As leis e o que elas significam na prática

LPDP

Argentina

Uma das primeiras leis consideradas adequadas pela UE, baseada em consentimento por escrito, registro de bancos de dados e uma ação judicial de habeas data, com prazos de resposta muito curtos. Não prevê notificação de violações nem obrigações de DPO ou DPIA, e as multas continuam baixas.

Privacy Act (AU)

Austrália

A lei de privacidade da Austrália, baseada nos treze Princípios Australianos de Privacidade, agora em período de reforma.

LGPD

Brasil

A lei brasileira inspirada no GDPR, com dez bases legais e uma autoridade nacional.

PIPEDA

Canadá

A lei federal de privacidade do Canadá para o setor privado, baseada em dez princípios de práticas justas de informação.

Lei 25

Quebec, Canadá

A lei de privacidade mais rigorosa do Canadá, com avaliações de impacto à privacidade para transferências e multas no nível do GDPR.

LPVP

Chile

Até dezembro de 2026, o Chile mantém um regime leve de 1999 aplicado apenas pelos tribunais, com consentimento por escrito, prazo de resposta de dois dias e multas ínfimas. A Lei 21,719 traz então um regime no estilo do GDPR, com uma nova agência, deveres em caso de violação e multas de até 20,000 UTM.

PIPL

China

A lei abrangente de privacidade da China, com regras rigorosas sobre consentimento e transferências internacionais.

Lei 1581

Colômbia

Todo uso de dados pessoais exige autorização prévia, expressa e informada que o controlador consiga comprovar, e todo controlador deve designar uma pessoa ou área de proteção de dados. A SIC fiscaliza ativamente, as empresas maiores registram bancos de dados no RNBD, e as violações são comunicadas à SIC em até 15 dias úteis.

LOPDP

Equador

A cópia mais próxima do GDPR na região, com interesse legítimo, portabilidade, DPIAs e DPOs, além de multas baseadas no faturamento de até 1%. É mais rigorosa quanto aos prazos: 5 dias para notificar o regulador e 3 dias para notificar os indivíduos.

PDPL (Egito)

Egito

A lei de proteção de dados do Egito. Controladores e operadores precisam de uma licença do Centro de Proteção de Dados Pessoais, e os encarregados de proteção de dados se registram nele.

DPA (Gana)

Gana

A lei de proteção de dados de Gana. Os controladores se registram na Comissão de Proteção de Dados e renovam o registro a cada dois anos.

PDPO

Hong Kong

A lei abrangente de privacidade mais antiga da Ásia, baseada em seis princípios de proteção de dados, sem dever de notificação de violações e sem restrição de transferência em vigor. Seus dentes mais afiados são os crimes de marketing direto sem consentimento e de doxxing.

Lei DPDP

Índia

A lei abrangente de privacidade da Índia, centrada no consentimento, com deveres para fiduciários de dados significativos.

Lei PDP

Indonésia

Estrutura semelhante à do GDPR, mas com prazos muito curtos de 72 horas tanto para solicitações de titulares dos dados quanto para notificações de violação. O consentimento deve ser escrito ou gravado, e penas criminais de até 6 anos coexistem com multas de 2% da receita.

PPL

Israel

A PPL é uma lei baseada em consentimento e centrada em bancos de dados, com regras de segurança muito prescritivas, incluindo a comunicação imediata de incidentes graves. A Emenda 13 acrescentou definições no estilo do GDPR, obrigações de DPO, multas administrativas por titular dos dados e indenizações legais, e restringiu o registro de bancos de dados aos corretores de dados e aos órgãos públicos.

APPI

Japão

A lei de privacidade do Japão, reconhecida pela UE como adequada.

DPA (Quênia)

Quênia

A lei de proteção de dados do Quênia. Controladores e operadores se registram no Data Commissioner. A nomeação de um encarregado de proteção de dados é opcional nos termos da Lei.

PDPA (Malásia)

Malásia

A lei de proteção de dados da Malásia, alterada em 2024. A nomeação de encarregado de proteção de dados e a notificação de violação ao Comissário em até 72 horas se aplicam a partir de 1º de junho de 2025.

LFPDPPP

México

O consentimento é a base padrão, o consentimento tácito por meio de um aviso de privacidade basta para a maioria dos dados, e todo controlador deve designar uma pessoa ou um departamento de proteção de dados. A reformulação de 2025 transferiu a fiscalização do INAI independente para um ministério federal e eliminou os deveres perante o regulador previstos na lei antiga, mantendo penas de prisão para crimes relacionados a dados.

Privacy Act

Nova Zelândia

Uma lei baseada em princípios, com 14 IPPs, encarregados de privacidade obrigatórios em todos os órgãos e notificação de violações que causem dano grave. As multas são baixas; os recursos tramitam pelo Comissário e pelo Tribunal de Revisão de Direitos Humanos.

NDPA (Nigéria)

Nigéria

A lei de proteção de dados da Nigéria. Controladores e operadores de grande importância se registram na NDPC e nomeiam um encarregado de proteção de dados, que deve manter desenvolvimento profissional anual.

LPDP

Peru

O Regulamento 2024 aproximou o Peru do GDPR: alcance extraterritorial com representante local, notificação de violação em 48 horas ao regulador e aos indivíduos, portabilidade e uma obrigação de DPO implantada em fases. Ele mantém o registro de bancos de dados característico do Peru e a notificação de cada fluxo transfronteiriço.

DPA (Filipinas)

Filipinas

A lei de privacidade de dados das Filipinas. As organizações designam um encarregado de proteção de dados, e as que atingem os limites se registram na Comissão Nacional de Privacidade.

PDPL (Arábia Saudita)

Arábia Saudita

A lei de proteção de dados da Arábia Saudita, aplicada pela SDAIA. As regras definem quando é exigido um encarregado de proteção de dados, e o registro e as notificações de violação são feitos pela Plataforma Nacional de Governança de Dados.

PDPA (SG)

Singapura

Lei de privacidade baseada em consentimento, com notificação obrigatória de violações desde 2021.

POPIA

África do Sul

A lei abrangente de privacidade da África do Sul, baseada em oito condições para o tratamento lícito.

PIPA

Coreia do Sul

A Coreia combina direitos no estilo do GDPR com regras de consentimento excepcionalmente granulares, item por item, e um diretor de privacidade obrigatório para todo controlador. A fiscalização é pesada: sobretaxas baseadas na receita que agora chegam a 10%, indenizações legais e penas criminais.

nFADP

Suíça

A lei revisada da Suíça, estreitamente alinhada ao GDPR, com multas dirigidas aos indivíduos responsáveis.

DIFC DPL

Emirados Árabes Unidos

A lei de proteção de dados do Dubai International Financial Centre, uma zona franca financeira com leis e tribunais próprios. Segue de perto o GDPR e tem seu próprio Comissário de Proteção de Dados.

PDPA

Tailândia

Inspirada de perto no GDPR, mas o consentimento geralmente deve ser dado por escrito ou em formato eletrônico, e menores de 20 anos precisam do envolvimento de um responsável legal. A responsabilidade civil é objetiva, e os tribunais podem acrescentar indenizações punitivas de até o dobro da perda efetiva.

KVKK

Turquia

A KVKK é inspirada no GDPR, mas mantém um registro público de controladores (VERBIS) com inventários de dados arquivados e exige notificação de violação aos indivíduos em todos os casos. Desde 2024, as transferências para o exterior se baseiam em adequação, salvaguardas aprovadas pelo Conselho ou contratos padrão emitidos pelo Conselho, que devem ser arquivados em até cinco dias úteis.

DPPA (Uganda)

Uganda

A lei de proteção de dados de Uganda. O dirigente de cada instituição abrangida deve designar um encarregado de proteção de dados, e qualquer pessoa que colete ou trate dados pessoais deve se registrar no Escritório de Proteção de Dados Pessoais.

PDPL (UAE)

Emirados Árabes Unidos

A lei federal de proteção de dados dos UAE. Está em vigor desde janeiro de 2022, mas seu Regulamento Executivo ainda não foi publicado, portanto ainda não há prazo definido para notificação de violações nem tabela de penalidades.

LPDP

Uruguai

Lei considerada adequada pela UE que combina consentimento documentado e registro universal de bancos de dados com acréscimos no estilo do GDPR: notificação de violação em 72 horas, DPIAs e DPOs obrigatórios para tratamento em grande escala ou de dados sensíveis. As multas são baixas, mas os prazos de resposta são de cinco dias úteis.

PDPL

Vietnã

A primeira lei do Vietnã sobre dados pessoais substitui o Decreto 13 por um regime centrado no consentimento, em que as avaliações de impacto e as avaliações de transferência devem ser apresentadas ao Ministério da Segurança Pública. As multas chegam a 5% da receita por violações em transferências e a 10 vezes a receita pelo comércio ilegal de dados.

CDPA (Zimbábue)

Zimbábue

A lei de proteção de dados do Zimbábue, aplicada pela POTRAZ. Os controladores precisam de licença, e os encarregados de proteção de dados devem ser nomeados em até 90 dias e concluir um curso de certificação aprovado.