Leis de proteção de dados: alcance e fiscalização

As leis de proteção de dados (data privacy laws) são normas que definem como uma organização pode coletar, armazenar, tratar e compartilhar dados pessoais, garantem direitos ao titular dos dados (data subject) e preveem sanções para quem descumpre. No Brasil, essa norma é a Lei Geral de Proteção de Dados (LGPD), Lei nº 13.709/2018, em vigor desde 18 de setembro de 2020, com sanções aplicáveis desde 1º de agosto de 2021 e fiscalizadas pela Autoridade Nacional de Proteção de Dados (ANPD).

Uma mesma empresa costuma responder a mais de uma dessas leis, porque elas existem em três níveis. A LGPD é nacional. O GDPR é regional e vale para os 27 países da União Europeia e também para a Islândia, Liechtenstein e Noruega. A CCPA é estadual e protege residentes da Califórnia. Em janeiro de 2025, 144 países tinham lei nacional de proteção de dados, segundo a International Association of Privacy Professionals (IAPP). O varejista brasileiro que vende para a Europa responde à LGPD e ao GDPR ao mesmo tempo, e o levantamento lei a lei, por país e por estado americano, está no guia de leis de privacidade internacionais e dos Estados Unidos.

Quais dados as leis de proteção de dados protegem

A LGPD protege os dados pessoais, definidos no art. 5º, I como a informação relacionada a pessoa natural identificada ou identificável. A definição vai além de nome, CPF e e-mail: identificador de dispositivo, histórico de navegação e geolocalização entram sempre que permitem chegar a uma pessoa. O GDPR adota critério equivalente. A CCPA vai um passo além e alcança também a informação vinculada ao domicílio, não apenas ao consumidor, o que amplia o conjunto de dados pessoais identificáveis (PII) sob a lei californiana.

Um subconjunto desses dados recebe regime mais restrito. O art. 5º, II da LGPD define como dados pessoais sensíveis a origem racial ou étnica, a convicção religiosa, a opinião política, a filiação a sindicato, os dados referentes à saúde ou à vida sexual e os dados genéticos ou biométricos. Campanha construída sobre inferência de saúde ou de religião cai nesse regime mesmo quando a empresa nunca pediu esses dados diretamente.

Cookie é tratamento de dados pessoais sempre que os dados coletados permitem identificar o titular. O Guia Orientativo sobre Cookies e Proteção de Dados Pessoais, publicado pela ANPD em outubro de 2022, orienta o banner a informar a finalidade de cada categoria e a permitir que o titular recuse os cookies não necessários.

O que a LGPD exige, e o que a ANPD cobra

A LGPD exige uma base legal (lawful basis) antes de qualquer tratamento, e o consentimento é apenas uma das dez bases do art. 7º. As outras nove incluem a execução de contrato, o cumprimento de obrigação legal, a proteção do crédito e o legítimo interesse do controlador. A escolha da base define a arquitetura: tratamento apoiado em consentimento exige o registro da autorização e um caminho de revogação tão simples quanto o de concessão (art. 8º, §5º), enquanto tratamento apoiado em legítimo interesse dispensa o consentimento e exige um teste de balanceamento documentado, com direito de oposição do titular.

O art. 18 dá nove direitos ao titular, entre eles a confirmação do tratamento, o acesso, a correção, a portabilidade e a eliminação dos dados tratados com base no consentimento. O prazo de resposta ao pedido de acesso em formato completo é de 15 dias (art. 19, II), mais curto que o do GDPR e o da CCPA.

As sanções estão no art. 52: advertência, multa simples de até 2% do faturamento da empresa no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração, multa diária, publicização da infração, bloqueio e eliminação dos dados pessoais envolvidos e, nas hipóteses mais graves, suspensão do banco de dados por até seis meses. A ANPD calcula o valor com base no Regulamento de Dosimetria (Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023), que classifica cada infração em leve, média ou grave antes de calcular o valor-base da multa. As sanções não monetárias atingem a operação primeiro: uma base bloqueada não segmenta nem dispara nada até a regularização.

Tirar dados pessoais do Brasil tem regra própria. O art. 33 permite a transferência internacional para país com grau de proteção adequado, mediante garantias contratuais como as cláusulas contratuais padrão, ou com consentimento específico e destacado do titular, entre outras hipóteses. Desde 26 de janeiro de 2026, a União Europeia e o Brasil se reconhecem mutuamente (Decisão de Execução (UE) 2026/179), de modo que o fluxo entre os dois lados dispensa as cláusulas contratuais padrão; para os demais destinos, o mecanismo continua sendo necessário. Toda ferramenta de marketing hospedada fora do país passa por esse teste.

Como a LGPD, o GDPR e a CCPA se comparam

A diferença que mais muda um sistema de dados de cliente não é o teto da multa: é o modelo de consentimento, opt-in na LGPD e no GDPR e opt-out na CCPA, somado ao prazo de resposta ao titular. A tabela reúne os quatro regimes que mais alcançam operações brasileiras de marketing.

Opt-in e opt-out não cabem no mesmo campo. “Não trate sem autorização” (LGPD, GDPR) e “trate até que o consumidor recuse” (CCPA) são padrões opostos, e é por isso que o estado de consentimento é guardado por titular e por jurisdição, nunca como um único campo de “aceitou”.

As regulamentações de 2026 mudaram o que a conformidade exige. Um pacote de regulamentação da CCPA em vigor em 1º de janeiro de 2026 tornou a lei operacional em vez de declaratória: as empresas precisam agora concluir uma avaliação de risco antes de vender ou compartilhar dados pessoais, tratar dados pessoais sensíveis ou usar certas tecnologias automatizadas; devem dar ao consumidor um caminho para confirmar se um pedido de opt-out — inclusive um enviado via Global Privacy Control — foi atendido; os pedidos de acesso alcançam 1º de janeiro de 2022 quando os dados são mantidos por mais de um ano; e uma correção deve sobreviver a uma fonte recorrente que volte a fornecer o valor antigo. As disposições de tomada de decisão automatizada (aviso prévio de uso, acesso e direito de opt-out) passam a valer em 1º de janeiro de 2027, e as certificações de auditoria de segurança cibernética entram em fases a partir de 1º de abril de 2028, por faixa de receita. Os valores de aplicabilidade são indexados ao Índice de Preços ao Consumidor e reajustados a cada ano ímpar — o limiar de receita é de US$ 26.625.000 desde 1º de janeiro de 2025, não os US$ 25 milhões da lei original —, por isso vale citar o cronograma atual da CPPA em vez de um número fixo. A mesma indexação alcança os danos estatutários que o consumidor pode recuperar na hipótese de vazamento de dados prevista na CCPA: de US$ 107 a US$ 799 por consumidor e por incidente, contra os US$ 100 a US$ 750 do texto original da lei.

A quarta linha da tabela mostra a dimensão que a LGPD não tem: a residência de dados (data residency). O PIPL chinês condiciona a exportação de dados pessoais a uma avaliação de segurança do governo, a um contrato padrão ou a uma certificação (art. 38). A LGPD e o GDPR não obrigam a manter os dados dentro do país, e sim a usar um mecanismo válido de transferência para tirá-los de lá.

O que essas leis mudam na operação de dados de cliente

Para as áreas de marketing e de dados, as leis de proteção de dados viram três requisitos de sistema: registrar o consentimento por finalidade, aplicar essa decisão em todos os canais e eliminar os dados do cliente quando ele pede.

• O registro vale por finalidade e por canal. A gestão de consentimento (consent management) guarda quando, como e para qual finalidade o titular autorizou. No WhatsApp, a Plataforma WhatsApp Business exige opt-in registrado antes de a empresa iniciar a conversa, e quem autorizou receber aviso de entrega não autorizou receber oferta promocional.
• A decisão precisa valer no momento do disparo. Os dados transacionais do Pix entram no perfil do cliente com base na execução do contrato; usá-los para segmentar campanha é outra finalidade e exige base própria. Uma preferência guardada em um sistema e ignorada por outro é o descompasso que a fiscalização encontra.
• A eliminação precisa alcançar todas as cópias. Quinze dias é pouco quando o mesmo cliente existe como quatro cadastros em quatro sistemas. A resolução de identidade (identity resolution) reduz esses quatro cadastros a um perfil, e o pedido de eliminação vira uma operação com registro em vez de uma caçada.

Conformidade e infraestrutura de dados convergem nesse ponto. Uma estratégia de dados primários (first-party data), coletados com base legal declarada e finalidade específica, dá um ponto de partida lícito nas quatro jurisdições da tabela. Uma plataforma de dados do cliente (CDP) que unifica os perfis vincula o estado de consentimento ao mesmo perfil que alimenta as campanhas, e é essa unificação que permite ativar os dados nos canais sem duplicar dados pessoais em cada ferramenta a jusante.

Quatro erros comuns de conformidade em privacidade de dados

Os quatro erros de conformidade que mais aparecem em auditoria são tratar a lei mais rígida como superconjunto das outras, registrar o consentimento sem guardar a prova, deixar operadores e plataformas de mídia fora do escopo e chamar de anônimos os dados pseudonimizados. Cada um nasce de uma suposição razoável que só falha quando chega a auditoria, o pedido de eliminação ou o questionário da autoridade. A empresa brasileira que vende para a União Europeia, para os Estados Unidos ou para a China pode responder ao GDPR, à CCPA e ao PIPL ao mesmo tempo, e corrigir cada um desses erros como controle de governança de privacidade custa menos do que responder a uma fiscalização depois. A LGPD exige dois desses controles com palavras próprias: o ônus de provar que obteve o consentimento cabe ao controlador (art. 8º, §2º), e tirar dados pessoais do país depende de um dos mecanismos do art. 33.

Tratar a lei mais rígida como superconjunto das outras. A equipe monta o programa de GDPR e supõe que ele cobre o resto. Não cobre. A CCPA dá ao consumidor um opt-out de venda e de compartilhamento que não tem equivalente direto no GDPR, alcança os dados de empregados e de contatos B2B (business-to-business) e obriga a empresa a atender ao sinal do Global Privacy Control. O PIPL acrescenta uma avaliação de segurança obrigatória do governo chinês para as transferências internacionais acima de certos patamares, uma autorização prévia do Estado que o mecanismo autoadministrado do GDPR (cláusulas contratuais padrão, normas corporativas vinculantes e avaliação de impacto da transferência documentada) não exige. O que fazer: mapeie as obrigações jurisdição por jurisdição, a partir dos clientes que a empresa atende em cada país, e desenhe o programa de conformidade para a união dessas obrigações, não para uma lei só.

Registrar o consentimento sem guardar a prova. Uma caixa de seleção que muda um valor booleano na ferramenta de marketing não mostra com o que o cliente concordou. O art. 7º, 1 do GDPR põe no controlador o ônus de demonstrar que o consentimento foi dado, e demonstrar significa guardar a finalidade, a data e a hora, o canal e a versão do aviso que o cliente viu. O que fazer: guarde cada decisão de consentimento como um evento imutável, que carrega o escopo autorizado e a versão do aviso, em vez de um campo editável no perfil.

Deixar operadores e plataformas de mídia fora do escopo. A responsabilidade não acompanha os dados. No GDPR, o controlador continua respondendo por cada operador que contrata. Na CCPA, um público enviado a uma plataforma de mídia para publicidade comportamental entre contextos (cross-context behavioral advertising) conta como compartilhamento, e o consumidor pode recusar esse compartilhamento, independentemente do que digam os termos da plataforma. O que fazer: mantenha um inventário atualizado de todos os fornecedores que recebem dados pessoais, com a base contratual de cada um e as finalidades para as quais cada fornecedor pode usar esses dados.

Chamar de anônimos os dados pseudonimizados. Guardar o e-mail em forma de hash não põe esse endereço fora do alcance da lei. O art. 4º, 5 do GDPR define a pseudonimização como o tratamento que deixa os dados atribuíveis a uma pessoa apenas com informação adicional, e o considerando 26 mantém esses dados no escopo como dados pessoais. Os identificadores em hash que uma marca envia às plataformas de mídia no data onboarding (em inglês) costumam ser exatamente isso: dados pseudonimizados, não anônimos, salvo quando o esquema de hash de fato impede a reidentificação dos dois lados. O que fazer: classifique cada identificador pela possibilidade de reidentificação e aplique a minimização de dados (em inglês) aos campos que não passam nesse teste.

FAQ

O que são leis de proteção de dados?

As leis de proteção de dados são normas que definem como organizações podem coletar, tratar e compartilhar dados pessoais, e que direitos o titular tem sobre esses dados. As leis de proteção de dados costumam prever acesso, correção, portabilidade e eliminação dos dados, além de sanções administrativas aplicadas por uma autoridade nacional. No Brasil, a lei dessa categoria é a LGPD, em vigor desde 18 de setembro de 2020.

Qual é a diferença entre a LGPD e as leis de proteção de dados?

A LGPD é a lei de proteção de dados do Brasil, e “leis de proteção de dados” é a categoria que reúne a LGPD, o GDPR europeu, a CCPA californiana e mais de 140 outras leis nacionais. A LGPD segue a estrutura do GDPR, com bases legais, direitos do titular e autoridade fiscalizadora própria. O teto da multa da LGPD é menor e calculado sobre o faturamento no Brasil, não sobre o faturamento global.

Quem fiscaliza as leis de proteção de dados?

No Brasil, quem fiscaliza a LGPD é a Autoridade Nacional de Proteção de Dados (ANPD), criada pela própria lei e em funcionamento desde 2020. Na União Europeia, a fiscalização cabe às autoridades de proteção de dados de cada país (GDPR, art. 51), coordenadas pelo European Data Protection Board. Na Califórnia, a California Privacy Protection Agency (CPPA) aplica as multas administrativas da CCPA.

Uma empresa brasileira precisa cumprir o GDPR?

Sim, quando oferece bens ou serviços a pessoas na União Europeia ou monitora o comportamento delas: nesses dois casos o GDPR alcança o controlador sediado fora do bloco (art. 3º, 2). Não é preciso ter filial ou servidor na Europa. Uma loja on-line brasileira que vende e entrega para consumidor europeu responde ao GDPR e à LGPD ao mesmo tempo, e atende ao prazo de cada uma: 15 dias na LGPD e um mês no GDPR.

Com que frequência as leis de proteção de dados mudam?

Mudam todos os anos, por emenda ao texto e por regulamentação da autoridade. A CCPA foi emendada pela CPRA, com efeitos desde 1º de janeiro de 2023, e a ANPD editou o Regulamento de Dosimetria em fevereiro de 2023, que definiu como a multa da LGPD é calculada. Acompanhar a regulamentação da autoridade importa tanto quanto acompanhar o texto da lei.

Termos relacionados

• Governança de dados — o programa que responde onde cada dado pessoal está e quem pode acessá-lo
• Data Privacy (em inglês) — o conceito que essas leis transformam em obrigação
• Data Masking (em inglês) — protege os dados pessoais nos ambientes em que o uso é restrito
• Cookieless Tracking (em inglês) — medição sem cookies de terceiros, sob consentimento
• Data Clean Room (em inglês) — permite cruzar dados sem expor dados pessoais

Esta página é uma referência educacional, não é orientação jurídica. Consulte um advogado para decisões de conformidade.

Este artigo também está disponível em: Data Privacy Regulations: GDPR, CCPA & Global Laws · データプライバシー規制とは？個人情報保護法とGDPRを解説 · Regulaciones de privacidad de datos: LFPDPPP, RGPD · Réglementations sur la protection des données : définition · Datenschutzgesetze: Definition, DSGVO, BDSG, TDDDG