LGPD: a lei de dados do Brasil para empresas estrangeiras

Sim, a LGPD se aplica a empresas estrangeiras. A Lei Geral de Proteção de Dados (Lei 13.709/2018) vale para qualquer empresa que trate dados pessoais de pessoas que estão no Brasil, ofereça produtos ou serviços a elas ou trate dados coletados no país, não importa onde a empresa esteja. Na prática, se o seu site vende para brasileiros, coleta e-mails ou usa cookies de visitantes do Brasil, a LGPD vale para você.

Quando a LGPD se aplica

Segundo o artigo 3º da lei, a LGPD vale quando:

• o tratamento de dados é feito no Brasil; ou
• a atividade tem o objetivo de oferecer ou fornecer bens ou serviços a pessoas no Brasil; ou
• os dados foram coletados no Brasil.

Há exceções, como uso estritamente pessoal, jornalístico, artístico ou acadêmico, e segurança pública.

LGPD e GDPR: parecidas, não iguais

A LGPD foi inspirada no GDPR europeu, então quem já se adequou ao GDPR tem boa parte do trabalho feita. Mas há diferenças:

Tema	LGPD (Brasil)	GDPR (UE)
Bases legais	10 bases, incluindo proteção do crédito	6 bases
Encarregado (DPO)	Regra geral é indicar um encarregado; há flexibilização para agentes de pequeno porte	Obrigatório em casos específicos
Multa máxima	2% do faturamento no Brasil, limitado a R$ 50 milhões por infração	Até 4% do faturamento global ou € 20 milhões
Autoridade	ANPD	Autoridades nacionais de cada país

As obrigações principais

1. Ter uma base legal para cada uso de dados

Cada finalidade precisa de uma base legal: consentimento, execução de contrato, cumprimento de obrigação legal, legítimo interesse, proteção do crédito, entre outras. Marketing por e-mail, por exemplo, costuma depender de consentimento ou de legítimo interesse bem documentado.

2. Respeitar os direitos dos titulares

O artigo 18 garante ao titular, entre outros, o direito de confirmar se você trata seus dados, acessá-los, corrigi-los, pedir anonimização ou eliminação, portabilidade e informações sobre compartilhamento. Tenha um canal claro, em português, para esses pedidos.

3. Indicar um encarregado

O encarregado (equivalente ao DPO) é o canal entre a empresa, os titulares e a ANPD. A identidade e o contato dele devem estar publicados, de preferência na política de privacidade.

4. Política de privacidade em português

Explique, em linguagem clara e em português do Brasil, quais dados coleta, para quê, com quem compartilha, por quanto tempo guarda e como o titular exerce seus direitos. Uma política só em inglês dificulta a prova de transparência. Veja por que a língua importa em português do Brasil: por que tradução não basta.

5. Segurança e incidentes

A empresa deve adotar medidas de segurança adequadas. Incidentes que possam causar risco ou dano relevante aos titulares precisam ser comunicados à ANPD e aos titulares, dentro do prazo definido pela regulamentação da ANPD.

6. Transferência internacional de dados

Se os dados de brasileiros vão para servidores fora do Brasil (o que é o caso de quase toda empresa estrangeira), a transferência precisa de um fundamento previsto na lei. A ANPD aprovou cláusulas-padrão contratuais para isso, em lógica parecida com as cláusulas-padrão europeias. Revise seus contratos com fornecedores de nuvem, CRM e e-mail.

Multas e sanções

A ANPD pode aplicar advertência, multa simples de até 2% do faturamento da empresa no Brasil no último exercício (limitada a R$ 50 milhões por infração), multa diária, publicização da infração, bloqueio ou eliminação dos dados e suspensão de atividades de tratamento. Além disso, titulares podem ir à Justiça e os Procons atuam em temas de consumo.

Pontos de atenção para quem vende on-line

• Cookies e rastreamento: a ANPD publicou orientações sobre cookies. Ofereça um banner com opção real de recusar cookies não essenciais.
• WhatsApp e listas de contato: mensagens de marketing pelo WhatsApp também envolvem dados pessoais e precisam de base legal. Veja WhatsApp nos negócios no Brasil.
• CPF no checkout: o CPF é dado pessoal. Colete só quando necessário (nota fiscal, pagamento, antifraude) e proteja.
• Influenciadores e parceiros: compartilhar listas de clientes com parceiros exige base legal e contrato.

Checklist rápido

1. Mapeie quais dados de brasileiros você coleta e para quê.
2. Defina a base legal de cada finalidade.
3. Publique a política de privacidade em português e o contato do encarregado.
4. Crie um processo para atender pedidos de titulares.
5. Ajuste o banner de cookies.
6. Revise contratos de transferência internacional.
7. Tenha um plano de resposta a incidentes.

Resumo

A LGPD alcança empresas estrangeiras que vendem ou coletam dados no Brasil. Quem cumpre o GDPR já tem uma base sólida, mas precisa ajustar a política para o português, o encarregado, as bases legais brasileiras e as transferências internacionais. Para um plano completo de entrada no país, veja também como abrir empresa no Brasil sendo estrangeiro. Se quiser ajuda para organizar a adequação junto com a sua entrada no mercado, fale com a BrazilDoor.