O General Data Protection Regulation (GDPR) e o California Consumer Privacy Act (CCPA), alterado pelo California Privacy Rights Act (CPRA), são dois dos marcos de privacidade mais influentes para organizações que atuam internacionalmente. Embora ambos deem aos indivíduos maior controle sobre suas informações pessoais, eles diferem significativamente em escopo, fundamentos legais, requisitos de consentimento, direitos do consumidor, obrigações em caso de violação, mecanismos de fiscalização e responsabilidades de conformidade. Este guia compara os requisitos do GDPR e da CCPA para ajudar as organizações a entender onde os marcos se sobrepõem, onde diferem e como construir um programa de privacidade que atenda a ambos.
Lado a lado: GDPR vs. CCPA
| Dimensão | 🇪🇺 GDPR | 🇺🇸 CCPA |
|---|---|---|
| Jurisdição | Marco da União Europeia / EEE | Califórnia, Estados Unidos |
| Lei principal | Regulamento (UE) 2016/679 | California Consumer Privacy Act, com alterações |
| Data de vigência | 25 de maio de 2018 | 1º de janeiro de 2020; principais alterações da CPRA em vigor desde 1º de janeiro de 2023 |
| Modelo regulatório | Regulamentação abrangente de proteção de dados | Lei de privacidade do consumidor e de proteção de dados |
| Principal autoridade reguladora | Autoridades supervisoras da UE/EEE e EDPB | California Privacy Protection Agency e California Attorney General |
| Quem é abrangido? | Controladores/operadores que atendem aos critérios territoriais ou de estabelecimento do GDPR | Empresas que atendem aos requisitos de aplicabilidade da CCPA |
| Base legal | Exige-se uma base legal para o tratamento | Sem estrutura equivalente de seis bases |
| Consentimento | Uma entre várias bases legais; requisitos mais rigorosos em situações específicas | Relevante principalmente para determinados requisitos de opt-in e usos específicos |
| Opt-out de venda/compartilhamento | Sem regime direto de venda/compartilhamento nos moldes da CCPA | Os consumidores podem optar por não participar da venda ou do compartilhamento |
| Informações sensíveis | Os dados de categorias especiais recebem proteção reforçada | As informações pessoais sensíveis recebem controles adicionais |
| Direitos do titular dos dados/consumidor | Direitos amplos, incluindo acesso, retificação, eliminação e portabilidade | Direitos que incluem saber, excluir, corrigir, optar por não participar, limitar e não discriminação |
| Notificação de violação de dados | Notificação à autoridade supervisora geralmente em até 72 horas, quando exigida | As leis de violação de dados da Califórnia geralmente exigem notificação sem demora injustificada / no prazo mais célere possível |
| DPO | Exigido em circunstâncias específicas | Sem exigência geral de DPO na CCPA |
| Representante local | Um representante do artigo 27 pode ser exigido para determinadas organizações de fora da UE | Sem equivalente geral na CCPA |
| Transferências internacionais | Sujeitas aos requisitos do Capítulo V do GDPR | Sem mecanismo abrangente de transferência equivalente na CCPA |
| Ações judiciais privadas | Os titulares dos dados podem buscar indenização nos termos do artigo 82 do GDPR | O direito de ação privada está associado principalmente a determinadas violações de dados |
| Multa administrativa máxima do GDPR | Até 20 milhões de euros ou 4% do faturamento anual mundial, o que for maior, para infrações especificadas | As sanções administrativas e as indenizações legais dependem da disposição aplicável e das circunstâncias |
O que é o GDPR?
O General Data Protection Regulation (GDPR) é o marco abrangente de proteção de dados da União Europeia. Ele rege o tratamento de dados pessoais e estabelece obrigações para organizações que atuam como controladores e operadores.
O GDPR pode se aplicar a organizações fora da UE quando os requisitos de seu escopo territorial forem atendidos, incluindo determinadas atividades que envolvem a oferta de bens ou serviços a indivíduos na UE ou o monitoramento de seu comportamento.
O GDPR se baseia em princípios como licitude, lealdade e transparência, limitação da finalidade, minimização de dados, exatidão, limitação do armazenamento, segurança e responsabilização.
O que é a CCPA?
O California Consumer Privacy Act (CCPA) confere aos consumidores da Califórnia direitos específicos sobre suas informações pessoais e impõe obrigações às empresas abrangidas por seu escopo.
A CCPA foi alterada pelo California Privacy Rights Act (CPRA), que introduziu direitos adicionais para o consumidor e criou a California Privacy Protection Agency (CPPA).
O marco atual da CCPA inclui requisitos relativos a transparência, solicitações de consumidores, venda e compartilhamento de informações pessoais, informações pessoais sensíveis, sinais de preferência de opt-out e outros controles de privacidade.
Os regulamentos atuais da CPPA incluem requisitos em vigor desde 1º de janeiro de 2026, entre eles regras atualizadas da CCPA e requisitos relativos a avaliações de risco, auditorias de cibersegurança e tecnologia de decisão automatizada para determinadas empresas abrangidas.
GDPR vs CCPA: principais diferenças
1. Escopo territorial
GDPR
O GDPR pode se aplicar a organizações estabelecidas dentro ou fora da UE quando as condições do artigo 3 forem atendidas.
Isso pode incluir organizações fora da UE que:
- Oferecem bens ou serviços a indivíduos na UE
- Monitoram o comportamento de indivíduos na UE
- Atuam por meio de um estabelecimento na UE
Por isso, a análise de aplicabilidade deve se basear nas atividades da organização e nos requisitos de escopo territorial do GDPR.
CCPA
A CCPA se aplica a empresas que atendem à definição legal e aos limites aplicáveis. Não é uma lei geral de privacidade aplicável a toda organização que trata informações sobre residentes da Califórnia.
A aplicabilidade depende de fatores como as atividades de negócio da organização, sua receita e o volume ou a natureza das informações pessoais dos consumidores da Califórnia.
Principal diferença: O GDPR se estrutura em torno da aplicabilidade territorial e de papéis como controlador e operador, enquanto a aplicabilidade da CCPA se concentra nas empresas abrangidas e nos limites legais.
2. Base legal para o tratamento
Uma das maiores diferenças entre o GDPR e a CCPA é o conceito de tratamento lícito.
GDPR
As organizações devem identificar uma base legal adequada para cada atividade de tratamento nos termos do artigo 6, como:
- Consentimento
- Contrato
- Obrigação legal
- Interesses vitais
- Missão de interesse público
- Interesses legítimos
Condições adicionais se aplicam ao tratamento de dados de categorias especiais.
CCPA
A CCPA não usa o modelo de seis bases legais do GDPR.
Em vez disso, ela se concentra fortemente em transparência, direitos do consumidor, restrições a determinados usos e divulgações e na possibilidade de optar por não participar de atividades como a venda ou o compartilhamento de informações pessoais.
3. Consentimento e opt-out
GDPR
O consentimento é uma das bases legais possíveis, mas não é automaticamente exigido para toda atividade de tratamento.
Quando o consentimento é utilizado, ele deve atender aos requisitos do GDPR, inclusive ser livre, específico, informado e inequívoco.
CCPA
A CCPA dá ênfase significativa à escolha do consumidor e aos direitos de opt-out.
Os consumidores podem ter o direito de optar por não participar de:
- Venda de informações pessoais
- Compartilhamento de informações pessoais para publicidade comportamental entre contextos
- Determinados usos de informações pessoais sensíveis
- Determinadas atividades de decisão automatizada, quando aplicável
O marco da Califórnia também reconhece sinais de preferência de opt-out, como o Global Privacy Control (GPC), nas circunstâncias aplicáveis.
4. Direitos do consumidor e do titular dos dados
Ambos os marcos conferem aos indivíduos direitos de privacidade substanciais, mas a terminologia e os mecanismos diferem.
Direitos no GDPR
Dependendo das circunstâncias, os indivíduos podem ter direito a:
- Acessar dados pessoais
- Retificar dados imprecisos
- Eliminar dados pessoais
- Restringir o tratamento
- Opor-se ao tratamento
- Portabilidade de dados
- Revogar o consentimento
- Direitos relativos a decisões automatizadas e à definição de perfis
Direitos na CCPA
Os consumidores da Califórnia podem ter direitos como:
- Direito de saber
- Direito de excluir
- Direito de corrigir
- Direito de optar por não participar da venda ou do compartilhamento
- Direito de limitar determinados usos e divulgações de informações pessoais sensíveis
- Direito de optar por não participar de determinadas atividades de decisão automatizada, quando aplicável
- Direito à não discriminação
O California Attorney General confirma que a CCPA confere aos consumidores direitos relativos ao acesso a informações, à exclusão, ao opt-out de venda ou compartilhamento e à não discriminação.
5. Informações pessoais sensíveis
GDPR
O artigo 9 do GDPR estabelece proteção reforçada para categorias especiais de dados pessoais, incluindo informações relativas a áreas como saúde, dados biométricos usados para identificação, dados genéticos, opiniões políticas e convicções religiosas ou filosóficas.
O tratamento geralmente exige tanto uma base legal do artigo 6 quanto uma condição aplicável do artigo 9.
CCPA
A CCPA define separadamente as informações pessoais sensíveis e confere aos consumidores direitos relativos a determinados usos e divulgações dessas informações.
O marco da Califórnia, portanto, aborda as informações sensíveis de forma diferente do modelo de dados de categorias especiais do GDPR.
6. Notificação de violação de dados
GDPR
Quando uma violação de dados pessoais for suscetível de resultar em risco para os direitos e liberdades dos indivíduos, o controlador geralmente deve notificar a autoridade supervisora competente sem demora injustificada e, quando possível, em até 72 horas após tomar conhecimento da violação.
Quando uma violação for suscetível de resultar em alto risco para os indivíduos, os indivíduos afetados também podem precisar ser informados.
CCPA / lei de violação de dados da Califórnia
Os requisitos de notificação de violação da Califórnia operam por meio do regime de notificação de violação de dados da Califórnia e de disposições de privacidade relacionadas, e não por uma regra universal de 72 horas da CCPA.
As organizações abrangidas devem avaliar o incidente à luz dos requisitos aplicáveis da Califórnia e fazer a notificação dentro do prazo legalmente exigido.
Principal diferença: O GDPR estabelece um regime específico de notificação à autoridade supervisora em 72 horas para violações qualificadas; a Califórnia adota um regime legal diferente de notificação de violação.
7. Encarregados de proteção de dados (DPOs)
GDPR
Um encarregado de proteção de dados (DPO) pode ser obrigatório nas circunstâncias especificadas no artigo 37, incluindo determinadas organizações cujas atividades principais envolvem monitoramento regular e sistemático em grande escala ou tratamento em grande escala de categorias especiais de dados.
CCPA
A CCPA não impõe a toda empresa abrangida a exigência geral de nomear um encarregado de proteção de dados nos moldes do GDPR.
No entanto, as organizações podem precisar de funções adequadas de privacidade, segurança, avaliação de riscos e governança, dependendo de suas atividades e obrigações.
8. Representantes de privacidade
GDPR
Determinadas organizações localizadas fora da UE podem precisar nomear um representante na UE nos termos do artigo 27, quando o artigo 27 se aplicar.
O representante pode servir como ponto de contato para autoridades supervisoras e indivíduos em relação às atividades de tratamento.
CCPA
A CCPA não tem um equivalente direto à exigência de representante do artigo 27 do GDPR.
No entanto, empresas internacionais ainda podem precisar de governança de privacidade adequada para a Califórnia, de atendimento a solicitações de consumidores e de coordenação regulatória.
9. Transferências internacionais de dados
GDPR
As transferências internacionais de dados pessoais para fora da UE/EEE são regidas pelo Capítulo V do GDPR.
Dependendo do destino e das circunstâncias, as organizações podem recorrer a mecanismos como:
- Decisões de adequação
- Cláusulas contratuais padrão
- Normas corporativas globais
- Derrogações específicas, quando aplicável
CCPA
A CCPA não estabelece um regime abrangente de transferência internacional equivalente ao Capítulo V do GDPR.
No entanto, as organizações ainda devem considerar requisitos contratuais, de segurança, de transparência, de gestão de fornecedores e outros requisitos legais aplicáveis quando informações pessoais são transferidas ou acessadas internacionalmente.
10. Avisos de privacidade e transparência
Tanto o GDPR quanto a CCPA exigem que as organizações forneçam informações relevantes sobre suas atividades de tratamento.
GDPR
Os avisos de privacidade do GDPR normalmente abordam:
- Identidade e dados de contato do controlador
- Finalidades do tratamento
- Bases legais
- Categorias de dados pessoais
- Destinatários
- Transferências internacionais
- Prazos de retenção
- Direitos dos titulares dos dados
- Direito de apresentar reclamação
- Decisões automatizadas, quando aplicável
CCPA
As divulgações de privacidade da CCPA normalmente abordam:
- Categorias de informações pessoais coletadas
- Finalidades da coleta e do uso
- Categorias de fontes
- Categorias de destinatários
- Direitos do consumidor
- Divulgações sobre venda/compartilhamento
- Divulgações sobre informações pessoais sensíveis
- Mecanismos de opt-out
11. Sanções e fiscalização
GDPR
Para determinadas infrações graves, as multas administrativas do GDPR podem chegar a 20 milhões de euros ou 4% do faturamento anual mundial total do exercício financeiro anterior, o que for maior.
A fiscalização é realizada pelas autoridades supervisoras nacionais, coordenadas por meio do European Data Protection Board.
CCPA
A fiscalização da CCPA fica a cargo da California Privacy Protection Agency (CPPA) e do California Attorney General.
A CCPA contém disposições sobre sanções administrativas e um direito limitado de ação privada para determinadas violações de dados. Os valores das sanções e as indenizações legais dependem da disposição aplicável e das circunstâncias.
A CPPA publica atualmente o marco da CCPA, os regulamentos e os limites monetários, incluindo os limites em vigor desde 2025 e as atualizações regulatórias posteriores.
GDPR vs CCPA: qual é mais rigoroso?
Nem sempre é correto descrever um dos marcos como universalmente “mais rigoroso”.
O GDPR geralmente impõe um regime de responsabilização mais amplo, incluindo:
- Análise de base legal
- Registros de tratamento
- Avaliações de impacto sobre a proteção de dados nos casos aplicáveis
- Encarregados de proteção de dados em circunstâncias definidas
- Requisitos de transferência internacional
- Obrigações detalhadas de controladores e operadores
- Supervisão pelas autoridades supervisoras
A CCPA, por sua vez, tem foco especialmente forte em transparência para o consumidor, opt-outs de venda/compartilhamento, informações pessoais sensíveis, solicitações de consumidores e controles de privacidade específicos da Califórnia.
Por isso, as organizações que atuam internacionalmente devem avaliar ambos os marcos, em vez de presumir que a conformidade com um atende automaticamente ao outro.
GDPR vs CCPA: um único programa de privacidade pode cobrir ambos?
Sim - mas o programa deve ser concebido em torno de uma estrutura comum de controles de privacidade, com os requisitos específicos de cada jurisdição acrescentados em camadas.
Um programa unificado pode incluir:
Inventário de dados
Identifique:
- Quais informações pessoais são coletadas
- Onde são armazenadas
- Por que são tratadas
- Quem as recebe
- Por quanto tempo são retidas
- Para onde são transferidas
Gestão de direitos de privacidade
Crie um processo central para atender a:
- Solicitações de titulares dos dados do GDPR
- Solicitações de consumidores da Califórnia
- Verificação de identidade
- Acompanhamento de solicitações
- Prazos de resposta
- Exceções e retenções legais
Gestão de consentimento e preferências
Gerencie:
- Requisitos de consentimento do GDPR
- Preferências de cookies e rastreamento
- Opt-outs de venda/compartilhamento da CCPA
- Sinais do Global Privacy Control
- Preferências sobre informações sensíveis
Gestão de fornecedores e terceiros
Mapeie:
- Operadores
- Prestadores de serviços
- Contratados
- Parceiros de publicidade
- Provedores de analytics
- Relações de compartilhamento de dados
Resposta a incidentes
Desenvolva um processo unificado de resposta a violações que identifique:
- Jurisdição aplicável
- Limiar de notificação
- Requisitos de notificação regulatória
- Requisitos de notificação aos consumidores
- Requisitos de evidências e documentação
Monitoramento regulatório
Os programas de privacidade devem monitorar continuamente as mudanças nos requisitos da UE e da Califórnia.
O marco regulatório atual da CPPA inclui atualizações em vigor desde 1º de janeiro de 2026, o que torna o monitoramento regulatório contínuo especialmente importante para organizações sujeitas à lei de privacidade da Califórnia.
Perguntas frequentes
Preciso cumprir tanto o GDPR quanto a CCPA?
Você pode precisar cumprir ambos se a sua organização atender aos requisitos de escopo territorial do GDPR e também for uma empresa abrangida pela CCPA. Os dois marcos se sobrepõem em áreas como transparência, acesso e exclusão, mas seus requisitos não são idênticos.
A CCPA é igual ao GDPR?
Não. Ambos são marcos abrangentes de privacidade com conceitos que se sobrepõem, mas usam estruturas regulatórias diferentes. O GDPR se baseia em princípios de proteção de dados, bases legais e obrigações de controladores/operadores, enquanto a CCPA se concentra fortemente nos direitos do consumidor da Califórnia, na transparência e nos mecanismos de opt-out.
A CCPA exige consentimento como o GDPR?
Em geral, não. A CCPA não usa a estrutura de bases legais do GDPR. No entanto, requisitos específicos da CCPA podem exigir consentimento ou mecanismos de opt-in em circunstâncias particulares, incluindo determinados requisitos que envolvem menores.
A CCPA tem uma regra de notificação de violação em 72 horas?
Não. A CCPA não deve ser apresentada como tendo um prazo universal de 72 horas para notificação de violação equivalente ao do artigo 33 do GDPR. Os requisitos de notificação de violação da Califórnia operam nos termos da legislação californiana aplicável e devem ser avaliados com base na natureza e nas circunstâncias do incidente.
A CCPA exige um encarregado de proteção de dados (DPO)?
Nenhuma exigência geral da CCPA obriga toda empresa abrangida a nomear um DPO nos moldes do GDPR. No entanto, as organizações devem estabelecer funções adequadas de governança de privacidade e de responsabilização com base em suas obrigações e em seu perfil de risco.
A CCPA exige um representante do artigo 27?
Não. A CCPA não contém um equivalente direto à exigência de representante na UE do artigo 27 do GDPR.
A conformidade com o GDPR pode ajudar na conformidade com a CCPA?
Sim. Um programa maduro de GDPR pode oferecer uma base sólida para a conformidade com a CCPA, porque ambos os marcos exigem transparência, gestão de direitos de privacidade, governança de dados e responsabilização. No entanto, são necessários controles adicionais específicos da Califórnia.
Quais empresas devem considerar uma avaliação de conformidade com o GDPR e a CCPA?
Uma avaliação combinada pode ser especialmente valiosa para empresas de SaaS, empresas de tecnologia, negócios de e-commerce, plataformas de publicidade e marketing, empresas de IA, provedores de tecnologia para saúde, empresas de tecnologia financeira, varejistas globais, plataformas digitais e empresas que tratam dados de consumidores em várias jurisdições.
Conformidade com o GDPR e a CCPA com a RegulatoryBridge
Gerenciar separadamente os requisitos do GDPR e da CCPA pode gerar processos duplicados, avisos de privacidade inconsistentes e fluxos de solicitações de consumidores fragmentados.
A RegulatoryBridge ajuda organizações a construir um programa global de privacidade coordenado entre jurisdições.
Nosso suporte pode incluir:
- Avaliações de conformidade com o GDPR
- Avaliações de conformidade com a CCPA / CPRA
- Mapeamento e inventário de dados
- Revisões de avisos de privacidade
- Fluxos de solicitações de titulares dos dados e de consumidores
- Gestão de consentimento e preferências
- Conformidade de cookies e rastreamento
- Avaliações de fornecedores e operadores
- Avaliações de transferências internacionais de dados
- Planejamento de resposta a violações
- Governança de privacidade e responsabilização
- Monitoramento regulatório
- Representação de privacidade internacional
- Suporte contínuo à conformidade
Cubra GDPR e CCPA em um único programa.
Mapeie os controles uma vez e cumpra duas. A RegulatoryBridge oferece um único pipeline de DSAR, um único DPO, um único runbook de violações - cobrindo ambas as estruturas.