A regulação da privacidade está a acelerar em todo o mundo. Para além do RGPD e do CCPA, dezenas de países têm agora quadros de privacidade abrangentes. O Canadá tem a PIPEDA, o Brasil tem a LGPD, a Índia tem regras em desenvolvimento e praticamente todas as economias desenvolvidas estão a introduzir ou a reforçar leis de privacidade. Se o teu negócio serve visitantes internacionais, precisas de conhecer os principais quadros fora da Europa e dos EUA.
Os principais quadros de privacidade no mundo
Canadá: PIPEDA e leis provinciais
A PIPEDA (Personal Information Protection and Electronic Documents Act) é a lei federal de privacidade do Canadá. Aplica-se a organizações que recolhem dados pessoais de residentes canadianos. A PIPEDA é semelhante ao RGPD na estrutura: exige consentimento, minimização de dados, segurança e direitos dos utilizadores. Algumas províncias (Quebeque, Alberta) têm leis de privacidade provinciais adicionais, ainda mais rigorosas do que a PIPEDA.
A PIPEDA é aplicada pelo Comissário da Privacidade do Canadá. As multas podem chegar a milhões de dólares. É aplicada ativamente, não é uma preocupação teórica.
Brasil: LGPD
A LGPD do Brasil (Lei Geral de Proteção de Dados) é muitas vezes chamada o “RGPD do Brasil”. É um quadro abrangente que exige consentimento, minimização de dados, segurança e direitos dos utilizadores. As sanções da LGPD são severas: até 2% da faturação (ou 50 milhões de reais brasileiros). Aplica-se a organizações que tratam dados de residentes brasileiros, independentemente de onde a empresa esteja sediada.
A fiscalização da LGPD está a intensificar-se. O Brasil está a aplicá-la ativamente. Se tens visitantes brasileiros, a conformidade é importante.
México: LFPDPPP
A LFPDPPP do México (Ley Federal de Protección de Datos Personales en Posesión de Particulares) é semelhante ao RGPD e exige consentimento e direitos dos utilizadores. É aplicada com menos agressividade do que o RGPD ou a LGPD, mas as violações podem resultar em multas significativas. Se operas no México, precisas de uma conformidade básica ao nível do RGPD.
Índia: Digital Personal Data Protection Act
A Índia aprovou recentemente a Digital Personal Data Protection Act (DPDPA), em vigor desde 2024. É menos rigorosa do que o RGPD, mas exige consentimento para a maior parte da recolha de dados e dá aos utilizadores direitos de acesso e eliminação. A fiscalização na Índia ainda está a ser construída, mas espera-se conformidade daqui para a frente.
Ásia-Pacífico: quadros variados
A Austrália tem alterações à Privacy Act que exigem um consentimento mais rigoroso. Singapura tem a PDPA. Hong Kong tem a PDPO. A Coreia do Sul tem a PIPA. O Japão tem a APPI. A Tailândia tem a PDPA. Cada quadro é ligeiramente diferente, mas todos exigem alguma forma de consentimento e direitos dos utilizadores. Se operas na Ásia-Pacífico, assume que a conformidade ao nível do RGPD é o padrão mínimo seguro.
O padrão de convergência global
A lei de privacidade a nível global está a convergir para alguns princípios comuns: transparência (os utilizadores têm de saber o que é recolhido), consentimento (é preciso permissão), minimização de dados (recolher apenas o necessário), segurança (proteger o que tens) e direitos dos utilizadores (aceder, apagar, portar dados). Se constróis uma análise que respeita estes princípios, cumpres a maioria dos quadros globais.
Decisões de adequação e reconhecimento mútuo
Alguns países reconhecem as leis de privacidade de outros como “adequadas”. A UE reconhece o Reino Unido, a Suíça e outros como adequados, o que facilita a transferência de dados. As decisões de adequação do RGPD são as mais rigorosas. Se cumpres o RGPD, provavelmente és adequado para a maioria das transferências bilaterais de dados.
Conformidade prática para operações globais
Para a maioria das empresas, a abordagem é: identificar onde tens tráfego significativo de visitantes, dar prioridade a essas jurisdições e construir uma análise que cumpra o padrão aplicável mais rigoroso. Depois aplicar esse padrão a nível global. É mais simples do que manter configurações de análise por jurisdição.
Variação regional sem fragmentação
Não precisas de um sistema de análise diferente para cada país. Precisas de um sistema construído para o padrão aplicável mais elevado (normalmente o RGPD) que consiga acomodar variações regionais (por exemplo, mecanismos explícitos de recusa onde exigidos, localização de dados onde obrigatória).
Como identifico as leis de que países se aplicam? Devo usar os dados de tráfego da análise?
Sim, usa a análise para definir o âmbito. Extrai a geografia dos visitantes dos últimos 12 meses: que países têm tráfego relevante (5% ou mais)? Essas leis provavelmente aplicam-se. Pesquisa cada país com muito tráfego: UE = RGPD, Canadá = PIPEDA, Brasil = LGPD, Índia = DPDPA, Austrália = Privacy Act. Dá prioridade pelo tráfego: 40% de tráfego da UE significa RGPD primeiro. Verifica também: tens funcionários, escritórios ou parceiros de negócio nalgum país? Se sim, essas leis aplicam-se independentemente do tráfego. Usa a análise como ponto de partida e completa com perguntas operacionais. Passas a ter o teu mapa regulatório.
A LGPD é 2% da faturação mas o RGPD é 4%. Qual é realmente mais rigorosa?
O máximo de 4% do RGPD é mais alto. Mas o cálculo importa. RGPD: 4% da faturação global. LGPD: 2% da faturação (ambíguo se só do Brasil ou global). Na prática: ambas mostram uma tendência de fiscalização para as grandes empresas. Violação de uma empresa pequena: 50.000 a 500.000 euros em qualquer uma. A dimensão pesa mais do que a percentagem. Na prática: trata ambas como severas. Evita violações em vez de apostar em diferenças de percentagem. Ambas são sérias.
Que países obrigam à localização de dados, e como isso afeta a minha análise?
A localização de dados é obrigatória na Rússia, China, Índia, Indonésia (2022 em diante) e Vietname. A UE regula de forma mais flexível através de CCT e decisões de adequação. Na análise: se usas um fornecedor dos EUA (Google Analytics), os servidores dele nos EUA violam a localização. Soluções: fornecedores com servidores locais (servidores na UE do Google Analytics para o RGPD, servidores na Índia para a lei indiana) ou plataformas locais que põem a privacidade primeiro. Verifica o teu fornecedor: onde guarda os dados? Se não for nos países exigidos, tens uma lacuna. É uma escolha de fornecedor (configuração), não operacional (a conformidade é infraestrutura).
A lei da Índia entrou em vigor em 2024 e o Brasil está a intensificar a fiscalização. Como lido com alvos em movimento?
Três abordagens: (1) Esperar para ver (arriscado, mas comum quando a fiscalização é incipiente). (2) Cumprir em excesso (padrão RGPD mesmo que a lei local seja menos rigorosa: mais seguro mas dá mais trabalho). (3) Monitorizar e ajustar (construir para os requisitos atuais, planear atualizações à medida que a lei muda). DPDPA da Índia: em vigor desde 2024, fiscalização em construção. A maioria das empresas adota a conformidade ao nível do RGPD mesmo para a Índia. LGPD do Brasil: ativa, mas a fiscalização foca-se nas grandes empresas. As empresas mais pequenas enfrentam menos risco. Estratégia segura: constrói para o RGPD nos países com fiscalização em desenvolvimento, monitoriza as atualizações regulatórias trimestralmente, ajusta se houver grandes mudanças.
O que é o Schrems II e como afeta as minhas transferências de análise entre a UE e os EUA?
O Schrems II (2020) invalidou o Privacy Shield e enfraqueceu as Cláusulas Contratuais-Tipo nas transferências UE-EUA. O tribunal disse: as CCT sozinhas não garantem proteção se o país de destino permite vigilância em massa. Impacto: precisas de CCT MAIS salvaguardas suplementares (encriptação, controlo de acessos, minimização de dados). Na análise: se usas um fornecedor dos EUA, ele precisa de CCT e de medidas suplementares. Muitos fornecedores, incluindo o Google, acrescentaram-nas. Verifica o teu fornecedor: trata do Schrems II? Se só tem CCT, estás exposto. Muitos oferecem residência dos dados na UE como solução mais simples (guardar os dados na UE, sem transferência).
As regiões diferem na adesão (opt-in) e na recusa (opt-out)? Devo tratar o consentimento por região?
As regiões diferem, mas não precisas de mecanismos por região. Padrão: a maioria passou para a adesão (consentimento explícito antes de rastrear). RGPD = adesão. CCPA historicamente = recusa (o CPRA passa para adesão em dados sensíveis). LGPD = adesão. PIPEDA = adesão. Índia = adesão. A maioria das leis modernas é de adesão. Aplica a adesão a nível global (excede os requisitos de recusa). Um só mecanismo de consentimento: “Podemos acompanhar-te?” Sim/não. Para a recusa histórica do CCPA, acrescenta uma ligação “Não vender” (satisfaz a Califórnia). Um consentimento global trata a variação regional: base de adesão mais uma ligação específica da Califórnia. Não é preciso configurar a análise por região.