Conformidade digital na UE em 2026: as regras que já chegam ao seu código

Durante cerca de sete anos, o RGPD foi o único regulamento europeu que todas as equipas de produto conheciam pelo nome. Quem tinha um sítio web com utilizadores europeus aprendeu o que eram fundamentos de licitude, montou um aviso de cookies, assinou acordos de tratamento de dados e seguiu em frente.

Essa época acabou. Entre 2024 e 2028, a União Europeia tem vindo a publicar um conjunto de regulamentos digitais que, um a um, são tão exigentes como foi o RGPD e que, em conjunto, são muito mais intrusivos. A diferença é que estas novas regras não ficam pela política de privacidade. Chegam ao seu processo de pagamento, à sua biblioteca de componentes, ao seu processo de resposta a incidentes, à sua lista de materiais de software e ao modelo de dados dos seus produtos.

Construímos e mantemos software para empresas que operam na Europa, e passamos boa parte da semana a transformar estas obrigações em tarefas concretas. Este é o nosso mapa de trabalho do que se aplica agora, do que vem a seguir e do que tudo isto significa realmente para quem escreve código.

Porque é que esta vaga é diferente

O RGPD era sobretudo horizontal. Um regulamento, um conjunto de princípios, aplicado a todos os que tratam dados pessoais. A vaga de 2024 a 2028 é vertical e sobreposta. Uma única empresa de comércio eletrónico de média dimensão que venda dispositivos domésticos conectados na Alemanha e em França pode hoje estar, ao mesmo tempo, no âmbito de pelo menos oito instrumentos diferentes, cada um com o seu regulador, o seu prazo e a sua própria definição de quem é responsável.

Daí resultam três consequências práticas.

A primeira é que a conformidade já não é algo que se acrescente antes do lançamento. Várias destas regras exigem decisões de desenho, e uma decisão de desenho mal tomada no segundo mês custa uma reconstrução no vigésimo.

A segunda é que os artefactos técnicos contam mais do que a papelada. Os reguladores pedem cada vez mais provas legíveis por máquina: uma lista de materiais de software, uma avaliação da conformidade, uma declaração de acessibilidade, um registo de consentimento, uma cronologia de incidentes. Ninguém fica impressionado com um documento de política que descreve um controlo que não existe no sistema.

A terceira é que os prazos são escalonados e alguns mudaram. Na sequência do pacote Omnibus Digital proposto em novembro de 2025, partes do Regulamento da Inteligência Artificial foram adiadas, enquanto outras ficaram exatamente onde estavam. As equipas que leram um título de notícia e pararam aí estão agora a planear com as datas erradas.

O que se aplica já

O RGPD, ainda a base de tudo

Nada nesta nova vaga substitui o Regulamento Geral sobre a Proteção de Dados. Continua a ser a camada de base, e é ainda daí que vêm as coimas mais elevadas. Se o seu modelo de dados, as suas rotinas de conservação e o seu processo de pedidos de acesso dos titulares forem fracos, tudo o que for construído por cima herda essa fragilidade. Escrevemos um guia à parte, centrado na engenharia, no nosso guia prático do RGPD para sítios web.

O Ato Europeu da Acessibilidade

A Diretiva (UE) 2019/882 passou a ser aplicável a 28 de junho de 2025, e a fiscalização foi ganhando intensidade ao longo de 2026. Abrange o comércio eletrónico destinado a consumidores, a banca, a venda de bilhetes de transporte, as telecomunicações, os livros eletrónicos e mais. A referência técnica é a norma EN 301 549. A versão 4.1.1, publicada em setembro de 2026, passa-a para as WCAG 2.2, mas, até a Comissão a citar no Jornal Oficial, a referência para a presunção de conformidade continua a ser a v3.2.1, que corresponde às WCAG 2.1 de nível AA.

Esta surpreende muita gente porque não é um exercício de documentação. Exige alterações reais na marcação, na gestão do foco, no contraste de cores, no tratamento de erros nos formulários e na navegação por teclado. Um tribunal francês já condenou o Carrefour a cumprir sob pena de uma sanção pecuniária diária. Os pormenores estão no nosso guia do Ato Europeu da Acessibilidade.

O Regulamento dos Dados

O Regulamento (UE) 2023/2854 passou a ser aplicável a 12 de setembro de 2025. Dá aos utilizadores direito aos dados gerados pelos seus produtos conectados e obriga os fornecedores de cloud a tornar a mudança de fornecedor uma possibilidade real e não apenas teórica. Desde 12 de setembro de 2026, os produtos conectados e os serviços conexos colocados de novo no mercado têm de ser concebidos de forma a que os dados estejam acessíveis por predefinição, o que é um requisito de arquitetura mais do que um requisito jurídico. Veja o nosso guia do Regulamento dos Dados.

A Diretiva NIS 2

Os Estados-Membros têm vindo a transpor a NIS 2 a ritmos muito diferentes. A Alemanha abriu o seu portal de registo a 6 de janeiro de 2026, os Países Baixos puseram a sua lei em vigor a 15 de agosto de 2026 e outros países continuam a recuperar o atraso. Se estiver abrangido, tem de notificar incidentes num prazo de 24 horas e tem de dar aos seus clientes provas de que gere o risco da cadeia de abastecimento. O nosso guia prático da NIS 2 trata da parte prática.

Confirmação do beneficiário

Desde 9 de outubro de 2025, os prestadores de serviços de pagamento da área do euro têm de oferecer uma verificação gratuita de que o nome do beneficiário corresponde ao IBAN antes de uma transferência ser confirmada. Para quem constrói fluxos de pagamento ou de pagamentos a terceiros, isso acrescentou um novo passo antes da confirmação e um novo conjunto de estados de correspondência aproximada para tratar na interface. Explicámo-lo em pagamentos imediatos e confirmação do beneficiário.

Os marcos de 2026

2 de agosto de 2026: transparência no Regulamento da IA

As obrigações do artigo 50.º já estão em vigor. Se o seu produto comunica com os utilizadores através de um chatbot, tem de lhes dizer que estão a falar com uma máquina. Se gera áudio, imagens, vídeo ou texto sintéticos, o resultado tem de ser marcado de forma legível por máquina. Uma nova leva, que inclui pormenores sobre marcas de água e a proibição de ferramentas de nudificação, chega a 2 de dezembro de 2026.

As obrigações mais pesadas, as dos sistemas de risco elevado, foram adiadas. Os sistemas autónomos do Anexo III têm agora até 2 de dezembro de 2027, e a IA integrada em produtos regulados até 2 de agosto de 2028. É um alívio real, mas apenas para o nível de risco elevado. A análise completa está no nosso artigo sobre as obrigações de transparência do Regulamento da IA.

11 de setembro de 2026: notificações do Regulamento de Ciber-Resiliência

Desde 11 de setembro de 2026, os fabricantes de produtos com elementos digitais têm de notificar as vulnerabilidades ativamente exploradas e os incidentes graves através de uma plataforma única de notificação da UE. Alerta precoce em 24 horas, notificação completa em 72 horas, relatório final em 14 dias. Não é possível cumprir um prazo de 24 horas sem saber o que está dentro do seu produto, e é por isso que as equipas estão a construir pipelines de SBOM um ano antes da obrigação formal de SBOM. Veja o guia do Regulamento de Ciber-Resiliência.

12 de setembro de 2026: obrigações de conceção do Regulamento dos Dados

A exigência de conceção orientada para o acesso aplica-se agora aos produtos colocados de novo no mercado.

27 de setembro de 2026: Diretiva relativa à capacitação dos consumidores

Desde 27 de setembro de 2026, as alegações ambientais genéricas perderam a cobertura legal, os rótulos de sustentabilidade precisam de verificação, e um aviso e um rótulo harmonizados para as garantias comerciais têm de aparecer no processo de compra. É uma alteração de conteúdos e de modelos nas páginas de produto, nas páginas de categoria e no checkout. Tratamos o tema em alegações ecológicas e conformidade dos dados de produto.

24 de dezembro de 2026: Carteira Europeia de Identidade Digital

Todos os Estados-Membros têm de disponibilizar pelo menos uma carteira. As partes utilizadoras obrigadas, incluindo a banca, os transportes, a energia, a saúde e as telecomunicações, têm de a aceitar a partir de dezembro de 2027. Se quiser estar entre os primeiros a aceitá-la, tem de se registar como parte utilizadora e suportar os formatos de credenciais da carteira. O nosso guia de integração da Carteira EUDI explica o que isso implica.

O que ainda está em movimento

Há dois dossiês que vale a pena acompanhar sem planear demasiado em função deles.

O Omnibus Digital, tal como a Comissão o propôs, integraria as regras de consentimento para cookies no próprio RGPD, através de um artigo 88.º-A e de um artigo 88.º-B propostos. As alterações de destaque são aceitar ou recusar com um único clique, a proibição de voltar a perguntar durante seis meses a quem recusou e sinais de consentimento legíveis por máquina juridicamente vinculativos. O texto de compromisso do Conselho de 2 de outubro de 2026 afasta-se disto: mantém as regras sobre cookies na Diretiva Privacidade Eletrónica, deixa cair os sinais vinculativos do navegador e encurta a espera para quatro meses. A 10 de outubro de 2026, o Conselho ainda não tinha adotado o seu mandato, o Parlamento não tinha posição e os trílogos não tinham começado. Nada é definitivo, e não reconstruiríamos uma plataforma de consentimento partindo do princípio de que o texto passa sem alterações, mas a direção é suficientemente clara para influenciar a forma como se desenha uma. Leia a nossa análise em o consentimento para cookies depois do Omnibus Digital.

O Digital Fairness Act ainda está na fase de proposta, esperada para o final de 2026, e visa diretamente os padrões enganosos (dark patterns), os preços personalizados e o design viciante. De forma realista, aplicar-se-á algures entre 2028 e 2030. Importa agora apenas porque lhe diz quais os padrões de interface que têm os dias contados.

A camada de pagamentos que ninguém previu

Há mais uma mudança que nem sequer é um regulamento, mas que se comporta como tal pela rapidez com que se está a espalhar pelas páginas de pagamento europeias.

O Wero, a carteira criada pela European Payments Initiative, passou das transferências entre particulares para o comércio eletrónico durante 2025 e 2026. Liquida através de transferências a crédito imediatas SEPA em cerca de dez segundos e dispensa por completo as redes de cartões. O Lidl anunciou o suporte em lidl.de em julho de 2026, com a aceitação nas lojas físicas e nas lojas belgas e francesas a seguir mais tarde no ano. A Decathlon, a Rossmann, a Hornbach, a Eventim e outras já a aceitam.

Ninguém é legalmente obrigado a aceitar o Wero. Mas, quando um discount com a presença do Lidl acrescenta um método de pagamento, o resto do mercado tende a ir atrás, e a integração não é trabalho de borla: cai no seu checkout, na máquina de estados das encomendas, na lógica de reembolsos e na reconciliação. Escrevemos sobre isso no guia de integração do Wero.

Como pôr isto por ordem sem perder um trimestre

O instinto é abrir uma frente de trabalho de conformidade e tentar fechar tudo. O resultado costuma ser uma folha de cálculo e muito pouco código entregue. Pela nossa experiência, funciona melhor o seguinte:

Comece pelo âmbito, com honestidade. A maioria destas regras tem limiares, isenções e definições que mudam substancialmente aquilo a que está obrigado. Uma microempresa prestadora de serviços fica fora de grande parte do Ato Europeu da Acessibilidade. Uma empresa que não fabrica produtos com elementos digitais fica fora do Regulamento de Ciber-Resiliência. Meia hora com os artigos que definem o âmbito poupa meses.

Encontre as sobreposições e construa uma só vez. O trabalho de acessibilidade feito ao abrigo do Ato Europeu da Acessibilidade também ajuda a cumprir os requisitos de clareza das regras de transparência do Regulamento da IA. A infraestrutura de consentimento construída para o RGPD aguenta a maior parte das alterações do Omnibus Digital. Um pipeline de SBOM construído para o Regulamento de Ciber-Resiliência responde a uma boa parte das questões de cadeia de abastecimento da NIS 2. Trate isto como trabalho de plataforma partilhado, e não como doze projetos separados.

Resolva primeiro o que exige decisões de desenho. O acesso aos dados por predefinição, a aceitação de credenciais, a semântica de acessibilidade e a arquitetura do consentimento são caros de adaptar depois. Os fluxos de reporte e a documentação não. Ordene o trabalho em conformidade.

Registe por escrito o que decidiu e porquê. A maioria destes regimes espera que consiga explicar o seu raciocínio, e não apenas mostrar um visto verde. Um registo curto de decisão de arquitetura vale mais do que um longo PDF de políticas.

Onde entramos nós

Somos uma empresa de software, não um escritório de advogados, e dizemo-lo com clareza a todos os clientes. Não emitimos pareceres jurídicos. O que fazemos é pegar na interpretação a que a sua equipa jurídica chegou e transformá-la em sistemas que funcionam: plataformas de consentimento, bibliotecas de componentes acessíveis, APIs de acesso a dados, pipelines de SBOM, integrações de carteiras, fluxos de pagamento e a infraestrutura aborrecida que está por baixo de tudo isso.

As nossas equipas trabalham a partir de Liubliana e de Novi Sad, dentro do enquadramento regulatório que estamos a descrever, o que significa que lidamos com estes prazos também nos nossos próprios produtos.

Se está a tentar perceber quais destas regras se aplicam de facto a si, ou se tem uma data no calendário e nenhum plano por trás, contacte-nos através de office@c9group.dev. Pode também saber mais sobre a forma como apoiamos empresas que entram ou crescem na Europa na nossa página de entrada no mercado europeu.