- A Lei 14.460/2022 transformou a ANPD em autarquia especial independente, com orçamento próprio, diretores com mandatos fixos e poder de enforcement autônomo
- A decisão de adequação UE-Brasil elimina a necessidade de cláusulas contratuais padrão para transferências de dados entre os dois mercados
- A manutenção da adequação depende do Brasil operar no padrão GDPR-equivalente: a Comissão Europeia revisa periodicamente os países adequados e pode suspender o status
- Seis áreas concentram as principais lacunas entre LGPD e GDPR: notificação de incidentes, DPO, DPIA, registro de tratamentos, bases legais e prazos de resposta a titulares
- Empresas com clientes europeus, subsidiárias de grupos da UE e fornecedores SaaS com usuários europeus precisam fechar essas lacunas agora
A nova ANPD: de órgão vinculado a agência independente
Por quase quatro anos após a entrada em vigor da LGPD, a ANPD operou como órgão vinculado à Presidência da República, sob a estrutura da Casa Civil. Isso limitava sua capacidade de agir: decisões de fiscalização podiam ser influenciadas por pressões políticas, e seu orçamento dependia de dotações sujeitas a contingenciamento.
A Lei 14.460/2022 alterou essa estrutura. A ANPD tornou-se autarquia especial de natureza independente, com autonomia técnica, decisória, administrativa, orçamentária e financeira. Na prática, isso significa:
- Orçamento próprio, não sujeito ao contingenciamento do executivo federal
- Diretores com mandatos fixos, protegidos de demissão por motivo político
- Poder de instaurar investigações e aplicar sanções sem aprovação externa
- Capacidade de firmar acordos de cooperação com autoridades estrangeiras, incluindo autoridades supervisoras europeias
As primeiras inspeções temáticas proativas foram concluídas. A ANPD publicou relatórios de fiscalização por setor e iniciou procedimentos administrativos contra empresas com inadequações identificadas. Quem operava com a expectativa de um regulador consultivo precisa revisar essa premissa.
Antes de 2022, uma empresa que recebia uma notificação da ANPD tinha espaço para negociar prazos e respostas de forma informal. Hoje, a ANPD conduz inspeções baseadas em critérios técnicos, aplica o rito administrativo sancionador previsto na LGPD e publica os resultados. O padrão de enforcement aproximou-se do modelo europeu.
A decisão de adequação UE-Brasil
O mecanismo de adequação está previsto no artigo 45 do GDPR. Ele permite que a Comissão Europeia declare que um país terceiro garante proteção "essencialmente equivalente" à oferecida pela União Europeia. Quando essa declaração é emitida, dados pessoais fluem livremente entre a UE e o país adequado, sem a necessidade de salvaguardas adicionais.
Com a decisão de adequação UE-Brasil formalizada, o Brasil integra um grupo seleto de países com esse status, ao lado de Andorra, Argentina, Canadá (parcialmente), Japão, Nova Zelândia e Suíça, entre outros.
O que muda concretamente para cada tipo de empresa:
- Empresas brasileiras que recebem dados de clientes ou parceiros europeus: a transferência deixa de exigir cláusulas contratuais padrão. O compliance documental fica mais simples e o onboarding de novos clientes europeus remove um atrito regulatório relevante.
- Subsidiárias brasileiras de grupos europeus: o DPO da matriz pode interagir diretamente com a ANPD. A auditoria interna de proteção de dados pode ser unificada sob uma única estrutura de governança.
- Fornecedores SaaS brasileiros com usuários europeus: a adequação remove um obstáculo frequente em processos de due diligence de privacidade conduzidos por clientes da UE.
Adequação não é permanente. A Comissão Europeia revisou e suspendeu acordos com os EUA duas vezes por decisões do Tribunal de Justiça da UE (Safe Harbor em 2015, Privacy Shield em 2020). O status do Brasil depende de a LGPD continuar sendo aplicada de forma efetiva e de a ANPD manter sua independência e capacidade de enforcement. Isso transforma a conformidade interna das empresas brasileiras em uma condição para que toda a cadeia se beneficie da adequação.
Quem precisa agir
A adequação cria obrigações nos dois lados do Atlântico. Estas são as categorias de empresas que precisam tomar providências imediatas:
- Empresas brasileiras com clientes europeus que tratam dados pessoais de residentes da UE. O GDPR se aplica a essas operações independentemente de onde o tratamento ocorre fisicamente.
- Subsidiárias brasileiras de grupos europeus, cujos programas de privacidade precisam demonstrar equivalência com o que a matriz implementa na UE.
- Fornecedores e prestadores de serviço brasileiros que processam dados europeus em servidores ou sistemas no Brasil.
- Empresas europeias com operações no Brasil: para elas, a LGPD se aplica ao tratamento de dados de residentes brasileiros, e o alinhamento operacional é necessário para os dois regimes.
O denominador comum é este: todas essas empresas precisam fechar as lacunas entre o que a LGPD exige e o que o GDPR exige, porque é nessas lacunas que a Comissão Europeia identificará falhas de equivalência em futuras revisões da adequação.
As lacunas entre LGPD e GDPR que sua empresa precisa fechar
A LGPD foi modelada no GDPR. Os princípios são os mesmos: finalidade, necessidade, adequação, transparência, segurança. Mas há diferenças operacionais concretas que precisam ser endereçadas antes que uma auditoria cruzada as identifique.
1. Notificação de incidentes
O GDPR exige notificação à autoridade supervisora em até 72 horas após o conhecimento do incidente. Para incidentes que representem alto risco aos titulares, também exige comunicação direta a essas pessoas, sem atraso indevido. A LGPD determina notificação em "prazo razoável", com a ANPD tendo regulamentado 2 dias úteis para incidentes graves. A diferença no prazo é pequena, mas a exigência do GDPR de comunicação direta aos titulares afetados vai além do que a maioria das empresas tem em seus playbooks de resposta a incidentes. Esse processo precisa ser documentado, testado e revisado com periodicidade.
2. DPO e Encarregado
O GDPR (artigo 37) exige designação formal do DPO, publicação dos dados de contato para titulares e para a autoridade supervisora, e garantias de independência operacional. A LGPD exige a designação de um Encarregado com comunicação do contato no aviso de privacidade, mas com requisitos de documentação mais leves. Para empresas que operam sob os dois regimes, o padrão mais exigente se aplica: a designação deve estar documentada formalmente, o contato publicado de forma proativa, e o Encarregado deve ter autonomia real para exercer seu papel sem interferência da gestão nas decisões de conformidade.
3. Avaliação de impacto (DPIA e RIPD)
O GDPR obriga a realização de avaliação de impacto (DPIA) para tratamentos que apresentem alto risco, com base em triggers publicados pelas autoridades supervisoras. Quando o risco residual permanece elevado após a aplicação de controles, o controlador deve consultar previamente a autoridade supervisora. A LGPD prevê o RIPD (Relatório de Impacto à Proteção de Dados), mas com critérios de obrigatoriedade menos definidos. Para adequação, as empresas devem adotar os triggers do GDPR e, onde o risco residual for elevado, consultar proativamente a ANPD antes de iniciar o tratamento.
4. Registro de operações de tratamento
O artigo 30 do GDPR exige um registro formal das operações de tratamento, com campos específicos: nome e contato do controlador, finalidades, categorias de titulares e dados, destinatários, transferências internacionais, prazos de retenção e descrição técnica das medidas de segurança. A LGPD não tem um artigo equivalente com essa especificidade. Para adequação, as empresas devem manter um RoPA (Record of Processing Activities) no formato do artigo 30, com registros separados para controlador e operador.
5. Bases legais documentadas
O GDPR exige que a base legal de cada operação de tratamento seja determinada e documentada antes do início do tratamento. Mudanças de base legal após o tratamento ter começado são, em geral, vedadas. A LGPD tem exigência similar, mas a prática de enforcement no Brasil tem sido menos rigorosa nesse ponto até agora. Com a ANPD independente conduzindo inspeções temáticas, isso está mudando. As empresas devem auditar e documentar as bases legais de todos os seus tratamentos de dados, corrigindo eventuais inconsistências antes de uma inspeção as identificar.
6. Prazos de resposta aos direitos dos titulares
O GDPR estabelece 30 dias para responder a pedidos de titulares, com possibilidade de extensão por mais 60 dias em casos complexos, mediante comunicação justificada ao titular. A LGPD determina "atendimento em prazo razoável", com a ANPD tendo regulamentado 15 dias para a confirmação de tratamento. Para empresas que operam sob os dois regimes, o prazo de 30 dias do GDPR, contado desde o recebimento do pedido, deve ser adotado como padrão. O processo de atendimento a direitos dos titulares precisa estar documentado, com responsáveis definidos e prazos internos que deixem margem para revisão jurídica antes da resposta.
A maioria das empresas descobre, na primeira auditoria cruzada, que o registro de operações de tratamento simplesmente não existe. Esse é o ponto de partida obrigatório.
O plano de ação em 6 etapas
As seis lacunas acima têm uma sequência lógica de endereçamento. Começar pelo registro de operações viabiliza todo o restante, porque você não consegue auditar bases legais, avaliar impactos ou testar notificação de incidentes sem saber exatamente quais dados trata e por quê.
- Mapeie todos os fluxos de dados transfronteiriços. Identifique cada transferência de dados entre o Brasil e a UE, incluindo dados em trânsito por cloud providers com servidores europeus. Muitas empresas descobrem nessa etapa transferências que não estavam no radar do time de privacidade.
- Construa ou atualize o registro de operações de tratamento (RoPA). Use o modelo do artigo 30 do GDPR como referência. Mantenha registros separados para as operações em que sua empresa age como controladora e aquelas em que age como operadora.
- Audite as bases legais de todos os tratamentos. Para cada operação no RoPA, documente a base legal aplicada e verifique se ela sustenta o tratamento sob o GDPR. Corrija inconsistências antes de documentar formalmente.
- Formalize o papel do Encarregado com documentação GDPR-compatível. Revise o instrumento de designação, garanta autonomia operacional e publique as informações de contato de forma proativa em aviso de privacidade e no site institucional.
- Elabore ou atualize o RIPD para operações de alto risco. Use os triggers do GDPR para identificar quais tratamentos exigem avaliação de impacto. Para aqueles com risco residual elevado, considere a consulta prévia à ANPD como medida de conformidade proativa.
- Teste seus procedimentos de resposta a incidentes contra o prazo de 72 horas. Realize um exercício tabletop com as equipes de segurança, privacidade e jurídico. O objetivo é mapear os gargalos internos que impedem a produção da notificação dentro do prazo, antes que um incidente real os exponha.
Como a Cyvra pode ajudar
A Cyvra tem equipes nos Países Baixos e no Brasil. Isso nos permite conduzir avaliações de conformidade que examinam suas operações simultaneamente sob o GDPR e a LGPD, identificando as lacunas que importam, não apenas as que são visíveis de um único lado da regulação.
Trabalhamos com empresas brasileiras que precisam demonstrar conformidade para clientes europeus, com subsidiárias brasileiras de grupos da UE que precisam alinhar seus programas de privacidade com a matriz, e com fornecedores SaaS que querem remover barreiras regulatórias no processo de expansão para a Europa.
Se sua empresa está nessa posição, o próximo passo prático é um gap assessment duplo: uma análise estruturada das suas operações de tratamento de dados contra os requisitos da LGPD e do GDPR, com um plano de remediação priorizado pelo risco.
