A LGPD do Brasil se aplica a empresas dos Estados Unidos? Guia prático 2026

Resposta rápida: a LGPD se aplica a empresas dos Estados Unidos?

Pode se aplicar. A LGPD não se limita a empresas constituídas no Brasil. O Art. 3º estabelece hipóteses de aplicação independentemente do país da sede da empresa ou do local em que os dados estejam armazenados. A análise deve considerar cada atividade de tratamento relacionada ao Brasil.

Os três principais gatilhos territoriais são: tratamento realizado no território nacional; tratamento destinado à oferta ou ao fornecimento de bens ou serviços ou ao tratamento de dados de indivíduos localizados no Brasil; ou dados pessoais coletados no Brasil.

Ponto central: não é necessário possuir uma pessoa jurídica brasileira para que a LGPD possa ser aplicável.

Principais conclusões

• A sede nos Estados Unidos não afasta automaticamente a LGPD.
• A análise territorial não é um teste de cidadania; a localização do titular é relevante.
• E-commerce, SaaS, aplicativos, marketplaces, geração de leads e plataformas estrangeiras podem entrar no escopo.
• Se dados sujeitos à LGPD forem enviados aos Estados Unidos ou acessados de lá, as regras de transferência internacional também precisam ser avaliadas.
• Não comece apenas pela política de privacidade: mapeie tratamento, finalidades, fornecedores, papéis, direitos, retenção, segurança e evidências.

Os três gatilhos do Art. 3º que empresas dos EUA devem testar

Gatilho 1: tratamento em território brasileiro

Se uma operação de tratamento relevante é realizada no Brasil, o Art. 3º, I, pode colocar essa atividade no escopo. Isso pode acontecer em grupos americanos com subsidiária, colaboradores, suporte, fulfillment, prestadores ou outras atividades operacionais em território brasileiro.

Gatilho 2: tratamento voltado ao Brasil

O Art. 3º, II, é particularmente importante para negócios digitais. A análise não deve ser reduzida a sinais como domínio .br, cobrança em reais ou publicidade em português. Esses elementos podem ser relevantes, mas o texto legal exige olhar para a finalidade real e para os indivíduos cujos dados são tratados.

Uma empresa SaaS dos EUA que aceita clientes brasileiros, cria contas, realiza cobrança, recebe tickets e coleta telemetria pode precisar analisar a LGPD mesmo sem estrutura física no Brasil.

Gatilho 3: dados pessoais coletados no Brasil

Para fins do Art. 3º, III, a lei considera coletados no Brasil os dados quando o titular se encontra em território brasileiro no momento da coleta. Em um negócio digital, isso pode tornar a localização física do usuário relevante mesmo quando site, CRM, nuvem e sede empresarial estão todos fora do país.

Exemplos práticos para empresas americanas

E-commerce

Um cliente no Brasil cria conta, compra, paga, informa endereço de entrega e entra nos sistemas de suporte e marketing da loja. A empresa deve analisar aplicabilidade, finalidades, bases legais, fornecedores, cookies, pagamentos, logística, direitos e transferências.

SaaS

Uma plataforma processa credenciais, dados de cobrança, tickets, logs, telemetria e conteúdo gerado pelo usuário relacionado a pessoas no Brasil. Dependendo do tratamento, a plataforma pode atuar como operadora em algumas atividades e controladora em outras.

Geração de leads

Pessoas localizadas no Brasil enviam formulários que fluem para CRM, ferramenta de e-mail, enriquecimento e publicidade nos EUA. O fato de o stack tecnológico estar no exterior não encerra a análise.

Aplicativo ou marketplace

Usuários no Brasil criam perfis, interagem, recebem serviços e geram dados de dispositivo, uso, pagamento e conta. O conjunto de operações pode acionar diferentes obrigações da LGPD.

Empresa que “não atende o Brasil intencionalmente”

Mesmo sem estratégia comercial específica para o Brasil, analytics, cookies, formulários ou contas podem processar dados de pessoas localizadas no país. A conclusão depende dos fatos, não de uma declaração genérica de intenção.

Distinção essencial: localização, não apenas cidadania

A LGPD não deve ser tratada como uma lei aplicável exclusivamente a “cidadãos brasileiros”. Um cidadão americano temporariamente no Brasil pode estar em uma situação de coleta realizada no Brasil. Da mesma forma, um brasileiro fora do país não deve ser automaticamente colocado dentro do Art. 3º apenas por sua nacionalidade.

Se a LGPD se aplicar, o que a empresa deve revisar?

Uma análise operacional costuma abranger:

• Mapeamento de dados: onde os dados entram, circulam, são armazenados, acessados e deixam a organização.
• Papéis de controlador e operador: classificação por atividade de tratamento, e não um rótulo único para toda a empresa.
• Finalidades e bases legais: por que cada tratamento existe e qual hipótese legal sustenta a finalidade.
• Transparência: avisos de privacidade coerentes com a operação real.
• Cookies e rastreamento: analytics, pixels, identificadores, consentimento e comportamento padrão.
• Marketing: formulários, CRM, e-mail, WhatsApp, remarketing, públicos personalizados e opt-out.
• Fornecedores e suboperadores: instruções, segurança, incidentes, exclusão e transferências.
• Direitos dos titulares: fluxo repetível de recebimento, verificação, análise, execução e resposta.
• Retenção: prazos conectados a finalidade, obrigação, disputa, segurança e exclusão.
• Segurança e incidentes: medidas técnicas e administrativas e processo de avaliação e escalonamento.

Os princípios do Art. 6º — como necessidade, transparência, segurança, prevenção e responsabilização — também precisam aparecer na operação, e não apenas em documentos.

E se dados brasileiros forem enviados aos Estados Unidos?

A transferência internacional é uma camada separada. Se dados sujeitos à LGPD forem transferidos, armazenados ou disponibilizados para acesso nos Estados Unidos, a empresa deve verificar as regras do Art. 33 e da Resolução CD/ANPD nº 19/2024.

Em agosto de 2026, a ANPD reconhece a União Europeia como adequada pela Resolução nº 32/2026. Os Estados Unidos não constam como destino com decisão de adequação da ANPD. Por isso, um fluxo Brasil → EUA precisa de outro mecanismo válido do Art. 33 quando caracterizada uma transferência internacional.

Mapeie pelo menos exportador, importador, finalidade, categorias de dados, destinatários, transferências posteriores, salvaguardas e mecanismo aplicável.

Não reduza a análise a “nosso provedor de nuvem fica nos EUA”. Suporte global, analytics, CRM, empresa controladora, suboperadores e backups também podem criar fluxos internacionais.

Uma empresa americana precisa de encarregado / DPO?

O Art. 41 da LGPD estabelece a indicação do encarregado pelo controlador, e a identidade e as informações de contato devem ser divulgadas de forma clara e objetiva, preferencialmente no site do controlador.

Existem regras diferenciadas para agentes de tratamento de pequeno porte. A Resolução CD/ANPD nº 2/2022 dispensa agentes elegíveis da obrigação de indicar encarregado, mas exige canal de comunicação com titulares. A dispensa não significa que qualquer empresa pequena esteja automaticamente enquadrada: existem critérios e exclusões, inclusive relacionados a tratamento de alto risco, receita e grupo econômico.

Checklist de 10 passos para uma empresa dos EUA

1. Teste os três gatilhos territoriais do Art. 3º.
2. Mapeie os tratamentos relacionados a pessoas localizadas no Brasil.
3. Classifique controlador, operador e suboperadores por atividade.
4. Documente finalidade e base legal para os principais tratamentos.
5. Revise política de privacidade, cookies e interfaces de consentimento.
6. Teste marketing, CRM, WhatsApp, pixels e remarketing.
7. Faça due diligence de fornecedores e mapeie países envolvidos.
8. Estruture um fluxo para direitos dos titulares.
9. Defina retenção, exclusão, segurança e resposta a incidentes.
10. Documente decisões, responsáveis, prazos e evidências de remediação.

Erros comuns de empresas dos EUA

“Estamos nos Estados Unidos, então a LGPD não pode se aplicar.”

Incorreto. A sede não resolve sozinha o teste do Art. 3º.

“A LGPD só protege brasileiros.”

Incorreto. A territorialidade utiliza critérios de tratamento e localização, não apenas cidadania.

“Já cumprimos o GDPR; a LGPD está coberta.”

Um programa GDPR maduro ajuda, mas deve ser mapeado para bases legais, terminologia, direitos, regras da ANPD e mecanismos de transferência do Brasil.

“Só precisamos de uma política de privacidade brasileira.”

O aviso é apenas uma camada. A maior parte da conformidade está nas evidências por trás dele: mapas, registros, decisões de papel, bases legais, fornecedores, transferências, retenção, segurança e incidentes.

Perguntas frequentes

A LGPD pode se aplicar a uma empresa dos EUA sem escritório no Brasil?

Sim. O Art. 3º pode alcançar a atividade quando um dos gatilhos territoriais estiver presente, independentemente da sede.

A LGPD protege apenas cidadãos brasileiros?

Não. A localização do indivíduo e o local da coleta podem ser decisivos.

Poucos visitantes brasileiros tornam a LGPD automaticamente aplicável?

Não se deve concluir apenas pela quantidade de visitantes. É preciso analisar o tratamento efetivo, a finalidade, a localização e as hipóteses do Art. 3º.

Cumprir o GDPR é suficiente?

Não. É um bom ponto de partida, mas não substitui uma análise específica da LGPD.

Enviar dados aos EUA gera questão de transferência internacional?

Pode gerar. O fluxo precisa ser analisado à luz do Art. 33 e da Resolução 19/2024.

Toda empresa americana precisa de encarregado?

Não necessariamente. Existem dispensas regulatórias para agentes de pequeno porte elegíveis, mas os critérios precisam ser verificados.

É necessário usar consentimento para tudo?

Não. Consentimento é uma das bases legais, não uma base universal.

Fontes oficiais utilizadas

• Lei nº 13.709/2018 — LGPD, texto compilado
• ANPD — Transferência Internacional de Dados
• ANPD — Regulamentações
• Resolução CD/ANPD nº 2/2022 — agentes de pequeno porte