Leis de proteção de dados e crimes cibernéticos por país: comparativo
LGPD, GDPR, leis estaduais dos EUA e 19 países comparados: autoridades, multas máximas, prazos de notificação de incidentes, crimes cibernéticos e penas.
| Law | Authority | Max fine | Notification | |
|---|---|---|---|---|
| Brasil | LGPD (Lei 13.709/2018) | ANPD (agência reguladora desde 25/02/2026, Lei 15.352/2026) | 2% do faturamento no Brasil, limitado a R$ 50 mi por infração; ECA Digital: até 10% do faturamento do grupo no Brasil | 3 dias úteis à ANPD e aos titulares (Res. CD/ANPD 15/2024) |
| Estados Unidos | Sem lei federal geral; leis setoriais (FTC Act §5, HIPAA, COPPA) e 24 leis estaduais (ex.: CCPA/CPRA) | FTC, SEC, HHS/OCR, CPPA (Califórnia), NYDFS e procuradores-gerais estaduais | Por violação, varia por lei; recorde da CPPA: US$ 1,35 mi; acordos de breach até US$ 700 mi (Equifax) | SEC 8-K: 4 dias úteis após materialidade; NYDFS: 72h (extorsão em 24h); CIRCIA (pendente): 72h / 24h |
| México | LFPDPPP (DOF 20/03/2025) | Secretaría Anticorrupción y Buen Gobierno (sucessora do INAI) | Fixadas em UMA (teto não verificado) | — |
| Colômbia | Ley 1581 de 2012 | SIC (Superintendencia de Industria y Comercio) | Até 2.000 salários mínimos mensais (art. 23) | — |
| Chile | Ley 21.719 (dados pessoais) e Ley 21.663 (Ley Marco de Ciberseguridad) | Agencia de Protección de Datos Personales e ANCI (cibersegurança) | Lei 21.719: até 20.000 UTM ou 4% da receita (reincidência); Lei 21.663: até 40.000 UTM para OIV | ANCI: alerta em 3h, relatório preliminar em 72h (24h para OIV), final em 15 dias |
| Argentina | Ley 25.326 (2000) | AAIP (Agencia de Acceso a la Información Pública) | — | — |
| Peru | Ley 29.733 + Reglamento DS 016-2024-JUS | ANPD-Peru (MINJUSDH) | — | 48h (Regulamento 2024) |
| Uruguai | Ley 18.331 (2008) | URCDP (Unidad Reguladora y de Control de Datos Personales) | — | 72h (Ley 19.670/2018) |
| União Europeia | GDPR (Reg. 2016/679) | Autoridades nacionais de proteção de dados + EDPB | €20 mi ou 4% do faturamento global | GDPR: 72h; NIS2: alerta em 24h, notificação em 72h, relatório final em 1 mês |
| Alemanha | GDPR + StGB (crimes informáticos) | BfDI (autoridade federal) | €20 mi ou 4% (GDPR); ex.: Vodafone €45 mi (2025) | 72h (GDPR) |
| França | GDPR + Code pénal (art. 323-1 e seguintes) | CNIL | €20 mi ou 4% (GDPR); ex.: Google €325 mi (2025) | 72h (GDPR) |
| Itália | GDPR | Garante per la protezione dei dati personali | €20 mi ou 4% (GDPR); ex.: Enel Energia €79 mi (2024) | 72h (GDPR) |
| Reino Unido | UK GDPR + Data (Use and Access) Act 2025 | ICO (Information Commissioner's Office) | £17,5 mi ou 4% (UK GDPR; aplicado também ao PECR pela DUAA) | — |
| Índia | DPDP Act 2023 + DPDP Rules 2025 | Data Protection Board of India (recursos ao TDSAT) | Até ₹250 crore (salvaguardas de segurança); ₹200 crore (breach não notificado ou crianças); ₹50 crore (demais) | Titulares: "sem demora" |
| China | PIPL + Lei de Cibersegurança (CSL, emendada) | CAC (Cyberspace Administration of China) | PIPL: RMB 50 mi ou 5% do faturamento anual; CSL: até RMB 10 mi em casos graves | Incidente relativamente grave: preliminar em 4h, completo em 72h, análise em 30 dias |
| Japão | APPI (Act on the Protection of Personal Information) | PPC (Personal Information Protection Commission) | Até ¥100 mi para empresas que descumprem ordens | Preliminar "prontamente" (cerca de 3 a 5 dias); final em 30 dias (60 se houver dolo) |
| Singapura | PDPA (Personal Data Protection Act) | PDPC (Personal Data Protection Commission) | 10% do faturamento local (se > S$ 10 mi) ou S$ 1 mi | 3 dias corridos após a avaliação |
| Coreia do Sul | PIPA (Personal Information Protection Act) | PIPC (Personal Information Protection Commission) | — | — |
| Austrália | Privacy Act 1988 (reforma POLA Act 2024) | OAIC (Office of the Australian Information Commissioner) | Maior valor entre A$ 50 mi, 3x o benefício obtido ou 30% do faturamento ajustado | — |
Maiores multas do GDPR
| Empresa | Autoridade | Valor | Ano | Motivo |
|---|---|---|---|---|
| Meta Platforms Ireland | DPC (Irlanda) | €1,2 bi | 2023 | Transferências de dados para os EUA |
| TikTok | DPC | €530 mi | 2025 | Transferências para a China; mantida pela High Court, questões enviadas ao TJUE |
| Meta (Instagram) | DPC | €405 mi | 2022 | Dados de adolescentes |
| Meta | DPC | €390 mi | 2023 | Base legal para anúncios |
| TikTok | DPC | €345 mi | 2023 | Contas de crianças |
| LinkedIn Ireland | DPC | €310 mi | 2024 | Publicidade comportamental |
| Uber | AP (Holanda) | €290 mi | 2024 | Transferências de dados de motoristas |
| Meta | DPC | €265 mi | 2022 | Scraping de 533 mi de contas |
| Meta | DPC | €251 mi | 2024 | Breach de 2018 (29 mi de contas) |
| WhatsApp Ireland | DPC | €225 mi | 2021 | Transparência |
| Google LLC | CNIL (França) | €200 mi | 2025 | Anúncios no Gmail e cookies |
| SHEIN | CNIL | €150 mi | 2025 | Cookies sem consentimento |
| Google Ireland | CNIL | €125 mi | 2025 | Mesma decisão (total de €325 mi) |
| Meta | DPC | €91 mi | 2024 | Senhas em texto puro |
| Google LLC | CNIL | €90 mi | 2021 | Cookies |
| Enel Energia | Garante (Itália) | €79 mi | 2024 | Telemarketing |
| Google Ireland | CNIL | €60 mi | 2021 | Cookies |
| Vodafone Germany | BfDI (Alemanha) | €45 mi | 2025 | Falhas de segurança |
| Amazon France Logistique | CNIL | €32 mi | 2023 | Monitoramento de funcionários |
| Clearview AI | AP (Holanda) | €30,5 mi | 2024 | Base de dados facial ilegal |
| Amazon Europe Core | CNPD (Luxemburgo) | €746 mi (anulada) | 2021 | Anulada pela Justiça luxemburguesa em 12/03/2026 |
Fonte: Enzuzo, GDPR Local, DeepStrike; Amazon: Chronicle.lu; TikTok: Digital Policy Alert. O caso Meta na Espanha (€479 mi, 2025) é decisão de concorrência desleal, não multa do GDPR.
Destaques de multas de privacidade em 2026 (UE e Reino Unido)
| Data | Empresa | Autoridade | Valor | Motivo |
|---|---|---|---|---|
| 13/01/2026 | Free Mobile + Free | CNIL | €42 mi (27 + 15) | Breach de 24 mi de contratos, com IBAN |
| 23/02/2026 | ICO (Reino Unido) | £14,47 mi | Dados de menores de 13 anos sem garantia de idade | |
| 07/05/2026 | South Staffordshire Water | ICO | £963,9 mil | Ransomware não detectado por 20 meses, iniciado por phishing |
| 28/05/2026 | IQVIA Operations France | CNIL | €5 mi | Dados de saúde mal protegidos |
| Jul/2026 | Wind Tre | Garante | €1,72 mi | Engenharia social |
Fonte: GDPR Local – Top GDPR fines 2026; Solicitors Journal
Totais acumulados de multas do GDPR
| Fonte | Total | Data de corte | Link |
|---|---|---|---|
| DLA Piper | €7,1 bi desde 25/05/2018; cerca de €1,2 bi em 2025; 443 notificações de breach por dia (+22%) | 10/01/2026 | ↗ |
| CMS Enforcement Tracker | 2.685 multas (3.062 com dados incompletos), cerca de €6,11 bi; Espanha lidera em número (1.048) | 01/03/2026 | ↗ |
| CMS (citado pela DeepStrike) | Cerca de €6,31 bi em 3.195 multas | Jul/2026 | ↗ |
Fonte: Metodologias diferentes: não somar DLA Piper e CMS.
Leis estaduais de privacidade nos EUA
| Estado | Lei | Vigência |
|---|---|---|
| Califórnia | CCPA/CPRA | 01/01/2020 (CPRA: 01/01/2023) |
| Virgínia | VCDPA | 01/01/2023 |
| Colorado | CPA | 01/07/2023 |
| Connecticut | CTDPA | 01/07/2023 |
| Utah | UCPA | 31/12/2023 |
| Texas | TDPSA | 01/07/2024 |
| Oregon | OCPA | 01/07/2024 |
| Flórida | Digital Bill of Rights (escopo restrito) | 01/07/2024 |
| Montana | MCDPA | 01/10/2024 |
| Delaware | DPDPA | 01/01/2025 |
| Iowa | ICDPA | 01/01/2025 |
| Nebraska | NDPA | 01/01/2025 |
| New Hampshire | NHDPA | 01/01/2025 |
| New Jersey | NJDPA | 15/01/2025 |
| Tennessee | TIPA | 01/07/2025 |
| Minnesota | MCDPA | 31/07/2025 |
| Maryland | MODPA | 01/10/2025 (tratamento a partir de 01/04/2026) |
| Indiana | ICDPA | 01/01/2026 |
| Kentucky | KCDPA | 01/01/2026 |
| Rhode Island | RIDTPPA | 01/01/2026 |
| Oklahoma | SB 546 | 01/01/2027 |
| Louisiana | SB 386 | 01/01/2027 |
| Alabama | HB 351 | 01/05/2027 |
| Vermont | S.71 (Act 145) | 01/01/2028 |
Fonte: ComplyJet – US State Privacy Laws List 2026; MultiState (04/02/2026). Datas no formato DD/MM/AAAA.
Enforcement da CCPA pela CPPA (Califórnia)
| Data | Empresa | Valor | Fonte |
|---|---|---|---|
| Mar/2025 | American Honda Motor (1ª ação) | US$ 632.500 | ↗ |
| 2025 | Todd Snyder | US$ 345.000 | ↗ |
| Set/2025 | Tractor Supply (maior multa da CPPA) | US$ 1,35 mi | ↗ |
Fonte: Polsinelli; White & Case
FTC: ações de privacidade e segurança de dados em 2025
| Data | Empresa | Tipo | Resultado |
|---|---|---|---|
| Jan/2025 | Cognosphere (Genshin Impact) | COPPA / Seção 5 | US$ 20 mi + restrição de loot boxes para menores de 16 |
| Set/2025 (anúncio em 31/12/2025) | Disney | COPPA (YouTube) | US$ 10 mi |
| 2025 | Apitor Technology | COPPA | US$ 500 mil (suspensos) |
| Set/2025 | Aylo Group (com Utah) | Ordem estipulada | Programa de compliance e verificação de idade |
| Set/2025 | Sendit (Iconic Hearts) | COPPA / ROSCA | Ação judicial pendente |
| 2025 | GoDaddy | Segurança de dados | Programa de segurança abrangente |
| Dez/2025 | Illuminate Education | Segurança de dados | Ordem de consentimento; acordo multiestadual de US$ 5,1 mi |
| Dez/2025 | Illusory Systems (Nomad) | Segurança de dados (cripto) | Programa de segurança + restituição |
Fonte: Perkins Coie – Privacy Law Recap 2025; Hunton (Disney)
Incidentes cibernéticos divulgados à SEC via 8-K
| Ano | Incidentes |
|---|---|
| 2023 | 64 |
| 2024 | 55 |
| 2025 | 32 |
| 2026 (até 19/04) | 8 |
Fonte: Board Cybersecurity (20/04/2026); Itens 1.05, 8.01 e 7.01, contados pela 1ª divulgação
HIPAA: multas e acordos da HHS/OCR em 2025
| Data | Entidade | Valor (US$) |
|---|---|---|
| 14/01/2025 | Solara Medical Supplies | 3.000.000 |
| 28/05/2025 | BayCare Health System | 800.000 |
| 23/04/2025 | PIH Health | 600.000 |
| 10/04/2025 | Northeast Radiology | 350.000 |
| 08/01/2025 | USR Holdings | 337.750 |
| 23/07/2025 | Syracuse ASC | 250.000 |
| 21/03/2025 | Health Fitness Corp. | 227.816 |
| 07/07/2025 | Deer Oaks | 225.000 |
| 06/03/2025 | Oregon Health & Science University | 200.000 |
| 30/09/2025 | Cadia Healthcare | 182.000 |
| 18/08/2025 | BST & Co. CPAs | 175.000 |
| 07/01/2025 | Virtual Private Network Solutions | 90.000 |
| 07/01/2025 | Elgon Information Systems | 80.000 |
| 30/05/2025 | Comstar | 75.000 |
| 15/01/2025 | Memorial Healthcare System | 60.000 |
| 25/04/2025 | Comprehensive Neurology | 25.000 |
| 17/04/2025 | Guam Memorial Hospital Authority | 25.000 |
| 15/01/2025 | Northeast Surgical Group | 10.000 |
| 15/05/2025 | Vision Upright MRI | 5.000 |
Fonte: Compliancy Group – HIPAA Fines by Year: 19 ações, cerca de US$ 6,7 mi (soma das linhas US$ 6.717.566; cabeçalho da fonte US$ 6.697.566). Todas citam falha de análise de risco.