inteligentes e em que a Samsung e o Google apresentaram, em 19 de maio, seus primeiros óculos com Android XR, conectados ao smartphone e integrados ao Gemini, que permitem interações por voz e captura contextual permanente.

Finalmente, no final de maio, a CNIL publicou um guia que fornece orientações para ajudar os operadores de nuvem a identificar suas responsabilidades com exemplos concretos.

A ONG Quadratura da Net Publicada em 21 de maio, uma análise aprofundada da proposta de lei que visa proibir o acesso de menores de 15 anos às redes sociais, cuja votação no Parlamento é iminente.

A associação salienta que, sob o pretexto de proteger menores, o texto imporia a verificação de identidade a todos os utilizadores, generalizando assim um sistema anteriormente limitado a sites para adultos.

Essa obrigação entraria em conflito com o princípio da minimização de dados do RGPD e com o direito à navegação anônima reconhecido pelo Tribunal de Justiça da União Europeia (TJUE).

Em 27 de maio, durante a apresentação do projeto de lei sobre proteção infantil, o Ministro da Educação Nacional, Édouard Geffray, indicou que os funcionários que tivessem se comportado de forma inadequada com menores na escola seriam agora colocados em uma "lista negra", mesmo na ausência de uma condenação criminal.

A questão das garantias processuais e da proteção dos dados das pessoas envolvidas permanece em aberto.

O provedor de pagamento terceirizado Almerys enfrenta mais uma vez uma violação de segurança.

Em 24 de maio, a seguradora de saúde Alan alertou seus membros sobre a violação de dados ocorrida em sua subcontratada.

Os dados potencialmente expostos incluem estado civil, número de segurança social, número do contrato e datas de cobertura. Acredita-se que centenas de seguradoras de saúde e milhões de números de segurança social estejam afetados.

O incidente serve como um lembrete de que, mesmo em caso de subcontratação, o responsável pelo tratamento dos dados mantém as suas obrigações ao abrigo do RGPD em matéria de segurança e notificação.

Em um artigo publicado em 24 de maio, o 01net revela os resultados de uma investigação sobre o software de monitoramento do local de trabalho.

Os pesquisadores interceptaram o tráfego de rede de nove plataformas de vigilância, todas as quais transmitem dados pessoais de funcionários a terceiros.

Os dados transmitidos incluem nomes de funcionários, endereços de e-mail e dados de atividade.

No total, mais de 145 domínios de terceiros recebem essas informações, incluindo Google, Meta, Microsoft, LinkedIn, Yandex e AppLovin.

Um terço das ferramentas testadas também transmite a geolocalização precisa do funcionário.

Na Europa

Instituições e órgãos europeus

A Comissão Europeia publicou um projeto de diretrizes esclarecendo o Classificação de sistemas de IA de alto risco, bem como uma lista de exemplos concretos, com o objetivo de ajudar fornecedores e operadores a determinar se o seu sistema de IA apresenta ou não um alto risco.

Qualquer pessoa ou organização interessada, incluindo fornecedores e desenvolvedores, empresas e autoridades públicas, bem como instituições acadêmicas, institutos de pesquisa e cidadãos, está convidada a enviar seus comentários até 23 de junho de 2026.

No início de maio, o Google obteve uma prorrogação da Comissão Europeia para resolver questões relacionadas ao seu cumprimento do Regulamento dos Mercados Digitais (DMA).

Em comunicado às autoridades europeias, a empresa argumentou que a proposta da Comissão de obrigá-la, na qualidade de "guardiã", a partilhar determinados dados de pesquisa com concorrentes como a OpenAI ou motores de busca alternativos, representa um risco significativo de reidentificação dos utilizadores.

Essa posição pode ser considerada incomum vinda do Google, mas é tema de intenso debate atualmente.

Um estudo publicado em 29 de abril na revista Media Laws estabelece uma ligação entre esta questão do artigo 6.º, n.º 11, da DMA sobre a partilha de dados e os debates sobre o Digital Omnibus relativamente ao âmbito da definição de dados pessoais: “Dados de pesquisa, privacidade e os limites da heurística: uma leitura crítica das conclusões preliminares da CE contra a Alphabet”.

Embora a regulamentação proposta sobre o euro digital Enquanto o Parlamento Europeu vota atualmente sobre o euro e o Eurosistema se prepara para a sua emissão até 2029, a CNIL (Comissão Nacional de Informática e Liberdades) e a Autoridade Federal Alemã de Proteção de Dados publicaram um relatório conjunto em 13 de maio sobre os desafios da proteção de dados no futuro euro digital.

As duas autoridades recordam o seu trabalho conjunto: a necessidade de um elevado grau de confidencialidade para pagamentos de baixo valor, um modo "offline" sem rastreio por parte do BCE e dos prestadores de serviços de pagamento, e um controlo rigoroso das finalidades autorizadas (combate ao branqueamento de capitais, prevenção da fraude).

Em 21 de maio de 2026, a BEUC, Organização Europeia de Consumidores, juntamente com 29 de seus membros de 27 países, apresentou queixas à Comissão Europeia e às autoridades nacionais competentes contra a Meta, o TikTok e o Google, alegando que essas empresas não tomaram as medidas necessárias para combater a [problemática/problemática]. proliferação de anúncios fraudulentos no setor financeiro em suas plataformas, conforme exigido pelo Regulamento Europeu de Serviços Digitais (DSA).

A investigação da BEUC documenta a persistência massiva de anúncios fraudulentos (empréstimos rápidos, investimentos falsos, retornos garantidos), dos quais 53.100 denúncias teriam sido ignoradas ou rejeitadas pelas plataformas.

Notícias dos países membros da União Europeia.

O relatório de 2026 do "GDPR Enforcement Tracker", da consultoria CMS, mostra que a aplicação do RGPD atingiu uma fase de maturidade na Europa, com mais de Foram registadas 3.000 sanções desde 2018, num montante total superior a 6 mil milhões de euros.

As autoridades nacionais estão agora a visar não só as gigantes digitais, mas também questões operacionais do dia a dia: transparência, cibersegurança, cookies, monitorização de funcionários e gestão de subcontratados.

As violações mais frequentes continuam sendo a falta de uma base jurídica clara, o descumprimento dos princípios gerais do RGPD e as violações de segurança.

Os setores de plataformas digitais, publicidade online e serviços baseados em inteligência artificial estão sob escrutínio especial.

O relatório também destaca que as reclamações dos usuários e as violações de dados se tornaram os principais motivos para investigações.

Por fim, apesar da crescente coordenação europeia, as práticas de aplicação de sanções ainda variam muito entre os países.

A Autoridade Belga de Proteção de Dados (APD) multou uma empresa de tecnologia em um total de € 176.946,61 por manter ilegalmente ativa a conta de e-mail de um prestador de serviços após sua saída da empresa e por violar as obrigações de transparência.

A autoridade também ordenou que a empresa atendesse à solicitação do provedor de serviços para fornecer os registros de acesso, excluísse os dados pessoais e tomasse medidas para garantir a conformidade com os regulamentos no futuro.

A APD também anunciou em 16 de maio no jornal Le Soir que passará a tomar medidas legais em casos específicos de violações graves do RGPD.

A autoridade recebeu 1.394 reclamações em 2025, um aumento de 67 em comparação com 2024.

A via penal baseia-se em disposições nacionais adotadas nos termos do artigo 84.º do RGPD, que autoriza os Estados-Membros a prever sanções, incluindo sanções penais, para as infrações não abrangidas pelas multas administrativas do artigo 83.º.

O objetivo explícito é evitar os longos recursos ao Tribunal de Mercado, que "às vezes reduz multas severas para 1 euro", e ao Tribunal de Justiça da UE, utilizados pelas grandes plataformas digitais.

A Autoridade Holandesa de Proteção de Dados impôs uma A empresa MLU BV foi multada em 100 milhões de euros por transferir dados pessoais para a Rússia.

A MLU é uma empresa sediada na Holanda, responsável pela versão europeia do aplicativo de táxi Yango.

Na Noruega e na Finlândia, os usuários utilizam o Yango para reservar corridas de táxi com motoristas parceiros. O Yango, então, transfere os dados pessoais de motoristas e clientes para empresas localizadas na Rússia sem garantir a proteção adequada desses dados.

Segundo informações, a Microsoft forneceu à Câmara dos Representantes dos EUA os nomes de funcionários holandeses que trabalham para a Autoridade Holandesa de Consumidores e Mercados e para a Autoridade Holandesa de Proteção de Dados.Esses agentes participariam da implementação da DSA.

Segundo informações publicadas pelo NL Times, a Microsoft teria compartilhado e-mails, relatórios e convites sem anonimizar os nomes dos funcionários envolvidos, conforme exigido pela Lei de Computação em Nuvem dos EUA.

O secretário de Estado holandês para o Interior disse estar preocupado com a situação, indicando que desejava esclarecer as circunstâncias exatas da transmissão.

A Agência Espanhola de Proteção de Dados (APD) considerou que a prestação de serviços educacionais em nuvem pelo Ministério da Educação e do Desporto às escolas públicas, utilizando a Microsoft como subcontratada, constitui uma violação das disposições do RGPD (Regulamento Geral sobre a Proteção de Dados).

Internacionalmente

No Reino Unido, parlamentares estão preocupados com a decisão do Serviço Nacional de Saúde (NHS) de conceder à Palantir acesso a dados identificáveis de pacientes. como parte de seu projeto para usar inteligência artificial "para melhorar o sistema de saúde".

A empresa teria acesso aos dados dos pacientes antes que fossem pseudonimizados, apesar das preocupações com "o risco de perder a confiança do público".

No início de junho, uma comissão parlamentar solicitou ao governo a rescisão do contrato com a empresa.

Essas preocupações são compartilhadas pela sociedade civil, bem como por analistas do NHS (Serviço Nacional de Saúde do Reino Unido), que publicaram uma carta aberta destacando os riscos do projeto.

Além das questões de proteção de dados, o sistema de IA da Palantir é acusado de ser dez vezes mais lento que o sistema existente.

No Canadá, o Gabinete do Comissário de Informação e Privacidade de Ontário publica Novas diretrizes sobre assistentes de transcrição baseados em IA visam proteger a privacidade do paciente.

"As novas diretrizes do CPI estão alinhadas com os Princípios para o Uso Responsável da Inteligência Artificial, recentemente publicados e desenvolvidos em conjunto pelo Comissário de Informação e Privacidade de Ontário e pela Comissão de Direitos Humanos de Ontário."

Esses princípios enfatizam que os sistemas de IA, como os escribas de IA, devem ser válidos e confiáveis, seguros, respeitar a privacidade, estar em conformidade com os direitos humanos, ser transparentes e responsáveis.

Membros republicanos da Câmara dos Representantes dos Estados Unidos apresentaram os projetos de lei "SECURE Data Act" e "GUARD Financial Data Act". com o objetivo de estabelecer um quadro federal de proteção de dados.

Esses projetos de lei visam harmonizar as normas aplicáveis, substituindo certas leis estaduais, limitar a coleta de dados e fortalecer os direitos de acesso do consumidor.

Em 8 de maio de 2026, o Procurador-Geral da Califórnia anunciou um acordo recorde de US$ 12,75 milhões com a General Motors (GM) para encerrar as alegações de que a GM vendeu ilegalmente dados de localização e comportamento de direção de cidadãos da Califórnia sem notificação ou consentimento adequados, violando, entre outras coisas, os princípios de minimização de dados e limitação de finalidade da Lei de Privacidade do Consumidor da Califórnia (CCPA).

A Anthropic anunciou em 22 de maio o seu projeto Glasswing, afirmando que o seu modelo de IA especializado em cibersegurança, o Mythos, identificou mais de 10.000 vulnerabilidades em softwares e projetos de código aberto amplamente utilizados.

Segundo a empresa, a IA melhora significativamente a velocidade e a eficiência da pesquisa de vulnerabilidades, com uma taxa de detecção considerada alta.

No entanto, essa capacidade cria um novo desafio para o ecossistema de software: os responsáveis pela manutenção e as equipes de segurança precisam lidar com um volume crescente de relatórios e corrigir vulnerabilidades mais rapidamente.

Além da façanha técnica, o tema destaca a evolução da cibersegurança rumo à crescente automação da detecção de vulnerabilidades, sendo a sua rápida correção o principal fator na redução de riscos.