GDPR vs LGPD: Comparativo para Empresas Internacionais

Aqui está o artigo jurídico completo:

“`html

Origens, Escopo e Abrangência Territorial

O GDPR entrou em vigor em maio de 2018 e se aplica a qualquer organização que trate dados pessoais de titulares residentes na União Europeia, independentemente de onde a organização esteja estabelecida. Isso significa que uma empresa brasileira que ofereça produtos ou serviços a consumidores europeus, ou que monitore o comportamento de pessoas na Europa, está sujeita ao regulamento europeu mesmo sem ter sede no continente.

A LGPD, publicada em agosto de 2018 e com vigência plena a partir de setembro de 2020, segue lógica semelhante: aplica-se ao tratamento de dados realizado no Brasil, a dados coletados no território nacional ou a tratamentos destinados a oferecer bens e serviços a pessoas localizadas no Brasil. A extraterritorialidade está presente nas duas normas, o que amplia significativamente o universo de empresas que precisam observar ambas.

Quanto à estrutura regulatória, o GDPR foi elaborado pelo Parlamento Europeu e pelo Conselho da União Europeia e tem aplicação direta em todos os Estados-membros, sem necessidade de transposição para legislação nacional. A LGPD, por sua vez, é uma lei federal brasileira que criou a Autoridade Nacional de Proteção de Dados (ANPD) como órgão responsável pela fiscalização, elaboração de regulamentos complementares e aplicação de sanções.

Bases Legais, Direitos dos Titulares e Consentimento

Tanto o GDPR quanto a LGPD estabelecem que o tratamento de dados pessoais depende de uma base legal legítima. As duas normas reconhecem o consentimento do titular, o cumprimento de obrigação legal, a execução de contrato e o legítimo interesse como fundamentos válidos, entre outros. A estrutura é, portanto, comparável, mas há diferenças importantes nos requisitos de cada hipótese.

No GDPR, o consentimento precisa ser livre, específico, informado e inequívoco. O pré-marcado de caixas de seleção ou a ausência de resposta não configuram consentimento válido. A LGPD adota requisitos similares, mas a regulamentação da ANPD ainda está sendo consolidada em diversas frentes, o que gera alguma incerteza sobre a interpretação de certos pontos.

Em relação aos direitos dos titulares, as duas normas garantem acesso, correção, portabilidade, eliminação e oposição ao tratamento. O GDPR inclui também o direito à não sujeição a decisões exclusivamente automatizadas com efeitos jurídicos significativos, o que a LGPD também prevê, embora com redação própria. Uma diferença relevante é que o GDPR estabelece prazos mais específicos para resposta às solicitações dos titulares, geralmente de 30 dias prorrogáveis, enquanto a LGPD delega parte dessa regulamentação à ANPD.

Encarregado de Dados, Registros e Transferências Internacionais

O GDPR exige a designação de um Encarregado de Proteção de Dados (DPO, na sigla em inglês) em situações específicas: quando o tratamento é realizado por autoridade pública, quando envolve monitoramento sistemático em larga escala ou quando abrange categorias especiais de dados em grande volume. Empresas de médio e grande porte que operam no espaço europeu frequentemente designam o DPO de forma voluntária para demonstrar comprometimento com a conformidade.

A LGPD estabelece a figura do Encarregado pelo Tratamento de Dados Pessoais (popularmente chamado de DPO no Brasil também) de forma mais ampla: toda organização que realize tratamento de dados pessoais deve indicar um encarregado, embora a ANPD tenha regulamentado hipóteses de dispensa para micro e pequenas empresas e startups. O encarregado brasileiro responde às solicitações dos titulares, comunica-se com a ANPD e orienta os empregados da empresa sobre as práticas de proteção de dados.

As transferências internacionais de dados são um ponto sensível. O GDPR permite transferências para países que a Comissão Europeia reconhece como adequados, para destinatários que ofereçam garantias apropriadas por meio de cláusulas contratuais padrão, regras corporativas vinculantes ou mecanismos certificados. O Brasil foi reconhecido como país adequado pela União Europeia em julho de 2023, o que facilita o fluxo de dados entre as duas jurisdições para empresas estabelecidas no Brasil que recebem dados de titulares europeus.

A LGPD, por sua vez, permite transferências internacionais para países que ofereçam nível de proteção adequado segundo a ANPD, para destinatários que forneçam garantias equivalentes às da lei brasileira por meio de cláusulas contratuais específicas, normas corporativas globais aprovadas pela ANPD ou quando houver cooperação jurídica internacional. A ANPD ainda está desenvolvendo sua lista de países adequados e os modelos de cláusulas contratuais aplicáveis ao contexto brasileiro.

Sanções, Incidentes de Segurança e Diferenças Práticas

As penalidades previstas nas duas normas são expressivas, mas seguem lógicas diferentes. O GDPR prevê multas de até 20 milhões de euros ou 4% do faturamento global anual da empresa, o que for maior, para as infrações mais graves. Autoridades europeias como a irlandesa (DPC), a francesa (CNIL) e a espanhola (AEPD) já aplicaram sanções bilionárias a grandes plataformas digitais.

A LGPD estabelece multa simples de até 2% do faturamento da empresa no Brasil no seu último exercício, excluídos os tributos, limitada por infração a R$ 50 milhões. Além das multas, a ANPD pode aplicar advertência, publicização da infração, bloqueio e eliminação dos dados e suspensão parcial do banco de dados. As sanções administrativas foram regulamentadas pela ANPD em resolução própria, que estabelece critérios de dosimetria como a gravidade da infração, a boa-fé do controlador e a adoção de políticas internas de conformidade.

A comunicação de incidentes de segurança é obrigatória nas duas normas. O GDPR determina que a autoridade supervisora seja notificada em até 72 horas após a descoberta do incidente, quando este representar risco para os direitos e liberdades dos titulares. A LGPD exige a comunicação à ANPD e aos titulares afetados em prazo razoável, que foi regulamentado pela ANPD como de até 3 dias úteis para a notificação preliminar da autoridade, seguida de relatório completo em até 20 dias úteis.

Para empresas que precisam atender às duas normas, a recomendação prática é adotar o prazo mais restritivo como padrão interno: 72 horas para acionar o protocolo de resposta ao incidente garante conformidade simultânea com ambas as jurisdições.

“`

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada.