As leis e o que elas significam na prática

GDPR

União Europeia

O ponto de referência global da legislação de privacidade: bases legais, princípios, direitos, responsabilização, notificação de violação em até 72 horas, regras de transferência e multas de até 4 por cento do faturamento mundial.

Lei de IA da UE

União Europeia

Regulamentação de IA baseada em risco, com obrigações atribuídas por papel: práticas proibidas, requisitos para alto risco, deveres de transparência e regras para modelos de uso geral.

Diretiva ePrivacy

União Europeia

A origem das regras da UE sobre consentimento para cookies e marketing eletrônico, ao lado do GDPR.

NIS2

União Europeia

Gestão de riscos de cibersegurança, responsabilização da gestão e comunicação de incidentes em etapas, começando com um alerta antecipado em até 24 horas.

DORA

União Europeia

Gestão de riscos de ICT, comunicação de incidentes, testes de resiliência e um registro dos acordos com terceiros de ICT para o setor financeiro.

Data Act

União Europeia

Direitos para que os usuários acessem e compartilhem dados de produtos conectados, e regras que facilitam a troca de provedor de nuvem.

DSA

União Europeia

Moderação de conteúdo, transparência, proibição de anúncios direcionados com base em dados sensíveis ou dirigidos a menores com base em perfilamento, e avaliações de risco para plataformas muito grandes.

DMA

União Europeia

Limites à forma como os gatekeepers combinam dados pessoais entre serviços sem consentimento, entre outras regras de conduta.

CRA

União Europeia

Requisitos de segurança ao longo de todo o ciclo de vida de produtos de hardware e software, com deveres de tratamento e comunicação de vulnerabilidades.

DGA

União Europeia

Regras para intermediários de dados neutros e para a reutilização de dados protegidos do setor público.

EHDS

União Europeia

Acesso e controle dos pacientes sobre dados eletrônicos de saúde em toda a UE, e um marco para o uso secundário de dados de saúde.

EU-US DPF

União Europeia

Uma decisão de adequação que permite que dados pessoais fluam para empresas dos EUA autocertificadas sem cláusulas contratuais padrão.

UK GDPR

Reino Unido

A versão do GDPR do Reino Unido após o Brexit, que agora diverge em alguns pontos por meio do Data (Use and Access) Act 2025.

HIPAA

Federal dos EUA

Rege as informações de saúde protegidas mantidas pelo sistema de saúde e seus fornecedores: usos e divulgações permitidos, direitos dos pacientes, salvaguardas de segurança para registros eletrônicos e notificação de violações.

Seção 5 do FTC Act

Federal dos EUA

A principal ferramenta federal de fiscalização de privacidade: práticas desleais ou enganosas, incluindo promessas de privacidade não cumpridas e segurança inadequada.

GLBA

Federal dos EUA

Avisos de privacidade e opt-outs para o compartilhamento de informações financeiras de clientes, e um programa de segurança da informação com salvaguardas específicas nos termos da Safeguards Rule.

COPPA

Federal dos EUA

Consentimento verificável dos pais antes de coletar informações pessoais de crianças menores de 13 anos, com direitos de aviso, acesso e exclusão para os pais.

CAN-SPAM

Federal dos EUA

Cabeçalhos e linhas de assunto honestos, um endereço postal e um opt-out atendido em até dez dias úteis. Não é necessário consentimento para enviar.

TCPA

Federal dos EUA

Regras de consentimento para chamadas e mensagens de texto automatizadas e pré-gravadas, o National Do Not Call Registry e indenizações legais por chamada.

FCRA

Federal dos EUA

Exatidão, finalidade permitida e direitos de contestação para relatórios de consumidores, incluindo verificações de antecedentes para emprego.

FERPA

Federal dos EUA

Direitos de pais e estudantes elegíveis sobre registros educacionais e limites à sua divulgação.

VPPA

Federal dos EUA

Limita a divulgação de quais vídeos uma pessoa assistiu; hoje é uma base frequente para ações judiciais sobre pixels de rastreamento em páginas de vídeo.

GINA

Federal dos EUA

Proíbe o uso de informações genéticas em decisões de emprego e de seguro-saúde.

Divulgação cibernética da SEC

Federal dos EUA

Divulgação de incidentes de cibersegurança relevantes em até quatro dias úteis após a determinação da relevância, e divulgação anual sobre gestão de riscos e governança.

FTC HBNR

Federal dos EUA

Notificação de violação para aplicativos de saúde e serviços semelhantes fora do âmbito da HIPAA, em que o compartilhamento não autorizado conta como violação.

CCPA/CPRA

Califórnia

A lei estadual de privacidade mais detalhada dos EUA e a única com um regulador de privacidade dedicado. Abrange dados de funcionários e de relações entre empresas, exige opt-out de venda e compartilhamento e tem regulamentos próprios sobre tomada de decisão automatizada.

VCDPA

Virgínia

O modelo para a maioria das leis estaduais posteriores: direitos do consumidor, opt-out de publicidade direcionada, venda e perfilamento, consentimento prévio (opt-in) para dados sensíveis e avaliações de proteção de dados.

CPA

Colorado

Lei no estilo da Virgínia com regras detalhadas do Procurador-Geral, incluindo a exigência de respeitar sinais universais de opt-out.

CTDPA

Connecticut

Lei no estilo da Virgínia, alterada para ampliar a abrangência e reforçar as regras sobre dados sensíveis e menores.

UCPA

Utah

Uma das leis estaduais mais favoráveis às empresas, com direitos mais restritos e limites mais altos.

TDPSA

Texas

Sem limite de receita ou de volume: alcança quase todas as empresas que não são pequenas empresas, o que a torna, na prática, uma das leis estaduais mais amplas.

OCPA

Oregon

Lei no estilo da Virgínia que também dá aos consumidores o direito de saber quais terceiros específicos receberam seus dados.

MCDPA

Montana

Lei no estilo da Virgínia com limites relativamente baixos, refletindo a população do estado.

FDBR

Flórida

Restrita quanto a quem abrange, mas rigorosa para as maiores empresas de tecnologia que tem como alvo.

ICDPA

Iowa

Uma lei mais restrita no estilo da Virgínia, com menos direitos do consumidor.

DPDPA

Delaware

Lei no estilo da Virgínia, com limites baixos e cobertura de muitas organizações sem fins lucrativos.

NHDPA

New Hampshire

Lei no estilo da Virgínia com limites ajustados a um estado pequeno.

NJDPA

Nova Jersey

Lei no estilo da Virgínia, com definições amplas de dados sensíveis e regulamentação pela Divisão de Assuntos do Consumidor.

NDPA

Nebraska

Lei no estilo do Texas, sem limite de volume, aplicável à maioria das empresas que não são pequenas empresas.

TIPA

Tennessee

Limites altos e uma defesa afirmativa para empresas que seguem o NIST Privacy Framework.

MCDPA

Minnesota

Acrescenta direitos que outros estados não têm, incluindo o direito de questionar o resultado de uma decisão baseada em perfilamento e de ver a lista de terceiros que receberam os dados.

MODPA

Maryland

A lei estadual mais rigorosa sobre minimização de dados: a coleta deve ser razoavelmente necessária para o serviço, e a venda de dados sensíveis é proibida.

ICDPA

Indiana

Lei no estilo da Virgínia, em vigor a partir de 2026.

KCDPA

Kentucky

Lei no estilo da Virgínia, em vigor a partir de 2026.

RIDTPPA

Rhode Island

Lei no estilo da Virgínia, com deveres incomuns de divulgação no site e sem período de saneamento.

BIPA

Illinois

Aviso e consentimento por escrito antes de coletar dados biométricos, uma tabela pública de retenção e um direito privado de ação que gerou alguns dos maiores acordos de privacidade dos EUA.

CUBI

Texas

Aviso e consentimento antes de capturar identificadores biométricos, limites à venda e à divulgação, e destruição dentro de um prazo definido. Aplicada pelo Procurador-Geral, que já obteve acordos vultosos.

RCW 19.375

Washington

Aviso e consentimento, ou um mecanismo de opt-out, antes de cadastrar identificadores biométricos para fins comerciais.

MHMDA

Washington

Uma definição ampla de dados de saúde do consumidor, consentimento separado para coletar e para compartilhar, autorização assinada para vender, limites de geofencing perto de estabelecimentos de saúde e direito privado de ação.

SB 370

Nevada

Abordagem semelhante à da lei de Washington, sem direito privado de ação.

Delete Act

Califórnia

Permite que um residente da Califórnia peça, com uma única solicitação, que todos os corretores de dados registrados excluam seus dados, e os corretores devem verificar e processar o pedido em um cronograma fixo.

Lei de corretores de dados de Vermont

Vermont

O primeiro registro estadual de corretores de dados, com requisitos de programa de segurança e de divulgação.

Lei de corretores de dados do Texas

Texas

Registro, avisos no site e um programa de segurança para corretores de dados.

Registro de corretores de dados do Oregon

Oregon

Registro anual para corretores de dados.

SHIELD Act

Nova York

Ampliou a lei de notificação de violações de Nova York e exige salvaguardas administrativas, técnicas e físicas razoáveis.

201 CMR 17.00

Massachusetts

Uma das primeiras regras estaduais prescritivas de segurança: um programa escrito de segurança da informação, criptografia e supervisão de fornecedores.

NYDFS Parte 500

Nova York

Um regulamento detalhado sobre programas de cibersegurança, com certificação anual, comunicação de CISO, notificação de incidentes em até 72 horas e exposição à responsabilidade pessoal dos executivos que certificam.

Todos os estados exigem notificação aos residentes afetados após uma violação de informações pessoais. Os prazos, as notificações ao regulador e o que conta como informação pessoal variam, portanto uma violação em vários estados significa aplicar várias leis ao mesmo tempo.

LPDP

Argentina

Uma das primeiras leis consideradas adequadas pela UE, baseada em consentimento por escrito, registro de bancos de dados e uma ação judicial de habeas data, com prazos de resposta muito curtos. Não prevê notificação de violações nem obrigações de DPO ou DPIA, e as multas continuam baixas.

Privacy Act (AU)

Austrália

A lei de privacidade da Austrália, baseada nos treze Princípios Australianos de Privacidade, agora em período de reforma.

LGPD

Brasil

A lei brasileira inspirada no GDPR, com dez bases legais e uma autoridade nacional.

PIPEDA

Canadá

A lei federal de privacidade do Canadá para o setor privado, baseada em dez princípios de práticas justas de informação.

Lei 25

Quebec, Canadá

A lei de privacidade mais rigorosa do Canadá, com avaliações de impacto à privacidade para transferências e multas no nível do GDPR.

LPVP

Chile

Até dezembro de 2026, o Chile mantém um regime leve de 1999 aplicado apenas pelos tribunais, com consentimento por escrito, prazo de resposta de dois dias e multas ínfimas. A Lei 21,719 traz então um regime no estilo do GDPR, com uma nova agência, deveres em caso de violação e multas de até 20,000 UTM.

PIPL

China

A lei abrangente de privacidade da China, com regras rigorosas sobre consentimento e transferências internacionais.

Lei 1581

Colômbia

Todo uso de dados pessoais exige autorização prévia, expressa e informada que o controlador consiga comprovar, e todo controlador deve designar uma pessoa ou área de proteção de dados. A SIC fiscaliza ativamente, as empresas maiores registram bancos de dados no RNBD, e as violações são comunicadas à SIC em até 15 dias úteis.

LOPDP

Equador

A cópia mais próxima do GDPR na região, com interesse legítimo, portabilidade, DPIAs e DPOs, além de multas baseadas no faturamento de até 1%. É mais rigorosa quanto aos prazos: 5 dias para notificar o regulador e 3 dias para notificar os indivíduos.

PDPL (Egito)

Egito

A lei de proteção de dados do Egito. Controladores e operadores precisam de uma licença do Centro de Proteção de Dados Pessoais, e os encarregados de proteção de dados se registram nele.

DPA (Gana)

Gana

A lei de proteção de dados de Gana. Os controladores se registram na Comissão de Proteção de Dados e renovam o registro a cada dois anos.

PDPO

Hong Kong

A lei abrangente de privacidade mais antiga da Ásia, baseada em seis princípios de proteção de dados, sem dever de notificação de violações e sem restrição de transferência em vigor. Seus dentes mais afiados são os crimes de marketing direto sem consentimento e de doxxing.

Lei DPDP

Índia

A lei abrangente de privacidade da Índia, centrada no consentimento, com deveres para fiduciários de dados significativos.

Lei PDP

Indonésia

Estrutura semelhante à do GDPR, mas com prazos muito curtos de 72 horas tanto para solicitações de titulares dos dados quanto para notificações de violação. O consentimento deve ser escrito ou gravado, e penas criminais de até 6 anos coexistem com multas de 2% da receita.

PPL

Israel

A PPL é uma lei baseada em consentimento e centrada em bancos de dados, com regras de segurança muito prescritivas, incluindo a comunicação imediata de incidentes graves. A Emenda 13 acrescentou definições no estilo do GDPR, obrigações de DPO, multas administrativas por titular dos dados e indenizações legais, e restringiu o registro de bancos de dados aos corretores de dados e aos órgãos públicos.

APPI

Japão

A lei de privacidade do Japão, reconhecida pela UE como adequada.

DPA (Quênia)

Quênia

A lei de proteção de dados do Quênia. Controladores e operadores se registram no Data Commissioner. A nomeação de um encarregado de proteção de dados é opcional nos termos da Lei.

PDPA (Malásia)

Malásia

A lei de proteção de dados da Malásia, alterada em 2024. A nomeação de encarregado de proteção de dados e a notificação de violação ao Comissário em até 72 horas se aplicam a partir de 1º de junho de 2025.

LFPDPPP

México

O consentimento é a base padrão, o consentimento tácito por meio de um aviso de privacidade basta para a maioria dos dados, e todo controlador deve designar uma pessoa ou um departamento de proteção de dados. A reformulação de 2025 transferiu a fiscalização do INAI independente para um ministério federal e eliminou os deveres perante o regulador previstos na lei antiga, mantendo penas de prisão para crimes relacionados a dados.

Privacy Act

Nova Zelândia

Uma lei baseada em princípios, com 14 IPPs, encarregados de privacidade obrigatórios em todos os órgãos e notificação de violações que causem dano grave. As multas são baixas; os recursos tramitam pelo Comissário e pelo Tribunal de Revisão de Direitos Humanos.

NDPA (Nigéria)

Nigéria

A lei de proteção de dados da Nigéria. Controladores e operadores de grande importância se registram na NDPC e nomeiam um encarregado de proteção de dados, que deve manter desenvolvimento profissional anual.

LPDP

Peru

O Regulamento 2024 aproximou o Peru do GDPR: alcance extraterritorial com representante local, notificação de violação em 48 horas ao regulador e aos indivíduos, portabilidade e uma obrigação de DPO implantada em fases. Ele mantém o registro de bancos de dados característico do Peru e a notificação de cada fluxo transfronteiriço.

DPA (Filipinas)

Filipinas

A lei de privacidade de dados das Filipinas. As organizações designam um encarregado de proteção de dados, e as que atingem os limites se registram na Comissão Nacional de Privacidade.

PDPL (Arábia Saudita)

Arábia Saudita

A lei de proteção de dados da Arábia Saudita, aplicada pela SDAIA. As regras definem quando é exigido um encarregado de proteção de dados, e o registro e as notificações de violação são feitos pela Plataforma Nacional de Governança de Dados.

PDPA (SG)

Singapura

Lei de privacidade baseada em consentimento, com notificação obrigatória de violações desde 2021.

POPIA

África do Sul

A lei abrangente de privacidade da África do Sul, baseada em oito condições para o tratamento lícito.

PIPA

Coreia do Sul

A Coreia combina direitos no estilo do GDPR com regras de consentimento excepcionalmente granulares, item por item, e um diretor de privacidade obrigatório para todo controlador. A fiscalização é pesada: sobretaxas baseadas na receita que agora chegam a 10%, indenizações legais e penas criminais.

nFADP

Suíça

A lei revisada da Suíça, estreitamente alinhada ao GDPR, com multas dirigidas aos indivíduos responsáveis.

DIFC DPL

Emirados Árabes Unidos

A lei de proteção de dados do Dubai International Financial Centre, uma zona franca financeira com leis e tribunais próprios. Segue de perto o GDPR e tem seu próprio Comissário de Proteção de Dados.

PDPA

Tailândia

Inspirada de perto no GDPR, mas o consentimento geralmente deve ser dado por escrito ou em formato eletrônico, e menores de 20 anos precisam do envolvimento de um responsável legal. A responsabilidade civil é objetiva, e os tribunais podem acrescentar indenizações punitivas de até o dobro da perda efetiva.

KVKK

Turquia

A KVKK é inspirada no GDPR, mas mantém um registro público de controladores (VERBIS) com inventários de dados arquivados e exige notificação de violação aos indivíduos em todos os casos. Desde 2024, as transferências para o exterior se baseiam em adequação, salvaguardas aprovadas pelo Conselho ou contratos padrão emitidos pelo Conselho, que devem ser arquivados em até cinco dias úteis.

DPPA (Uganda)

Uganda

A lei de proteção de dados de Uganda. O dirigente de cada instituição abrangida deve designar um encarregado de proteção de dados, e qualquer pessoa que colete ou trate dados pessoais deve se registrar no Escritório de Proteção de Dados Pessoais.

PDPL (UAE)

Emirados Árabes Unidos

A lei federal de proteção de dados dos UAE. Está em vigor desde janeiro de 2022, mas seu Regulamento Executivo ainda não foi publicado, portanto ainda não há prazo definido para notificação de violações nem tabela de penalidades.

LPDP

Uruguai

Lei considerada adequada pela UE que combina consentimento documentado e registro universal de bancos de dados com acréscimos no estilo do GDPR: notificação de violação em 72 horas, DPIAs e DPOs obrigatórios para tratamento em grande escala ou de dados sensíveis. As multas são baixas, mas os prazos de resposta são de cinco dias úteis.

PDPL

Vietnã

A primeira lei do Vietnã sobre dados pessoais substitui o Decreto 13 por um regime centrado no consentimento, em que as avaliações de impacto e as avaliações de transferência devem ser apresentadas ao Ministério da Segurança Pública. As multas chegam a 5% da receita por violações em transferências e a 10 vezes a receita pelo comércio ilegal de dados.

CDPA (Zimbábue)

Zimbábue

A lei de proteção de dados do Zimbábue, aplicada pela POTRAZ. Os controladores precisam de licença, e os encarregados de proteção de dados devem ser nomeados em até 90 dias e concluir um curso de certificação aprovado.