Frameworks – GDPR: o que a plataforma cobre
O GDPR é o regulamento europeu de proteção de dados pessoais. Como a LGPD, ele não é opcional: aplica-se pelo fato de a empresa tratar dados de pessoas na Europa, independentemente de onde a empresa esteja.
Para quem serve
Para empresas brasileiras que tratam dados de pessoas na União Europeia. Os casos típicos:
- A empresa vende para clientes europeus, ou tem usuários europeus no produto.
- A empresa presta serviço a um cliente europeu e trata dados em nome dele.
- A empresa tem operação, escritório ou time na Europa.
- Um contrato exige demonstrar conformidade com o GDPR.
Se nenhum desses casos se aplica, provavelmente o seu trabalho de privacidade é o da LGPD, e habilitar este framework só adiciona pendências sem retorno.
A relação com a LGPD
As duas leis são próximas na estrutura e diferentes nos detalhes. A LGPD foi construída com o GDPR como referência, o que traz uma vantagem prática grande: quem fez o trabalho de LGPD já tem a maior parte do caminho andado.
O catálogo mostra isso antes de você habilitar, informando o percentual já coberto pelos seus frameworks existentes.
Onde elas se distanciam:
| Tema | Diferença que importa |
|---|---|
| Encarregado | O GDPR define situações em que a designação de um responsável formal é obrigatória, com critérios próprios |
| Avaliação de impacto | Exigida em condições específicas previstas no regulamento |
| Notificação de incidente | Prazos e destinatários próprios, mais estritos que o padrão brasileiro |
| Direitos dos titulares | Conjunto parecido, com prazos de resposta próprios |
| Transferências | Mecanismos próprios do regime europeu |
Os prazos e os limiares exatos devem ser confirmados com assessoria jurídica. Esta página não substitui essa consulta.
Como o trabalho acontece na plataforma
O framework organiza as exigências em controles, como qualquer outro. E, como na LGPD, a maior parte do trabalho substantivo acontece no módulo Privacidade:
- O registro de atividades de tratamento serve aos dois regimes. A estrutura é a mesma: quais dados, para quê, por quanto tempo, com quem são compartilhados.
- Os relatórios de impacto cobrem a avaliação prévia de tratamentos de maior risco.
- Os pedidos de titular registram como cada solicitação foi recebida e atendida.
⚠️ Uma diferença que você vai notar. O módulo Privacidade foi construído com o vocabulário da LGPD. A lista de bases legais que ele oferece é a da lei brasileira, e o mesmo vale para os mecanismos de transferência.
Na prática as bases correspondem em boa parte entre os dois regimes, e o registro continua servindo. Mas ao trabalhar GDPR vale registrar na descrição da atividade o enquadramento europeu correspondente, para que o registro fique inequívoco para um auditor ou autoridade da Europa.
O que é comprovado automaticamente e o que não é
| Área | Como é comprovada |
|---|---|
| Segurança do tratamento: acesso, criptografia, backup, registro de logs | Integrações |
| Registro de atividades de tratamento | Módulo Privacidade |
| Avaliações de impacto | Módulo Privacidade |
| Atendimento a titulares | Módulo Privacidade, com o registro de cada pedido |
| Políticas, avisos de privacidade, contratos com operadores | Documentos publicados |
| Designação e atuação do responsável por privacidade | Evidência enviada |
| Notificação de incidentes | Registro de incidentes, com histórico e datas |
A parte de segurança se resolve em boa medida por integração, porque é a mesma que outras normas pedem. A parte de governança de privacidade é documental.
Por onde começar
- Confirme que o GDPR se aplica, e a qual parte da operação. Escopo mal definido aqui gera trabalho inútil.
- Aproveite o registro de tratamento que você já tem da LGPD, complementando o enquadramento europeu.
- Revise os contratos com fornecedores que tratam dados em nome da empresa.
- Confirme as transferências de dados para fora da Europa e o mecanismo de cada uma.
- Ajuste o processo de incidentes para os prazos do regime europeu, que são mais curtos que o habitual.
- Publique o aviso de privacidade na linguagem que o regulamento espera.
O que costuma dar problema
- Assumir que LGPD resolve GDPR. A base é comum, os detalhes não são.
- Processo de incidente lento. É a diferença que mais pega empresa despreparada, porque exige decisão rápida com informação incompleta.
- Transferências não mapeadas. Ferramentas hospedadas fora da Europa, sem mecanismo registrado.
- Aviso de privacidade genérico, que não descreve o tratamento real.
⚠️ Esta página descreve o propósito e a estrutura geral das obrigações em linguagem própria, para orientar o uso da plataforma. Ela não é orientação jurídica, e não reproduz o texto do regulamento. Prazos, limiares de aplicabilidade e enquadramento devem ser definidos com assessoria jurídica.
Este artigo foi útil?