O GDPR se aplica à minha empresa nos EUA? (Autoavaliação em 3 etapas)

  <thead>
    <tr>
      <th>Categoria</th>
      <th>Exemplos</th>
      <th>Por que o GDPR se aplica</th>
    </tr>
  </thead>

  <tbody>
    <tr class="section-row">
      <td colspan="3">RASTREAMENTO DO LADO DO CLIENTE</td>
    </tr>

    <tr>
      <td><strong>Análises</strong></td>
      <td>Google Analytics, Adobe Analytics</td>
      <td>Cookies e rastreamento de visitantes da UE</td>
    </tr>
    <tr>
      <td><strong>Pixels de publicidade</strong></td>
      <td>Meta Pixel, Google Ads etc.</td>
      <td>Monitoramento de comportamento do usuário para retargeting</td>
    </tr>
    <tr>
      <td><strong>Gravação de sessão</strong></td>
      <td>Hotjar, FullStory, Mouseflow</td>
      <td>Registra o comportamento e as interações de usuários da UE</td>
    </tr>
    <tr>
      <td><strong>Formulários de captação de leads</strong></td>
      <td>HubSpot, Mailchimp</td>
      <td>Coleta dados pessoais de visitantes da UE</td>
    </tr>
    <tr>
      <td><strong>Serviços incorporados</strong></td>
      <td>YouTube, Google Maps, widgets sociais</td>
      <td>O processamento por terceiros implica corresponsabilidade</td>
    </tr>

    <tr class="section-row">
      <td colspan="3">PROCESSAMENTO DO LADO DO SERVIDOR</td>
    </tr>

    <tr>
      <td><strong>Bancos de dados de clientes</strong></td>
      <td>PostgreSQL, CRMs, armazenamento em nuvem</td>
      <td>Armazenamento de registros de clientes da UE e dados pessoais</td>
    </tr>
    <tr>
      <td><strong>E-commerce</strong></td>
      <td>Shopify, WooCommerce</td>
      <td>Processamento de compras e pagamentos de clientes da UE</td>
    </tr>
    <tr>
      <td><strong>E-mail marketing</strong></td>
      <td>Mailchimp, SendGrid</td>
      <td>Envio de e-mails para assinantes da UE</td>
    </tr>
  </tbody>
</table>

As Penalidades do GDPR Podem Ser Aplicadas a Empresas Exclusivamente dos EUA?

Não diretamente, a menos que você tenha uma conexão com a UE conforme descrito acima neste artigo.

Os reguladores da UE têm autoridade sobre empresas dos EUA?

As Autoridades de Proteção de Dados da UE não têm jurisdição dentro dos Estados Unidos. Portanto, esses órgãos reguladores dependem de outras jurisdições para aplicar suas multas contra entidades fora da UE.

Aqui está um exemplo de reguladores da UE indo atrás de uma empresa dos EUA:

O ICO do Reino Unido emitiu um aviso ao Washington Post sobre como estava obtendo consentimento para cookies. No entanto, o ICO observou que havia pouco que pudesse fazer se o Washington Post decidisse não mudar suas práticas.

Aplicação do GDPR para empresas dos EUA

Para empresas sem nenhuma presença na UE, a aplicação regulatória é rara. Geralmente se limita a consultas, notificações de conformidade e proibições regulatórias. Os reguladores também podem tornar público o descumprimento, prejudicando inadvertidamente a reputação das empresas.

A pressão de aplicação aumenta com qualquer tipo de conexão com a UE

Os reguladores do GDPR ganham poder de atuação se você tiver:

• Clientes ou receita na UE
• Funcionários ou contratados na UE
• Infraestrutura ou fornecedores baseados na UE
• Contas bancárias ou ativos na UE
• Um site voltado para a UE ou oferta localizada

A aplicação se concretiza nesse ponto. As restrições de negócios podem incluir ordens para cessar atividades específicas de processamento de dados ou suspender serviços para clientes da UE até que a conformidade seja alcançada. Eles podem essencialmente forçá-lo a parar de atender clientes europeus.

Empresas multinacionais são as mais afetadas pelas penalidades do GDPR

A aplicação do GDPR contra empresas dos EUA varia por Estado-Membro da UE. Países da Europa Ocidental, como Reino Unido, França e Irlanda, têm sido agressivos na imposição de penalidades do GDPR e na abertura de investigações contra empresas dos EUA.

As maiores multas do GDPR foram todas direcionadas a empresas com grande presença na UE:

  <thead>
    <tr>
      <th>Empresa</th>
      <th>Multa</th>
      <th>Conexão com a UE</th>
    </tr>
  </thead>

  <tbody>
    <tr>
      <td><strong>Meta</strong></td>
      <td>€1,2 bilhão</td>
      <td>A Meta transferia rotineiramente informações de usuários da UE para os Estados Unidos sem as proteções exigidas</td>
    </tr>
    <tr>
      <td><strong>Amazon</strong></td>
      <td>€746 milhões</td>
      <td>Sede em Luxemburgo</td>
    </tr>
    <tr>
      <td><strong>Google</strong></td>
      <td>€90 milhões</td>
      <td>As autoridades de dados francesas concluíram que formulários de consentimento genéricos e caixas pré-marcadas não eram suficientes como consentimento válido</td>
    </tr>
    <tr>
      <td><strong>Marriott</strong></td>
      <td>£18,4 milhões</td>
      <td>A violação comprometeu as senhas e os registros de cartão de crédito de milhões de residentes da UE</td>
    </tr>
  </tbody>
</table>

Para uma empresa verdadeiramente exclusiva dos EUA, sem presença na UE, sem clientes na UE e sem intenção de entrar no mercado europeu, o risco direto de aplicação é baixo. Mas essa é uma categoria restrita, e está diminuindo à medida que as empresas se tornam globais e outras pressões (abordadas abaixo) tornam a conformidade no estilo GDPR necessária de qualquer forma.

Empresas Exclusivamente dos EUA Devem se Preocupar com o GDPR?

Sim. Veja o porquê.

As leis de privacidade estão se espalhando pelos estados dos EUA.

As leis de privacidade dos estados americanos ganharam força com novas leis sendo introduzidas, promulgadas e entrando em vigor a cada ano. Não faz muito tempo, em 2018, que a California Consumer Privacy Act se tornou a primeira lei abrangente de privacidade de dados estadual dos EUA a ser aprovada. Desde então, muitos estados aprovaram suas próprias leis, com aplicação começando em 2026.

Na data de publicação deste artigo, 20 estados dos EUA promulgaram leis abrangentes de privacidade de dados do consumidor.

Essas leis regulam como as empresas podem coletar dados, o que devem divulgar, como os usuários podem optar por não participar e quais controles de segurança devem ser mantidos.

As leis de privacidade dos estados dos EUA se inspiram diretamente no GDPR

As leis do Colorado, Connecticut, Delaware, Oregon, Indiana, Iowa, Tennessee, Virgínia e Utah adotam a terminologia do Regulamento Geral de Proteção de Dados (GDPR) da União Europeia e se aplicam a "controladores" e "processadores".

A abordagem mais comum nas leis de privacidade dos estados dos EUA espelha o GDPR, que exige que uma avaliação contenha, no mínimo, os riscos e benefícios do processamento para os indivíduos.

Se você desenvolver seu site para estar em conformidade com o GDPR, já estará na maior parte do caminho para cumprir as leis estaduais dos EUA. O inverso também é verdadeiro. Ignorar os requisitos no estilo GDPR significa que você provavelmente também está violando as leis domésticas.

Os sites agora devem respeitar os sinais universais de recusa

Muitos estados dos EUA agora exigem que os sites detectem e respeitem os sinais de privacidade baseados no navegador, especificamente o Global Privacy Control (GPC).

A partir de 1º de julho de 2025, dez estados dos EUA exigem que os sites respeitem os sinais UOOM. Esses estados incluem Califórnia, Colorado, Connecticut, Delaware, Montana, Nebraska, New Hampshire, New Jersey, Oregon, Minnesota, Maryland e Texas.

Califórnia, Colorado e Connecticut anunciaram uma varredura investigativa conjunta direcionada a empresas que não respeitam as recusas via GPC.

Na prática, isso significa que:

• Se o navegador de um visitante enviar um sinal GPC, seu site deve tratá-lo como uma solicitação válida de recusa
• O Procurador-Geral da Califórnia adotou a posição de que as solicitações de recusa usando o Global Privacy Control devem ser respeitadas pelas empresas abrangidas como uma solicitação válida do consumidor para interromper a venda ou o compartilhamento de informações pessoais.
• O não cumprimento desses sinais já está sendo aplicado (a primeira ação pública de aplicação da CCPA da Califórnia contra a Sephora citou o não cumprimento do GPC)

Se o seu site não consegue tecnicamente detectar e responder a esses sinais, você está em não conformidade, mesmo que nunca tenha pretendido fazer negócios fora do seu estado de origem.

Reduza Violações de Privacidade Causadas por Scripts de Terceiros com o Privacy Watch

Ao longo deste artigo, enfatizamos que, independentemente de os usuários aceitarem ou rejeitarem cookies, scripts mal configurados ou maliciosos ainda podem vazar suas informações privadas.

Os banners de consentimento de cookies gerenciam preferências. Eles não aplicam comportamento. E sob o GDPR, você é responsável pelo que cada script no seu site faz.

O PrivacyWatch é a ferramenta de conformidade de privacidade do lado do cliente da cside que monitora scripts de terceiros para alertá-lo sobre possíveis violações ou brechas de segurança de dados.

A cside oferece relatórios de conformidade automatizados para os regulamentos GDPR, CCPA e HIPAA, com trilhas de auditoria detalhadas que comprovam sua aderência durante inspeções regulatórias.

Com o PrivacyWatch da cside, você pode:

• Ver quais dados são acessados por scripts e para onde estão sendo enviados
• Monitorar o acesso e a injeção de dados para impedir rastreamentos não autorizados
• Identificar alterações no código de terceiros no seu site que mudam como ele trata os dados
• Demonstrar que medidas de privacidade e segurança do lado do cliente estão em vigor para cumprir os Artigos 32, 25 e 28 do GDPR
• Obter painéis automatizados específicos por framework para GDPR, CCPA e outras leis estaduais dos EUA
• Coletar evidências que podem ser apresentadas durante inspeções regulatórias ou auditorias

Agende uma demonstração com a cside agora para ver como se proteger contra violações do GDPR.