A LGPD vale para uma empresa fora do Brasil?

Sim, quando o dado é tratado no Brasil, quando é coletado no Brasil, ou quando a empresa oferece produtos e serviços a pessoas que estão no Brasil. Assim como a GDPR, a LGPD vale pelo lugar onde a pessoa está e onde o dado é usado, não pela sede da empresa.

Qual a maior diferença prática entre as duas?

No dia a dia, o prazo de aviso de vazamento e o valor da multa. A GDPR manda avisar a autoridade em 72 horas e pune em até 4% do faturamento global; a LGPD dá até 3 dias úteis e limita a multa a 2% do faturamento no Brasil, com teto de R$ 50 milhões. Para o cliente grande, o rigor da GDPR costuma puxar o padrão do projeto para cima.

Preciso de um encarregado (DPO) nas duas leis?

As duas pedem essa figura, em condições diferentes. A GDPR obriga o encarregado em casos definidos, como o uso em larga escala de dados sensíveis. A LGPD manda indicar um encarregado, e a ANPD dispensa empresas de pequeno porte em certas situações. Na prática, quem atende os dois países costuma manter um encarregado só, que responde pelas duas leis.

SOC 2 ou ISO 27001 já cobrem a LGPD e a GDPR?

Ajudam, mas não substituem. SOC 2 e ISO 27001 cuidam de segurança da informação, e boa parte dos controles que elas pedem serve de prova para a LGPD e a GDPR. Mas as leis de dados exigem coisas que a segurança não cobre: registrar quais dados você usa, ter um motivo válido, atender aos pedidos das pessoas e indicar o encarregado. Uma coisa completa a outra.

Proteção de dados

GDPR vs LGPD

A LGPD brasileira foi inspirada na GDPR europeia, então quem cumpre uma já andou a maior parte do caminho da outra. Os princípios, os direitos das pessoas e a lógica de quando você pode usar um dado são quase iguais. As diferenças que pesam estão nos detalhes do dia a dia: quanto custa a multa, em quanto tempo você precisa avisar sobre um vazamento, quantos motivos a lei aceita para usar um dado e qual órgão fiscaliza.

Ver adequação e DPO Ir para a comparação

Em resumo

Mesma família: princípios, direitos das pessoas e motivos para usar um dado são quase idênticos.
As diferenças estão na prática: valor da multa, prazo de aviso, quantidade de bases legais e qual órgão fiscaliza.
As duas valem para empresas fora do país quando os dados são de pessoas que estão ali dentro.
Quem atende os dois países não faz dois projetos: faz um só e ajusta os pontos onde as leis diferem.

Lado a lado

As diferenças que mudam a operação

O que comparar	GDPR	LGPD
De onde vem	Regulamento (UE) 2016/679, em vigor desde 2018.	Lei nº 13.709/2018, em vigor desde 2020, com multas desde 2021.
Quem fiscaliza	Uma autoridade de proteção de dados por país, unidas por um comitê europeu.	A ANPD (Autoridade Nacional de Proteção de Dados), uma só, para todo o Brasil.
Multa	Até € 20 milhões ou 4% do faturamento global, o que for maior.	Até 2% do faturamento no Brasil, com limite de R$ 50 milhões por infração.
Motivos para usar um dado	Seis motivos previstos em lei.	Dez motivos, incluindo cuidar da saúde e proteger o crédito.
Aviso de vazamento	Avisar a autoridade em até 72 horas depois de descobrir.	Avisar a ANPD em até 3 dias úteis (Resolução ANPD nº 15/2024).
Encarregado (DPO)	Obrigatório em casos definidos pela lei.	Você precisa indicar um, e a ANPD dispensa empresas de pequeno porte em certos casos.
Enviar dados para outro país	Depende de um país considerado seguro, de cláusulas-padrão ou de regras internas do grupo.	Depende de um país considerado seguro ou de cláusulas-padrão aprovadas pela ANPD.
Quando vale	Quando você oferece produtos e serviços a pessoas na Europa ou acompanha o comportamento delas.	Quando o dado é tratado no Brasil, coletado no Brasil, ou você oferece algo a pessoas no Brasil.

Os direitos das pessoas (acessar, corrigir, apagar, levar os dados para outro lugar e se opor) são parecidos nas duas leis, com pequenas diferenças de nome e de prazo de resposta.

A lei europeia

GDPR

É a referência mundial de proteção de dados desde 2018, e inspirou boa parte das leis que vieram depois, inclusive a LGPD. Tem a multa mais pesada, o prazo de aviso mais curto (72 horas) e uma rede de autoridades nacionais que trabalham juntas. Vale para qualquer empresa que ofereça produtos ou serviços a pessoas na Europa, ou que acompanhe o comportamento delas, mesmo sem escritório por lá.

Multa de até € 20 milhões ou 4% do faturamento global
Aviso de vazamento à autoridade em 72 horas
Seis motivos previstos para usar um dado
Uma autoridade por país, unidas por um comitê europeu

A lei brasileira

LGPD

Trouxe a mesma lógica da GDPR para o Brasil, com ajustes à realidade local: mais motivos para usar um dado, uma autoridade única (a ANPD) e um limite de multa em reais. O prazo de aviso foi definido pela ANPD em 2024. Para quem já cumpre a GDPR, o esforço da LGPD é menor, mas não é zero: há diferenças de motivos, de envio de dados para fora e de prazos que precisam ser acertadas.

Multa de até 2% do faturamento no Brasil, com limite de R$ 50 milhões
Aviso à ANPD em até 3 dias úteis
Dez motivos previstos para usar um dado
Uma autoridade única, para todo o país (ANPD)

Como se relacionam

Um projeto só, dois enquadramentos

Quem cuida de dados de pessoas na Europa e no Brasil não precisa de dois projetos de privacidade. A base é a mesma: saber quais dados você usa e por quê, atender aos pedidos das pessoas, cuidar de vazamentos, manter a segurança e ter um encarregado. O que muda é a camada de cima: os prazos, os limites de multa, o jeito de enviar dados para fora e o órgão que fiscaliza. O trabalho esperto é montar um projeto único e anotar as diferenças de cada lei, em vez de repetir tudo duas vezes.

O mapa dos dados, os motivos de uso e os direitos das pessoas servem às duas leis
Os prazos de aviso e os limites de multa são próprios de cada uma
Enviar dados entre Brasil e Europa pede atenção nos dois sentidos

Qual é o seu caso

O que priorizar

Você atende clientes ou usuários no Brasil

A LGPD é o seu piso

Comece anotando quais dados você usa e por quê, e indicando o encarregado. É o que a ANPD olha primeiro, e a base para todo o resto.

Você oferece serviços a pessoas na Europa

A GDPR entra em cena

Mesmo sem escritório por lá. Ajuste o prazo de aviso para 72 horas e revise como você envia dados para fora do país.

Você atende os dois países

Um projeto só, com as diferenças anotadas

Monte a base comum uma vez e anote o que cada lei pede a mais. Sai mais barato e evita a confusão de manter dois projetos separados.

Números que importam

€ 20 mi / 4%

teto da multa da GDPR (o maior dos dois)

R$ 50 mi

limite da multa da LGPD, por infração

72h vs 3 dias úteis

prazo de aviso: GDPR vs LGPD

Como a DM11 resolve

Adequação à LGPD e à GDPR, com DPO as a service da DM11

A gente monta o projeto de privacidade que serve aos dois países: o mapa dos dados, os motivos de uso, o atendimento às pessoas, o cuidado com vazamentos e o encarregado. Onde as leis diferem, a gente anota e ajusta, para você não manter dois projetos.

Um projeto só cobre Brasil e Europa: você não monta nem paga dois times
A gente assume o papel de encarregado (DPO), e a sua equipe fica livre para o negócio
Você reduz o risco de multa e responde a fiscalização com a papelada pronta
Fica mais fácil fechar contrato: o cliente vê que os dados dele estão em boas mãos

Conhecer IT GRC

Dúvidas frequentes

O que perguntam antes de decidir

Respostas apoiadas na Lei nº 13.709/2018 e no Regulamento (UE) 2016/679.

Em grande parte, sim, mas não totalmente. A base é a mesma, então o mapa dos dados, os motivos de uso, os direitos das pessoas e o encarregado já vão estar de pé. Faltam os ajustes: a LGPD aceita dez motivos para usar um dado em vez de seis, o prazo de aviso é outro, o envio de dados para fora passa pela ANPD e o limite de multa é em reais. É um acerto, não um projeto novo.

Mais dúvidas? Fale com a DM11

Monte um projeto de privacidade que serve aos dois países

Uma conversa curta mostra a sua situação nas duas leis e o tamanho do caminho. Sem compromisso.

Falar com um especialista Conhecer IT GRC

GDPR vs LGPD

O que comparar

GDPR

LGPD

De onde vem

Regulamento (UE) 2016/679, em vigor desde 2018.

Lei nº 13.709/2018, em vigor desde 2020, com multas desde 2021.

Quem fiscaliza

Uma autoridade de proteção de dados por país, unidas por um comitê europeu.

A ANPD (Autoridade Nacional de Proteção de Dados), uma só, para todo o Brasil.

Multa

Até € 20 milhões ou 4% do faturamento global, o que for maior.

Até 2% do faturamento no Brasil, com limite de R$ 50 milhões por infração.

Motivos para usar um dado

Seis motivos previstos em lei.

Dez motivos, incluindo cuidar da saúde e proteger o crédito.

Aviso de vazamento

Avisar a autoridade em até 72 horas depois de descobrir.

Avisar a ANPD em até 3 dias úteis (Resolução ANPD nº 15/2024).

Encarregado (DPO)

Obrigatório em casos definidos pela lei.

Você precisa indicar um, e a ANPD dispensa empresas de pequeno porte em certos casos.

Enviar dados para outro país

Depende de um país considerado seguro, de cláusulas-padrão ou de regras internas do grupo.

Depende de um país considerado seguro ou de cláusulas-padrão aprovadas pela ANPD.

Quando vale

Quando você oferece produtos e serviços a pessoas na Europa ou acompanha o comportamento delas.

Quando o dado é tratado no Brasil, coletado no Brasil, ou você oferece algo a pessoas no Brasil.

GDPR

Multa de até € 20 milhões ou 4% do faturamento global

Aviso de vazamento à autoridade em 72 horas

Seis motivos previstos para usar um dado

Uma autoridade por país, unidas por um comitê europeu

LGPD

Multa de até 2% do faturamento no Brasil, com limite de R$ 50 milhões

Aviso à ANPD em até 3 dias úteis

Dez motivos previstos para usar um dado

Uma autoridade única, para todo o país (ANPD)

Um projeto só, dois enquadramentos

O mapa dos dados, os motivos de uso e os direitos das pessoas servem às duas leis

Os prazos de aviso e os limites de multa são próprios de cada uma

Enviar dados entre Brasil e Europa pede atenção nos dois sentidos

Adequação à LGPD e à GDPR, com DPO as a service da DM11

Um projeto só cobre Brasil e Europa: você não monta nem paga dois times

A gente assume o papel de encarregado (DPO), e a sua equipe fica livre para o negócio

Você reduz o risco de multa e responde a fiscalização com a papelada pronta

Fica mais fácil fechar contrato: o cliente vê que os dados dele estão em boas mãos