As leis de proteção de dados (data privacy laws) são normas que definem como uma organização pode coletar, armazenar, tratar e compartilhar dados pessoais, garantem direitos ao titular dos dados (data subject) e preveem sanções para quem descumpre. No Brasil, essa norma é a Lei Geral de Proteção de Dados (LGPD), Lei nº 13.709/2018, em vigor desde 18 de setembro de 2020, com sanções aplicáveis desde 1º de agosto de 2021 e fiscalizadas pela Autoridade Nacional de Proteção de Dados (ANPD).
Uma mesma empresa costuma responder a mais de uma dessas leis, porque elas existem em três níveis. A LGPD é nacional. O GDPR é regional e vale para os 27 países da União Europeia mais Islândia, Liechtenstein e Noruega. A CCPA é estadual e protege residentes da Califórnia. Em janeiro de 2025, 144 países tinham lei nacional de proteção de dados, segundo a International Association of Privacy Professionals (IAPP). O varejista brasileiro que vende para a Europa responde à LGPD e ao GDPR ao mesmo tempo, e o levantamento lei a lei, por país e por estado americano, está no guia de leis de privacidade internacionais e dos Estados Unidos.
Quais dados as leis de proteção de dados protegem
A LGPD protege o dado pessoal, definido no art. 5º, I como a informação relacionada a pessoa natural identificada ou identificável. A definição vai além de nome, CPF e e-mail: identificador de dispositivo, histórico de navegação e geolocalização entram sempre que permitem chegar a uma pessoa. O GDPR adota critério equivalente. A CCPA vai um passo além e alcança também a informação ligada ao domicílio, não apenas ao consumidor, o que amplia o conjunto de dados pessoais identificáveis (PII) sob a lei californiana.
Um subconjunto desses dados recebe regime mais estreito. O art. 5º, II da LGPD define como dados pessoais sensíveis a origem racial ou étnica, a convicção religiosa, a opinião política, a filiação a sindicato, o dado referente à saúde ou à vida sexual e o dado genético ou biométrico. Campanha construída sobre inferência de saúde ou de religião cai nesse regime mesmo quando a empresa nunca pediu esse dado diretamente.
Cookie é tratamento de dado pessoal sempre que o dado coletado permite identificar o titular. O Guia Orientativo sobre Cookies e Proteção de Dados Pessoais, publicado pela ANPD em outubro de 2022, orienta o banner a informar a finalidade de cada categoria e a permitir que o titular recuse os cookies não necessários.
O que a LGPD exige, e o que a ANPD cobra
A LGPD exige uma base legal (lawful basis) antes de qualquer tratamento, e o consentimento é apenas uma das dez bases do art. 7º. As outras nove incluem a execução de contrato, o cumprimento de obrigação legal, a proteção do crédito e o legítimo interesse do controlador. A escolha da base decide arquitetura: tratamento apoiado em consentimento exige o registro da autorização e um caminho de revogação tão simples quanto o de concessão (art. 8º, §5º), enquanto tratamento apoiado em legítimo interesse dispensa o consentimento e exige um teste de balanceamento documentado, com direito de oposição do titular.
O art. 18 dá nove direitos ao titular, entre eles a confirmação do tratamento, o acesso, a correção, a portabilidade e a eliminação dos dados tratados com base no consentimento. O prazo de resposta ao pedido de acesso em formato completo é de 15 dias (art. 19, II), mais curto que o do GDPR e o da CCPA.
As sanções estão no art. 52: advertência, multa simples de até 2% do faturamento da empresa no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração, multa diária, publicização da infração, bloqueio e eliminação dos dados pessoais envolvidos e, nas hipóteses mais graves, suspensão do banco de dados por até seis meses. A ANPD chega ao valor pelo Regulamento de Dosimetria (Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023), que classifica cada infração em leve, média ou grave antes de calcular o valor-base da multa. As sanções não monetárias atingem a operação primeiro: uma base bloqueada não segmenta nem dispara nada até a regularização.
Tirar dado pessoal do Brasil tem regra própria. O art. 33 permite a transferência internacional para país com grau de proteção adequado, mediante garantias contratuais como as cláusulas contratuais padrão, ou com consentimento específico e destacado do titular, entre outras hipóteses. Desde 26 de janeiro de 2026, a União Europeia e o Brasil se reconhecem mutuamente (Decisão de Execução (UE) 2026/179), de modo que o fluxo entre os dois lados dispensa as cláusulas contratuais padrão; para os demais destinos, o mecanismo continua sendo necessário. Toda ferramenta de marketing hospedada fora do país passa por esse teste.
Como a LGPD, o GDPR e a CCPA se comparam
A diferença que mais muda um sistema de dados de cliente não é o teto da multa: é o modelo de consentimento, opt-in na LGPD e no GDPR e opt-out na CCPA, somado ao prazo de resposta ao titular. A tabela reúne os quatro regimes que mais alcançam operações brasileiras de marketing.
| Lei | Jurisdição | Em vigor desde | Prazo de resposta ao titular | Multa máxima |
|---|---|---|---|---|
| LGPD (Lei nº 13.709/2018) | Brasil | 18 de setembro de 2020 (sanções desde 1º de agosto de 2021) | 15 dias (art. 19, II) | 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração |
| GDPR | União Europeia e EEE | 25 de maio de 2018 | 1 mês, prorrogável por mais 2 | € 20 milhões ou 4% do faturamento anual global, o que for maior |
| CCPA, emendada pela CPRA | Califórnia (EUA) | 1º de janeiro de 2020 (emendas da CPRA em 1º de janeiro de 2023) | 45 dias, prorrogáveis por mais 45 | US$ 2.500 por violação; US$ 7.500 se intencional ou envolvendo menores de 16 anos |
| PIPL | China | 1º de novembro de 2021 | Sem prazo fixo na lei | CNY 50 milhões ou 5% do faturamento do ano anterior |
Opt-in e opt-out não cabem no mesmo campo. “Não trate sem autorização” (LGPD, GDPR) e “trate até que o consumidor recuse” (CCPA) são padrões opostos, e é por isso que o estado de consentimento é guardado por titular e por jurisdição, nunca como um único campo de “aceitou”.
A quarta linha da tabela mostra a dimensão que a LGPD não tem: a residência de dados (data residency). O PIPL chinês condiciona a exportação de dado pessoal a uma avaliação de segurança do governo, a um contrato padrão ou a uma certificação (art. 38). A LGPD e o GDPR não obrigam a manter o dado dentro do país, e sim a usar um mecanismo válido de transferência para tirá-lo de lá.
O que essas leis mudam na operação de dados de cliente
Para as áreas de marketing e de dados, as leis de proteção de dados viram três requisitos de sistema: registrar o consentimento por finalidade, aplicar essa decisão em todos os canais e eliminar o dado do cliente quando ele pede.
- O registro vale por finalidade e por canal. A gestão de consentimento (consent management) guarda quando, como e para qual finalidade o titular autorizou. No WhatsApp, a Plataforma WhatsApp Business exige opt-in registrado antes de a empresa iniciar a conversa, e quem autorizou receber aviso de entrega não autorizou receber oferta promocional.
- A decisão precisa valer no momento do disparo. O dado transacional do Pix entra no perfil do cliente sob a base da execução do contrato; usá-lo para segmentar campanha é outra finalidade e exige base própria. Uma preferência guardada em um sistema e ignorada por outro é o descompasso que a fiscalização encontra.
- A eliminação precisa alcançar todas as cópias. Quinze dias é pouco quando o mesmo cliente existe como quatro cadastros em quatro sistemas. A resolução de identidade (identity resolution) reduz esses quatro cadastros a um perfil, e o pedido de eliminação vira uma operação com registro em vez de uma caçada.
Conformidade e infraestrutura de dados convergem nesse ponto. Uma estratégia de dados primários (first-party data), coletados com base legal declarada e finalidade específica, dá um ponto de partida lícito nas quatro jurisdições da tabela. Uma plataforma de dados do cliente (CDP) que unifica os perfis anexa o estado de consentimento ao mesmo perfil que alimenta as campanhas, e é essa unificação que permite ativar o dado nos canais sem duplicar dado pessoal em cada ferramenta a jusante.
FAQ
O que são leis de proteção de dados?
As leis de proteção de dados são normas que definem como organizações podem coletar, tratar e compartilhar dados pessoais, e que direitos o titular tem sobre esses dados. As leis de proteção de dados costumam prever acesso, correção, portabilidade e eliminação dos dados, além de sanções administrativas aplicadas por uma autoridade nacional. No Brasil, a lei dessa categoria é a LGPD, em vigor desde 18 de setembro de 2020.
Qual é a diferença entre a LGPD e as leis de proteção de dados?
A LGPD é a lei de proteção de dados do Brasil, e “leis de proteção de dados” é a categoria que reúne a LGPD, o GDPR europeu, a CCPA californiana e mais de 140 outras leis nacionais. A LGPD segue a estrutura do GDPR, com bases legais, direitos do titular e autoridade fiscalizadora própria. O teto da multa da LGPD é menor e calculado sobre o faturamento no Brasil, não sobre o faturamento global.
Quem fiscaliza as leis de proteção de dados?
No Brasil, quem fiscaliza a LGPD é a Autoridade Nacional de Proteção de Dados (ANPD), criada pela própria lei e em funcionamento desde 2020. Na União Europeia, a fiscalização cabe às autoridades de proteção de dados de cada país (GDPR, art. 51), coordenadas pelo European Data Protection Board. Na Califórnia, a California Privacy Protection Agency (CPPA) aplica as multas administrativas da CCPA.
Uma empresa brasileira precisa cumprir o GDPR?
Sim, quando oferece bens ou serviços a pessoas na União Europeia ou monitora o comportamento delas: nesses dois casos o GDPR alcança o controlador sediado fora do bloco (art. 3º, 2). Não é preciso ter filial ou servidor na Europa. Uma loja on-line brasileira que vende e entrega para consumidor europeu responde ao GDPR e à LGPD ao mesmo tempo, e atende ao prazo de cada uma: 15 dias na LGPD e um mês no GDPR.
Com que frequência as leis de proteção de dados mudam?
Mudam todos os anos, por emenda ao texto e por regulamentação da autoridade. A CCPA foi emendada pela CPRA, com efeitos desde 1º de janeiro de 2023, e a ANPD editou o Regulamento de Dosimetria em fevereiro de 2023, que definiu como a multa da LGPD é calculada. Acompanhar a regulamentação da autoridade importa tanto quanto acompanhar o texto da lei.
Termos relacionados
- Governança de dados — o programa que responde onde cada dado pessoal está e quem pode acessá-lo
- Data Privacy (em inglês) — o conceito que essas leis transformam em obrigação
- Data Masking (em inglês) — protege o dado pessoal nos ambientes em que o uso é restrito
- Cookieless Tracking (em inglês) — medição sem cookie de terceiro, sob consentimento
- Data Clean Room (em inglês) — permite cruzar dados sem expor dado pessoal
Esta página é uma referência educacional, não é orientação jurídica. Consulte um advogado para decisões de conformidade.
Este artigo também está disponível em: Data Privacy Regulations: GDPR, CCPA & Global Laws · データプライバシー規制とは？個人情報保護法とGDPRを解説 · Regulaciones de privacidad de datos: LFPDPPP, RGPD