A Mudança que Pegou Todos de Surpresa (Mas Estava na Cara)

Se você gerencia hospedagem, lida com dados de clientes na UE ou roda qualquer plataforma de serviços de dados, preste atenção. A ideia de que o cliente carrega toda a culpa pelo GDPR? Acabou de vez.

Durante os primeiros sete anos de fiscalização do GDPR, o padrão era claro: vazamentos de dados levavam multas para quem tinha o contato direto com os usuários. O provedor de hosting, o processador de nuvem ou a camada de infraestrutura apareciam nas investigações, mas o golpe regulatório caía em outra cabeça. Isso rolou de 2018 a 2024.

Em 2025, o jogo virou. Duas decisões regulatórias provam isso – e todo executivo de hosting deveria perder o sono por causa delas.

Caso 1: Falha no NHS que Saiu por £3,07 Milhões

Em março de 2025, o Escritório do Comissário de Informação do Reino Unido quebrou um tabu: multou diretamente um processador de dados.

A Advanced Computer Software Group cuida de TI para o Serviço Nacional de Saúde britânico. Em agosto de 2022, ransomware invadiu via uma conta de cliente sem autenticação multifator. Dados médicos de quase 900 pacientes de cuidados domiciliares vazaram, afetando 82.946 pessoas.

O ponto chave: a multa veio porque a Advanced falhou na proteção de dados que prometeu guardar por contrato, não por ser dona dos pacientes.

A investigação do ICO apontou os erros técnicos:

• Falta de MFA em sistemas com dados de saúde
• Ausência de varreduras completas de vulnerabilidades
• Gerenciamento fraco de patches

A multa inicial era de £6,1 milhões. Com acordo e cooperação, caiu para £3,07 milhões. A lição? O Artigo 32 do UK GDPR exige medidas técnicas e organizacionais adequadas de segurança. Se você processa dados por contrato, tem que garantir isso. Sem desculpas.

Não multaram o NHS. Multaram o processador.

Caso 2: A Armadilha da Retenção que Custou €1 Milhão

Cinco meses depois, a CNIL francesa deu seu veredicto histórico contra a Mobius Solutions, uma SaaS britânica que tratava dados de anúncios para o Deezer.

Ao fim do contrato, a Mobius cometeu um erro grave para o mundo do hosting: manteve os dados. Pior, usou para turbinar o próprio serviço sem aval do Deezer.

A CNIL listou três infrações:

1. Manter dados após o fim do contrato (violação do Artigo 28(3)(g))
2. Processar dados fora das instruções do controlador (violação do Artigo 28(3)(a))
3. Não registrar adequadamente as atividades de processamento (violação do Artigo 30)

Resultado: €1 milhão em multa.

O que torna isso vital para plataformas de hosting é o alcance – 46 milhões de registros de usuários do Deezer. Sem sede na UE, a CNIL agiu direto, sem atalhos. Três anos de apuração (de novembro de 2022 a dezembro de 2025) e pronto: processador no alvo.

Por Que Isso Muda Tudo no Seu Negócio de Hosting

Não são exceções. São precedentes. Veja o que eles fixam:

Você responde direto pela segurança. Acordo de processamento de dados (DPA) passa obrigações contratuais, não riscos regulatórios. Se falhar nos controles técnicos, a multa é sua.

Deletar dados é lei, não opção. Contrato acabou? Apague tudo conforme combinado. Guardar "por via das dúvidas" ou para seu ganho atrai punição direta. Mobius prova que não tem meio-termo.

Padrões de segurança viraram obrigatórios. MFA, gerenciamento de vulnerabilidades, patches, controles de acesso – em 2025, isso é requisito regulatório, não extra. Auditoria revela buracos. Regulador multa.

Documentação é salvação ou sentença. A Mobius levou multa extra por falta de registros de processamento. Seus logs de atividades, auditorias técnicas, relatórios de incidentes e políticas de retenção são provas. Sem eles, presume-se irregularidade.

Ações Imediatas para o Seu Hosting

Roda plataforma de hosting, serviços gerenciados ou infraestrutura SaaS com dados da UE? Faça isso já:

1. Audite sua arquitetura de segurança. MFA, criptografia, segmentação de rede, scans de vulnerabilidades – tudo rodando em sistemas com dados pessoais? Senão, está na mira.

2. Cheque retenção de dados. Ao fim de contratos, a automação apaga mesmo? Ou fica em backups eternos? Registre prazos e cumpra.

3. Reforce os DPAs. Defina obrigações de segurança, procedimentos de deleção e direitos de auditoria com clareza. Nada de generalidades.

4. Adote logging e monitoramento total. Prove o que processa, quem acessa e como protege. Isso é sua defesa.

5. Pense em seguro cyber. Multas do GDPR pesam. Não cobre tudo, mas faz parte de gestão de riscos séria.

6. Chame advogados especialistas. Esses casos são frescos. Precisa de quem entenda o shift técnico e legal de 2025.

A Verdade Incômoda

O enquadramento legal responsabilizando processadores existe desde 2018. Reguladores só miravam controladores – alvos fáceis e visíveis.

2025 mudou: agora vão atrás de quem guarda e protege os dados. E estão agindo.

Advanced e Mobius abriram a porteira. Não serão os únicos. Todo provedor de hosting, SaaS ou nuvem com dados da UE entra no radar.

Não é se vão multar processadores. Já multam. É se você está pronto quando vierem atrás de você.

Aqui na NameOcean, criamos o Vibe Hosting com arquitetura focada em compliance porque conhecemos esse terreno. Mas compliance não se compra – se constrói em cada camada de infraestrutura, docs e operações.

Comece hoje. O precedente está dado.