Todas as principais leis de privacidade partilham princípios essenciais: consentimento, transparência, minimização de dados, segurança e direitos dos utilizadores. Mas diferem no âmbito, na fiscalização e nas sanções. Perceber como se comparam ajuda-te a identificar as que se aplicam ao teu negócio e a desenhar uma estratégia de conformidade que cubra vários quadros em simultâneo.
Princípios essenciais em todas as leis de privacidade
Todos os principais quadros de privacidade (RGPD, CCPA, LGPD, PIPEDA, etc.) exigem alguma versão de: transparência sobre a recolha de dados, permissão antes de recolher a maioria dos dados pessoais, guardar apenas o necessário, proteger os dados contra uso indevido e dar às pessoas direitos sobre a sua própria informação. Isto não é discutível. Se respeitas estes princípios, cumpres a maioria dos quadros.
As diferenças que importam
Modelo de consentimento: o RGPD exige consentimento explícito por adesão para a maior parte do rastreamento. O CCPA usa a recusa para a venda de dados (mas está a caminhar para a adesão). A maioria das leis mais recentes segue o modelo de adesão do RGPD.
Definição de dados pessoais: o RGPD e outras definem dados pessoais de forma ampla. O CCPA é ainda mais amplo. Mais amplo significa que mais dados ativam requisitos de conformidade.
Âmbito de aplicação: o RGPD aplica-se a residentes da UE. O CCPA aplica-se a residentes da Califórnia. A LGPD aplica-se a residentes brasileiros. Várias leis podem aplicar-se ao mesmo utilizador consoante o local onde está ou onde o teu negócio opera.
Sanções: RGPD: até 4% da faturação. CCPA: 2.500 a 7.500 dólares por violação. LGPD: até 2% da faturação. As sanções são severas em geral.
Fiscalização: o RGPD tem entidades fiscalizadoras ativas e agressivas (autoridades nacionais). A fiscalização do CCPA está a crescer (procurador-geral do estado, direito de ação privada). A fiscalização da LGPD está a intensificar-se. A maioria das leis é aplicada ativamente.
Comparação detalhada: RGPD, CCPA, LGPD, PIPEDA
Consentimento
RGPD e LGPD: exigem adesão explícita. CCPA: recusa para a venda de dados (mas o CPRA caminha para a adesão em dados sensíveis). PIPEDA: adesão para a maioria das finalidades. Mais rigorosos: RGPD e LGPD.
Definição de dados pessoais
RGPD: tudo o que identifique uma pessoa direta ou indiretamente. CCPA: mais amplo, inclui inferências e previsões. LGPD e PIPEDA: semelhantes ao RGPD. Vencedor: o CCPA é o mais amplo.
Direitos dos utilizadores
Todos exigem: acesso, eliminação e portabilidade. O RGPD acrescenta: direito de retificação, direito de limitar o tratamento, direito de oposição. O CPRA acrescenta: direito de corrigir, direito de limitar o uso. A PIPEDA é menos explícita mas semelhante. Todos são fortes. RGPD/CPRA são os mais completos.
Minimização de dados
RGPD, LGPD, PIPEDA: requisito explícito de recolher apenas o necessário. CCPA: menos explícito. O RGPD ganha em rigor aqui.
Segurança e notificação de fugas
Todos exigem segurança razoável. RGPD: notificar as autoridades em 72 horas. CCPA: notificar as pessoas em 30 dias (sem requisito perante as autoridades, mas a notificação ao procurador-geral é muitas vezes exigida). LGPD e PIPEDA semelhantes ao RGPD. O RGPD é o mais rigoroso no prazo de notificação.
Determinar as tuas obrigações de conformidade
Passo 1: mapeia a geografia dos teus visitantes
Usa a tua análise para identificar de onde vem o teu tráfego. Se há visitantes da UE, aplica-se o RGPD. Se da Califórnia, aplica-se o CCPA. Se do Brasil, aplica-se a LGPD. A maioria dos sites tem visitantes de várias jurisdições, o que ativa várias leis.
Passo 2: verifica as operações da empresa
Tens escritórios, funcionários ou parceiros de negócio em jurisdições regulamentadas? Isto pode ativar a aplicação mesmo sem tráfego no website (por exemplo, uma empresa com funcionários na UE que tratam dados de clientes pode ativar o RGPD independentemente do tráfego do website).
Passo 3: identifica a lei aplicável mais rigorosa
Entre todas as leis que se aplicam a ti, qual é a mais rigorosa? Normalmente o RGPD. Constrói a conformidade para esse padrão e aplica-o a todos. É mais simples do que a conformidade por jurisdição.
Passo 4: acrescenta as variações regionais
Algumas regiões exigem mecanismos específicos (por exemplo, localização de dados em alguns países asiáticos, botões explícitos de recusa do CCPA na Califórnia). Acrescenta-os à tua abordagem base de conformidade.
A abordagem pragmática: o RGPD como base
Para a maioria das empresas, a abordagem prática é: assumir que o RGPD se aplica (normalmente aplica-se, a não ser que sejas puramente local numa região não regulamentada), construir segundo os padrões do RGPD e depois acrescentar os requisitos regionais. A conformidade com o RGPD quase sempre excede a maioria dos outros quadros. Isto reduz a complexidade e garante que nunca estás em incumprimento.
Se cumpro o RGPD, cumpro o CCPA?
Na maior parte, sim. O consentimento mais rigoroso e a minimização de dados do RGPD excedem os requisitos do CCPA. A definição mais ampla de dados do CCPA significa que tens de tratar os dois âmbitos. Cumprir o RGPD resolve a maioria das obrigações do CCPA.
Que lei de privacidade é mais cara de cumprir?
O RGPD e a LGPD exigem muita infraestrutura (governação de dados, segurança, direitos dos utilizadores). O CCPA é mais simples. O custo real é a correção se ainda não cumprias, não a conformidade em si.
Posso usar uma única política de privacidade para todas as jurisdições?
Sim, se divulgar todas as práticas de dados e cumprir todas as leis aplicáveis. Algumas empresas usam uma política base mais suplementos regionais. A transparência sobre tudo o que recolhes é a chave.
Qual é a maior diferença entre o RGPD e o CCPA?
O modelo de consentimento: o RGPD exige adesão, o CCPA usava a recusa (e está a caminhar para a adesão). Isto explica porque a conformidade com o RGPD costuma exceder a do CCPA. Uma só diferença, impacto desproporcionado.
Se sirvo apenas visitantes dos EUA, que leis estaduais se aplicam?
Todos os estados com tráfego relevante. A Califórnia (CCPA), a Virgínia, o Colorado, o Connecticut, o Utah, o Montana e o Delaware têm todos leis. A maioria das empresas usa simplesmente a conformidade ao nível do RGPD para todos, para evitar configurações por estado.
As leis de privacidade estão a ficar mais rigorosas?
Sim, a nível global. O CCPA é mais rigoroso do que as primeiras leis, o CPRA é mais rigoroso do que o CCPA, e as novas leis internacionais seguem o modelo rigoroso do RGPD. Os requisitos só vão apertar.