Por que a Irlanda lidera a aplicação do RGPD
A Comissão Irlandesa de Proteção de Dados (DPC) é a autoridade líder para a maioria das grandes empresas de tecnologia da UE. Isso não é por acaso.
A baixa taxa de imposto da Irlanda atraiu Apple, Google, Meta, LinkedIn e TikTok. Todas estabeleceram suas sedes principais europeias lá.
O Artigo 60 do RGPD torna a DPC a autoridade líder para essas empresas. Três coisas seguem desta regra.
Primeiro, uma reclamação na Alemanha sobre o Facebook vai à DPC irlandesa, não ao BfDI alemão. Segundo, a DPC trabalha com outras autoridades europeias em casos transfronteiriços. Terceiro, uma decisão da DPC contra a Meta aplica-se em toda a UE.
O resultado é claro. A DPC emitiu mais valor em multas do que todas as outras autoridades europeias combinadas. Consulte nossa visão geral de conformidade com o RGPD sobre como os padrões de execução afetam as decisões de fornecedores.
Três Multas que Definem 2024–2025
€530M contra o TikTok (maio de 2025): Engenheiros chineses acessaram registros de usuários europeus. Isso violou os Artigos 44–46 do RGPD. Essas regras restringem transferências para países sem decisão de adequação da UE. A China não tem nenhuma. O TikTok afirmou ter controles adequados. A DPC discordou.
€310M contra o LinkedIn (outubro de 2024): O LinkedIn baseou-se em «interesse legítimo» para análise de comportamento. A DPC considerou isso inválido. O processamento não era necessário para o objetivo declarado. O teste de equilíbrio não favoreceu o LinkedIn.
€251M contra a Meta (novembro de 2024): A violação do Facebook de 2018 não foi reportada à DPC a tempo. A DPC também constatou que registros de auditoria ruins tornavam impossível medir o que havia sido exposto.
Essas três juntam-se à multa anterior de €1,2 bilhão contra a Meta de maio de 2023. Essa multa também veio da DPC, por transferências ilegais UE-EUA. Permanece a maior penalidade do RGPD já imposta.
A DPC tratou mais de 8.500 casos transfronteiriços em 2024. Explore nossa página de segurança e conformidade para ver como o design de conhecimento zero aborda cada falha.
O que Cada Multa Revela
Falhas de Acesso Transfronteiriço
As três multas compartilham um problema central. Registros pessoais eram acessíveis a funcionários em países sem regras de privacidade no nível europeu.
A multa do TikTok foi direta. Arquivos de usuários europeus chegaram a engenheiros chineses apesar dos controles declarados.
O que isso significa para a seleção de fornecedores: Pergunte se engenheiros não europeus podem acessar registros hospedados na UE. Um fornecedor pode hospedar em Dublin mas expor arquivos europeus via suporte técnico nos EUA. A residência na UE sozinha não é suficiente. Nosso guia de processamento de entidades mostra como os controles de acesso se aplicam ao Artigo 46 do RGPD.
Falhas de Base Jurídica
A multa do LinkedIn não foi sobre uma violação. Foi sobre como o LinkedIn justificou seu processamento.
O «interesse legítimo» não é um direito geral. Os responsáveis devem documentar um teste de equilíbrio genuíno. Esse teste deve mostrar que seu interesse supera os direitos do usuário. Nossa página de conformidade explica como revisar as bases jurídicas dos fornecedores.
Falhas de Registro e Notificação
A multa de €251M contra a Meta incluiu uma descoberta chave. Registros de auditoria ruins tornavam impossível medir o alcance da violação.
O Artigo 33 do RGPD exige notificação de violação à autoridade em 72 horas. Essa notificação deve incluir o escopo dos registros afetados. Você não pode reportar um escopo que não pode medir.
Pergunte aos potenciais fornecedores sobre sua estrutura de registros de auditoria. Se um fornecedor não puder responder «quais registros foram expostos?» após um incidente, ele falha no Artigo 33(3)(b).
O Padrão nos Casos DPC
Examinar as quatro grandes multas DPC revela um padrão. Os reguladores atuam contra designs onde os engenheiros de fornecedores podem ver o conteúdo dos usuários. Cada grande multa envolveu acesso mal controlado a registros pessoais.
O design de conhecimento zero aborda a preocupação central em cada caso. O conteúdo do usuário é criptografado. O fornecedor não tem chaves de descriptografia.
Nos casos de transferência do TikTok e da Meta, engenheiros não europeus chegam ao servidor mas veem apenas texto cifrado. Nenhum registro legível é exposto. No caso de violação da Meta, um comprometimento total do servidor não produz nada útil. O escopo da violação diminui. Para o LinkedIn, um fornecedor que nunca vê texto simples não pode realizar análise de comportamento.
Esta é a resposta direta a cada ação da DPC. Consulte nossa visão geral de segurança para detalhes, ou nossa declaração do fundador sobre por que o anonym.legal foi construído assim desde o início.
O que «Estabelecimento Principal» Significa
Algumas empresas estruturam sua presença na UE para controlar qual autoridade tem jurisdição. A interpretação da DPC importa aqui.
«Estabelecimento principal» não é apenas um endereço. É onde a administração central europeia está. Para os responsáveis, é onde as decisões sobre os objetivos do processamento são tomadas.
Uma empresa com uma equipe de privacidade em Londres pode não ter nenhum estabelecimento principal na UE. Cada autoridade nacional poderia então afirmar jurisdição para reclamações locais.
Perguntas para Avaliar Fornecedores
Use estas perguntas ao avaliar fornecedores SaaS que lidam com registros pessoais.
Jurisdição e acesso:
- Onde está o estabelecimento principal europeu do fornecedor?
- Funcionários não europeus podem acessar registros de usuários da UE em operações normais?
- A empresa-mãe do fornecedor está sujeita ao CLOUD Act ou às leis de segurança chinesas?
Design técnico:
- O conteúdo dos usuários europeus permanece em servidores hospedados na UE?
- O fornecedor detém as chaves de criptografia, ou o cliente?
- Os registros de auditoria são suficientemente detalhados para medir o escopo de uma violação?
Documentação de transferências:
- Qual mecanismo do Artigo 46 do RGPD cobre os fluxos UE-EUA?
- O fornecedor completou uma Avaliação de Impacto de Transferência?
- Quais medidas técnicas adicionais estão em vigor?
A aplicação da DPC é consistente em um ponto. Mesmo empresas com equipes de privacidade e DPOs recebem grandes multas quando seu design técnico não corresponde às suas declarações. Consulte nossos estudos de caso e FAQ para mais informações.
o anonym.legal usa servidores Hetzner baseados na UE com design de conhecimento zero. Os servidores contêm apenas texto cifrado AES-256-GCM. Uma violação total não expõe registros legíveis. O aplicativo de desktop processa todo o conteúdo no dispositivo sem conexões externas.
Fontes
- DPC irlandesa — Decisões de aplicação oficiais — VERIFIED-EXTERNAL
- EDPB — Mecanismo de balcão único — VERIFIED-EXTERNAL
- Texto do RGPD — Artigos 33, 44–46, 60 — VERIFIED