LGPD e GDPR para empresas com estrutura no exterior

Sim. Uma empresa com estrutura no exterior pode ficar sujeita à LGPD e ao GDPR ao mesmo tempo, mesmo sem sede no Brasil ou na União Europeia. A LGPD alcança o tratamento feito no Brasil, voltado a pessoas daqui ou com dados coletados aqui. O GDPR alcança quem tem estabelecimento na União ou atende titulares lá (ambos no art. 3º).

A LGPD vale para uma empresa com sede no exterior?

Vale, quando o tratamento se encaixa em uma das três hipóteses do art. 3º da Lei 13.709/2018. A lei se aplica independentemente do meio, do país da sede da empresa e do país onde os dados estão, desde que:

1. •a operação de tratamento seja realizada no território nacional;
2. •a atividade tenha por objetivo ofertar ou fornecer bens ou serviços, ou tratar dados de indivíduos localizados no território nacional; ou
3. •os dados tenham sido coletados no território nacional, o que inclui os dados de titular que nele se encontre no momento da coleta (art. 3º, § 1º).

A Resolução CD/ANPD nº 19/2024 repete essa lógica para transferências internacionais e acrescenta que a aplicação da lei independe do meio, do país de sede dos agentes ou do país onde estão os dados (art. 7º, parágrafo único). Ela também diz que a LGPD se aplica a dados vindos do exterior quando são tratados no Brasil (art. 8º), com exceções limitadas, como o simples trânsito sem comunicação com agente brasileiro.

Uma holding ou uma LLC no exterior que vende ou presta serviço a pessoas no Brasil, ou que coleta dados de clientes aqui, pode cair nessas hipóteses. Pela redação do art. 3º, a localização da sede não afasta a lei.

O GDPR vale para empresa fora da União Europeia?

Vale em dois casos principais, previstos no art. 3º do Regulamento (UE) 2016/679:

• •Estabelecimento na União (n.º 1): o regulamento se aplica ao tratamento feito no contexto das atividades de um estabelecimento do responsável ou do subcontratante na União, dentro ou fora dela.
• •Titulares na União (n.º 2): aplica-se ao tratamento de dados de titulares que residem na União, feito por quem não está estabelecido lá, quando o tratamento se relaciona com a oferta de bens ou serviços a esses titulares (mesmo gratuita) ou com o controle do comportamento deles na União.

Quem se enquadra no n.º 2 deve, em regra, designar por escrito um representante na União (art. 27). A exceção vale para tratamento ocasional, que não envolva em grande escala categorias especiais de dados e não seja suscetível de gerar risco para os direitos das pessoas. Não presuma que sua operação cabe na exceção sem análise.

Quando a LGPD e o GDPR se aplicam ao mesmo tempo?

Quando a mesma empresa trata dados de pessoas no Brasil e de pessoas na União. Cada lei se aplica ao seu recorte. A tabela mostra os pontos que mais pesam para uma estrutura internacional.

Como transferir dados do Brasil para a estrutura no exterior?

A LGPD só permite a transferência internacional nos casos do art. 33. Os mais usados por empresas são:

• •País com proteção adequada (inciso I): a ANPD avalia o nível de proteção do país (art. 34). A Resolução CD/ANPD nº 32/2026 reconheceu a União Europeia como organismo com grau de proteção adequado. A decisão cobre os Estados-Membros, Islândia, Liechtenstein e Noruega e as instituições da União (art. 1º). Ela não vale para fins exclusivos de segurança pública, defesa e atividades penais (art. 2º).
• •Garantias oferecidas pelo controlador (inciso II): cláusulas contratuais específicas, cláusulas-padrão contratuais, normas corporativas globais, ou selos, certificados e códigos de conduta.
• •Consentimento específico e em destaque (inciso VIII): o titular deve ser informado antes do caráter internacional da operação, que deve vir distinta das outras finalidades.

O Regulamento aprovado pela Resolução CD/ANPD nº 19/2024 detalha as cláusulas-padrão. A validade da transferência amparada nelas pressupõe a adoção integral e sem alteração do texto do Anexo II, em contrato entre o exportador e o importador (art. 16). Nenhuma outra cláusula do contrato ou de contratos coligados pode excluir, modificar ou contrariar essas cláusulas (art. 16, § 2º). Quem já usava cláusulas contratuais tinha até 12 meses, contados da publicação da Resolução, para incorporar as cláusulas-padrão (art. 1º, parágrafo único, da Resolução).

Cláusulas contratuais específicas dependem de aprovação da ANPD e só são aprovadas quando a transferência não puder usar as cláusulas-padrão, por circunstâncias excepcionais comprovadas (art. 21, § 1º). Por isso, o caminho padrão é a cláusula-padrão.

Como transferir dados da União Europeia para outro país?

O art. 44 do GDPR fixa a regra geral: qualquer transferência de dados para país terceiro ou organização internacional só ocorre se as condições do Capítulo V forem respeitadas. Há três níveis:

1. •Decisão de adequação (art. 45): a Comissão decide que o país terceiro assegura nível adequado de proteção. A transferência não exige autorização específica. A Comissão publica a lista dessas decisões (art. 45, n.º 8).
2. •Garantias adequadas (art. 46): sem decisão de adequação, o responsável ou o subcontratante precisa apresentar garantias, como regras vinculativas aplicáveis às empresas (art. 47), cláusulas-tipo adotadas pela Comissão ou por autoridade de controlo, código de conduta ou certificação.
3. •Derrogações (art. 49): situações específicas, como consentimento explícito após informação sobre os riscos, ou necessidade para executar um contrato com o titular.

Se o país de destino da sua estrutura não consta da lista de adequação da Comissão, o caminho é o art. 46. Confira a lista vigente antes de assinar o contrato.

Atenção ao art. 48: decisões judiciais ou administrativas de um país terceiro que exijam transferir dados só são reconhecidas ou executadas se tiverem base em acordo internacional em vigor com a União ou com um Estado-Membro.

Preciso de encarregado (DPO) e de representante na União?

Brasil. O controlador deve indicar um encarregado pelo tratamento de dados pessoais, com identidade e contato divulgados publicamente, de preferência no site (LGPD, art. 41, § 1º). O § 3º do art. 41 permite que a ANPD fixe hipóteses de dispensa conforme a natureza e o porte da entidade ou o volume de operações. Confira a norma vigente antes de concluir que sua empresa está dispensada.

União Europeia. O GDPR exige encarregado da proteção de dados quando o tratamento é feito por autoridade pública, quando as atividades principais exigem controle regular e sistemático de titulares em grande escala, ou quando envolvem em grande escala categorias especiais de dados e dados sobre condenações penais (art. 37, n.º 1). Um grupo empresarial pode designar um único encarregado, desde que ele seja facilmente acessível a partir de cada estabelecimento (art. 37, n.º 2).

Representante. Já o representante na União é exigência do art. 27 para quem se enquadra no art. 3º, n.º 2 e não cabe na exceção.

Quais são as multas?

Os valores abaixo são os que constam das próprias leis. Eles são tetos, e a sanção concreta depende do caso.

A LGPD prevê outras sanções além da multa, como advertência, multa diária, publicização da infração, bloqueio e eliminação dos dados, suspensão do banco de dados ou da atividade de tratamento e proibição parcial ou total das atividades de tratamento (art. 52). A ANPD aplica as sanções após procedimento com ampla defesa e considera, entre outros critérios, a gravidade, a boa-fé, a vantagem auferida e a reincidência (art. 52, § 1º).

As transferências fora das regras dos arts. 44 a 49 do GDPR estão no teto mais alto do art. 83, n.º 5.

Como organizar a conformidade de uma empresa com estrutura offshore?

1. •Mapeie os dados. Liste quais dados pessoais a estrutura trata, de quem (pessoas no Brasil, na União ou ambos), com que finalidade e onde ficam armazenados.
2. •Identifique o papel de cada empresa. Controlador e operador são papéis diferentes na LGPD. O operador trata os dados segundo as instruções do controlador (art. 39).
3. •Escolha o mecanismo de transferência. Adequação, cláusulas-padrão ou outra base prevista no art. 33 da LGPD e no Capítulo V do GDPR.
4. •Ajuste os contratos entre as empresas do grupo. Para cláusulas-padrão da ANPD, adote o texto do Anexo II sem alterações.
5. •Mantenha registro das operações. A LGPD exige registro das operações de tratamento (art. 37), especialmente quando baseadas em legítimo interesse.
6. •Prepare o plano de incidente. Defina quem avalia o incidente e quem comunica à ANPD e à autoridade europeia.
7. •Designe encarregado e, se for o caso, representante na União.
8. •Revise a estrutura societária. O desenho do grupo define quem é controlador e quem responde. Veja o guia sobre acordo de sócios internacional e o conteúdo sobre contratação de time remoto internacional, que também envolve dados de pessoas.

Para o outro lado do compliance de estruturas no exterior, leia fiscalização da Receita sobre offshore e consulte os serviços de compliance e de estruturas corporativas.