GDPR para Empresas Brasileiras com Clientes na Europa
Muitas empresas brasileiras acham que o GDPR, o regulamento europeu de proteção de dados, só vale para quem tem escritório na Europa. Não é assim. Se a sua empresa oferece produtos ou serviços para pessoas na União Europeia, ou monitora o comportamento delas, o GDPR pode se aplicar mesmo com CNPJ e sede no Brasil.
Este guia mostra quando o GDPR alcança uma empresa brasileira, o que muda em relação à LGPD e o que ajustar no site e no marketing.
Aviso: conteúdo informativo, não é parecer jurídico. Para avaliar o seu caso, consulte advogado especializado em proteção de dados.
Quando o GDPR se aplica a uma empresa brasileira
O artigo 3º do GDPR prevê aplicação a empresas fora da UE em duas situações:
- Oferta de bens ou serviços a pessoas na União Europeia, mesmo gratuitos. Sinais de oferta: site em idioma ou moeda europeia, preços em euro, entrega na Europa, menção a clientes europeus.
- Monitoramento de comportamento de pessoas na UE, como rastreamento para publicidade segmentada ou perfis.
Ter um site acessível na Europa, por si só, não basta. Mas uma consultoria brasileira que atende brasileiros em Portugal, um e-commerce que entrega na Irlanda ou um SaaS com clientes alemães provavelmente estão dentro.
GDPR e LGPD: o que muda na prática
| Tema | LGPD | GDPR |
|---|---|---|
| Bases legais | 10 hipóteses | 6 bases legais |
| Cookies não essenciais | Orientação da ANPD aponta para consentimento | Consentimento prévio obrigatório (diretiva ePrivacy) |
| Notificação de incidente | Prazo definido em regulamento da ANPD | Até 72 horas à autoridade |
| Representante local | Encarregado (DPO) | Representante na UE (art. 27) para empresas sem estabelecimento lá, com exceções |
| Multas | Até 2% do faturamento no Brasil, limitado a R$ 50 milhões por infração | Até 20 milhões de euros ou 4% do faturamento global |
Representante na UE (artigo 27)
Empresas fora da UE que estão sujeitas ao GDPR devem, em regra, nomear por escrito um representante em um dos países onde estão as pessoas atendidas. Há exceção para tratamento ocasional, sem dados sensíveis em larga escala e com baixo risco. Na prática, empresas com clientes europeus recorrentes costumam precisar do representante, que pode ser contratado como serviço.
O que ajustar no site
- Banner de cookies com opt-in real: nada de Google Analytics, Meta Pixel ou TikTok antes do aceite, e botão “Rejeitar” com o mesmo destaque de “Aceitar”. Configuração técnica em Consent Mode v2 e LGPD.
- Política de privacidade bilíngue ou por região, citando LGPD e GDPR, as bases legais usadas, o representante na UE (quando houver) e os direitos do titular.
- Formulários com finalidade clara: separar o aceite de newsletter do envio de orçamento. Caixa de marketing nunca pré-marcada.
- Transferência internacional: dados de europeus armazenados no Brasil configuram transferência internacional. Ela exige mecanismo adequado, como cláusulas contratuais padrão com fornecedores e documentação.
Marketing para o público europeu
- E-mail marketing: envio para contatos europeus exige consentimento ou relação prévia de cliente, conforme regras locais. Listas compradas são um risco alto.
- Anúncios com remarketing: dependem de consentimento e do Consent Mode v2 para tráfego europeu, senão as audiências deixam de crescer.
- WhatsApp e telefone: contato comercial não solicitado com consumidores europeus é restrito em vários países.
- CRM: registre a origem e a data do consentimento de cada contato.
Checklist de adequação
- Mapear quais dados de pessoas na UE a empresa coleta e por qual canal.
- Definir a base legal de cada tratamento.
- Ajustar banner de cookies e Consent Mode por região.
- Atualizar política de privacidade e termos.
- Avaliar a necessidade de representante na UE.
- Revisar contratos com fornecedores (hospedagem, CRM, e-mail) quanto a transferência internacional.
- Criar um processo para responder pedidos de acesso, correção e exclusão.
Se você atende brasileiros em Portugal, veja também site para empresa brasileira em Portugal.
Perguntas frequentes
O GDPR se aplica a empresas brasileiras?
Sim, quando a empresa oferece bens ou serviços a pessoas na União Europeia ou monitora o comportamento delas, mesmo sem sede ou escritório na Europa.
Quem está em conformidade com a LGPD já cumpre o GDPR?
Não totalmente. As leis são parecidas, mas o GDPR tem regras próprias, como o representante na UE, prazo de 72 horas para notificar incidentes e exigências mais rígidas para cookies.
Empresa brasileira precisa de representante na União Europeia?
Em regra, sim, se estiver sujeita ao GDPR sem estabelecimento na UE. Há exceção para tratamento ocasional e de baixo risco, sem dados sensíveis em larga escala.
Qual a multa máxima do GDPR?
Até 20 milhões de euros ou 4% do faturamento anual global, o que for maior.
