Lei Geral de Proteção de Dados: o que a LGPD exige

A Lei Geral de Proteção de Dados (LGPD), Lei nº 13.709/2018, é a lei brasileira que regula a coleta, o armazenamento, o tratamento e o compartilhamento de dados pessoais, garante direitos ao titular dos dados e prevê multa de até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração. A LGPD está em vigor desde 18 de setembro de 2020, as sanções valem desde 1º de agosto de 2021 e quem fiscaliza é a Autoridade Nacional de Proteção de Dados (ANPD).

A LGPD é uma entre 144 leis de proteção de dados (data privacy laws) nacionais em vigor no mundo. Empresas brasileiras que vendem para fora, ou que usam plataformas de marketing sediadas nos Estados Unidos e na Europa, respondem a mais de uma delas ao mesmo tempo. Esta página reúne mais de 60 dessas leis, por região, com data de vigência, alcance e multa máxima, e fecha com o que tudo isso muda na coleta e na ativação de dados de cliente.

LGPD e leis de proteção de dados: os números principais

• A LGPD exige uma base legal para cada finalidade de tratamento, e o consentimento é apenas uma das dez bases previstas no art. 7º
• A ANPD fiscaliza, edita a regulamentação e aplica as sanções: multa, multa diária, publicização da infração, bloqueio e eliminação dos dados pessoais
• O prazo de resposta ao titular dos dados (data subject) é de 15 dias para o pedido de acesso aos dados, contra 30 dias no GDPR e 45 dias nas leis estaduais dos Estados Unidos
• 144 países tinham lei nacional de proteção de dados em janeiro de 2025 (IAPP), e essas leis cobrem cerca de 82% da população mundial
• 20 estados dos EUA têm lei geral de privacidade do consumidor em vigor em julho de 2026; não existe lei federal equivalente
• O GDPR, em vigor desde 25 de maio de 2018, prevê multa de até € 20 milhões ou 4% do faturamento anual global, o que for maior
• A maior multa de privacidade já aplicada é de € 1,2 bilhão contra a Meta (autoridade irlandesa de proteção de dados, maio de 2023)
• Quase todas essas leis alcançam a empresa fora do país: valem para quem trata dados de residentes, não importa onde a empresa esteja sediada

O que a LGPD exige de quem trabalha com dados de cliente

A LGPD organiza o tratamento de dados pessoais em torno de três obrigações operacionais: escolher uma base legal antes de coletar, informar a finalidade ao titular e responder aos pedidos do titular dentro do prazo. As três obrigações valem para todo dado de cliente, do cadastro do e-commerce ao número de telefone usado em campanha de WhatsApp.

A LGPD alcança qualquer empresa que trate dados pessoais no Brasil, que ofereça bens ou serviços a pessoas no Brasil, ou que colete dados no território brasileiro (art. 3º). Uma empresa sediada em Lisboa ou em Miami que vende para consumidor brasileiro está sujeita à lei, como uma varejista de São Paulo está sujeita ao GDPR ao vender para a União Europeia.

As dez bases legais e por que a escolha muda o sistema

O art. 7º da LGPD lista dez bases legais (lawful bases) para tratar dado pessoal. O consentimento é apenas uma delas. As outras nove incluem a execução de contrato, o cumprimento de obrigação legal, a proteção do crédito e o legítimo interesse do controlador.

Essa distinção decide arquitetura, não apenas texto de política. Tratamento apoiado em consentimento exige registro de quando, como e para qual finalidade o titular concordou, e exige um caminho de revogação tão simples quanto o de concessão (art. 8º, §5º). Tratamento apoiado em legítimo interesse dispensa o consentimento, mas exige um teste de balanceamento documentado e o direito de oposição do titular. Um sistema que guarda um único campo booleano de “aceitou” não consegue sustentar nenhuma das duas hipóteses em uma fiscalização.

Dados pessoais sensíveis (origem racial, convicção religiosa, opinião política, dado de saúde, dado biométrico, entre outros) seguem o regime mais estreito do art. 11, que reduz as bases legais disponíveis e exige consentimento específico e destacado. Marketing baseado em inferência de saúde ou de religião cai nesse regime mesmo quando a empresa nunca pediu esse dado diretamente.

Os direitos do titular e os prazos de resposta

O art. 18 dá ao titular nove direitos, e os que mais pressionam um sistema de dados de cliente são quatro: confirmação da existência de tratamento, acesso aos dados, correção e eliminação dos dados tratados com base no consentimento. O prazo é de 15 dias para o pedido de acesso, com resposta imediata em formato simplificado quando o titular pede assim.

Quinze dias é um prazo curto quando o mesmo cliente existe como quatro registros em quatro sistemas. A resolução de identidade é o que reduz esses quatro registros a um, e a empresa precisa saber onde cada dado pessoal identificável (PII) está antes de receber o primeiro pedido, não depois.

Quem fiscaliza e quanto custa descumprir

A ANPD aplica as sanções do art. 52: advertência, multa simples de até 2% do faturamento no Brasil limitada a R$ 50 milhões por infração, multa diária, publicização da infração, bloqueio dos dados e eliminação dos dados. O teto por infração engana quando lido isolado: a mesma prática aplicada a uma base inteira de clientes pode ser enquadrada como várias infrações, e as sanções não monetárias, como o bloqueio da base, costumam doer mais em uma operação de marketing do que a multa.

A ANPD também edita a regulamentação que preenche a lei, do regime de comunicação de incidente de segurança às regras de transferência internacional de dados (art. 33). A empresa que trata dado de brasileiro fora do país precisa de um mecanismo de transferência válido, do mesmo modo que o GDPR exige um para tirar dado da União Europeia.

Como as principais leis diferem na prática

As diferenças que determinam o que um sistema de conformidade precisa fazer são três: o modelo de consentimento (opt-in ou opt-out), o prazo de resposta ao pedido do titular e a exigência de manter o dado dentro do país. A tabela abaixo resume essas dimensões nos regimes que mais alcançam sistemas de dados de cliente.

Para quem opera o sistema, isso significa uma coisa: o estado de consentimento precisa ser guardado por cliente e por jurisdição. “Não trate sem consentimento” (LGPD, GDPR, PIPL) e “trate até que o titular se oponha” (estados dos EUA) são padrões opostos, e um único campo não representa os dois.

Quais leis de proteção de dados valem na América Latina

Todas as principais economias latino-americanas têm lei nacional de proteção de dados, e a LGPD brasileira é a mais fiscalizada delas. Para a empresa brasileira que expande na região, o ponto de atenção é o Chile: a nova lei entra em vigor plenamente em dezembro de 2026 e cria a primeira autoridade de proteção de dados chilena.

A LGPD segue a estrutura do GDPR (bases legais, direitos do titular, autoridade nacional), com dois desvios que importam no orçamento: o teto de multa é menor e calculado sobre o faturamento no Brasil, não sobre o faturamento global. Uruguai e Argentina têm decisão de adequação da Comissão Europeia, o que permite receber dado da União Europeia sem instrumento contratual adicional. O Brasil não tem essa decisão, então a transferência de dado europeu para cá depende de cláusulas contratuais padrão ou de outro mecanismo previsto no GDPR.

Quais leis de proteção de dados valem na Europa

O Regulamento Geral sobre a Proteção de Dados (GDPR) rege os 27 países da União Europeia mais Islândia, Liechtenstein e Noruega, e continua sendo o modelo que as demais leis do mundo copiam. Reino Unido e Suíça mantêm leis nacionais alinhadas ao GDPR.

O GDPR vale para qualquer organização do mundo que ofereça serviços a pessoas na União Europeia ou monitore o comportamento delas, e exige base legal antes de começar o tratamento. A fiscalização é real: as autoridades europeias já haviam aplicado mais de € 5,8 bilhões em multas acumuladas até janeiro de 2025 (DLA Piper GDPR Fines and Data Breach Survey, 2025), incluindo a multa recorde de € 1,2 bilhão contra a Meta, em 2023, por transferências entre União Europeia e Estados Unidos.

Como um dado pessoal pode sair legalmente da União Europeia

Um dado pessoal só pode deixar a União Europeia por um mecanismo reconhecido: decisão de adequação, certificação no EU-U.S. Data Privacy Framework ou cláusulas contratuais padrão (SCCs). A Comissão Europeia concede a decisão de adequação a países cuja proteção considera equivalente, entre eles Reino Unido, Japão, Coreia do Sul, Argentina e Uruguai. Empresas dos Estados Unidos podem se autocertificar no Data Privacy Framework, adotado em julho de 2023 depois que o mecanismo anterior foi invalidado. A multa da Meta veio justamente de transferências feitas sob esse mecanismo anterior. Todos os demais dependem de cláusulas contratuais padrão, em geral acompanhadas de uma avaliação de impacto da transferência. A China impõe a restrição espelhada: no PIPL, exportar dado pessoal exige avaliação de segurança do governo, contrato padrão ou certificação.

Quais leis de proteção de dados valem nos Estados Unidos e no Canadá

Os Estados Unidos regulam privacidade por setor (dado de criança, saúde, finanças, educação), enquanto o Canadá tem uma lei nacional para o setor privado e uma lei provincial mais rígida em Quebec.

A PIPEDA exige que a organização siga dez princípios de tratamento justo da informação, da prestação de contas ao acesso individual. A Lei 25 de Quebec vai além da lei federal: com multa na escala do GDPR (CAD 25 milhões ou 4% do faturamento mundial), é a lei de proteção de dados mais rígida da América do Norte fora da Califórnia.

Quais estados dos EUA têm lei geral de privacidade

Vinte estados dos EUA aprovaram leis gerais de privacidade do consumidor, e as 20 estão em vigor em julho de 2026. A maioria segue o modelo da Virgínia, com direitos de acesso, correção, eliminação e oposição à venda, à publicidade direcionada e ao perfilamento. A Califórnia continua sendo a mais ampla, por cobrir também dado de empregado e de contato B2B, e Maryland é a mais rígida em minimização de dados.

A aplicabilidade é por limiar, não por sede: a maior parte dessas leis só alcança empresas que tratam dados de 100 mil residentes ou mais, ou de 25 mil quando parte da receita vem da venda de dados. O que decide é a sua base de clientes naquele estado.

A Califórnia continua sendo a referência. O CCPA/CPRA alcança empresas com fins lucrativos que faturam mais de US$ 25 milhões por ano, tratam dados de 100 mil consumidores ou domicílios ou tiram 50% ou mais da receita da venda ou do compartilhamento de dado pessoal, e criou a California Privacy Protection Agency (CPPA), a única autoridade estadual dedicada à privacidade. Nos outros 19 estados a fiscalização fica com o procurador-geral, e nenhum deles dá ao consumidor o direito de processar diretamente, fora a hipótese estreita de vazamento prevista na Califórnia.

Os valores por violação enganam pelo mesmo motivo que o teto da LGPD engana: a multa se multiplica pelo número de consumidores afetados. O acordo da Sephora com o procurador-geral da Califórnia, em 2022, foi de US$ 1,2 milhão por uma única prática de rastreamento. A tabela acima cobre apenas as leis gerais; leis estaduais mais estreitas também alcançam sistemas de dados de cliente, com destaque para a My Health My Data Act, de Washington, que cobre inferência de saúde e dá ao consumidor o direito de processar.

Quais leis de proteção de dados valem na Ásia-Pacífico

A Ásia-Pacífico concentra a maior variedade de regimes, das regras estritas de localização da China no PIPL à lei indiana DPDP, centrada em consentimento e ainda em implantação por fases.

O PIPL costuma ser chamado de “GDPR chinês”, mas vai além: exige avaliação de segurança para transferência internacional e localização de certos dados. A empresa de transporte por aplicativo Didi foi multada com base no PIPL em CNY 8,026 bilhões (cerca de US$ 1,2 bilhão), em 2022. O DPDP Act indiano é o regime relevante mais recente: o regulamento foi finalizado em 2025 e as obrigações entram em fases até 2027, então as empresas globais estão montando os programas de conformidade agora.

Quais leis de proteção de dados valem no Oriente Médio e na África

A maioria dos países do Golfo e as maiores economias africanas adotaram leis de proteção de dados inspiradas no GDPR desde 2018, cada uma com sua autoridade nacional.

Privacidade de dados no marketing: consentimento, dados primários e ativação

Para as áreas de marketing e de dados, a LGPD e suas equivalentes transformam consentimento, finalidade e rastreabilidade em requisitos de sistema, e a resposta que se sustenta é uma estratégia de dados primários (first-party data) com consentimento registrado. Dado coletado direto do cliente, com base legal declarada e finalidade específica, dá à empresa um ponto de partida lícito em todas as jurisdições desta página. O dado que o próprio cliente declara (zero-party data), em uma preferência de canal ou em uma pesquisa de perfil, é o caso mais limpo, porque a finalidade fica explícita no momento da coleta. Dado de terceiro raramente oferece esse ponto de partida, e é uma das razões pelas quais o rastreamento sem cookies e a coleta própria substituíram a compra de audiência.

Duas capacidades decidem o resultado na prática. A gestão de consentimento (consent management) registra o que cada cliente autorizou, por finalidade e por canal, e aplica esse registro no momento do disparo, não apenas no momento da coleta. A governança de dados (data governance) responde às perguntas que a ANPD faz em uma fiscalização: onde está cada dado pessoal, quem pode acessá-lo e a empresa consegue eliminá-lo quando o titular exerce esse direito.

No Brasil, essas obrigações batem em dois canais que quase nenhuma outra economia tem na mesma proporção. O WhatsApp é o canal de relacionamento dominante, e a mensagem ativa exige opt-in registrado com finalidade, o que torna o histórico de consentimento parte da operação de campanha, não um documento jurídico guardado à parte. O Pix, por sua vez, gera um dado transacional de cobertura muito alta, ligado à identidade do pagador; esse dado entra no perfil do cliente sob a base legal da execução do contrato, e usá-lo para segmentar campanha é outra finalidade, que exige base própria.

As duas capacidades dependem da mesma condição: saber onde cada registro do cliente está. É por isso que conformidade e infraestrutura de dados de cliente convergem. Uma plataforma de dados do cliente que unifica os perfis em um lugar só consegue anexar o estado de consentimento a cada perfil e atender aos pedidos de acesso e de eliminação dentro dos 15 dias, sem caçar registros em uma dezena de sistemas desconectados. O ganho não é apenas defensivo: a mesma unificação é o que permite ativar o dado nos canais sem duplicar dado pessoal em cada ferramenta a jusante.

Artigos relacionados

• Como conduzir privacidade e conformidade com uma CDP — como o dado unificado sustenta a operação de conformidade (em inglês)
• Governança de privacidade: 8 boas práticas — programa de governança para múltiplas jurisdições (em inglês)
• Gestão de consentimento na CDP — como operacionalizar o consentimento entre canais (em inglês)
• Estratégia de dados primários começa por confiança — transparência como vantagem de coleta (em inglês)
• Privacidade e confiança de marca: estatísticas — atitudes do consumidor por trás dessas leis (em inglês)

FAQ

O que é a Lei Geral de Proteção de Dados (LGPD)?

A Lei Geral de Proteção de Dados (LGPD), Lei nº 13.709/2018, é a lei brasileira que define como empresas e órgãos públicos podem coletar, tratar e compartilhar dados pessoais. A LGPD exige uma base legal para cada finalidade de tratamento, dá nove direitos ao titular dos dados e cria a ANPD como autoridade fiscalizadora. A lei vale desde 18 de setembro de 2020 e as sanções, desde 1º de agosto de 2021.

Qual é a multa da LGPD?

A multa simples da LGPD é de até 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração. A ANPD também pode aplicar multa diária, advertência, publicização da infração, bloqueio dos dados pessoais e eliminação dos dados. Em uma operação de marketing, o bloqueio da base costuma pesar mais do que o valor da multa, porque interrompe a campanha em curso.

Qual é a diferença entre LGPD e GDPR?

A LGPD e o GDPR têm a mesma estrutura (bases legais, direitos do titular, autoridade nacional), e diferem no teto da multa e no prazo de resposta ao titular. O GDPR chega a € 20 milhões ou 4% do faturamento global; a LGPD, a R$ 50 milhões ou 2% do faturamento no Brasil. O prazo de acesso é de 15 dias na LGPD e de um mês no GDPR. Empresa brasileira que vende para a Europa responde à LGPD e ao GDPR ao mesmo tempo.

Quando o consentimento é obrigatório na LGPD?

O consentimento é obrigatório quando nenhuma das outras nove bases legais do art. 7º cobre a finalidade do tratamento, e é sempre exigido, de forma específica e destacada, para a maioria dos usos de dado pessoal sensível. Execução de contrato, obrigação legal e legítimo interesse dispensam o consentimento. O legítimo interesse exige teste de balanceamento documentado e garante ao titular o direito de oposição.

A LGPD vale para empresa estrangeira que atende brasileiros?

Sim: a LGPD alcança qualquer empresa que trate dados no Brasil, ofereça bens ou serviços a pessoas no Brasil ou colete dados no território brasileiro, não importa onde esteja sediada (art. 3º). Quase todas as leis desta página têm o mesmo alcance extraterritorial. Uma varejista brasileira que vende para a União Europeia responde ao GDPR pelo mesmo mecanismo, e ao CCPA se ultrapassar os limiares da Califórnia.

Quantos países têm lei de proteção de dados?

Em janeiro de 2025, 144 países tinham lei nacional de proteção de dados, segundo a International Association of Privacy Professionals (IAPP). As leis nacionais de proteção de dados cobrem hoje cerca de 82% da população mundial. O crescimento foi rápido: existiam cerca de 40 leis do tipo em 2000, conforme as tabelas globais do pesquisador Graham Greenleaf. As lacunas restantes se concentram em partes da África, da Ásia Central e do Pacífico.

Esta página é uma referência educacional, não é orientação jurídica. Consulte um advogado para decisões de conformidade.

Este artigo também está disponível em: Data Privacy Laws by Country and U.S. State (2026)