Uma empresa brasileira que desenvolve um SaaS de gestão financeira e começa a expandir para o mercado europeu enfrenta um cenário regulatório específico: seus usuários brasileiros têm direitos sob a LGPD, seus usuários europeus têm direitos sob o GDPR e os sistemas, que processam dados de ambos, precisam atender às exigências de cada regulamentação simultaneamente. O DBA que configura a política de retenção de dados, o desenvolvedor que implementa o fluxo de exclusão de conta, e o engenheiro de segurança que define os controles de criptografia precisam entender o que cada regulamentação exige — e onde essas exigências divergem.
O GDPR (General Data Protection Regulation) da União Europeia entrou em vigor em maio de 2018. A LGPD (Lei Geral de Proteção de Dados) do Brasil começou a viger em setembro de 2020, com sanções aplicáveis a partir de agosto de 2021. Ambas compartilham arquitetura conceitual similar — base em princípios, catálogo de direitos dos titulares, obrigações para controladores e processadores — e a semelhança não é coincidência: o GDPR serviu como referência direta para a elaboração da LGPD.
Mas as diferenças existem e algumas têm impacto técnico concreto. O prazo de notificação de incidentes é diferente. A obrigatoriedade de DPO tem critérios distintos. O tratamento de bases legais tem nuances que afetam como sistemas precisam ser arquitetados. O alcance extraterritorial segue lógicas diferentes.
Neste artigo, você vai encontrar uma comparação precisa das duas regulamentações com foco nos aspectos que afetam diretamente decisões técnicas de segurança: bases legais, notificação de incidentes, DPO, transferências internacionais, penalidades e o que organizações que precisam atender a ambas devem implementar. Se você trabalha com segurança da informação, privacidade ou desenvolvimento em organizações que tocam dados de brasileiros e europeus, este guia foi escrito para você.
Fundamentos: o que cada regulamentação protege e por que
GDPR: privacidade como direito fundamental
O GDPR não surgiu do nada em 2018 — substituiu a Diretiva de Proteção de Dados de 1995, que tinha 23 anos de defasagem tecnológica quando foi aposentada. A diretiva anterior permitia que cada estado-membro implementasse suas próprias leis nacionais, criando um patchwork regulatório inconsistente que dificultava tanto a conformidade das empresas quanto a proteção dos cidadãos.
O GDPR criou um framework único, diretamente aplicável em todos os 27 países da UE sem necessidade de legislação nacional adicional. Seu fundamento filosófico ancora-se na Carta dos Direitos Fundamentais da União Europeia, que trata privacidade de dados como direito fundamental — não como interesse a ser balanceado com outros, mas como direito que a regulamentação protege ativamente.
LGPD: convergência global com especificidades brasileiras
A LGPD chegou em resposta a um contexto duplo: a necessidade de atualizar o arcabouço jurídico brasileiro para a era de dados massivos e a pressão para alinhar o Brasil com padrões internacionais que facilitassem relações comerciais com parceiros que exigem adequação regulatória (especialmente a UE, que condiciona transferências de dados a países com nível adequado de proteção).
A lei lista explicitamente os fundamentos que a sustentam: respeito à privacidade, autodeterminação informativa, liberdade de expressão, inviolabilidade da intimidade, desenvolvimento econômico e tecnológico, defesa do consumidor, e direitos humanos. Essa explicitação de múltiplos fundamentos — incluindo desenvolvimento econômico — reflete um equilíbrio diferente do GDPR, onde a proteção de privacidade tem primazia mais clara sobre considerações econômicas.
💡 Dica: Para equipes de segurança, o alinhamento filosófico entre GDPR e LGPD significa que a maioria dos controles implementados para um atende ao outro. As diferenças relevantes estão nos detalhes de implementação — prazos, critérios de obrigatoriedade, definições específicas — não nos princípios fundamentais, que são substancialmente os mesmos.
Âmbito de aplicação: quem cada lei alcança
O critério do GDPR: onde está o titular, não onde está a empresa
O GDPR aplica o critério de territorialidade baseado na localização do titular de dados, não na localização da empresa. O artigo 3º estabelece que o GDPR se aplica quando:
- O tratamento ocorre no contexto de atividades de um estabelecimento do controlador ou processador na UE (mesmo que o processamento em si ocorra fora da UE)
- O controlador ou processador não tem estabelecimento na UE, mas oferece bens ou serviços a titulares na UE (mesmo que gratuitos)
- O controlador ou processador monitora o comportamento de titulares na UE (analytics comportamental, profiling)
Uma empresa brasileira sem presença física na Europa que vende SaaS para clientes europeus está sujeita ao GDPR em relação a esses clientes. Uma empresa americana que exibe anúncios comportamentais a visitantes europeus de seu site está sujeita ao GDPR.
O critério da LGPD: onde ocorre o tratamento
A LGPD usa um critério diferente. O artigo 3º determina que a lei se aplica quando:
- O tratamento ocorre no Brasil (independentemente de onde estão o controlador, o processador ou o titular)
- A atividade de tratamento tem como objetivo oferecer ou fornecer bens ou serviços a pessoas localizadas no Brasil
- Os dados pessoais foram coletados no Brasil
Esse critério é baseado primariamente na localização do tratamento e na localização do titular no momento da coleta — não apenas na localização do titular em qualquer momento.
Diferença prática: Uma empresa europeia que coleta dados de turistas brasileiros que estão fisicamente na Europa no momento da coleta pode argumentar que não está sujeita à LGPD (mas estará sujeita ao GDPR). A mesma empresa coletando dados de brasileiros que estão no Brasil ao interagir com seu sistema estará sujeita à LGPD.
Bases legais: as seis e as dez
Tanto GDPR quanto LGPD exigem que todo tratamento de dados pessoais tenha uma base legal documentada. A estrutura é similar mas não idêntica.
As seis bases legais do GDPR (Artigo 6º)
- Consentimento — livre, específico, informado, inequívoco e revogável
- Execução de contrato — necessário para executar contrato com o titular
- Obrigação legal — necessário para cumprir obrigação legal
- Interesses vitais — proteção de vida do titular ou terceiros
- Tarefa de interesse público — exercício de funções públicas
- Legítimo interesse — interesses legítimos do controlador que não sejam superados pelos direitos do titular
As dez bases legais da LGPD (Artigo 7º)
A LGPD lista dez hipóteses de tratamento legítimo, sendo que algumas não têm equivalente direto no GDPR:
- Consentimento
- Cumprimento de obrigação legal ou regulatória
- Execução de políticas públicas (específica para poder público)
- Realização de estudos por órgão de pesquisa (com anonimização preferencial)
- Execução de contrato
- Exercício regular de direitos em processos
- Proteção da vida ou da incolumidade física
- Tutela da saúde — exclusivo de profissional de saúde ou entidade sanitária (sem equivalente explícito no GDPR como base separada)
- Legítimo interesse — com critérios similares ao GDPR mas menos jurisprudência consolidada
- Proteção do crédito — específico da LGPD, sem equivalente no GDPR, cobre tratamento para análise de crédito
Implicação técnica: Sistemas que operam sob ambas as regulamentações precisam mapear cada operação de tratamento para as bases legais de cada lei. Uma operação de análise de crédito pode usar a base “proteção do crédito” da LGPD mas precisará de outra base (geralmente legítimo interesse ou contrato) para o mesmo tratamento sob o GDPR.
⚠️ Atenção: O consentimento na LGPD tem exigências similares ao GDPR em termos de especificidade e revogabilidade, mas a LGPD é ligeiramente menos explícita sobre alguns requisitos formais. Isso não significa que o consentimento é mais fácil de obter validamente sob a LGPD — significa que há menos jurisprudência e orientação consolidada da ANPD comparada à extensiva literatura regulatória europeia sobre o tema.
Dados sensíveis: categorias com proteção especial
As duas regulamentações definem categorias de dados que exigem proteção reforçada e bases legais mais restritas para tratamento.
Categorias especiais no GDPR (Artigo 9º)
O GDPR proíbe o tratamento de dados que revelem origem racial ou étnica, opiniões políticas, crenças religiosas ou filosóficas, filiação sindical, além de dados genéticos, biométricos para identificação, de saúde, sobre vida sexual ou orientação sexual.
Dados sensíveis na LGPD (Artigo 5º, Inciso II)
A LGPD define como sensíveis os dados sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização religiosa/filosófica/política, dado referente à saúde ou à vida sexual, dado genético ou biométrico, e dado de criança ou adolescente.
Diferença relevante: A LGPD inclui explicitamente dados de crianças e adolescentes na categoria de dados sensíveis. O GDPR trata dados de crianças com proteção especial no artigo 8º (consentimento parental para serviços online) mas não os classifica como categoria especial no artigo 9º. Essa diferença tem impacto em sistemas que processam dados de menores — sob a LGPD, qualquer tratamento exige as salvaguardas de dados sensíveis.
Notificação de incidentes: a diferença de prazo que importa
O prazo do GDPR: 72 horas com estrutura clara
O artigo 33 do GDPR exige que o controlador notifique a autoridade supervisora em até 72 horas após tomar conhecimento de uma violação que provavelmente resulte em risco para os direitos e liberdades dos titulares. O regulamento é explícito: se a notificação não for completa em 72 horas, deve-se enviar o que está disponível e complementar depois com uma justificativa para o atraso.
O artigo 34 determina que o controlador notifique os titulares afetados “sem demora injustificada” quando a violação provavelmente resultar em alto risco para eles.
A Resolução CD/ANPD nº 2/2022 do Brasil definiu que para incidentes de alto risco o prazo também seria de dois dias úteis — criando uma convergência prática, mas com base regulatória diferente.
O prazo da LGPD: “Prazo Razoável” regulamentado pela ANPD
O artigo 48 da LGPD determina que o controlador comunique à ANPD e aos titulares afetados “em prazo razoável” a ocorrência de incidentes de segurança que possam acarretar risco ou dano relevante. A lei original não especificou o prazo em dias.
A Resolução CD/ANPD nº 2/2022 preencheu essa lacuna: para incidentes de alto risco, o prazo de comunicação à ANPD é de 2 dias úteis a partir do conhecimento do incidente. Incidentes de menor risco têm prazo de 3 dias úteis para comunicação preliminar.
Comparação prática para equipes de segurança:
| Aspecto | GDPR | LGPD |
| Prazo para autoridade (alto risco) | 72 horas corridas | 2 dias úteis |
| Prazo para titulares afetados | “sem demora injustificada” | “prazo razoável” (ANPD orienta simultaneidade com autoridade) |
| Notificação parcial permitida? | Sim, com complementação posterior | Sim |
| Autoridade competente | DPA do país do estabelecimento principal | ANPD |
O prazo de 72 horas do GDPR é corrido — fins de semana e feriados não suspendem o prazo. Os 2 dias úteis da LGPD excluem fins de semana e feriados, o que na prática pode resultar em mais tempo calendário em alguns cenários.
DPO/Encarregado: quando é obrigatório em cada lei
Obrigatoriedade do DPO no GDPR
O artigo 37 do GDPR torna obrigatória a designação de um Data Protection Officer (DPO) em três situações:
- O controlador ou processador é uma autoridade ou órgão público
- As atividades principais exigem monitoramento regular e sistemático de titulares em larga escala
- As atividades principais envolvem tratamento em larga escala de categorias especiais de dados ou dados de condenações criminais
O GDPR especifica que o DPO deve ter conhecimento especializado em direito e prática de proteção de dados, operar com independência funcional, e não receber instruções sobre como exercer suas funções. Pode ser funcionário interno ou serviço externo contratado.
Obrigatoriedade do encarregado na LGPD
O artigo 41 da LGPD determina que o controlador deve indicar um encarregado pelo tratamento de dados pessoais. A lei não apresenta exceções explícitas na redação original.
A ANPD, porém, regulamentou casos de dispensa: microempresas e empresas de pequeno porte, startups e agentes de tratamento cujo tratamento não apresente alto risco têm obrigações simplificadas, podendo ser dispensados da designação formal de encarregado em determinadas condições definidas pela Resolução CD/ANPD nº 2/2022.
Diferença relevante: O GDPR usa critérios funcionais objetivos (larga escala, monitoramento sistemático) para determinar a obrigatoriedade. A LGPD parte de uma regra geral de obrigatoriedade para todos os controladores, com exceções regulamentadas pela ANPD para organizações de menor porte ou menor risco. Para organizações de médio e grande porte, ambas as leis convergem para a mesma conclusão prática: é obrigatório ter um encarregado/DPO.
Transferências internacionais: uma diferença substancial
O framework do GDPR para transferências
O capítulo V do GDPR estabelece um sistema detalhado para controlar a saída de dados pessoais de cidadãos europeus do Espaço Econômico Europeu (EEE). Dados só podem ser transferidos para países que a Comissão Europeia reconheceu como tendo “nível adequado de proteção”, ou mediante salvaguardas específicas:
- Decisões de adequação — reconhecimento formal pela Comissão Europeia
- Standard Contractual Clauses (SCCs) — cláusulas contratuais padrão aprovadas pela Comissão
- Binding Corporate Rules (BCRs) — para transferências intra-grupo aprovadas pela autoridade supervisora
- Outros mecanismos — certificações aprovadas, códigos de conduta com mecanismo de aplicação
O Brasil ainda não recebeu decisão de adequação da Comissão Europeia (processo em andamento). Isso significa que transferências de dados de cidadãos europeus para o Brasil atualmente dependem de SCCs ou outros mecanismos de salvaguarda.
O framework da LGPD para transferências
O artigo 33 da LGPD permite transferências internacionais de dados pessoais quando:
- O país destino oferece grau de proteção adequado reconhecido pela ANPD
- O controlador fornece garantias suficientes (cláusulas contratuais específicas, normas corporativas globais)
- A transferência é necessária para cooperação jurídica internacional
- A transferência é necessária para proteção da vida ou incolumidade física do titular
- A ANPD autorizou a transferência específica
- O titular consentiu com informação sobre o caráter internacional da operação
Diferença crítica: O GDPR tem um sistema de adequação mais desenvolvido, com a Comissão Europeia tendo publicado listas explícitas de países adequados e mecanismos amplamente padronizados (SCCs). A LGPD tem um framework similar mas com menos jurisprudência e menos países avaliados pela ANPD. Para organizações que transferem dados em ambas as direções (Brasil → Europa e Europa → Brasil), isso significa estruturar contratos com cláusulas que atendam às exigências de ambas as leis — o que na prática geralmente significa usar as SCCs europeias como base e adicionar os elementos exigidos pela LGPD.
💡 Dica: Para uma empresa brasileira que hospeda dados em cloud americana (AWS, Azure, Google Cloud), a conformidade exige análise em duas camadas: os dados de brasileiros precisam de garantias contratuais adequadas para a transferência sob a LGPD, e os dados de europeus processados na infraestrutura americana precisam verificar se o provedor tem certificação EU-US Data Privacy Framework (desde julho de 2023) para o GDPR.
Penalidades: a matemática das multas
GDPR: proporcionais ao faturamento global
O GDPR estabelece dois níveis de multa administrativa:
- Nível 1 — até €10 milhões ou 2% do faturamento global anual, o que for maior: violações de obrigações de controladores/processadores, DPO, DPIA, registro de atividades
- Nível 2 — até €20 milhões ou 4% do faturamento global anual, o que for maior: violações dos princípios fundamentais, bases legais, direitos dos titulares, transferências internacionais
A base de cálculo é o faturamento global — não apenas a receita da filial europeia. Isso explica por que a multa de €1,2 bilhão ao Meta em 2023 foi possível: 4% de um faturamento global de dezenas de bilhões.
LGPD: valor absoluto
A LGPD prevê multa de até 2% do faturamento da empresa ou grupo econômico no Brasil no exercício anterior, limitada a R$50 milhões por infração. Além da multa, a ANPD pode aplicar advertência, bloqueio temporário dos dados, eliminação dos dados, suspensão parcial do banco de dados, e proibição parcial ou total de atividades de tratamento.
Comparação de impacto para uma empresa média:
Para uma empresa com faturamento de R$100 milhões no Brasil e €50 milhões na Europa:
- Multa máxima LGPD: R$2 milhões (2% do faturamento Brasil, abaixo do cap de R$50M)
- Multa máxima GDPR nível 2: €2 milhões (4% do faturamento na UE) ou €20 milhões (o que for maior)
Grandes empresas com faturamento global bilionário, o GDPR cria exposição muito maior. Já empresas menores com operações concentradas no Brasil, os caps absolutos da LGPD podem resultar em exposição nominalmente menor mas ainda significativa.
⚠️ Atenção: Comparar multas nominais entre as duas leis é útil mas incompleto. O custo total de uma violação inclui custos de remediação, perda de receita durante suspensão de operações, danos reputacionais, e custo de ações judiciais individuais dos titulares afetados — que existem em ambas as jurisdições e frequentemente superam as multas regulatórias.
Tabela comparativa: GDPR vs LGPD para profissionais de segurança
| Aspecto | GDPR | LGPD |
| Vigência | Maio de 2018 | Setembro de 2020 (sanções: agosto 2021) |
| Alcance territorial | Baseado na localização do titular (UE) | Baseado onde ocorre o tratamento e localização do titular |
| Bases legais | 6 hipóteses (art. 6º) | 10 hipóteses (art. 7º) |
| Dados sensíveis | 9 categorias (art. 9º) | 9 categorias + dados de crianças/adolescentes |
| DPO/Encarregado | Obrigatório por critérios funcionais | Obrigatório para todos; exceções para pequenas empresas/baixo risco |
| DPIA | Obrigatória para tratamentos de alto risco | RIPD obrigatório para tratamentos de alto risco |
| Notificação de incidentes | 72 horas (autoridade); sem demora (titulares) | 2 dias úteis para alto risco (autoridade) |
| Transferências internacionais | Framework detalhado com SCCs, BCRs, adequação | Framework similar, menos desenvolvido pela ANPD |
| Multa máxima | €20M ou 4% do faturamento global | R$50M ou 2% do faturamento no Brasil |
| Autoridade supervisora | DPA de cada país (EDPB para coordenação) | ANPD |
| Base: “Proteção do crédito” | Não existe como base separada | Existe (art. 7º, X) |
| Right to erasure | Explícito e detalhado (art. 17) | “Eliminação” similar mas menos detalhada |
| Decisões automatizadas | Direito explícito de não ser sujeito (art. 22) | Revisão de decisões automatizadas prevista (art. 20) |
Como atender às duas regulamentações simultaneamente?
Arquitetura de dados com dupla conformidade
Organizações que processam dados de brasileiros e europeus precisam de uma arquitetura de dados que suporte os requisitos de ambas as leis. Os pontos de atenção técnica:
Identificação e classificação de dados por jurisdição — o sistema precisa saber quais dados pertencem a titulares europeus (GDPR) e quais pertencem a titulares brasileiros (LGPD) para aplicar as políticas corretas a cada conjunto. Para dados de titulares que transitam entre jurisdições, a abordagem mais conservadora é aplicar o padrão mais rigoroso dos dois.
Registro de atividades de tratamento dual — o ROPA do GDPR e o equivalente da LGPD têm campos similares mas não idênticos. Um registro unificado que inclua os campos exigidos por ambas as regulamentações — incluindo a base legal específica de cada lei para cada tratamento — reduz trabalho de manutenção e facilita auditorias.
Gestão de consentimento por jurisdição — sistemas de consentimento precisam capturar e armazenar o tipo de consentimento obtido, registrar que o consentimento atendia aos requisitos da lei aplicável no momento da coleta, e suportar revogação independente por lei.
Processo de resposta a incidentes com dupla notificação
Incidentes que afetam dados de titulares europeus e brasileiros ao mesmo tempo disparam obrigações de notificação em ambas as jurisdições com prazos diferentes:
- GDPR: 72 horas corridas para a DPA europeia competente
- LGPD: 2 dias úteis para a ANPD
Isso significa que o processo de resposta a incidentes precisa incluir:
- Triagem que identifica quais jurisdições têm titulares afetados
- Templates de notificação pré-aprovados para ANPD e para as DPAs europeias relevantes
- Contatos de emergência das autoridades em ambas as jurisdições no runbook
- Critérios documentados de avaliação de risco que mapeiam para os padrões de ambas as regulamentações
Organizações com presença em múltiplos países europeus podem usar o mecanismo de “one-stop-shop” do GDPR para notificar uma única DPA (a do país do estabelecimento principal), enquanto a notificação à ANPD segue em paralelo.
Atendimento a direitos dos titulares em ambas as jurisdições
Os direitos dos titulares são substancialmente similares nas duas leis, o que simplifica a implementação técnica. Um portal de direitos que suporte as operações de acesso, retificação, exclusão e portabilidade atende aos requisitos centrais de ambas.
As diferenças que merecem atenção na implementação:
Confirmação de existência de tratamento (LGPD) — a LGPD prevê explicitamente o direito de obter confirmação da existência de tratamento como direito separado do direito de acesso. Sistemas de atendimento precisam suportar respostas que confirmam ou negam tratamento sem necessariamente fornecer todos os dados (útil quando o titular quer apenas saber se a empresa tem dados sobre ele).
Revisão de decisões automatizadas — tanto GDPR (art. 22) quanto LGPD (art. 20) preveem direitos relacionados a decisões automatizadas. O GDPR é mais detalhado, exigindo que o titular possa solicitar intervenção humana, expressar seu ponto de vista e contestar a decisão. A implementação técnica de uma trilha de auditoria que registra quando e como decisões automatizadas foram tomadas serve a ambas as regulamentações.
O ecossistema regulatório complementar
Regulamentações que se integram ao GDPR
Organizações que operam na Europa precisam navegar não apenas o GDPR mas um ecossistema crescente de regulamentações complementares:
O AI Act europeu (aprovado em 2024) regula sistemas de IA com base no risco, com sobreposição direta com o GDPR quando sistemas de IA processam dados pessoais. A combinação dos dois cria obrigações que precisam ser endereçadas conjuntamente em qualquer projeto de IA com dados de usuários europeus.
O Data Act (vigente desde setembro de 2025) cobre dados gerados por dispositivos IoT, criando regras sobre compartilhamento de dados que podem interagir com as obrigações GDPR em produtos conectados.
O NIS2 Directive (vigente desde outubro de 2024) expande os requisitos de cibersegurança para setores críticos, criando obrigações de segurança que se sobrepõem com os requisitos de segurança do GDPR no artigo 32.
O desenvolvimento contínuo da regulamentação brasileira
A ANPD tem publicado resoluções e orientações progressivamente, preenchendo lacunas que a lei deixou abertas:
- Resolução CD/ANPD nº 1/2021 — estrutura de comunicação de incidentes
- Resolução CD/ANPD nº 2/2022 — regulamentação de comunicação de incidentes de segurança, com prazos específicos
- Resolução CD/ANPD nº 4/2023 — simplificação para microempresas, EPP e startups
- Regulamento de transferências internacionais — em desenvolvimento, estabelecerá mecanismos equivalentes às SCCs europeias
Organizações precisam acompanhar tanto as orientações do EDPB (comitê europeu de proteção de dados que publica guidelines sobre o GDPR) quanto as resoluções e notas de orientação da ANPD para manter conformidade atualizada.
Perguntas frequentes sobre GDPR e LGPD
Parcialmente. A conformidade com o GDPR cobre a maioria dos requisitos da LGPD por conta da similaridade estrutural entre as leis. Mas algumas diferenças específicas precisam de atenção adicional: a LGPD tem a base legal “proteção do crédito” que não existe no GDPR; inclui dados de crianças como categoria sensível (diferente do GDPR); tem critérios de obrigatoriedade de DPO ligeiramente diferentes; e o prazo de notificação de incidentes é medido em dias úteis, não horas corridas. Uma empresa que mapeou todos os tratamentos de dados para bases legais do GDPR precisa revisar esse mapeamento para incluir as bases específicas da LGPD.
As funções são similares — supervisão da conformidade, ponto de contato com titulares e autoridade regulatória, aconselhamento interno. As diferenças estão nos critérios de obrigatoriedade e em alguns detalhes de independência. O GDPR usa critérios funcionais objetivos (larga escala, monitoramento sistemático) para definir quando o DPO é obrigatório. A LGPD parte de obrigatoriedade geral com exceções regulamentadas para empresas menores. Nas organizações onde ambas as leis se aplicam, a mesma pessoa pode exercer as duas funções, desde que atenda aos requisitos de cada lei — o que geralmente é o caso quando os critérios de nomeação de ambas as leis apontam para a mesma conclusão.
A transferência de dados pessoais de europeus para o Brasil requer, sob o GDPR, um mecanismo de transferência válido — atualmente, na ausência de decisão de adequação para o Brasil, as Standard Contractual Clauses (SCCs) são o mecanismo mais usado. A transferência de dados de brasileiros para servidores na Europa ou em qualquer outro país requer, sob a LGPD, que o controlador verifique se o país destino tem proteção adequada reconhecida pela ANPD ou implemente salvaguardas contratuais equivalentes. Na prática, para organizações que transferem dados em ambas as direções, o caminho mais eficiente é usar SCCs europeias como base contratual e adicionar cláusulas que cubram os requisitos da LGPD — o que a maioria dos grandes provedores de cloud e SaaS já fez nos seus contratos standard.
Nesses casos, a abordagem mais defensável é cumprir o padrão mais exigente dos dois. Para notificação de incidentes, o prazo GDPR de 72 horas corridas é geralmente mais curto que os 2 dias úteis da LGPD — cumprir o prazo GDPR cumpre o da LGPD. Para bases legais, onde uma operação usa uma base que existe em uma lei mas não na outra, o controlador precisa identificar a base correspondente mais próxima na outra lei ou reestruturar a operação. Ter um conselheiro jurídico que entende as duas regulamentações (não apenas uma delas) é importante para essas análises de conflito.
A ANPD aplicou suas primeiras sanções administrativas a partir de 2023, com volume de processos crescendo progressivamente. O perfil inicial foi de advertências e multas para violações documentadas de pequenas e médias empresas, com casos mais complexos ainda em andamento. A comparação com o GDPR é relevante: as autoridades europeias aplicaram multas bilionárias desde 2018, e a ANPD está em fase de construção de jurisprudência e capacidade institucional. Isso não significa baixo risco — significa que o histórico de aplicação ainda está sendo construído, e o momento certo para implementar conformidade é antes do escrutínio regulatório, não depois.
As diferenças importam menos do que o princípio em comum
Ao longo deste artigo, GDPR e LGPD revelaram-se regulamentações com diferenças reais — em prazos, em critérios de obrigatoriedade, em bases legais, em estrutura de penalidades — mas com uma convergência fundamental em torno do mesmo princípio: tratamento de dados pessoais exige base legal documentada, controles técnicos adequados ao risco, transparência com os titulares, e capacidade de responder a incidentes e atender a direitos.
Para profissionais de segurança da informação, essa convergência simplifica o trabalho: um programa de segurança de dados que implementa controles rigorosos, mantém inventário atualizado de dados pessoais, documenta bases legais, testa resposta a incidentes e cria processos de atendimento a direitos de titulares serve bem a ambas as regulamentações. As diferenças específicas — prazos, critérios de DPO, bases legais adicionais da LGPD — são ajustes dentro de um framework que já está construído.
A conclusão prática é sempre a mesma para organizações que operam em ambas as jurisdições: comece pela convergência, depois ajuste as especificidades. Construir conformidade como programa de segurança de dados — não como projeto jurídico isolado — garante que as diferenças entre as duas leis sejam tratadas como o que são: detalhes de implementação dentro de um framework de princípios compartilhados.
👉 Compartilhe este guia com equipes de segurança, jurídico e compliance que precisam navegar as duas regulamentações — pode ser a referência comparativa que simplifica decisões que parecem complexas.