RGPD e LGPD em 2026: o que muda para quem trata dados entre a Europa e o Brasil

Poucas empresas percebem que, no momento em que recolhem o email de um cliente ou contratam um serviço de faturação alojado no estrangeiro, passam a estar sujeitas, ao mesmo tempo, a dois regimes de proteção de dados. Do lado europeu, o Regulamento Geral sobre a Proteção de Dados, o conhecido RGPD. Do lado brasileiro, a Lei Geral de Proteção de Dados, a LGPD. Para quem opera nos dois lados do Atlântico, e hoje isso inclui praticamente qualquer negócio que use serviços na nuvem, compreender a relação entre os dois regimes deixou de ser um luxo académico e passou a ser uma questão de exposição ao risco.

Convém começar por fixar aquilo que aproxima as duas leis, porque a semelhança não é acidental. A LGPD foi construída sobre a matriz do RGPD, e daí resulta que ambas partem do mesmo princípio fundador, o de que os dados de uma pessoa lhe pertencem e só podem ser tratados por terceiros dentro de limites claros. Uma e outra reconhecem às pessoas o mesmo núcleo de direitos, entre os quais o de saber que dados uma empresa detém a seu respeito, o de os corrigir e o de exigir a sua eliminação. Quem já organizou a sua atividade segundo uma das leis reconhece de imediato a lógica da outra.

Onde as duas leis se distinguem

As diferenças, porém, existem, e a mais relevante para a gestão do risco reside no grau de maturidade da fiscalização. O RGPD conta com autoridades europeias consolidadas e com um histórico assinalável de sanções, o que confere previsibilidade a quem quer cumprir e severidade a quem falha. A autoridade brasileira, a ANPD, é mais recente e adotou, num primeiro momento, uma postura mais pedagógica do que punitiva. Seria um erro, todavia, retirar daí uma falsa sensação de segurança, porquanto a partir de 2023 a ANPD entrou numa fase de fiscalização ativa. A lei brasileira é jovem, mas ganha dentes com rapidez.

A mudança de 2026

É neste ponto que 2026 introduz a alteração que mais interessa a quem opera entre os dois territórios. Até há pouco, transferir dados da Europa para o Brasil, ou no sentido inverso, obrigava à celebração de instrumentos contratuais específicos destinados a provar que a proteção acompanhava os dados até ao destino. Em janeiro de 2026, através da Resolução nº 32 da ANPD, e com o reconhecimento recíproco por parte da União Europeia publicado a 27 desse mês, os dois blocos passaram a considerar-se mutuamente adequados. Na prática, os dados podem agora circular entre a União Europeia e o Brasil sem os mecanismos contratuais que antes se impunham. Para uma empresa com clientes ou fornecedores nas duas jurisdições, trata-se de uma poupança real de tempo, de custo e de complexidade jurídica.

A armadilha que muitos não veem

Importa, no entanto, delimitar com precisão o alcance deste avanço, sob pena de se converter numa armadilha. O reconhecimento vale para os fluxos entre a Europa e o Brasil, e apenas para esses. Não abrange o resto do mundo. Sucede que boa parte das ferramentas que uma empresa utiliza no dia a dia, do correio eletrónico à plataforma de vendas, aloja os dados nos Estados Unidos. Ora, sempre que a informação dos seus clientes repousa em servidores norte-americanos, aquela circulação não se encontra coberta pela adequação de 2026, e para ela continua a exigir-se o instrumento contratual próprio. É precisamente aqui que muitas empresas se julgam em conformidade sem o estarem.

Cumpre ainda afastar um equívoco frequente. A adequação entre os dois blocos facilita o fundamento jurídico da transferência, mas não dispensa a governação dos dados. Mesmo ao abrigo do reconhecimento mútuo, mantém-se a obrigação de tratar a informação com cuidado, de conservar registos e de assegurar medidas de segurança efetivas. A adequação simplifica a papelada, não substitui a boa prática.

Por onde começar

Do exposto resulta uma conclusão de ordem prática. O primeiro passo de qualquer empresa que trate dados nos dois lados do Atlântico consiste em levantar onde reside efetivamente essa informação, ferramenta a ferramenta, identificando em que jurisdição se encontra cada servidor. Só a partir desse mapa é possível distinguir aquilo que já está tranquilo daquilo que configura uma exposição por resolver.

É esse levantamento que, na minha experiência, costuma faltar às empresas que operam entre o Brasil e a Europa. Se a sua atividade lida com dados dos dois lados e pretende saber, com rigor, onde está exposta, fale comigo. Um diagnóstico preliminar oferece-lhe esse retrato antes que seja uma coima a revelá-lo.