Lei Geral de Proteção de Dados: o que a LGPD exige

A Lei Geral de Proteção de Dados (LGPD), Lei nº 13.709/2018, é a lei brasileira que regula a coleta, o armazenamento, o tratamento e o compartilhamento de dados pessoais, garante direitos ao titular dos dados e prevê multa de até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração. A LGPD está em vigor desde 18 de setembro de 2020, as sanções valem desde 1º de agosto de 2021 e quem fiscaliza é a Autoridade Nacional de Proteção de Dados (ANPD).

A LGPD é uma das 144 leis de proteção de dados nacionais (data privacy regulations) em vigor no mundo. Empresas brasileiras que vendem para fora, ou que usam plataformas de marketing sediadas nos Estados Unidos e na Europa, respondem a mais de uma delas ao mesmo tempo. Esta página reúne mais de 60 dessas leis, por região, com data de vigência, alcance e multa máxima, e fecha com o que tudo isso muda na coleta e na ativação de dados de cliente.

LGPD e leis de proteção de dados: os números principais

• A LGPD exige uma base legal para cada finalidade de tratamento, e o consentimento é apenas uma das dez bases previstas no art. 7º
• A ANPD fiscaliza, edita a regulamentação e aplica as sanções: multa, multa diária, publicização da infração, bloqueio e eliminação dos dados pessoais
• O prazo de resposta ao titular dos dados (data subject) é de 15 dias para o pedido de acesso aos dados, versus 30 dias no GDPR e 45 dias nas leis estaduais dos Estados Unidos
• 144 países tinham lei nacional de proteção de dados em janeiro de 2025 (IAPP), e essas leis cobrem cerca de 82% da população mundial
• 24 estados dos EUA aprovaram leis gerais de privacidade do consumidor — 20 em vigor em julho de 2026, com Alabama, Louisiana, Oklahoma e Vermont com vigência entre 2027 e 2028; não existe lei federal equivalente
• O GDPR, em vigor desde 25 de maio de 2018, prevê multa de até € 20 milhões ou 4% do faturamento anual global, o que for maior
• A maior multa de privacidade já aplicada é de € 1,2 bilhão contra a Meta (autoridade irlandesa de proteção de dados, maio de 2023)
• A CCPA da Califórnia saiu da divulgação para a governança: um pacote de regulamentação em vigor em 1º de janeiro de 2026 exige avaliações de risco antes do tratamento abrangido, com os direitos de tomada de decisão automatizada valendo a partir de 1º de janeiro de 2027
• Quase todas essas leis alcançam a empresa fora do país: valem para quem trata dados de residentes, não importa onde a empresa esteja sediada

O que a LGPD exige de quem trabalha com dados de cliente

A LGPD organiza o tratamento de dados pessoais em torno de três obrigações operacionais: escolher uma base legal antes de coletar, informar a finalidade ao titular e responder aos pedidos do titular dentro do prazo. As três obrigações valem para todos os dados de cliente, do cadastro do e-commerce ao número de telefone usado em campanha de WhatsApp.

A LGPD alcança qualquer empresa que trate dados pessoais no Brasil, que ofereça bens ou serviços a pessoas no Brasil, ou que colete dados no território brasileiro (art. 3º). Uma empresa sediada em Lisboa ou em Miami que vende para o consumidor brasileiro está sujeita à lei, como uma varejista de São Paulo está sujeita ao GDPR ao vender para a União Europeia.

As dez bases legais e por que a escolha muda o sistema

O art. 7º da LGPD lista dez bases legais (lawful bases) para tratar dados pessoais. O consentimento é apenas uma delas. As outras nove incluem a execução de contrato, o cumprimento de obrigação legal, a proteção do crédito e o legítimo interesse do controlador.

Essa distinção decide arquitetura, não apenas texto de política. O tratamento apoiado em consentimento exige registro de quando, como e para qual finalidade o titular concordou, e exige um caminho de revogação tão simples quanto o de concessão (art. 8º, §5º). O tratamento apoiado em legítimo interesse dispensa o consentimento, mas exige um teste de balanceamento documentado e o direito de oposição do titular. Um sistema que guarda um único campo booleano de “aceitou” não consegue sustentar nenhuma das duas hipóteses em uma fiscalização.

Dados pessoais sensíveis (origem racial, convicção religiosa, opinião política, dados de saúde, dados biométricos, entre outros) seguem o regime mais estreito do art. 11, que reduz as bases legais disponíveis e exige consentimento específico e destacado. Marketing baseado em inferência de saúde ou de religião cai nesse regime mesmo quando a empresa nunca pediu esses dados diretamente.

Os direitos do titular e os prazos de resposta

O art. 18 dá ao titular nove direitos, e os que mais pressionam um sistema de dados de cliente são quatro: confirmação da existência de tratamento, acesso aos dados, correção e eliminação dos dados tratados com base no consentimento. O prazo é de 15 dias para o pedido de acesso, com resposta imediata em formato simplificado quando o titular pede nesse formato.

Quinze dias é um prazo curto quando o mesmo cliente existe como quatro registros em quatro sistemas. A resolução de identidade é o que reduz esses quatro registros a um, e a empresa precisa saber onde estão os dados pessoais identificáveis (PII) antes de receber o primeiro pedido, não depois.

Quem fiscaliza e quanto custa descumprir

A ANPD aplica as sanções do art. 52: advertência, multa simples de até 2% do faturamento no Brasil limitada a R$ 50 milhões por infração, multa diária, publicização da infração, bloqueio dos dados e eliminação dos dados. O teto por infração engana quando lido isolado: a mesma prática aplicada a uma base inteira de clientes pode ser enquadrada como várias infrações, e as sanções não monetárias, como o bloqueio da base, costumam pesar mais em uma operação de marketing do que a multa.

A ANPD também edita a regulamentação que detalha a lei, do regime de comunicação de incidente de segurança às regras de transferência internacional de dados (art. 33). A empresa que trata dados de brasileiros fora do país precisa de um mecanismo de transferência válido, do mesmo modo que o GDPR exige um para tirar dados da União Europeia.

Como as principais leis diferem na prática

As diferenças que determinam o que um sistema de conformidade precisa fazer são três: o modelo de consentimento (opt-in ou opt-out), o prazo de resposta ao pedido do titular e a exigência de manter os dados dentro do país. A tabela abaixo resume essas dimensões nos regimes que mais alcançam sistemas de dados de cliente.

Para quem opera o sistema, isso significa uma coisa: o estado de consentimento precisa ser guardado por cliente e por jurisdição. “Não trate sem consentimento” (LGPD, GDPR, PIPL) e “trate até que o titular se oponha” (estados dos EUA) são padrões opostos, e um único campo não representa os dois.

Quais leis de proteção de dados valem na América Latina

Todas as principais economias latino-americanas têm lei nacional de proteção de dados, e a LGPD brasileira é a mais fiscalizada delas. Para a empresa brasileira que expande na região, o ponto de atenção é o Chile: a nova lei entra em vigor plenamente em dezembro de 2026 e cria a primeira autoridade de proteção de dados chilena.

A LGPD segue a estrutura do GDPR (bases legais, direitos do titular, autoridade nacional), com dois desvios que importam no orçamento: o teto de multa é menor e calculado sobre o faturamento no Brasil, não sobre o faturamento global. O Brasil passou a ter decisão de adequação da Comissão Europeia em 26 de janeiro de 2026, no mesmo dia em que o país reconheceu a União Europeia em sentido inverso (Decisão de Execução (UE) 2026/179). A transferência de dados europeus para um controlador brasileiro sujeito à LGPD deixou de exigir cláusulas contratuais padrão, requisito que valia até então e que ainda vale para a maior parte dos países da região; Uruguai e Argentina já tinham a mesma decisão.

Quais leis de proteção de dados valem na Europa

O Regulamento Geral sobre a Proteção de Dados (GDPR) rege os 27 países da União Europeia, além de Islândia, Liechtenstein e Noruega, e continua sendo o modelo que as demais leis do mundo copiam. Reino Unido e Suíça mantêm leis nacionais alinhadas ao GDPR.

O GDPR vale para qualquer organização do mundo que ofereça serviços a pessoas na União Europeia ou monitore o comportamento delas, e exige base legal antes de começar o tratamento. A fiscalização é real: as autoridades europeias já haviam aplicado mais de € 5,8 bilhões em multas acumuladas até janeiro de 2025 (DLA Piper GDPR Fines and Data Breach Survey, 2025), incluindo a multa recorde de € 1,2 bilhão contra a Meta, em 2023, por transferências entre União Europeia e Estados Unidos.

Como dados pessoais podem sair legalmente da União Europeia

Os dados pessoais só podem deixar a União Europeia por um mecanismo reconhecido: decisão de adequação, certificação no EU-U.S. Data Privacy Framework ou cláusulas contratuais padrão (SCCs). A Comissão Europeia concede a decisão de adequação a países cuja proteção considera equivalente, entre eles Reino Unido, Japão, Coreia do Sul, Argentina, Uruguai e, desde 26 de janeiro de 2026, o Brasil (Decisão de Execução (UE) 2026/179), em decisão recíproca que dispensa as cláusulas contratuais padrão nas transferências entre a União Europeia e o Brasil. Empresas dos Estados Unidos podem se autocertificar no Data Privacy Framework, adotado em julho de 2023 depois que o mecanismo anterior foi invalidado. A multa da Meta veio justamente de transferências feitas sob esse mecanismo anterior. Todos os demais dependem de cláusulas contratuais padrão, em geral acompanhadas de uma avaliação de impacto da transferência. A China impõe a restrição equivalente em sentido inverso: no PIPL, exportar dados pessoais exige avaliação de segurança do governo, contrato padrão ou certificação.

Quais leis de proteção de dados valem nos Estados Unidos e no Canadá

Os Estados Unidos regulam a privacidade por setor (dados de crianças, de saúde, de finanças e de educação), enquanto o Canadá tem uma lei nacional para o setor privado e uma lei provincial mais rígida em Quebec.

A PIPEDA exige que a organização siga dez princípios de tratamento justo da informação, da prestação de contas ao acesso individual. A Lei 25 de Quebec vai além da lei federal: com multa na escala do GDPR (CAD 25 milhões ou 4% do faturamento mundial), é a lei de proteção de dados mais rígida da América do Norte fora da Califórnia.

Quais estados dos EUA têm lei geral de privacidade

Vinte e quatro estados dos EUA aprovaram leis gerais de privacidade do consumidor. Vinte estão em vigor em julho de 2026; os quatro mais recentes — Alabama, Louisiana, Oklahoma e Vermont — entram em vigor entre 2027 e 2028. A maioria segue o modelo da Virgínia, com direitos de acesso, correção, eliminação e oposição à venda, à publicidade direcionada e ao perfilamento. A Califórnia continua sendo a mais ampla, por cobrir também dados de empregados e de contatos B2B, e Maryland é a mais rígida em minimização de dados.

A aplicabilidade é por limiar, não por sede: a maior parte dessas leis só alcança empresas que tratam dados de 100 mil residentes ou mais, ou de 25 mil quando parte da receita vem da venda de dados. O que decide é a base de clientes da empresa naquele estado.

A Califórnia continua sendo a referência. A CCPA/CPRA alcança empresas com fins lucrativos que faturam mais de US$ 26.625.000 por ano, tratam dados de 100 mil consumidores ou domicílios, ou tiram 50% ou mais da receita da venda ou do compartilhamento de dados pessoais, e a lei criou a California Privacy Protection Agency (CPPA), a única autoridade estadual dedicada à privacidade. Esses valores em dólar são indexados ao Índice de Preços ao Consumidor (CPI) e reajustados a cada ano ímpar (o limiar de receita era de US$ 25 milhões antes do ajuste de 1º de janeiro de 2025), por isso vale citar o cronograma atual da CPPA em vez do valor original da lei. Nos outros 23 estados a fiscalização fica com o procurador-geral, e nenhum deles dá ao consumidor o direito de processar diretamente, fora a hipótese estreita de vazamento prevista na Califórnia — e essa hipótese também tem valores ajustados: o consumidor pode recuperar danos estatutários de US$ 107 a US$ 799 por consumidor e por incidente, contra os US$ 100 a US$ 750 do texto original da lei.

Os valores por violação enganam pelo mesmo motivo que o teto da LGPD engana: a multa se multiplica pelo número de consumidores afetados. O acordo da Sephora com o procurador-geral da Califórnia, em 2022, foi de US$ 1,2 milhão por uma única prática de rastreamento. A tabela acima cobre apenas as leis gerais; leis estaduais mais estreitas também alcançam sistemas de dados de cliente, com destaque para a My Health My Data Act, de Washington, que cobre inferência de saúde e dá ao consumidor o direito de processar.

O que mudou em 2026. A maior história de 2026 não são as quatro leis novas, mas as mudanças nas que já estão em vigor — e a Califórnia, silenciosa desde a CPRA, foi a que mais avançou. Um pacote de regulamentação da CCPA em vigor em 1º de janeiro de 2026 exige avaliações de risco antes do tratamento abrangido (venda ou compartilhamento de dados pessoais, tratamento de dados sensíveis e certas tecnologias automatizadas), permite ao consumidor confirmar se um pedido de opt-out — inclusive um enviado via Global Privacy Control — foi atendido, estende os pedidos de acesso até 1º de janeiro de 2022 quando os dados são mantidos por mais de um ano, e exige que uma correção permaneça válida mesmo quando uma fonte recorrente volta a fornecer o valor antigo. As disposições sobre tomada de decisão automatizada — aviso prévio de uso, acesso e direito de opt-out — passam a valer em 1º de janeiro de 2027, com as certificações de auditoria de segurança cibernética entrando em fases a partir de 1º de abril de 2028, por faixa de receita. Separadamente, a legislatura enviou oito projetos de lei de privacidade ao governador ao encerrar os trabalhos em 31 de agosto de 2026, com decisões previstas até 30 de setembro; se sancionados, uma emenda que proíbe a venda ou o compartilhamento de dados pessoais sensíveis exceto quando o consumidor determina (AB 1542) e um direito ampliado de eliminação que alcança dados pessoais coletados “do ou sobre” um consumidor (SB 923) entram em vigor em 1º de janeiro de 2027. A reforma de Connecticut — em sua maior parte em vigor desde 1º de julho de 2026 — reduziu o limiar de aplicabilidade de 100 mil residentes para 35 mil, acrescentou gatilhos sem limiar de volume nenhum (tratar dados sensíveis, ou oferecer dados pessoais para venda), ampliou a definição de dados pessoais sensíveis, acrescentou uma avaliação de impacto do perfilamento separada para o tratamento criado a partir de 1º de agosto de 2026, e agora exige que os avisos de privacidade informem se os dados pessoais são usados para treinar modelos de linguagem de grande porte (LLMs). Um segundo pacote de Connecticut, em vigor em 1º de outubro de 2026, proíbe a venda de dados de geolocalização precisa, somando-se a Maryland, Virgínia e Oregon, e acrescenta o registro de agregadores de dados. Maryland manteve a definição de “geolocalização precisa” em 1.750 pés, mas a estendeu a dispositivos móveis e veículos, e proibiu a venda consciente de dados pessoais a entidades públicas que recentemente participaram ou apoiaram a aplicação da imigração. Nova Jersey proibiu a venda de dados sensíveis por completo em 30 de junho de 2026, e New Hampshire proibiu a venda dos dados pessoais de crianças a partir de 1º de janeiro de 2027. O padrão é consistente: os estados já não se limitam a definir direitos do consumidor; estão traçando linhas duras sobre quais categorias de dados podem ser vendidas, e para quem.

As quatro leis mais recentes se afastam do modelo da Virgínia em pontos que importam na operação. Alabama, em geral, não trata a divulgação para fins de analytics ou de certos serviços de marketing como “venda” de dados, e não exige avaliações de impacto de proteção de dados. Louisiana exige pelo menos dois métodos seguros e confiáveis para o envio de pedidos de direitos, e um aviso bem visível quando dados sensíveis ou biométricos são oferecidos para venda. Oklahoma submete todos os direitos, inclusive os opt-outs, à autenticação — uma diferença em relação à Califórnia, onde os opt-outs não são verificados —, e trata dados pseudonimizados como dados pessoais quando eles podem ser razoavelmente associados a uma pessoa identificável. Vermont, a última a entrar em vigor (1º de janeiro de 2028), acrescenta direitos sobre a tomada de decisão automatizada que produz efeito jurídico ou similarmente significativo, e exige que os avisos de privacidade informem se os dados pessoais são usados para treinar LLMs. Os períodos de cura também diferem: 30 dias em Oklahoma e Louisiana (o de Louisiana expira em 31 de julho de 2027), 45 dias em Alabama, e 60 dias em Vermont até 30 de junho de 2029.

Quais leis de proteção de dados valem na Ásia-Pacífico

A Ásia-Pacífico concentra a maior variedade de regimes, das regras estritas de localização da China no PIPL à lei indiana DPDP, centrada em consentimento e ainda em implantação por fases.

O PIPL costuma ser chamado de “GDPR chinês”, mas vai além: exige avaliação de segurança para transferência internacional e localização de certos dados. A empresa de transporte por aplicativo Didi foi multada com base no PIPL em CNY 8,026 bilhões (cerca de US$ 1,2 bilhão), em 2022. O DPDP Act indiano é o regime relevante mais recente: o regulamento foi finalizado em 2025 e as obrigações entram em vigor por fases até 2027, por isso as empresas globais estão montando os programas de conformidade agora.

Quais leis de proteção de dados valem no Oriente Médio e na África

A maioria dos países do Golfo e as maiores economias africanas adotaram leis de proteção de dados inspiradas no GDPR desde 2018, cada uma com sua autoridade nacional.

Privacidade de dados no marketing: consentimento, dados primários e ativação

Para as áreas de marketing e de dados, a LGPD e suas equivalentes transformam consentimento, finalidade e rastreabilidade em requisitos de sistema, e a resposta que se sustenta é uma estratégia de dados primários (first-party data) com consentimento registrado. Dados coletados direto do cliente, com base legal declarada e finalidade específica, dão à empresa um ponto de partida lícito em todas as jurisdições desta página. Os dados que o próprio cliente declara (zero-party data), em uma preferência de canal ou em uma pesquisa de perfil, são o caso mais limpo, porque a finalidade fica explícita no momento da coleta. Dados de terceiros raramente oferecem esse ponto de partida, e isso é uma das razões pelas quais o rastreamento sem cookies e a coleta própria substituíram a compra de audiência.

Duas capacidades decidem o resultado na prática. A gestão de consentimento (consent management) registra o que cada cliente autorizou, por finalidade e por canal, e aplica esse registro no momento do disparo, não apenas no momento da coleta. A governança de dados (data governance) responde às perguntas que a ANPD faz em uma fiscalização: onde estão os dados pessoais, quem pode acessá-los e se a empresa consegue eliminá-los quando o titular exerce esse direito.

No Brasil, essas obrigações recaem sobre dois canais que quase nenhuma outra economia tem na mesma proporção. O WhatsApp é o canal de relacionamento dominante, e a mensagem ativa exige opt-in registrado com finalidade, o que torna o histórico de consentimento parte da operação de campanha, não um documento jurídico guardado à parte. O Pix, por sua vez, gera dados transacionais de cobertura muito alta, vinculados à identidade do pagador; esses dados entram no perfil do cliente sob a base legal da execução do contrato, e usá-los para segmentar campanha é outra finalidade, que exige base própria.

As duas capacidades dependem da mesma condição: saber onde cada registro do cliente está. É por isso que conformidade e infraestrutura de dados de cliente convergem. Uma plataforma de dados do cliente que unifica os perfis em um lugar só consegue vincular o estado de consentimento a cada perfil e atender aos pedidos de acesso e de eliminação dentro dos 15 dias, sem caçar registros em uma dezena de sistemas desconectados. O ganho não é apenas defensivo: a mesma unificação é o que permite ativar os dados nos canais sem duplicar dados pessoais em cada ferramenta a jusante.

Artigos relacionados

• Como conduzir privacidade e conformidade com uma CDP — como os dados unificados sustentam a operação de conformidade (em inglês)
• Governança de privacidade: 8 boas práticas — programa de governança para múltiplas jurisdições
• Gestão de consentimento na CDP — como operacionalizar o consentimento entre canais (em inglês)
• Estratégia de dados primários começa por confiança — transparência como vantagem de coleta (em inglês)
• Privacidade e confiança de marca: estatísticas — atitudes do consumidor por trás dessas leis (em inglês)

FAQ

O que é a Lei Geral de Proteção de Dados (LGPD)?

A Lei Geral de Proteção de Dados (LGPD), Lei nº 13.709/2018, é a lei brasileira que define como empresas e órgãos públicos podem coletar, tratar e compartilhar dados pessoais. A LGPD exige uma base legal para cada finalidade de tratamento, dá nove direitos ao titular dos dados e cria a ANPD como autoridade fiscalizadora. A lei vale desde 18 de setembro de 2020 e as sanções, desde 1º de agosto de 2021.

Qual é a multa da LGPD?

A multa simples da LGPD é de até 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração. A ANPD também pode aplicar multa diária, advertência, publicização da infração, bloqueio dos dados pessoais e eliminação dos dados. Em uma operação de marketing, o bloqueio da base costuma pesar mais do que o valor da multa, porque interrompe a campanha em curso.

Qual é a diferença entre LGPD e GDPR?

A LGPD e o GDPR têm a mesma estrutura (bases legais, direitos do titular, autoridade nacional), e diferem no teto da multa e no prazo de resposta ao titular. O GDPR chega a € 20 milhões ou 4% do faturamento global; a LGPD, a R$ 50 milhões ou 2% do faturamento no Brasil. O prazo de acesso é de 15 dias na LGPD e de um mês no GDPR. Empresa brasileira que vende para a Europa responde à LGPD e ao GDPR ao mesmo tempo.

Quando o consentimento é obrigatório na LGPD?

O consentimento é obrigatório quando nenhuma das outras nove bases legais do art. 7º cobre a finalidade do tratamento, e é sempre exigido, de forma específica e destacada, para a maioria dos usos de dados pessoais sensíveis. Execução de contrato, obrigação legal e legítimo interesse dispensam o consentimento. O legítimo interesse exige teste de balanceamento documentado e garante ao titular o direito de oposição.

A LGPD vale para empresa estrangeira que atende brasileiros?

Sim: a LGPD alcança qualquer empresa que trate dados no Brasil, ofereça bens ou serviços a pessoas no Brasil ou colete dados no território brasileiro, não importa onde esteja sediada (art. 3º). Quase todas as leis desta página têm o mesmo alcance extraterritorial. Uma varejista brasileira que vende para a União Europeia responde ao GDPR pelo mesmo mecanismo, e à CCPA se ultrapassar os limiares da Califórnia.

Quantos países têm lei de proteção de dados?

Em janeiro de 2025, 144 países tinham lei nacional de proteção de dados, segundo a International Association of Privacy Professionals (IAPP). As leis nacionais de proteção de dados cobrem hoje cerca de 82% da população mundial. O crescimento foi rápido: existiam cerca de 40 leis do tipo em 2000, conforme as tabelas globais do pesquisador Graham Greenleaf. As lacunas restantes se concentram em partes da África, da Ásia Central e do Pacífico.

O que as regulamentações da CCPA de 2026 mudaram?

O pacote de regulamentação da CCPA em vigor em 1º de janeiro de 2026 tirou a lei da divulgação para a governança operacional: as empresas precisam concluir uma avaliação de risco antes de vender ou compartilhar dados pessoais, tratar dados pessoais sensíveis ou usar certas tecnologias automatizadas, e dar ao consumidor um caminho para confirmar se um pedido de opt-out — inclusive um enviado via Global Privacy Control — foi atendido. A norma também estendeu os pedidos de acesso até 1º de janeiro de 2022 quando os dados são mantidos por mais de um ano, e passou a exigir que uma correção sobreviva a uma fonte recorrente que volte a fornecer o valor antigo. Os direitos de tomada de decisão automatizada — aviso prévio de uso, acesso e direito de opt-out — passam a valer em 1º de janeiro de 2027, com as certificações de auditoria de segurança cibernética entrando em fases a partir de 1º de abril de 2028. Separadamente, a legislatura enviou oito projetos de lei de privacidade ao governador em 31 de agosto de 2026, com decisões previstas até 30 de setembro; se sancionados, uma proibição de vender ou compartilhar dados pessoais sensíveis exceto quando o consumidor determina (AB 1542) e um direito ampliado de eliminação sobre dados pessoais coletados “do ou sobre” um consumidor (SB 923) entram em vigor em 1º de janeiro de 2027. Os limiares em dólar da CCPA são indexados ao Índice de Preços ao Consumidor e reajustados a cada ano ímpar — o limiar de receita é de US$ 26.625.000 desde 1º de janeiro de 2025, não os US$ 25 milhões da lei original.

Esta página é uma referência educacional, não é orientação jurídica. Consulte um advogado para decisões de conformidade.

Este artigo também está disponível em: Data Privacy Laws by Country and U.S. State (2026) · 個人情報保護法と海外のデータ保護法一覧｜罰則と2026年改正 · Ley de protección de datos personales: LFPDPPP · Loi Informatique et Libertés, RGPD, CCPA : données clients