← Artigos e guias sobre fraudes, cibersegurança, LGPD e lavagem

LGPD, GDPR e leis dos EUA: multas e prazos de notificação comparados

Brasil exige aviso de vazamento em 3 dias úteis; a UE, em 72 horas; nos EUA, a SEC dá 4 dias úteis. Compare tetos de multa, prazos e o enforcement real.

2026-10-27

Quem opera no Brasil, na Europa e nos Estados Unidos lida com três lógicas diferentes de proteção de dados. O Brasil e a União Europeia têm uma lei geral e uma autoridade central. Os EUA têm um mosaico de leis setoriais, regras de mercado de capitais e leis estaduais. As diferenças pesam sobretudo em dois pontos práticos: quanto se pode pagar de multa e em quanto tempo é preciso avisar sobre um vazamento.

O quadro comparativo

	Brasil (LGPD)	União Europeia (GDPR)	EUA
Autoridade	ANPD, agência reguladora desde 2026	Autoridades nacionais + EDPB	FTC, HHS/OCR, SEC, agências estaduais
Teto de multa	2% do faturamento no Brasil, até R$ 50 mi por infração	€ 20 mi ou 4% do faturamento global	Varia por lei e por violação
Prazo de notificação	3 dias úteis (ANPD e titulares)	72 horas	SEC: 4 dias úteis após determinar materialidade; HIPAA: até 60 dias
Encarregado/DPO	Obrigatório (pequenos agentes dispensados)	Obrigatório em casos do art. 37	Não há regra geral
Em vigor desde	Set/2020 (sanções desde ago/2021)	25/05/2018	Sem lei federal geral

Brasil: prazo curto, multas raras

A Resolução CD/ANPD nº 15/2024 fixou o prazo de 3 dias úteis para comunicar incidentes de segurança à ANPD e aos titulares. O complemento pode vir em até 20 dias úteis, e o registro de todos os incidentes deve ser guardado por 5 anos, segundo a Mayer Brown. Agentes de pequeno porte têm regime simplificado e ficam fora desse prazo.

A dosimetria das multas segue a Resolução CD/ANPD nº 4/2023, explica o Cescon Barrieu:

infrações classificadas em leve, média ou grave;
base de cálculo no faturamento do ramo de atividade;
agravantes de 5% a 90% e atenuantes de 5% a 75%;
desconto de 25% para quem renuncia ao recurso.

Na prática, o enforcement ainda é tímido. A única multa em dinheiro publicada até o início de 2026 foi a da Telekall, de R$ 14.400, em 2023. Órgãos públicos não podem receber multa pecuniária. O cenário pode mudar: em junho de 2026 a ANPD abriu 19 processos sancionadores, o maior lote da sua história, segundo a Turivius. A principal causa das sanções até agora foi a falta de comunicação de incidentes.

Europa: multas bilionárias

O GDPR prevê teto de € 20 milhões ou 4% do faturamento global, o que for maior, e notificação à autoridade em 72 horas. Segundo a DLA Piper, as multas acumuladas desde 2018 chegaram a € 7,1 bilhões, com cerca de € 1,2 bilhão só em 2025. As autoridades europeias recebem em média 443 notificações de vazamento por dia, alta de 22%.

A maior multa individual continua sendo a da Meta, de € 1,2 bilhão em 2023, por transferências de dados para os EUA.

Estados Unidos: muitas regras, muitos prazos

Sem lei federal geral de privacidade, os EUA combinam regras de vários órgãos.

SEC (empresas abertas)

Desde dezembro de 2023, companhias listadas precisam divulgar um incidente cibernético material em formulário 8-K em até 4 dias úteis após concluírem que ele é material. O número de incidentes divulgados caiu: 64 em 2023, 55 em 2024 e 32 em 2025, segundo a Board Cybersecurity.

CIRCIA (infraestrutura crítica)

A lei de 2022 prevê reporte em 72 horas para incidentes e 24 horas para pagamento de resgate. A regra final, esperada para setembro de 2026, ainda não teve a publicação confirmada até 31/10/2026, segundo a Hunton.

Estados e setores

Há 24 estados com leis abrangentes de privacidade, a última com vigência em 2028, segundo a ComplyJet. A agência californiana CPPA aplicou sua maior multa em setembro de 2025: US$ 1,35 milhão contra a Tractor Supply, informa a White & Case. Na saúde, a HHS/OCR fechou 19 ações em 2025, que somam cerca de US$ 6,7 milhões, todas citando falha na análise de risco (Compliancy Group).

No Congresso, o SECURE Data Act, apresentado em abril de 2026, propõe uma lei federal com preempção das leis estaduais, mas seguia em comissão em outubro, segundo a IAPP.

Onde está o risco real

O teto de multa conta só parte da história. No Brasil, o maior risco imediato é perder o prazo de 3 dias úteis, que é curto para padrões internacionais. Na Europa, pesa o tamanho das multas. Nos EUA, a exposição vem sobretudo de ações coletivas e acordos após vazamentos, que chegam a centenas de milhões de dólares.

O que fazer

Mapeie os prazos de todas as jurisdições em que a empresa atua e use o mais curto como referência no plano de resposta.
Defina antes quem decide se um incidente é comunicável ou material. Os relógios começam a correr cedo.
Mantenha o registro de incidentes exigido pela ANPD, mesmo dos que não forem comunicados.
Nomeie o encarregado e mantenha canal de atendimento ao titular. A ANPD já notificou 20 grandes empresas por falhas nesses pontos.