O GDPR aplica-se à minha empresa dos EUA? (Autoavaliação em 3 passos)

  <thead>
    <tr>
      <th>Categoria</th>
      <th>Exemplos</th>
      <th>Por que motivo o GDPR se aplica</th>
    </tr>
  </thead>

  <tbody>
    <tr class="section-row">
      <td colspan="3">RASTREIO DO LADO DO CLIENTE</td>
    </tr>

    <tr>
      <td><strong>Análises</strong></td>
      <td>Google Analytics, Adobe Analytics</td>
      <td>Cookies e rastreio de visitantes da UE</td>
    </tr>
    <tr>
      <td><strong>Pixels publicitários</strong></td>
      <td>Meta Pixel, Google Ads etc</td>
      <td>Monitorização do comportamento do utilizador para retargeting</td>
    </tr>
    <tr>
      <td><strong>Gravação de sessão</strong></td>
      <td>Hotjar, FullStory, Mouseflow</td>
      <td>Regista o comportamento e as interações de utilizadores da UE</td>
    </tr>
    <tr>
      <td><strong>Formulários de captação de leads</strong></td>
      <td>HubSpot, Mailchimp,</td>
      <td>Recolhe dados pessoais de visitantes da UE</td>
    </tr>
    <tr>
      <td><strong>Serviços incorporados</strong></td>
      <td>YouTube, Google Maps, widgets sociais</td>
      <td>O tratamento por terceiros implica corresponsabilidade pelo tratamento</td>
    </tr>

    <tr class="section-row">
      <td colspan="3">TRATAMENTO DO LADO DO SERVIDOR</td>
    </tr>

    <tr>
      <td><strong>Bases de dados de clientes</strong></td>
      <td>PostgreSQL, CRMs, armazenamento na nuvem</td>
      <td>Armazenamento de registos de clientes da UE e dados pessoais</td>
    </tr>
    <tr>
      <td><strong>E-commerce</strong></td>
      <td>Shopify, WooCommerce</td>
      <td>Tratamento de compras e pagamentos de clientes da UE</td>
    </tr>
    <tr>
      <td><strong>Email marketing</strong></td>
      <td>Mailchimp, SendGrid</td>
      <td>Envio de emails a subscritores da UE</td>
    </tr>
  </tbody>
</table>

As penalizações do GDPR podem ser aplicadas a empresas exclusivamente dos EUA?

Não diretamente, a menos que tenha uma ligação à UE conforme descrito anteriormente neste artigo.

Os reguladores da UE têm autoridade sobre empresas dos EUA?

As Autoridades de Proteção de Dados da UE não têm jurisdição dentro dos Estados Unidos. Por isso, estes organismos reguladores dependem de outras jurisdições para fazer cumprir as suas coimas contra entidades fora da UE.

Eis um exemplo de reguladores da UE a atuar contra uma empresa dos EUA:

O ICO do Reino Unidoemitiu um aviso ao Washington Postsobre a forma como estava a obter consentimento para cookies. No entanto, o ICO referiu que pouco poderia fazer se o Washington Post decidisse não alterar as suas práticas

Aplicação do GDPR a empresas dos EUA

Para empresas sem qualquer presença na UE, a aplicação regulatória é rara. Normalmente, limita-se a averiguações, notificações de conformidade e proibições regulatórias. Os reguladores também podem tornar público o incumprimento, o que prejudica inadvertidamente a reputação das empresas.

A pressão de aplicação aumenta com qualquer tipo de ligação à UE

Os reguladores do GDPR ganham poder de ação se tiver:

• Clientes ou receita na UE
• Funcionários ou prestadores de serviços na UE
• Infraestrutura ou fornecedores baseados na UE
• Contas bancárias ou ativos na UE
• Um site direcionado à UE ou uma oferta localizada

Nesse momento, a aplicação torna-se real. As restrições ao negócio podem incluir ordens para cessar atividades específicas de tratamento de dados ou suspender serviços para clientes da UE até que a conformidade seja alcançada. Podem, essencialmente, obrigá-lo a deixar de servir clientes europeus.

As empresas multinacionais são as mais afetadas pelas penalizações do GDPR

A aplicação do GDPR contra empresas dos EUA varia consoante o Estado-Membro da UE. Países da Europa Ocidental, como o Reino Unido, a França e a Irlanda, têm sido agressivos na aplicação de penalizações do GDPR e na abertura de investigações contra empresas dos EUA.

As maiores coimas do GDPR visaram sempre empresas com uma grande presença na UE

  <thead>
    <tr>
      <th>Empresa</th>
      <th>Coima</th>
      <th>Ligação à UE</th>
    </tr>
  </thead>

  <tbody>
    <tr>
      <td><strong>Meta</strong></td>
      <td>€1,2 mil milhões</td>
      <td>A Meta transferia rotineiramente informações de utilizadores da UE para os Estados Unidos sem as proteções exigidas</td>
    </tr>
    <tr>
      <td><strong>Amazon</strong></td>
      <td>€746 milhões</td>
      <td>Sede no Luxemburgo</td>
    </tr>
    <tr>
      <td><strong>Google</strong></td>
      <td>€90 milhões</td>
      <td>As autoridades de proteção de dados francesas concluíram que formulários de consentimento genéricos e caixas pré-assinaladas não eram suficientes para constituir consentimento válido</td>
    </tr>
    <tr>
      <td><strong>Marriott</strong></td>
      <td>£18,4 milhões</td>
      <td>A violação acabou por comprometer as palavras-passe e os registos de cartão de crédito de milhões de residentes da UE</td>
    </tr>
  </tbody>
</table>

Para uma empresa verdadeiramente exclusiva dos EUA, sem presença na UE, sem clientes na UE e sem intenção de entrar no mercado europeu, o risco de aplicação direta é baixo. Mas trata-se de uma categoria restrita, que está a diminuir à medida que as empresas se tornam globais e que outras pressões (abordadas mais abaixo) tornam necessária, de qualquer forma, uma conformidade ao estilo do GDPR.

As empresas exclusivamente dos EUA devem preocupar-se com o GDPR?

Sim. Eis o motivo.

As leis de privacidade estão a espalhar-se pelos estados dos EUA.

A legislação estadual de privacidade dos EUA tem ganho força, com novas leis introduzidas, promulgadas e a entrar em vigor todos os anos. Não foi há muito tempo, em 2018, que a California Consumer Privacy Act se tornou a primeira lei estadual abrangente de privacidade dos EUA a ser aprovada. Desde então, muitos estados aprovaram as suas próprias leis, com a aplicação a começar em 2026.

À data desta publicação, 20 estados dos EUA promulgaram leis abrangentes de privacidade de dados de consumidores.

Estas leis regulam a forma como as empresas podem recolher dados, o que devem divulgar, como os utilizadores podem optar por não participar e que controlos de segurança devem ser mantidos.

As leis de privacidade dos estados dos EUA inspiram-se diretamente no GDPR

As leis do Colorado, Connecticut, Delaware, Oregon, Indiana, Iowa, Tennessee, Virgínia e Utah adotam a terminologia do Regulamento Geral sobre a Proteção de Dados (GDPR) da União Europeia e aplicam-se a "responsáveis pelo tratamento" e "subcontratantes".

A abordagem mais comum nas leis de privacidade estaduais dos EUA reflete o GDPR, que exige que uma avaliação contenha, no mínimo, os riscos e benefícios do tratamento para as pessoas.

Se construir o seu site para estar em conformidade com o GDPR, já percorreu a maior parte do caminho para cumprir as leis estaduais dos EUA. O inverso também é verdadeiro. Ignorar os requisitos ao estilo do GDPR significa que provavelmente também está a violar as leis nacionais.

Os sites têm agora de respeitar os sinais universais de recusa

Muitos estados dos EUA exigem agora que os sites detetem e respeitem os sinais de privacidade baseados no navegador, especificamente, o Global Privacy Control (GPC).

Desde 1 de julho de 2025, dez estados dos EUA exigem que os sites respeitem os sinais UOOM. Estes estados incluem Califórnia, Colorado, Connecticut, Delaware, Montana, Nebraska, New Hampshire, New Jersey, Oregon, Minnesota, Maryland e Texas.

Califórnia, Colorado e Connecticut anunciaram uma operação de investigação conjunta dirigida a empresas que não respeitam as recusas via GPC.

Na prática, isto significa que

• Se o navegador de um visitante enviar um sinal GPC, o seu site tem de o tratar como um pedido de recusa válido
• O Procurador-Geral da Califórnia adotou a posição de que os pedidos de recusa através do Global Privacy Control devem ser respeitados pelas empresas abrangidas como um pedido válido do consumidor para interromper a venda ou a partilha de informações pessoais.
• O incumprimento destes sinais já está a ser alvo de aplicação (a primeira ação pública de aplicação da CCPA na Califórnia, contra a Sephora, citou o incumprimento do GPC)

Se o seu site não conseguir, tecnicamente, detetar e responder a estes sinais, está em incumprimento, mesmo que nunca tenha tido intenção de fazer negócios fora do seu estado de origem.

Reduza violações de privacidade causadas por scripts de terceiros com o Privacy Watch

Quer os utilizadores aceitem ou rejeitem cookies, scripts mal configurados ou maliciosos podem ainda assim expor as suas informações privadas.

Os banners de consentimento de cookies gerem preferências. Não impõem comportamentos. E, ao abrigo do GDPR, é responsável pelo que cada script no seu site faz.

O PrivacyWatch é a ferramenta de conformidade de privacidade do lado do cliente da cside, que monitoriza scripts de terceiros para o alertar sobre potenciais violações ou brechas que possam originar violações de dados.

A cside oferece relatórios de conformidade automatizados para os regulamentos GDPR, CCPA e HIPAA, com registos de auditoria detalhados que comprovam a sua conformidade durante inspeções regulatórias.

Com o PrivacyWatch da cside, pode

• Ver que dados são acedidos pelos scripts e para onde estão a ser enviados
• Monitorizar o acesso e a injeção de dados para impedir rastreio não autorizado
• Identificar alterações ao código de terceiros no seu site que mudam a forma como este trata os dados
• Demonstrar que estão implementadas medidas de privacidade e segurança do lado do cliente para cumprir os Artigos 32.º, 25.º e 28.º do GDPR
• Obter painéis automatizados específicos para cada enquadramento legal, incluindo o GDPR, a CCPA e outras leis estaduais dos EUA
• Recolher provas que pode apresentar durante inspeções regulatórias ou auditorias

Agende uma demonstração com a cside agora para ver como se proteger contra violações do GDPR.