Resposta rápida: LGPD e GDPR são a mesma coisa?
Não. A LGPD brasileira e o GDPR europeu compartilham princípios de transparência, finalidade, necessidade, segurança, responsabilização e proteção de direitos, mas foram construídos em sistemas jurídicos diferentes e possuem estruturas próprias.
Uma organização com programa GDPR maduro está em posição melhor para implementar a LGPD, mas não deve simplesmente renomear documentos europeus e assumir conformidade no Brasil.
Principais conclusões
- Os regimes são semelhantes, mas não intercambiáveis.
- A territorialidade usa testes diferentes.
- A LGPD possui dez bases legais no Art. 7º para dados pessoais não sensíveis.
- Dados sensíveis têm regime próprio no Art. 11.
- Prazos e procedimentos de direitos não devem ser importados automaticamente do GDPR.
- O regime brasileiro de incidentes usa regulamentação específica da ANPD.
- Transferências internacionais brasileiras seguem Art. 33 e Resolução 19/2024.
- Em 2026, Brasil e União Europeia reconhecem adequação mútua, mas isso não torna as leis idênticas.
1. Territorialidade
O GDPR utiliza o Art. 3º europeu, incluindo estabelecimento e determinadas atividades de oferta e monitoramento relacionadas a pessoas na União Europeia.
A LGPD, em seu Art. 3º, considera tratamento realizado no Brasil, finalidade de oferta/fornecimento de bens ou serviços ou tratamento de dados de indivíduos localizados no Brasil e dados coletados em território nacional.
Para empresas globais, a conclusão deve ser feita separadamente para cada regime.
2. Terminologia: controlador e operador
No GDPR, os termos centrais são controller e processor. Na LGPD, os termos legais são controlador e operador.
A correspondência é aproximada, mas não deve ser usada de forma automática. A ANPD orienta que o papel seja analisado por operação de tratamento e conforme o poder decisório real.
3. Bases legais para dados pessoais comuns
O Art. 7º da LGPD possui dez bases legais: consentimento; obrigação legal/regulatória; políticas públicas; pesquisa; contrato/procedimentos preliminares; exercício regular de direitos; proteção da vida/incolumidade física; tutela da saúde; legítimo interesse; proteção do crédito.
O GDPR possui estrutura diferente em seu Art. 6º. Uma matriz europeia de bases pode ajudar, mas precisa ser revalidada no Brasil.
4. Dados pessoais sensíveis
A LGPD trata dados sensíveis no Art. 11 e inclui categorias como origem racial ou étnica, convicção religiosa, opinião política, filiação sindical ou a organização religiosa, filosófica ou política, saúde, vida sexual, dado genético ou biométrico quando vinculado a pessoa natural.
Não use legítimo interesse do Art. 7º como base para dados sensíveis. O tratamento deve encontrar hipótese específica no Art. 11.
5. Consentimento
Nos dois regimes, consentimento precisa ser significativo e demonstrável. Na LGPD, o controlador tem o ônus de provar que o consentimento foi obtido conforme a lei; ele deve estar ligado a finalidades determinadas, autorizações genéricas são nulas e a revogação deve ser facilitada e gratuita.
6. Legítimo interesse
Ambos os regimes reconhecem legítimo interesse, mas o teste deve seguir a legislação e orientação local. A ANPD recomenda avaliação de balanceamento estruturada em finalidade, necessidade e balanceamento/salvaguardas.
Copiar um Legitimate Interests Assessment europeu sem revalidar a finalidade e as expectativas no contexto brasileiro pode deixar lacunas.
7. Direitos dos titulares
A LGPD concentra direitos no Art. 18 e inclui confirmação, acesso, correção, anonimização/bloqueio/exclusão, portabilidade, eliminação de dados tratados com consentimento, informação sobre compartilhamento, informação sobre consentimento e revogação.
Não importe automaticamente a regra europeia de “um mês” para todos os pedidos. O Art. 19 brasileiro prevê, para confirmação e acesso, resposta simplificada imediatamente ou declaração completa em até 15 dias. Outros prazos dependem da obrigação específica e de regulamentação.
8. Decisões automatizadas
O Art. 20 da LGPD trata de decisões tomadas unicamente com base em tratamento automatizado que afetem interesses do titular. Nem toda segmentação, recomendação ou scoring entra automaticamente nessa regra; é preciso analisar a natureza da decisão e seu efeito.
9. Encarregado / DPO
O GDPR possui critérios específicos para obrigatoriedade de DPO. A LGPD tem o encarregado pelo tratamento de dados pessoais, disciplinado pelo Art. 41 e pela Resolução 18/2024.
No Brasil, a lógica de dispensa e as regras de agentes de pequeno porte precisam ser analisadas de acordo com regulamentação da ANPD, não com o GDPR.
10. Registro de atividades
O GDPR utiliza o conhecido Art. 30. A LGPD possui o Art. 37, que exige de controlador e operador registro das operações de tratamento, especialmente quando baseado em legítimo interesse.
O termo ROPA é usado operacionalmente no Brasil, mas não é a palavra usada pelo texto do Art. 37. A ANPD também publicou modelo simplificado para agentes de pequeno porte elegíveis.
11. RIPD vs DPIA
O GDPR possui DPIA no Art. 35. Na LGPD, o documento é o Relatório de Impacto à Proteção de Dados Pessoais — RIPD. O Art. 38 permite que a ANPD determine sua elaboração pelo controlador, inclusive em tratamentos baseados em legítimo interesse.
As empresas podem aproveitar metodologias globais de avaliação de impacto, mas devem mapear a terminologia e os gatilhos brasileiros.
12. Incidentes de segurança
No Brasil, a Resolução 15/2024 regulamenta comunicação de incidentes. Não é todo incidente que deve ser comunicado: é preciso confirmar a ocorrência, verificar dados pessoais sujeitos à LGPD e avaliar possibilidade de risco ou dano relevante.
Quando reportável, o controlador deve comunicar ANPD e titulares em três dias úteis, salvo prazo específico de outra legislação. O operador informa o controlador sem demora injustificada. É possível comunicação preliminar e complementação em 20 dias úteis.
13. Transferências internacionais
O GDPR tem seu Capítulo V e mecanismos europeus. A LGPD utiliza o Art. 33 e a Resolução 19/2024, incluindo adequação, cláusulas-padrão brasileiras, eventual reconhecimento de cláusulas equivalentes, cláusulas específicas e normas corporativas globais.
As SCCs europeias não se transformam automaticamente em SCCs brasileiras.
14. Adequação Brasil–UE em 2026
Em janeiro de 2026, Brasil e União Europeia adotaram decisões de adequação coordenadas e juridicamente independentes. A ANPD reconheceu a União Europeia pela Resolução 32/2026, enquanto a Comissão Europeia reconheceu o Brasil pela Decision (EU) 2026/179.
Isso simplifica a camada de transferência para fluxos cobertos, mas não elimina bases legais, contratos controlador-operador, segurança, transparência, retenção ou direitos.
15. Multas e sanções
A LGPD prevê, entre outras sanções, advertência, multa simples de até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no último exercício, excluídos tributos, limitada a R$ 50 milhões por infração, multa diária, publicização, bloqueio, eliminação e determinadas suspensões/proibições.
O GDPR possui estrutura de multas própria e limites diferentes. Não use o teto europeu para explicar risco brasileiro, nem o contrário.
Tabela comparativa prática
| Tema | LGPD | GDPR |
|---|---|---|
| Autoridade | ANPD | Autoridades nacionais + EDPB no ecossistema europeu |
| Bases legais | Art. 7º com 10 hipóteses | Art. 6º com estrutura própria |
| Dados sensíveis | Art. 11 | Art. 9º |
| Direitos | Arts. 18–20 | Arts. 12–22 |
| Registro | Art. 37 | Art. 30 |
| Impacto | RIPD | DPIA |
| Incidentes | Res. 15/2024 + Art. 48 | Arts. 33–34 |
| Transferências | Art. 33 + Res. 19/2024 | Capítulo V |
| DPO/encarregado | Art. 41 + Res. 18/2024 | Arts. 37–39 |
| Sanções | Art. 52 + dosimetria ANPD | Arts. 83–84 |
Como aproveitar um programa GDPR para implementar a LGPD
- Reutilize o data map, mas identifique titulares e fluxos ligados ao Brasil.
- Reclassifique papéis usando conceitos da LGPD e orientação da ANPD.
- Mapeie finalidades para Arts. 7º e 11.
- Reavalie legítimo interesse segundo o guia da ANPD.
- Adapte direitos e prazos, evitando importação automática do GDPR.
- Revise encarregado e dispensas brasileiras.
- Adapte registro de operações e RIPD.
- Troque a análise de transferência pelo Art. 33 e mecanismos brasileiros.
- Atualize resposta a incidentes para Resolução 15/2024.
- Mantenha evidência de decisões brasileiras separadamente.
Erros comuns
“LGPD é o GDPR brasileiro.”
É uma simplificação útil apenas em nível muito superficial. Para implementação, gera erros.
“Se nossas SCCs europeias estão assinadas, a transferência brasileira está resolvida.”
Não necessariamente. O mecanismo do Art. 33 deve ser identificado conforme o regime brasileiro.
“O prazo de todos os direitos é 15 dias.”
Incorreto. O prazo de 15 dias do Art. 19 é específico para a declaração completa relacionada a confirmação/acesso.
“Todo tratamento de marketing precisa de consentimento.”
Não. A base depende da finalidade e dos fatos. Legítimo interesse pode caber em alguns cenários não sensíveis, com balanceamento e salvaguardas.
Perguntas frequentes
Uma empresa pode manter um único programa global de privacidade?
Pode manter uma arquitetura global, mas deve preservar camadas locais para LGPD, GDPR e outros regimes.
A adequação de 2026 significa que LGPD e GDPR são equivalentes em tudo?
Não. Adequação trata do nível de proteção para transferências, não de identidade entre leis.
Um DPA GDPR pode ser reutilizado no Brasil?
Pode servir como base contratual, mas precisa ser verificado contra os papéis, instruções, segurança, incidentes, retenção e transferências aplicáveis à LGPD.
Fontes oficiais
Transforme orientação em implementação
O Manual de Conformidade com a LGPD no Brasil — Edição 2026 reúne guia prático, auditoria de 100 pontos, 16 planilhas e modelos de implementação e um roteiro estruturado de 30 dias.
Obter o Manual de Conformidade com a LGPD no Brasil