Multas
Empresas multadas por usar os seus dados.
Multas, acordos e proibições reais, cada um com a sua autoridade, a sua data e o link para a decisão ou a notícia. Ao lado, uma cópia guardada no archive.org, para que sempre se possa conferir.
49 casos
Meta
7 casos251 M€DPC (Irlanda)2024 · Meta
As chaves de sessão de 2018: 29 milhões de contas expostas
Multa pela brecha que a Meta comunicou em setembro de 2018: uma falha deixou expostas as chaves de sessão de cerca de 29 milhões de contas no mundo, com nome, e-mail, telefone, sexo, local de trabalho e as publicações e grupos de cada uma. A autoridade irlandesa encerrou duas investigações com 251 milhões no total.
DPC (IRLANDA) · 17 DEZ 2024
1,4 bi US$Procuradoria do Texas (EUA)2024 · Meta PlatformsAcordo
Reconhecimento facial em fotos sem consentimento
O Texas processou a Meta em 2022 por aplicar reconhecimento facial às fotos enviadas ao Facebook (função 'Tag Suggestions', ativada por padrão) sem o consentimento dos texanos, violando a lei biométrica estadual de 2009. A Meta pagará 500 milhões no primeiro ano e 225 milhões por ano de 2025 a 2028. A Meta nega ter agido de forma errada.
Procuradoria do Texas (EUA) · 30 JUL 2024
1.200 M€DPC (Irlanda)2023 · Meta
A maior multa aplicada com base no RGPD
Um bilhão e duzentos milhões de euros para a Meta, dona do Facebook, do Instagram e do WhatsApp, por continuar mandando para os Estados Unidos os dados dos usuários europeus sem uma proteção equivalente à da Europa. É a maior sanção da história do regulamento europeu de proteção de dados.
DPC (IRLANDA) · 22 MAI 2023
390 mi €DPC (Irlanda)2023 · Meta Platforms Ireland (Facebook 210 M€ + Instagram 180 M€)
Publicidade personalizada sem base legal válida
A DPC e o EDPB concluíram que a Meta não podia usar o 'contrato' como base legal para a publicidade comportamental no Facebook e no Instagram. Também descumpriu a transparência ao não explicar claramente qual base legal usava. Recebeu três meses para adequar o tratamento.
DPC (Irlanda) · 4 JAN 2023
405 mi €DPC (Irlanda)2022 · Meta Platforms Ireland (Instagram)
Dados de menores tratados sem as proteções devidas
A DPC concluiu que o Instagram violou o RGPD ao tratar dados de menores, com falhas de transparência, minimização, privacidade desde a concepção e por padrão e avaliação de impacto (arts. 5, 6, 12, 24, 25 e 35). Além da multa, emitiu uma advertência e ordenou a adequação do tratamento.
DPC (Irlanda) · 15 SET 2022
265 mi €DPC (Irlanda)2022 · Meta Platforms Ireland (Facebook)
Falhas de concepção que permitiram extrair dados de usuários
Na investigação sobre a extração em massa de dados ('data scraping') do Facebook, a DPC encontrou violações dos artigos 25(1) e 25(2) do RGPD (proteção de dados desde a concepção e por padrão). Impôs multas de 265 milhões, uma advertência e uma ordem de adequação.
DPC (Irlanda) · 28 NOV 2022
5 bi US$FTC (EUA)2019 · Facebook (Meta)Acordo
Dados de amigos compartilhados com apps apesar das configurações
Segundo a FTC, o Facebook violou sua ordem de 2012 ao enganar os usuários sobre o controle da própria privacidade: compartilhou dados de amigos com desenvolvedores de apps apesar das configurações e usou para publicidade os telefones fornecidos para a verificação em duas etapas. É a maior sanção de privacidade da história da FTC. Além disso, impôs novas restrições de governança.
FTC (EUA) · 24 JUL 2019
403 mi €DPC (Irlanda)2026 · Google Ireland
Localização guardada por tempo demais e usada em anúncios
A DPC concluiu que entre maio de 2018 e fevereiro de 2020 o Google guardou dados de localização por mais tempo que o necessário e os usou para segmentar anúncios: o tratamento foi ilícito em 'Precisão da localização' e a conservação indevida em 'Atividade na Web e de apps' e 'Histórico de localização'. Também constatou falta de transparência nas três funções. A investigação de ofício foi aberta em 4 de fevereiro de 2020.
DPC (Irlanda) · 21 SET 2026
325 M€CNIL (França)2025 · Google
Cookies ao criar a conta, e anúncios entre os seus e-mails
Duas coisas numa sanção só. Ao criar uma conta Google era mais difícil recusar os cookies de publicidade do que aceitá-los, e não ficava claro que aceitar era condição para usar o serviço: 74 milhões de contas. E quem tinha ligados os «recursos inteligentes» do Gmail recebia anúncios em forma de e-mail entre os seus e-mails privados, sem que ninguém perguntasse: 53 milhões de pessoas.
CNIL (FRANÇA) · 1 SET 2025
1,375 bi US$Procuradoria do Texas (EUA)2025 · GoogleAcordo
Localização rastreada mesmo com a função desativada
O Texas acusou o Google de rastrear em segredo a localização (mesmo com a função desativada), as buscas privadas, a voz e a geometria facial, e de enganar sobre o modo Anônimo, em duas ações que cobriam três produtos. O Google não admitiu irregularidades e disse que se tratava de políticas já alteradas.
Procuradoria do Texas (EUA) · 9 MAI 2025
425,7 mi US$Júri federal da Califórnia (EUA)2025 · Google (Rodriguez et al. v. Google LLC)Recorrida
Atividade em apps guardada mesmo com rastreamento desativado
O júri concluiu que o Google invadiu a privacidade dos usuários ao guardar e usar dados da sua atividade em apps de terceiros depois que eles desativaram o rastreamento ('Atividade na Web e de apps'). Rejeitou a defesa de consentimento do Google, mas não concedeu danos punitivos. É uma ação coletiva privada, não uma multa de um regulador, e o Google anunciou que vai recorrer.
Júri federal da Califórnia (EUA) · 3 SET 2025
391,5 mi US$40 procuradores estaduais (EUA)2022 · GoogleAcordo
Localização coletada mesmo com o histórico desativado
Os estados acusaram o Google de continuar coletando dados de localização depois que os usuários desativaram o histórico de localização da conta, e de usá-los para publicidade. Além do pagamento, o Google se comprometeu a melhorar seus avisos sobre localização a partir de 2023.
40 procuradores estaduais (EUA) · 14 NOV 2022
150 mi €CNIL (França)2021 · Google LLC y Google Ireland
Recusar cookies era mais difícil do que aceitar
No google.fr e no youtube.com era possível aceitar todos os cookies com um clique, mas recusá-los exigia várias etapas, contrariando a lei francesa, que exige que recusar seja tão fácil quanto aceitar. A CNIL considerou a infração deliberada. Deu três meses para corrigi-la, sob multa de 100.000 euros por dia de atraso.
CNIL (França) · 31 DEZ 2021
50 mi €CNIL (França)2019 · Google LLC
Informações de privacidade dispersas e caixas de consentimento pré-marcadas
A CNIL constatou falta de transparência: as informações essenciais (finalidades, prazos de conservação, categorias de dados) estavam dispersas em vários documentos e eram vagas demais. Além disso, o consentimento para a publicidade personalizada não era informado nem específico, e usava caixas pré-marcadas.
CNIL (França) · 21 JAN 2019
170 mi US$FTC e Procuradoria de Nova York (EUA)2019 · Google y YouTubeAcordo
Dados de crianças usados em anúncios sem consentimento dos pais
Segundo a FTC, o YouTube coletou identificadores persistentes (cookies) de espectadores de canais infantis sem avisar os pais nem obter seu consentimento (COPPA), e os usou para exibir anúncios direcionados. A ação afirma que o YouTube sabia que muitos canais eram para crianças, mas disse a um anunciante que não tinha usuários menores de 13 anos.
FTC e Procuradoria de Nova York (EUA) · 4 SET 2019
Amazon
3 casos25 mi US$FTC e DOJ (EUA)2023 · Amazon (Alexa)Acordo
Gravações de voz de crianças guardadas por anos
Segundo a FTC, a Amazon violou a COPPA ao guardar por anos as gravações de voz e os dados de localização de crianças, e não os apagou completamente quando os pais pediram. Usou esses dados para treinar seu reconhecimento de voz.
FTC e DOJ (EUA) · 31 MAI 2023
5,8 mi US$FTC (EUA)2023 · Ring (Amazon)Acordo
Funcionários com acesso a vídeos privados de clientes
A FTC acusou a Ring de permitir que funcionários e terceirizados acessassem vídeos privados de clientes, e de ter uma segurança tão fraca que hackers assumiram o controle de algumas contas e câmeras. Muitas das infrações são anteriores à compra da Ring pela Amazon em 2018. O valor vai para reembolsos a clientes.
FTC (EUA) · 31 MAI 2023
746 mi €CNPD (Luxemburgo)2021 · Amazon Europe CoreDefinitiva
Publicidade por interesses sem base legal nem transparência
A CNPD concluiu que a Amazon tratou dados pessoais para publicidade baseada em interesses sem base legal válida e sem transparência, violando os artigos 6, 12-17 e 21 do RGPD. Em 2025 o Tribunal Administrativo de Luxemburgo rejeitou o recurso da Amazon, confirmou essas conclusões e reativou a multa diária de 746.000 euros, suspensa durante o recurso. A Amazon estudava recorrer.
CNPD (Luxemburgo) · JUL 2021
Microsoft
2 casos310 M€DPC (Irlanda)2024 · Microsoft
LinkedIn · anúncios personalizados sem um consentimento válido
A autoridade irlandesa de proteção de dados multou o LinkedIn, que é da Microsoft, por analisar o comportamento de quem tem um perfil e usar isso para publicidade dirigida sem base legal válida. Além da multa, determinou que regularizasse o tratamento.
DPC (IRLANDA) · 24 OUT 2024
20 mi US$FTC e DOJ (EUA)2023 · Microsoft (Xbox)Acordo
Dados de crianças coletados antes do consentimento dos pais
Segundo a ação, a Microsoft coletou dados pessoais, incluindo números de telefone, de crianças que se cadastravam no Xbox Live antes de avisar os pais e obter seu consentimento, e deu a eles avisos incompletos. Também guardou dados de crianças que não terminaram de criar a conta por mais tempo do que a COPPA permite.
FTC e DOJ (EUA) · 12 JUN 2023
Apple
3 casos95 M US$Tribunal Federal N.D. CAL.2025 · Apple
Siri · gravações sem «E aí, Siri»
Acordo aprovado judicialmente em Lopez v. Apple: os autores alegavam que a Siri gravava conversas sem ativação intencional e que pessoas contratadas as revisavam. A Apple pagou sem reconhecer irregularidades.
TRIBUNAL FEDERAL N.D. CAL. · 2025
98,6 M€AGCM (Itália)2025 · Apple
A mesma tela de privacidade, multada também na Itália
A autoridade italiana de concorrência multou a Apple por abuso de posição dominante pela mesma tela: quem desenvolve um aplicativo precisa pedir a permissão duas vezes para a mesma coisa, uma no aviso da Apple e outra no seu. A Apple, nos aplicativos dela, não passa por isso. A investigação foi feita em coordenação com a Comissão Europeia e com a autoridade italiana de proteção de dados.
AGCM (ITÁLIA) · DEZ 2025
150 M€Autorité DE LA Concurrence (França)2025 · Apple
Multada pela forma de aplicar o próprio aviso de privacidade
Este precisa ser lido com cuidado, porque é o contrário do que parece: a Apple não foi multada por rastrear, e sim por como impôs aos outros a janela «Pedir ao app para não rastrear». A autoridade francesa de concorrência disse que o objetivo não é o problema; o problema é que recusar custa um clique e aceitar custa dois, que a regra não se aplicava igual a todos e que a Apple não a aplicava a si mesma. Multa por abuso de posição dominante entre abril de 2021 e julho de 2023.
AUTORITÉ DE LA CONCURRENCE (FRANÇA) · 31 MAR 2025
TikTok
3 casosR$ 153,7 miANPD2026 · TikTok
ByteDance · dados de crianças e adolescentes sem base legal
A ANPD multou a ByteDance por tratar dados pessoais de crianças e adolescentes sem hipótese legal adequada, nas duas formas de entrar no TikTok: com conta e sem conta. A decisão também determina a eliminação do que foi coletado de forma irregular e as configurações de privacidade mais restritivas por padrão para quem tem menos de 16 anos.
ANPD · 25 AGO 2026
530 mi €DPC (Irlanda)2025 · TikTok Technology LimitedRecorrida
Dados europeus acessíveis da China sem proteção equivalente
A DPC concluiu que o TikTok permitiu o acesso remoto a partir da China a dados de usuários europeus sem garantir proteção equivalente, e que sua política de privacidade de 2021 não mencionava a China nem esse acesso. Também apontou que o TikTok deu informações inexatas durante a investigação sobre onde os dados eram armazenados. Ordenou suspender as transferências para a China caso não se adequasse em seis meses.
DPC (Irlanda) · 2 MAI 2025
345 mi €DPC (Irlanda)2023 · TikTok Technology Limited
Contas de menores públicas por padrão
Entre julho e dezembro de 2020, as contas de usuários de 13 a 17 anos eram públicas por padrão, a função 'Family Pairing' não verificava se o adulto vinculado era pai, mãe ou responsável e as informações de privacidade eram vagas. A DPC também encontrou padrões obscuros que empurravam os menores para configurações mais invasivas.
DPC (Irlanda) · SET 2023
IA e reconhecimento facial
6 casos15 M€Garante (Itália)2026 · OpenAIAnulada
ChatGPT · a multa italiana, anulada por um tribunal
O Garante italiano multou a OpenAI em dezembro de 2024 por tratar dados sem base legal clara, não avisar do vazamento de março de 2023 e não conferir a idade de quem entra. Em 18 de março de 2026 o Tribunal de Roma a anulou. Vale ler o porquê: não disse que o ChatGPT estava certo, disse que o caso não era do Garante italiano e sim da autoridade irlandesa, porque a OpenAI tinha posto ali a sua sede europeia. Caiu por quem julgava, não pelo que se julgava.
GARANTE (ITÁLIA), ANULADA PELO TRIBUNAL DE ROMA · 18 MAR 2026
158.000 €Garante (Itália)2026 · Character.AI
Personagens virtuais, menores entre os usuários e sem conferir a idade
O Garante italiano sancionou a Character Technologies, empresa por trás do Character.AI, um serviço em que qualquer pessoa —inclusive um menor— cria personagens virtuais e conversa com eles. Encontrou informação insuficiente aos usuários, a avaliação de impacto feita tarde e o representante na UE nomeado tarde, além de falhas na proteção de menores e na verificação da idade. A multa é pequena; as ordens não: tem de fazer a verificação de idade funcionar, impedir que um menor bloqueado se registre de novo e pôr os perfis de menores como privados por padrão.
GARANTE (ITÁLIA) · 9 JUL 2026
5 M€Garante (Itália)2025 · Replika
Uma IA de companhia, sem base legal e sem conferir a idade
O Replika é um chatbot que faz as vezes de amigo ou de namorado. O Garante italiano multou a empresa dele, a Luka Inc., por tratar dados sem base legal válida, não explicar o que fazia com eles e não ter como conferir a idade: para entrar bastavam um nome, um e-mail e o sexo. A autoridade apontou o risco para menores.
GARANTE (ITÁLIA) · 19 MAI 2025
30,5 M€Autoridade DE Dados (Países Baixos)2024 · Clearview AI
Trinta bilhões de rostos coletados da internet
A autoridade holandesa multou a Clearview AI por construir um banco de dados com mais de 30 bilhões de fotos de rostos raspadas da internet, convertidas num código biométrico por pessoa, sem permissão de ninguém e sem contar a ninguém. Além da multa, até cinco milhões a mais de multa cominatória. E um aviso pouco comum: a autoridade avisou que usar a Clearview é ilegal e que as empresas que o fizerem podem esperar multa.
AUTORIDADE DE DADOS (PAÍSES BAIXOS) · SET 2024
20 mi €CNIL (França)2022 · Clearview AI
Rostos coletados e usados sem base legal
A CNIL concluiu que a Clearview coletava e usava dados biométricos (rostos) de pessoas na França sem base legal, sem atender os direitos de acesso e exclusão e sem responder à sua notificação de novembro de 2021. Impôs a multa máxima, mais 100.000 euros por dia de atraso, e ordenou que parasse de coletar esses dados e apagasse os existentes em dois meses.
CNIL (França) · 17 OUT 2022
20 mi €Garante (Itália)2022 · Clearview AI
Dados biométricos tratados sem base legal nem aviso
O Garante concluiu que a Clearview tratava dados biométricos e de geolocalização de pessoas na Itália sem base jurídica adequada, sem informá-las, sem limite de conservação e para fins diferentes daqueles de sua publicação. Ordenou que apagasse esses dados, proibiu que continuasse a coletá-los e exigiu que nomeasse um representante na UE.
Garante (Itália) · 9 MAR 2022
Antivírus
3 casos16,5 M US$FTC2024 · Antivírus
Avast · vendia o histórico de navegação dos usuários
A FTC concluiu que a Avast, enquanto prometia bloquear o rastreamento, vendeu através da sua subsidiária Jumpshot dados de navegação detalhados e reidentificáveis para mais de 100 terceiros entre 2014 e 2020. Está proibida de vender dados de navegação para fins publicitários. A Avast discorda da caracterização dos fatos.
FTC · 22 FEV 2024
351 mi CZKÚOOÚ (Tchéquia)2024 · Avast Software s.r.o.Anulada
Histórico de navegação do antivírus repassado à subsidiária
A ÚOOÚ concluiu que em 2019 a Avast repassou sem base legal à sua subsidiária Jumpshot o histórico de navegação pseudonimizado de cerca de 100 milhões de usuários de seu antivírus e extensões, enquanto lhes dizia que só compartilhava dados anônimos para análise de tendências. Em 30-09-2025 o Tribunal Municipal de Praga confirmou as infrações, mas anulou o valor da multa e o número de cerca de 100 milhões de afetados. Devolveu o caso à ÚOOÚ para recalcular a multa.
ÚOOÚ (Tchéquia) · 16 ABR 2024
ProibiçãoDepto. de Comércio – BIS (EUA)2024 · Kaspersky Lab, Inc.Proibição
Proibido nos EUA por risco à segurança nacional
Não é uma multa de privacidade, mas uma proibição por segurança nacional: o BIS proibiu a Kaspersky de vender e atualizar antivírus e software de cibersegurança nos EUA (as atualizações foram permitidas até 29-09-2024). Segundo o BIS, a empresa está sujeita à jurisdição russa, seu acesso administrativo a dados de clientes poderia permitir que eles chegassem à Rússia e ela poderia instalar software malicioso ou reter atualizações. Além disso, três entidades da Kaspersky entraram na Entity List por cooperar com a inteligência militar russa.
Depto. de Comércio – BIS (EUA) · 20 JUN 2024
Venda de dados
6 casosProibiçãoFTC (EUA)2026 · Dados à vendaProibição
Kochava · vendia a localização exata de centenas de milhões de celulares
A FTC proíbe a Kochava e sua subsidiária Collective Data Solutions de vender, ceder ou compartilhar dados de localização sensíveis sem consentimento expresso. Segundo a ação, a localização precisa que vendiam permitia seguir os movimentos de uma pessoa, incluindo visitas a serviços de saúde e a locais de culto. Não há multa: há proibição e a obrigação de informar a quem perguntar para quais empresas sua localização foi vendida.
FTC (EUA) · 4 MAI 2026
ProibiçãoFTC (EUA)2024 · X-Mode Social / OutlogicProibição
Localização vendida revelava visitas a clínicas e templos
A FTC acusou a X-Mode de vender, sem consentimento informado, dados de localização precisos vinculados a IDs de publicidade que permitiam rastrear visitas a clínicas, centros de saúde reprodutiva, templos e abrigos para vítimas de violência. É a primeira ordem da FTC que proíbe um corretor de dados de vender dados de localização sensíveis e o obriga a apagar os já coletados.
FTC (EUA) · 9 JAN 2024
ProibiçãoFTC (EUA)2024 · InMarket MediaProibição
Localização de apps usada em anúncios sem consentimento
Segundo a FTC, a InMarket usou dados de localização de seus apps (CheckPoints, ListEase) e de apps de terceiros com seu SDK para publicidade, sem informar nem obter consentimento, e criou quase 2.000 segmentos de público. Guardava a geolocalização por cinco anos. A ordem a proíbe de vender ou licenciar dados de localização precisos.
FTC (EUA) · 18 JAN 2024
ProibiçãoFTC (EUA)2024 · Gravy Analytics y VenntelProibição
Localização comprada sem confirmar o consentimento dos usuários
A FTC alegou que a Gravy comprava dados de localização de fornecedores que não confirmavam o consentimento dos usuários, e que a Venntel dependia totalmente da Gravy para essa verificação. Usaram os dados para classificar pessoas por características sensíveis como filiação política, religião ou condições médicas.
FTC (EUA) · 3 DEZ 2024
ProibiçãoFTC (EUA)2024 · MobilewallaProibição
Dados de leilões de anúncios guardados e localização vendida
Segundo a FTC, a Mobilewalla guardava dados de leilões de anúncios em tempo real (RTB) que não vencia, algo proibido pelas plataformas de anúncios, e vendia localização não anonimizada que permitia seguir pessoas até centros médicos ou abrigos. Também criou cercas geográficas para rastrear sindicalistas e participantes de comícios políticos.
FTC (EUA) · 3 DEZ 2024
575–700 mi US$FTC2019 · EquifaxAcordo
Falha não corrigida expôs dados de 147 milhões de pessoas
A Equifax não corrigiu uma vulnerabilidade crítica sobre a qual foi avisada em março de 2017, e os atacantes encontraram credenciais de administrador guardadas em texto simples, o que expôs dados de cerca de 147 milhões de pessoas. O acordo inclui um fundo de 300 milhões para consumidores (ampliável em 125 mi), 175 milhões para os estados e 100 milhões de multa do CFPB.
FTC, CFPB e estados (EUA) · 22 JUL 2019
Operadoras
2 casos42 M€CNIL (França)2026 · Free
Free e Free Mobile · 24 milhões de contratos expostos, com IBAN
27 milhões para a Free Mobile e 15 para a Free. Um invasor entrou em outubro de 2024 e acessou dados de 24 milhões de contratos de assinantes; de quem era cliente das duas empresas, também o IBAN. A CNIL apontou autenticação fraca no acesso remoto, detecção insuficiente, dados guardados de contratos já encerrados e um aviso aos atingidos que não explicava as consequências. Mais de 2.500 reclamações.
CNIL (FRANÇA) · 13 JAN 2026
~200 mi US$FCC (EUA)2024 · AT&T, Verizon, T-Mobile y Sprint
Localização de clientes vendida a revendedores de dados
As quatro operadoras venderam acesso à localização de seus clientes a agregadores que a revendiam, transferindo a terceiros a obrigação de obter o consentimento, que muitas vezes não foi obtido. Continuaram vendendo depois de saber que suas salvaguardas falhavam; os dados chegaram, por exemplo, a um xerife do Missouri por meio da Securus. O total se divide entre AT&T (mais de 57 mi), Verizon (cerca de 47 mi), T-Mobile (mais de 80 mi) e Sprint (mais de 12 mi).
FCC (EUA) · 29 ABR 2024
Lojas
1 caso150 M€CNIL (França)2025 · SHEIN
Rastreadores antes de qualquer escolha e um «recusar» que não funcionava
A CNIL sancionou a subsidiária irlandesa da SHEIN porque o site deixava rastreadores, vários de publicidade, assim que a pessoa chegava: antes mesmo de ela tocar no aviso de cookies. E quando clicava em «Recusar tudo» ou retirava o consentimento, novos rastreadores eram depositados e os que já estavam continuavam sendo lidos. Cerca de 12 milhões de visitas por mês vindas da França.
CNIL (FRANÇA) · 1 SET 2025
Outras empresas
5 casos825 mi €AP (Países Baixos)2026 · UberRecorrida
Contas de motoristas desativadas sem intervenção humana
Segundo a AP, entre 2018 e 2022 o software da Uber desativava automaticamente as contas dos motoristas, de forma temporária por suspeita de fraude ou permanente por avaliações ruins, sem intervenção humana. Isso viola a proibição do RGPD de decisões totalmente automatizadas, e além disso a Uber não informou suficientemente os motoristas; é a segunda maior multa do RGPD da história. A Uber anunciou que vai recorrer.
AP (Países Baixos) · 21 AGO 2026
290 mi €AP (Países Baixos)2024 · Uber Technologies / Uber B.V.
Dados de motoristas enviados aos EUA sem garantias
A AP concluiu que a Uber enviou dados sensíveis de motoristas europeus aos EUA entre agosto de 2021 e novembro de 2023 sem garantias adequadas, violando o artigo 44 do RGPD. A Uber tratava suas filiais dos EUA e dos Países Baixos como controladoras conjuntas, mas a AP rejeitou esse argumento. A Uber continua contestando a multa.
AP (Países Baixos) · 22 JUL 2024
150 mi US$FTC e DOJ (EUA)2022 · Twitter (hoy X)Acordo
Telefones e e-mails de segurança usados para publicidade
Entre 2013 e 2019 o Twitter usou para publicidade direcionada os e-mails e telefones que mais de 140 milhões de usuários haviam fornecido para a verificação em duas etapas e a recuperação da conta. A FTC considerou que isso violava sua ordem de 2011 e os acordos Privacy Shield com a UE e a Suíça.
FTC e DOJ (EUA) · MAI 2022
18,4 mi £ICO (Reino Unido)2020 · Marriott InternationalDefinitiva
Dados de hóspedes expostos em ataque não detectado
A ICO multou a Marriott por não proteger os dados de milhões de clientes em um ataque cibernético à Starwood que começou em 2014 e passou despercebido até setembro de 2018. Foram expostos cerca de 339 milhões de registros de hóspedes, 7 milhões deles de pessoas do Reino Unido. A Marriott não recorreu, sem admitir responsabilidade.
ICO (Reino Unido) · 30 OUT 2020
20 mi £ICO (Reino Unido)2020 · British Airways
Vazamento de dados afetou mais de 400 mil clientes
A ICO multou a British Airways por um vazamento de dados de junho de 2018 que afetou mais de 400.000 clientes. A multa proposta inicialmente era de 183,39 milhões de libras (cerca de 1,5% do seu faturamento global).
ICO (Reino Unido) · 16 OUT 2020
Os valores não são somados: vêm de países, moedas e momentos diferentes.
Valores na moeda da decisão original. Um acordo ou «settlement» não implica reconhecimento de culpa: Apple e Avast negaram as acusações. Incluímos porque o padrão —promessa de privacidade, realidade diferente— é justamente o que a GUARDIANA quer evitar: cada serviço explica quais dados vê e quais não. Os processos são apresentados em português; cada link leva ao documento original.
Fontes
Todo dado deste site que não seja uma leitura do seu próprio navegador ou uma maquete marcada como tal vem de uma destas fontes. Consultadas em setembro de 2026.
- The Verge — National Public Data reconhece o vazamento de 2,9 bi de registros (16 ago 2024)
- Citizen Lab — CatalanGate: Pegasus e Candiru contra 65 pessoas na Espanha (18 abr 2022)
- FBI + CISA — Declaração conjunta sobre a invasão chinesa em operadoras dos EUA (13 nov 2024)
- Reuters — Google vai destruir dados de navegação anônima para encerrar o processo (1 abr 2024)
- GeekWire — T-Mobile: acordo de 350 mi US$ pelo vazamento de 76 mi de pessoas (22 jul 2022)
- Journal of IT Teaching Cases — O caso Vastaamo (2024)
- OAIC — Ação sancionadora contra a Medibank por 9,7 mi de australianos (5 jun 2024)
- elDiario.es — A AEPD multa a LaLiga em 250.000 € pelo microfone do seu app (11 jun 2019)
- INCIBE — A AEPD multa a Vodafone em 8,15 mi € (mar 2021)
- The New York Times — ToTok, o app de mensagens usado como ferramenta de espionagem (22 dez 2019)
- Google Security Blog — Certificados não autorizados de CNNIC/MCS Holdings (23 mar 2015)
- Apple Newsroom — Apple processa o NSO Group (23 nov 2021)
- FTC — Google e YouTube vão pagar 170 mi US$ pela privacidade de menores (4 set 2019)
- DPC Irlanda — Decisão sobre o WhatsApp: 225 mi € (2 set 2021)
- Autoriteit Persoonsgegevens — 290 mi € à Uber por transferências de dados de motoristas (26 ago 2024)
- OCC — 80 mi US$ ao Capital One pelo vazamento de 2019 (6 ago 2020)
- FTC — Avast: proibição de vender dados de navegação e 16,5 mi US$ (22 fev 2024)
- TechRadar — 8 PB de dados acumulados pela Jumpshot (2024)
- Dep. de Comércio dos EUA — Determinação final contra a Kaspersky (20 jun 2024), via National Law Review
- Microsoft — Incidente CrowdStrike: 8,5 mi de aparelhos (20 jul 2024)
- Dep. de Comércio dos EUA — NSO Group incluído na Entity List (3 nov 2021)
- The Guardian — PRISM (6 jun 2013)
- DPC Irlanda — 1,2 bi € à Meta (22 mai 2023), via Hunton
- DPC Irlanda — 390 mi € à Meta por publicidade personalizada (4 jan 2023)
- FTC — 5 bi US$ ao Facebook (24 jul 2019)
- Procuradoria-Geral de Nova Jersey — 391,5 mi US$ do Google por rastreamento de localização (14 nov 2022)
- CNIL — 50 mi € ao Google (21 jan 2019)
- Comissão Europeia — 4,34 bi € ao Google pelo Android (18 jul 2018)
- Courthouse News — Aprovação do acordo de 95 mi US$ em Lopez v. Apple (2025)
- Comissão Europeia — 1,8 bi € à Apple por música em streaming (4 mar 2024)
- FTC — Ring 5,8 mi US$ e Alexa 25 mi US$ (31 mai 2023)
- BDO — Contexto: 746 mi € à Amazon (2021)
- DPC Irlanda — 310 mi € ao LinkedIn (24 out 2024)
- DPC Irlanda — 345 mi € ao TikTok (15 set 2023)
- FTC — 150 mi US$ ao X, então Twitter (25 mai 2022)
- FTC — 520 mi US$ à Epic Games (19 dez 2022)
- Autoriteit Persoonsgegevens — 30,5 mi € à Clearview AI (3 set 2024)
- FTC — Acordo Equifax (22 jul 2019)
- FTC — Acordo ampliado com a Uber (12 abr 2018)
- SEC — 35 mi US$ à Altaba/Yahoo (24 abr 2018)
- Hunton — A ICO multa a Marriott em 18,4 mi £ (30 out 2020)
- CNBC — A ICO multa a British Airways em 20 mi £ (16 out 2020)
- IBM — Cost of a Data Breach Report 2025
- Help Net Security — Resumo do relatório da IBM 2025