O RGPD confere às autoridades de proteção de dados (APD) o poder de aplicar uma coima administrativa de até 4 % do volume de negócios anual de uma empresa ou 20 milhões de euros, caso esta viole o RGPD, consoante o montante que for mais elevado.
O objetivo destas coimas é dissuadir infrações semelhantes no futuro. Embora um estudo da noyb tenha concluídoque estas se encontram entre as ferramentas de aplicação da lei mais eficazes à disposição das autoridades, é extremamente raro que sejam aplicadas coimas significativas por violações do RGPD. As coimas revertem para o país onde decorre o processo, que é quase sempre o país onde a empresa multada tem a sua sede.
Desde 2018, foram aplicadas as seguintes coimas com base em queixas apresentadas pela noyb:
Multa de 1,2 mil milhões de euros à Meta por transferências de dados entre a UE e os EUA
No final de 2023, a Meta foi multada em 1,2 mil milhões de euros e obrigada a cessar a transferência de dados pessoais de cidadãos europeus para os Estados Unidos. A empresa está sujeita a leis de vigilância norte-americanas, como a FISA 702, que permite ao governo dos EUA espionar cidadãos não norte-americanos sem causa provável ou aprovação judicial.
Isto contradiz a legislação da UE, que exige uma proteção «essencialmente equivalente» para os dados transferidos para fora da União Europeia. Empresas norte-americanas como a Meta não conseguem cumprir este requisito. Isto foi também confirmado pela decisão do Tribunal de Justiça da União Europeia de anular os acordos «Safe Harbor» e «Privacy Shield» nos seus acórdãos Schrems I e Schrems II, em 2015 e 2020, respetivamente.
A Meta ignorou estes acórdãos nos últimos anos, o que resultou numa multa de 1,2 mil milhões de euros e numa ordem para devolver todos os dados pessoais aos seus centros de dados na UE.
Meta multada em 395 milhões de euros e proibida de utilizar dados pessoais para publicidade
Na sequência de uma decisão vinculativa do Comité Europeu para a Proteção de Dados, a Autoridade Irlandesa de Proteção de Dados (DPC) multou a Meta num total de 395 milhões de euros por violações no Facebook, Instagram e WhatsApp, em janeiro de 2023. Além disso, a gigante das redes sociais foi proibida de utilizar dados pessoais para fins publicitários sem solicitar o consentimento dos seus utilizadores.
A decisão surge na sequência de duas queixas apresentadas pela noyb em nome de um utilizador austríaco e de um utilizador belga a 25 de maio de 2018, o que significa que a autoridade competente (a DPC) demorou quatro anos e meio a chegar a uma decisão, depois de o EDPB ter anulado o seu primeiro projeto de decisão em dezembro de 2022.
Google multado em 50 milhões de euros por consentimento forçado
Quando o RGPD entrou em vigor a 25 de julho de 2018, a noyb apresentou queixas contra a Google, o Instagram, o WhatsApp e o Facebook por obrigarem os seus utilizadores a aceitar políticas de privacidade atualizadas que lhes permitiam contornar a nova lei de privacidade.
Enquanto três destas queixas percorreram um caminho de um ano repleto de incumprimentos, o processo contra a Google foi resolvido em junho de 2019: a autoridade francesa de proteção de dados (CNIL) multou a empresa tecnológica em 50 milhões de euros, o que, na altura, constituía a maior multa de sempre por uma violação da privacidade.
Empresa de publicidade CRITEO multada em 40 milhões de euros
No final de junho de 2023, a autoridade francesa de proteção de dados (CNIL) multou a CRITEO, uma empresa europeia líder em publicidade e rastreamento online, em 40 milhões de euros por violar os direitos dos titulares de dados e por não ter comprovado que tinha obtido um consentimento válido.
A decisão surgiu na sequência de uma queixa apresentada pela noyb e pela Privacy International em dezembro de 2018, que visava a falta de uma opção adequada para retirar o consentimento. A queixa desencadeou uma investigação exaustiva por parte da CNIL, que alargou o âmbito a outras áreas e identificou violações adicionais do RGPD, incluindo falta de transparência e incumprimento do direito ao apagamento e do direito de acesso.
Aplicação de encontros Grindr multada em 5,8 milhões de euros
Em 2020, a noyb uniu-se ao Conselho Norueguês do Consumidor (NCC) para apresentar uma queixa contra a aplicação de encontros LGBTQ+ Grindr por partilha ilegal de dados pessoais dos utilizadores com centenas de potenciais parceiros publicitários. Os utilizadores não foram devidamente informados e o consentimento não era suficientemente específico: os utilizadores tinham de concordar com toda a política de privacidade e não com uma operação de tratamento específica, como a partilha de dados com outras empresas. A Autoridade de Proteção de Dados (DPA) salientou também que os utilizadores devem poder recusar o consentimento sem consequências negativas.
A decisão da autoridade norueguesa impôs inicialmente uma multa de quase 10 milhões de euros à Grindr. Na sequência de um recurso, a multa foi reduzida para um montante final de 5,8 milhões de euros em setembro de 2023.
Spotify multado em 5 milhões de euros
Na sequência de uma queixa apresentada pela noyb e de um litígio por inação, a Autoridade Sueca de Proteção de Dados (IMY) multou a Spotify em 58 milhões de coroas suecas (cerca de 5 milhões de euros) em junho de 2023. O serviço de streaming de música não cumpriu integralmente a obrigação prevista no RGPD de proporcionar aos utilizadores acesso a todos os seus dados, bem como a informações sobre a forma como esses dados estão a ser utilizados. A queixa já tinha sido apresentada em 2019 e ficou mais de quatro anos sem decisão.
Primeira multa significativa de 1 milhão de euros pela utilização do Google Analytics
Na sequência das 101 queixas apresentadas pela noyb sobre transferências ilegais de dados entre a UE e os EUA a partir de 2020, a autoridade sueca de proteção de dados (IMY) aplicou a primeira multa significativa pela utilização do Google Analytics em julho de 2023. Embora muitas outras autoridades europeias (como, por exemplo, a Áustria, a França e a Itália) já tenham considerado que a utilização do Google Analytics viola o RGPD, esta é a primeira multa imposta a empresas pela utilização do Google Analytics, apesar dos acórdãos do TJUE sobre as transferências de dados entre a UE e os EUA.
A operadora de telecomunicações Tele2 foi condenada a pagar o equivalente a 1 milhão de euros (12 milhões de coroas suecas), enquanto a retalhista online CDON teve de pagar 300 000 coroas suecas.
Empresa de TI maltesa multada em 65 000 € por fuga de dados
Na sequência de uma fuga maciça de dados de eleitores malteses em 2020, a noyb colaborou com a Fundação Daphne e a Repubblika para apresentar queixas contra o corretor de dados C-Planet. As informações pessoais que vazaram incluíam números de telefone, datas de nascimento, intenções de voto e orientações políticas de mais de 330 000 indivíduos.
Em 2022, o Comissário para a Informação e Proteção de Dados (IDPC) concluiu que a C-Planet não tinha implementado medidas técnicas e organizacionais adequadas ao risco e multou a empresa de TI em 65 000 €. A decisão confirmou também que a C-Planet não notificou a IDPC da violação de dados nem informou atempadamente as pessoas afetadas.
Netflix multada em 4,75 milhões de euros
Em dezembro de 2024, a autoridade neerlandesa de proteção de dados multou a Netflix em 4,75 milhões de euros por não ter respondido adequadamente aos pedidos de acesso dos utilizadores. A decisão destaca uma série de questões importantes relacionadas com a forma como a Netflix lida com os pedidos de acesso: em particular, a Netflix não forneceu informações suficientes sobre os motivos pelos quais recolhe dados e o que faz com eles.
Infelizmente, a autoridade não abordou outra questão importante mencionada na nossa queixa: a empresa nem sequer forneceu uma cópia completa dos dados do queixoso.
A decisão baseia-se num processo da noyb, que foi iniciado em janeiro de 2019. Na altura, apresentámos oito queixas contra prestadores de serviços de streaming, tais como a Amazon, a Apple Music, o Spotify, o YouTube – e, claro, a Netflix.
Multa de 325 milhões de euros à Google por «e-mails de spam» no Gmail
A 1 de setembro de 2025, a autoridade francesa de proteção de dados, a CNIL, multou a Google em 325 milhões de euros por enviar aos utilizadores do Gmail publicidade não solicitada diretamente para a sua caixa de entrada de e-mail.
À primeira vista, estas mensagens parecem e-mails normais, mas são, na verdade, anúncios para os quais os utilizadores nunca deram o seu consentimento. Os e-mails comerciais enviados diretamente aos utilizadores constituem marketing direto e são regulados pela diretiva ePrivacy. Isto significa que as empresas são obrigadas a obter o consentimento. Este facto foi também confirmado pelo Tribunal de Justiça, que afirmou que qualquer publicidade na caixa de entrada de um utilizador está sujeita à regra do consentimento.
Para além da multa de 325 milhões de euros, a CNIL ordenou à Google que implementasse «medidas para deixar de exibir anúncios entre e-mails nas caixas de correio dos utilizadores do serviço Gmail sem consentimento prévio e para garantir o consentimento válido dos utilizadores para a colocação de cookies publicitários aquando da criação de uma conta Google» no prazo de seis meses. Se a empresa não cumprir esta determinação, terá de pagar uma penalização de 100 000 € por cada dia de atraso.
Conde Nast multada em 750 000 € por colocar cookies sem consentimento
A 27 de novembro de 2025, a autoridade francesa de proteção de dados (CNIL) multou a editora francesa de revistas Conde Nast em 750 000 € por violar os requisitos de consentimento no seu site da Vanity Fair.
A noyb tinha inicialmente apresentado a queixa em dezembro de 2019, porque o site tinha implementado um banner de cookies que transformava um «NÃO» claro num «consentimento falso». Mesmo que um utilizador se desse ao trabalho de rejeitar inúmeros cookies na Vanity Fair, o site enviava sinais digitais a empresas de rastreamento alegando que os utilizadores tinham concordado em ser rastreados online.
A CNIL decidiu agora que a Condé Nast, a editora por trás da Vanity Fair, não obteve o consentimento dos utilizadores antes de instalar cookies. Além disso, a empresa não informou suficientemente os seus utilizadores sobre a finalidade dos cookies supostamente «necessários». Em terceiro lugar, os mecanismos implementados para recusar e retirar o consentimento eram ineficazes.
Autoridade norueguesa multa a Xandr, da Microsoft, em 8,5 milhões de euros
A 12 de outubro de 2026, a autoridade norueguesa de proteção de dados multou a empresa de publicidade Xandr (agora parte da Microsoft) em 8,5 milhões de euros (92 000 000 NOK) pelas suas violações do RGPD. Mais concretamente, a empresa tratou dados pessoais, incluindo informações sensíveis sobre orientação sexual, sem uma base jurídica válida.
A multa baseia-se numa queixa apresentada pelo Conselho Norueguês do Consumidor (NCC) e pela noyb em 2020. Na altura, apresentámos um total de três queixas contra a aplicação de encontros Grindr e várias empresas de tecnologia publicitária que recebiam dados pessoais através da aplicação. Uma dessas queixas dizia respeito à Xandr.
A decisão representa um duro golpe para o setor da publicidade online e da vigilância comercial. Muitos sites, aplicações, plataformas, sistemas operativos e outros enviam dados dos utilizadores para empresas de tecnologia publicitária. Estas empresas criam perfis dos utilizadores e acumulam enormes quantidades de dados pessoais, que são partilhados entre milhares de empresas para fins publicitários e outros. A multa atual demonstra que empresas como a Xandr acabam por ser responsabilizadas pelas suas práticas duvidosas.