A legislação digital europeia em preparação: o que vem depois dos prazos de 2026

A maior parte dos conteúdos sobre conformidade trata de regras que já se aplicam. Isso serve para a próxima auditoria e não serve de nada para planear, porque as decisões caras são de arquitetura, e a arquitetura fica definida dezoito meses antes de um prazo.

Esta é a outra metade do quadro: o que está neste momento a passar pela máquina legislativa europeia, quando deve chegar, mais ou menos, e o que disso deve de facto influenciar o que constrói hoje.

Um aviso desde já. As propostas mudam, algumas morrem e as datas derrapam. Nada do que aqui está é motivo para construir com base num texto ainda não adotado. É, sim, motivo para evitar construir algo que uma regra claramente a caminho vai tornar caro.

Como ler as fases

A legislação europeia avança por fases previsíveis, e a fase em que um dossiê se encontra diz-lhe quanta confiança pode depositar nele.

Anunciado no Programa de Trabalho. A Comissão disse que tenciona propor alguma coisa. Não há texto. Útil para perceber a direção, e nada mais.

Proposta publicada. Há um texto. Vai mudar, muitas vezes bastante, mas a forma e as definições passam a estar à vista.

Orientação geral do Conselho e mandato do Parlamento. Os dois colegisladores têm posições. A margem de negociação fica visível: tudo aquilo em que ambos estão de acordo tem muita probabilidade de sobreviver.

Trílogo. Negociação à porta fechada entre o Parlamento, o Conselho e a Comissão. O resultado fica, normalmente, algures entre os dois mandatos.

Acordo político, depois adoção formal, depois entrada em vigor, depois aplicação. O intervalo entre a adoção e a aplicação é quando se faz de facto o trabalho, e costuma ir de dezoito meses a três anos.

A regra prática: a partir do momento em que os dois colegisladores publicaram os seus mandatos, as partes em que concordam são uma base segura para planear. Antes disso, trate tudo como indicativo.

Em negociação

O Omnibus Digital

O maior pacote de simplificação do ciclo atual, proposto em novembro de 2025. Mexe no RGPD, no Regulamento da Inteligência Artificial, no Regulamento dos Dados, na privacidade eletrónica e na notificação em matéria de cibersegurança. A parte relativa à IA foi separada e já é lei: o Regulamento (UE) 2026/1744, em vigor desde 27 de julho de 2026.

As partes que mais interessam às equipas de produto são os artigos 88.º-A e 88.º-B propostos pela Comissão, que passariam as regras de consentimento para cookies da Diretiva Privacidade Eletrónica para o próprio RGPD, alargariam as isenções em que não é preciso consentimento, introduziriam um período de silêncio de seis meses após uma recusa e tornariam juridicamente vinculativos os sinais de consentimento legíveis por máquina enviados pelo navegador.

A metade relativa ao RGPD e à privacidade eletrónica ainda não chegou ao trílogo. A 10 de outubro de 2026, o Conselho não tinha mandato de negociação (uma votação dos embaixadores da UE prevista para 7 de outubro foi adiada, segundo foi noticiado, para 11 de outubro), e as comissões do Parlamento continuavam a analisar mais de 1750 alterações ao projeto de relatório de junho de 2026. O texto de compromisso do Conselho mantém as regras sobre cookies na Diretiva Privacidade Eletrónica, deixa cair os artigos 88.º-A e 88.º-B e encurta para quatro meses a espera após uma recusa. Continua a ser a alteração de curto prazo mais provável à forma como o consentimento funciona na prática, e explicámos a nossa leitura em o consentimento para cookies depois do Omnibus Digital.

A quem interessa: a quem gere uma plataforma de gestão de consentimento, ferramentas de análise, publicidade ou personalização.

O pacote do euro digital

Posição do Conselho em dezembro de 2025, mandato da comissão do Parlamento aprovado por 43 votos contra 14, trílogos iniciados em julho de 2026, com as três instituições a apontarem para concluir durante 2026. O piloto do BCE decorre a partir do segundo semestre de 2027, com o objetivo de uma primeira emissão em 2029.

Todos os pormenores no nosso guia de implementação do euro digital.

A quem interessa: bancos, prestadores de serviços de pagamento, plataformas de comércio eletrónico, fornecedores de terminais de pagamento.

O acesso a dados financeiros, conhecido como FiDA

O dossiê do open finance. Alarga o acesso a dados ao estilo do open banking para lá das contas de pagamento, a investimentos, pensões, seguros e crédito à habitação, e cria uma nova categoria regulada de prestador de serviços de informação financeira.

O FiDA teve o percurso mais atribulado de toda esta lista. Os trílogos pouco avançaram de forma visível depois de meados de 2025 e, em abril de 2026, a Comissão enviou ao Conselho um non-paper com um âmbito mais restrito para os desbloquear. A aplicação será faseada e, de forma realista, não antes do final da década.

A quem interessa: fintech, insurtech, plataformas de gestão de património e qualquer pessoa cujo produto ganhe com acesso autorizado a dados financeiros para além das contas à ordem.

Acordado, mas ainda não aplicável

A PSD3 e o Regulamento dos Serviços de Pagamento

O Conselho e o Parlamento chegaram a um acordo político provisório sobre o quadro dos pagamentos a 27 de novembro de 2025. É a revisão profunda da PSD2: obrigações mais fortes de prevenção da fraude, uma repartição mais ampla da responsabilidade em certos tipos de fraude, incluindo a fraude por usurpação de identidade, alterações à autenticação forte do cliente, requisitos de desempenho para as interfaces de open banking e a fusão dos regimes das instituições de pagamento e das instituições de moeda eletrónica.

Os textos acordados ainda não estão no Jornal Oficial. A 10 de outubro de 2026, a ficha de processo do Parlamento mostra-os à espera da posição formal do Conselho em primeira leitura, com a votação final em plenário marcada, a título indicativo, para 14 de dezembro de 2026. Como se trata de um Regulamento mais uma Diretiva, uma parte aplica-se diretamente e outra tem de ser transposta. Conte com a aplicação mais para o fim da década do que de imediato.

A quem interessa: qualquer produto que inicie pagamentos, detenha fundos de clientes ou consuma APIs de open banking.

Proposto, com posições em formação

A Carteira Empresarial Europeia

Proposta como contraparte empresarial da Carteira Europeia de Identidade Digital. Se a carteira EUDI guarda as credenciais de uma pessoa, a carteira empresarial guarda as de uma empresa: dados de registo, mandatos, poderes de representação, certificados e a possibilidade de trocar documentos assinados entre países.

O Conselho adotou a sua posição de negociação a 9 de junho de 2026 e a comissão ITRE do Parlamento adotou o seu relatório e um mandato de negociação a 10 de setembro de 2026, pelo que os trílogos podem começar. A ambição é chegar a acordo político até ao final de 2026. A Comissão propôs que os organismos públicos aceitem carteiras empresariais no prazo de 24 meses após a entrada em vigor; o texto do Conselho substitui esse prazo por outro mais tardio: dois anos depois de começarem a aplicar-se os últimos atos de execução.

Pormenores no nosso guia da Carteira Empresarial Europeia.

A quem interessa: quem constrói onboarding B2B, compras, verificação de fornecedores, faturação eletrónica ou processos empresariais regulados.

O Cloud and AI Development Act

Uma das bandeiras da agenda de soberania tecnológica da Comissão, proposto a 3 de junho de 2026 como COM(2026) 502. Abrange investigação e inovação, licenciamento mais rápido de centros de dados (o objetivo declarado é pelo menos triplicar a capacidade de centros de dados da UE até 2030) e um quadro único da UE com quatro níveis de garantia de soberania para os serviços de cloud. Os compradores públicos teriam de contratar pelo menos o nível 1, e os níveis 2 a 4 para atividades relevantes para a ordem pública.

O pano de fundo é a dependência de fornecedores de cloud não europeus, e o mecanismo com mais probabilidade de ter força real é a contratação pública, e não a regulação direta dos compradores privados.

Pormenores no nosso guia do Cloud and AI Development Act.

A quem interessa: fornecedores de cloud, quem vende software a compradores públicos europeus e quem tem uma arquitetura que assume um único hyperscaler.

O Digital Networks Act

Apresentado em janeiro de 2026, depois de vários adiamentos. Reescreve a governação das telecomunicações: harmonização do espetro, mercado único das comunicações eletrónicas, normas de segurança das redes e a velha discussão sobre se os grandes geradores de tráfego devem contribuir para os custos das redes.

A quem interessa: operadores de telecomunicações, fornecedores de CDN e de conectividade e qualquer serviço cuja economia dependa de trânsito barato.

O Digital Fairness Act

Previsto para o quarto trimestre de 2026, pelo que durante algum tempo ainda será uma proposta e não uma lei. Visa diretamente os padrões enganosos (dark patterns), o design viciante, o marketing de influenciadores e as práticas de personalização que exploram a vulnerabilidade dos consumidores, incluindo os preços personalizados.

Merece atenção muito antes de se aplicar, porque visa padrões de interface de que muitos produtos dependem hoje para converter. Pormenores no nosso guia do Digital Fairness Act.

A quem interessa: produtos para o consumidor de todo o tipo, em especial subscrições, jogos, marketplaces e redes sociais.

Revisão do Regulamento Circuitos Integrados

A Comissão propôs um Regulamento Circuitos Integrados 2.0 (Chips Act 2.0) a 3 de junho de 2026 (COM(2026) 504), que revogaria e substituiria o regulamento de 2023. O primeiro Chips Act foi amplamente visto como fraco face à sua ambição. O novo texto acrescenta instrumentos de crise, incluindo encomendas prioritárias para setores críticos, a par do apoio a instalações de produção e ao design. A parte do financiamento está no nosso guia de financiamento do Chips Act.

A quem interessa: empresas de semicondutores e de hardware, e quem acompanha o dinheiro da política industrial europeia.

Reforma da contratação pública

A Comissão propôs um Regulamento da Contratação Pública a 9 de setembro de 2026 (COM(2026) 590). Substituiria as três diretivas de contratação pública de 2014 por um único Regulamento e acrescentaria um quadro de preferência europeia que permite aos compradores públicos restringir a participação ou favorecer a origem europeia em áreas estratégicas. Se vende a compradores públicos europeus, as regras de contratação são o mecanismo pelo qual uma parte surpreendente da política tecnológica chega de facto até si.

A quem interessa: quem tem receitas do setor público na Europa.

Anunciado, ainda sem forma

Há várias iniciativas sinalizadas sem texto: um Quantum Act (previsto para o segundo trimestre de 2026, ainda não proposto a 10 de outubro de 2026 e, segundo as notícias, em risco de derrapar para 2027), mais trabalho sobre a IA na ciência e a continuação do trabalho na implementação do Espaço Europeu de Dados de Saúde. Há ainda o regulamento sobre o abuso sexual de crianças, em discussão há muito e conhecido como «chat control», que tem encalhado repetidamente por causa da análise do lado do cliente e continua por resolver.

Trate-os como pontos no radar. Saber que existem tem valor. Desenhar em função deles, não.

O que seguiu no sentido contrário

Vale a pena saber o que foi retirado ou perdeu prioridade, porque muitos dos comentários publicados ainda não se atualizaram.

A Diretiva relativa à responsabilidade da IA foi retirada. O Regulamento Privacidade Eletrónica, que passou anos sem sair do sítio, foi abandonado, e a matéria que regulava está a ser tratada através do Omnibus Digital. A Diretiva Alegações Ecológicas teve um percurso difícil e a sua forma final não está fechada, embora a Diretiva relativa à capacitação dos consumidores para a transição ecológica, que lhe está associada, se aplique de qualquer modo desde 27 de setembro de 2026.

A simplificação é agora um tema político explícito. Isso não significa menos regulação no total, mas significa que alguns dossiês estão a ser consolidados em vez de acrescentados.

Como usar isto sem desperdiçar esforço

A tentação, perante uma lista destas, é montar um painel de acompanhamento e atribuir um responsável a cada linha. O resultado é uma folha de cálculo.

O que funciona de facto:

Ordene em função de exigir ou não uma decisão de desenho. A arquitetura do consentimento, o tratamento de identidades e credenciais, a abstração dos métodos de pagamento e as interfaces de acesso a dados são caros de adaptar depois. Os processos de reporte e a documentação não. Só a primeira categoria justifica agir antes da adoção.

Procure a base comum. Uma infraestrutura de consentimento bem construída serve as alterações do Omnibus Digital. A verificação de credenciais construída para a carteira EUDI serve, em grande parte, a carteira empresarial. A abstração dos métodos de pagamento serve tanto as transferências imediatas como o Wero e o euro digital. Três dossiês, um único trabalho de plataforma.

Acompanhe os mandatos, não as propostas. Quando o Conselho e o Parlamento publicam ambos as suas posições, a sobreposição é a zona segura. É nesse momento que se começa a construir, e não no dia em que sai uma proposta.

Registe por escrito o que decidiu e quando. A maioria destes regimes espera que consiga explicar o seu raciocínio. Um registo curto de decisão de arquitetura, com data, vale mais do que um documento de política escrito à posteriori.

Onde entramos nós

Construímos e mantemos software para empresas que operam na Europa, o que significa cada vez mais construir sistemas capazes de absorver alterações regulatórias sem ser reescritos. O trabalho é, na maior parte, pouco vistoso: abstração nas costuras certas, estado explícito e configuração onde a lei deixou, de propósito, um número ajustável.

Se quer uma opinião sobre quais destes dossiês tocam realmente um determinado produto, escreva para office@c9group.dev. As regras que já se aplicam estão mapeadas no nosso guia de conformidade digital na UE para 2026, e há mais sobre o nosso trabalho europeu na página de entrada no mercado da UE.

Somos engenheiros, não juristas, e isto é um mapa de planeamento e não aconselhamento jurídico. Tudo o que está acima é um alvo em movimento até ser publicado no Jornal Oficial.