Tribunal de Roma anula multa de 15 milhões de euros imposta pelo Garante à OpenAI por razões de jurisdição

Em 18 de março de 2026, o Tribunal de Roma anulou integralmente a decisão da autoridade italiana de proteção de dados contra a OpenAI: uma coima de 15 milhões de euros e uma ordem que exigia que a empresa realizasse uma campanha de informação pública de seis meses sobre como o ChatGPT é treinado com dados pessoais. O tribunal não considerou que a OpenAI tivesse cumprido o RGPD. Considerou que o Garante — a Autorità Garante per la Protezione dei Dati Personali — já não era a autoridade competente para decidir. O fundamento era a jurisdição — um ponto que o tribunal não explicou naquele dia e que só ficou claro quando a fundamentação completa foi publicada em 28 de maio de 2026 — e dependia de uma data: a Comissão de Proteção de Dados da Irlanda tinha reconhecido a OpenAI Ireland Ltd como o estabelecimento único da empresa no Espaço Económico Europeu em 15 de fevereiro de 2024, oito meses e meio antes da decisão final do Garante, e, ao abrigo do mecanismo de balcão único do RGPD, o processo deveria, nessa altura, estar em Dublin. A Reuters noticiou a decisão em 19 de março de 2026 e observou que o tribunal não divulgou qualquer explicação na altura; o Garante recusou-se a comentar. O grau de gravidade, a classificação de confiança e a lista completa de fontes do registo encontram-se no Orca AI Incident Archive, a par das outras entradas regulamentares europeias arquivadas em torno dele.

O que foi anulado e o que o tribunal não disse

A decisão em questão é a do Garante, constante do provvedimento n. 755, de 2 de novembro de 2024, publicado em 20 de dezembro de 2024. A decisão concluiu que a OpenAI não havia notificado a autoridade sobre uma violação de dados pessoais sofrida em março de 2023, havia processado dados pessoais dos usuários para treinar o ChatGPT sem antes identificar uma base legal adequada, havia violado as obrigações de transparência e informação do RGPD e não havia implementado qualquer mecanismo de verificação de idade, com o resultado — nas palavras do Garante — de que crianças com menos de 13 anos corriam o risco de serem expostas a respostas inadequadas ao seu estágio de desenvolvimento.

A quantia de 15 milhões de euros foi, segundo o próprio Garante, calculada "também tendo em conta a atitude cooperativa da empresa". A parte mais invulgar da decisão foi a segunda ordem. Utilizando pela primeira vez o artigo 166(7) do Código de Privacidade Italiano, a autoridade exigiu uma campanha institucional de seis meses em rádio, televisão, jornais e internet, cujo conteúdo deveria ser acordado com a autoridade, destinada tanto a utilizadores como a não utilizadores do ChatGPT e que explicasse como os seus dados foram recolhidos para treino e como se opor, retificar ou apagar esses dados.

Em 18 de março de 2026, o tribunal anulou essa decisão na íntegra. Não apresentou fundamentação nesse dia. O Garante recebeu a sentença em 19 de março, e a fundamentação completa só ficou disponível publicamente em 28 de maio de 2026, como registam Theodore Christakis e Giulio Monga no European Law Blog. A resposta da OpenAI, enviada à Reuters, foi que saudava a decisão, tinha "sempre estado empenhada em respeitar a privacidade dos utilizadores" e esperava poder ajudar mais cidadãos italianos, empresas e a sociedade italiana a beneficiar da IA. O Garante não fez comentários.

Três semanas, depois oito meses e meio

A cronologia é o cerne da questão. O Garante instaurou o seu procedimento sancionatório em 26 de janeiro de 2024. Em 15 de fevereiro de 2024 — cerca de três semanas depois — a Comissão de Proteção de Dados da Irlanda reconheceu formalmente a OpenAI Ireland Ltd como o estabelecimento único da OpenAI no EEE. O Garante adotou a sua decisão final em 2 de novembro de 2024, cerca de oito meses e meio após esse reconhecimento.

Essa distinção entre constituição e reconhecimento é importante. A OpenAI Ireland Ltd foi constituída em 24 de março de 2023, mas “estabelecimento único” é um conceito autónomo do direito da proteção de dados da UE, que depende do exercício efetivo e real da atividade através de estruturas estáveis; as duas datas não têm de coincidir. O que mudou em 15 de fevereiro de 2024 não foi a existência de uma empresa irlandesa, mas o seu reconhecimento para efeitos de balcão único.

O artigo 56.º, n.º 1, do RGPD confere à autoridade de controlo do estabelecimento principal ou único do responsável pelo tratamento competência exclusiva sobre o tratamento transfronteiriço, atuando como autoridade principal. O Tribunal de Roma baseou-se no Parecer 8/2019 do Comité Europeu para a Proteção de Dados e, em particular, no seu ponto 4.3.2, relativo à criação de um estabelecimento principal ou único, ou à sua transferência de um país terceiro para o EEE, quando já estão pendentes processos administrativos. Nessa interpretação, a competência pode transferir-se para a nova autoridade principal em qualquer momento até ser adotada uma decisão final, e qualquer processo pendente deve ser transferido com ela.

O Garante havia antecipado o problema e dividido o processo. Seu comunicado de imprensa de dezembro de 2024 afirma que, como a OpenAI havia estabelecido sua sede europeia na Irlanda durante a investigação, a autoridade “encaminhou os documentos processuais à Autoridade de Proteção de Dados irlandesa (DPC), que se tornou a autoridade supervisora principal nos termos do RGPD, a fim de continuar a investigar quaisquer infrações em curso que não tenham sido esgotadas antes da abertura da sede europeia”. A qualificação é do próprio Garante: ele manteve o que considerou concluído e encaminhou o que considerou em curso. O tribunal decidiu que a divisão não lhe era permitida.

A palavra da qual o julgamento dependia

Quase todo o litígio se reduz ao n.º 16 do Parecer 8/2019, que afirma que as questões examinadas no Parecer «dizem principalmente respeito a infrações de natureza continuada ou contínua». O Garante interpretou isso como um limite: a lógica da transferência foi concebida para infrações continuadas e não poderia abranger condutas já concluídas antes de existir qualquer estabelecimento no EEE. A OpenAI interpretou «principalmente» como descritivo e não exclusivo. O tribunal deu razão à OpenAI, considerando que «principalmente» identifica o tipo de caso em que a questão surge mais frequentemente e não exclui a aplicação da mesma lógica a infrações concluídas quando o processo ainda está pendente e não foi tomada nenhuma decisão definitiva.

O argumento subsidiário do Garante era o princípio do código civil italiano do tempus regit actum — de que a lei em vigor à data é a que rege. O tribunal rejeitou-o com base nos factos: tratava-se de uma sucessão de factos, não de uma sucessão de leis. O momento decisivo, segundo a lógica do acórdão, não é a data da infração nem a data de abertura da investigação, mas a data de adoção da decisão final. A partir desse momento, a competência fica fixada.

O mérito nunca foi apreciado.

O tribunal acolheu o primeiro fundamento de recurso, falta de competência, e declarou todos os demais fundamentos "absorbidos". Não se pronunciou sobre a base legal para o treino, sobre a transparência, sobre a verificação de idade ou sobre a notificação tardia da violação. Nada disse sobre se os 15 milhões de euros eram proporcionais. Essas questões permanecem formalmente sem resposta.

Esse é o ponto que mais facilmente se perde na cobertura. Como colocou a empresa italiana Rödl & Partner em uma nota de junho de 2026, o acórdão "não deve ser lido como um sinal verde substantivo para as práticas da OpenAI: trata-se apenas de uma transferência de competência para a autoridade supervisora competente". O verbete do arquivo não registra danos no mundo real para este incidente, o que é coerente com um caso que girava em torno de quem pode decidir, e não de um dano comprovado a pessoas identificadas.

Se o processo tem sede em Dublin

A objeção mais substancial à decisão é que o destinatário da transferência também pode não conseguir decidir o caso. Christakis e Monga, escrevendo no European Law Blog em 4 de junho de 2026 sob o título “Establish, Then Escape?”, argumentam que a interpretação do tribunal produz uma lacuna na aplicação da lei, e não uma mudança de foro. Seu exemplo concreto é a notificação da violação. A violação ocorreu em 20 de março de 2023 e o dever de notificar o Garante venceu setenta e duas horas depois, quando a OpenAI não tinha estabelecimento na UE e a OpenAI Ireland Ltd ainda não havia sido constituída. O Garante classificou essa infração como consumada e reservou-a para si; segundo a lógica do tribunal, toda a decisão, incluindo essa acusação, desaparece. Os autores argumentam que é difícil ver como a autoridade irlandesa, cuja competência é posterior e decorre de um estabelecimento que não existia quando o dever surgiu, poderia apreciar uma notificação devida ao Garante em relação a titulares de dados italianos.

São cuidadosos quanto aos limites desse argumento, e o leitor também o deveria ser. Registam a posição contrária — a de que o RGPD é um instrumento único aplicável em toda a União, pelo que qualquer autoridade que se torne a autoridade principal pode aplicá-lo sempre que os factos tenham ocorrido — e consideram a questão discutível. Observam que não têm conhecimento de qualquer decisão anterior de um tribunal nacional que aplique a secção 4.3.2 do Parecer 8/2019, que se trata de uma decisão de primeira instância proferida por um juiz singular e que o alcance do artigo 56.º sobre condutas anteriores ao estabelecimento lhes parece indefinido, e não claro. A sua recomendação é um reenvio prejudicial para o Tribunal de Justiça ao abrigo do artigo 267.º do TFUE.

A lacuna de aplicação não é apenas uma previsão doutrinária. Theodore Christakis, escrevendo no Cross-Border Data Forum no dia seguinte à decisão, registrou que nenhuma outra autoridade europeia de proteção de dados publicou uma decisão final de aplicação relativa a violações do RGPD do período de lançamento do ChatGPT de novembro de 2022 a março de 2023, e que o relatório da força-tarefa sobre o ChatGPT do EDPB de maio de 2024 continha apenas opiniões preliminares. Por esse motivo, a única decisão final de aplicação do RGPD que a Europa produziu durante o período de lançamento da IA generativa foi agora anulada.

O que mudou depois de 18 de março

A multa já havia sido suspensa. Em 21 de março de 2025, o mesmo tribunal suspendeu os efeitos da sanção até o julgamento, mediante garantia — uma caução, ou depósito de garantia, na descrição do despacho feita pela Altalex. Essa suspensão não afetou o mérito, e a anulação um ano depois também não.

O Garante não removeu tanto o processo do seu registo, mas antes colocou-o de lado. A sua página de comunicado de imprensa relativa à decisão 755 contém agora um aviso de que a decisão "foi temporariamente removida do site do Garante" após a sentença n. 4153/2026. O termo é da própria autoridade: temporariamente.

Sobre a questão do recurso, as fontes são coerentes, mas incompletas. Christakis e Monga observam que o Garante ainda pode recorrer à Corte di Cassazione. O Cross-Border Data Forum registrou, em 19 de março de 2026, que, como a fundamentação ainda não havia sido divulgada, a autoridade não estava, naquele momento, em condições de dizer se o faria. Nas fontes consultadas para este artigo, não encontramos qualquer relato de apresentação de recurso desde então, nem uma decisão final da Irish Data Protection Commission sobre o processo transferido. Nenhuma dessas ausências é prova de que nada aconteceu; ambas significam que o desfecho ainda não está encerrado.

Estabelecido, argumentado e aberto

• Estabelecido: que a sentença n.º 4153/2026, de 18 de março de 2026, anulou integralmente a decisão n.º 755, de 2 de novembro de 2024, eliminando uma coima de 15 milhões de euros e uma ordem de campanha mediática de seis meses; que o dispositivo foi lido nesse dia sem fundamentação; e que os fundamentos publicados se baseiam no balcão único, no reconhecimento pela DPC da OpenAI Ireland Ltd em 15 de fevereiro de 2024 e no Parecer 8/2019 do EDPB.

• Discutido:se um processo pendente pode ser devidamente transferido para uma autoridade cuja competência é posterior à conduta em causa. O tribunal disse que sim; Christakis e Monga afirmam que essa leitura deixa a conduta anterior ao estabelecimento sem possibilidade de execução e querem que o Tribunal de Justiça decida; Rödl & Partner e a ICT Legal Consulting descrevem o acórdão, em vez disso, como um esclarecimento sobre a forma como o balcão único se aplica a uma mudança de estabelecimento a meio do procedimento.

• Em aberto: se o Garante leva o caso à Corte di Cassazione, se algum tribunal o remete ao Luxemburgo e se a autoridade irlandesa chega algum dia a uma decisão sobre a parte do dossiê que recebeu.

Os 15 milhões de euros desapareceram. A questão suscitada pelo caso — quem na Europa pode responsabilizar um fornecedor de IA generativa ao abrigo do RGPD pelo período anterior à existência de um estabelecimento europeu — limitou-se a mudar de mesa.