A ANPD é o equivalente brasileiro à autoridade de proteção de dados europeia (EDPB), responsável por aplicar a LGPD. A LGPD e o GDPR compartilham princípios semelhantes, mas apresentam diferenças relevantes em bases legais, multas e transferência internacional de dados. Para quem processa dados de CPF no Brasil — especialmente empresas que também operam na Europa — entender essas diferenças é condição para manter conformidade em ambos os regimes.
Comparacao geral entre LGPD e GDPR
| Aspecto | LGPD (Brasil) | GDPR (Europa) |
|---|---|---|
| Vigencia | Setembro 2020 | Maio 2018 |
| Autoridade | ANPD | Autoridades nacionais (DPA) |
| Bases legais | 10 bases legais | 6 bases legais |
| Multa máxima | 2% do faturamento (até R$ 50 mi) | 4% do faturamento global (até 20 mi euros) |
| DPO obrigatório | Sim (Encarregado) | Depende do caso |
| Transferencia internacional | Requer autorização da ANPD | Clausulas contratuais padrão |
| Dados sensíveis | Definição ampla | Definição específica |
| Anonimizacao | Prevista, mas sem detalhamento | Detalhada com pseudonimizacao |
Bases legais: LGPD tem mais opcoes
A LGPD preve 10 bases legais para tratamento de dados, contra 6 do GDPR. Para consultas de CPF, as bases mais relevantes são:
Exclusivas da LGPD:
-
Proteção de crédito -- Permite consultas de CPF para análise de risco sem consentimento explicito.
-
Tutela da saude -- Procedimentos realizados por profissionais de saude.
Comuns a ambas:
-
Consentimento.
-
Execução de contrato.
-
Obrigação legal.
-
Legitimo interesse.
A base de proteção de crédito e particularmente relevante para fintechs brasileiras que usam a CPFHub.io
Consentimento: abordagens diferentes
No GDPR, o consentimento deve ser "livremente dado, específico, informado e inequivoco". Na LGPD, os requisitos são semelhantes, mas ha nuances:
-
LGPD -- Aceita consentimento por escrito ou por outro meio que demonstre a manifestacao de vontade.
-
GDPR -- Exige que o consentimento seja tao fácil de retirar quanto de conceder.
Para consultas de CPF, quando a base legal e consentimento, garanta que o usuário entende claramente o que esta autorizando.
Transferencia internacional de dados
Se sua empresa opera fora do Brasil e processa CPFs:
-
LGPD -- Transferencia internacional exige que o pais de destino tenha nivel adequado de proteção ou que haja clausulas contratuais específicas.
-
GDPR -- Usa mecanismos como clausulas contratuais padrão (SCCs) e decisões de adequacao.
Ao usar a CPFHub.io, os dados são processados em infraestrutura segura com conformidade LGPD, simplificando a questao de transferencia para empresas internacionais.
Implicacoes práticas para quem processa CPF
Se você opera apenas no Brasil:
-
Cumpra a LGPD integralmente.
-
Use a base de proteção de crédito quando aplicavel (exclusiva da LGPD).
-
Nomeie um Encarregado de Dados (DPO).
Se você opera no Brasil e na Europa:
-
Cumpra ambas as leis -- adote o padrão mais restritivo em cada aspecto.
-
O GDPR exige multas mais altas e controles mais rigorosos de consentimento.
-
Documente transferencias internacionais de dados de CPF.
Boas práticas para conformidade dupla
-
Adote o padrão mais restritivo de cada lei.
-
Documente bases legais para cada tipo de tratamento.
-
Implemente mecanismos de consentimento claros e revogaveis.
-
Use provedores conformes como a CPFHub.io (LGPD) e verifique adequacao ao GDPR.
-
Mantenha registros de atividades de tratamento (ROPA).
Perguntas frequentes
CPF é considerado dado pessoal tanto pela LGPD quanto pelo GDPR?
Sim. O CPF se enquadra como dado pessoal em ambas as legislações por identificar diretamente uma pessoa física. Na LGPD, o CPF não é classificado como dado sensível, mas seu tratamento ainda exige base legal adequada e respeito aos princípios de necessidade e finalidade. No GDPR, a mesma lógica se aplica: dado que identifica um indivíduo requer justificativa legal clara para ser processado.
Qual legislação se aplica quando uma empresa europeia consulta CPFs de usuários brasileiros?
Em geral, a LGPD se aplica ao tratamento de dados de titulares localizados no Brasil, independentemente de onde a empresa está sediada. Se a empresa também oferta serviços a titulares na Europa, o GDPR se aplica paralelamente. A recomendação é adotar o padrão mais restritivo de cada lei para cada aspecto do tratamento.
A LGPD exige DPO (Encarregado) para todas as empresas que consultam CPFs por API?
A LGPD exige a nomeação de um Encarregado para todos os controladores de dados, independentemente do porte. Há expectativa de regulamentação específica para micro e pequenas empresas, mas por ora a obrigação é geral. No GDPR, a exigência de DPO é condicionada ao volume e à natureza do tratamento — empresas que processam dados em larga escala ou dados sensíveis são as principais obrigadas.
Quais são as diferenças de multa entre LGPD e GDPR para vazamento de dados de CPF?
A LGPD prevê multa de até 2% do faturamento bruto da empresa no Brasil, limitada a R$ 50 milhões por infração. O GDPR pode aplicar multas de até 4% do faturamento global anual ou 20 milhões de euros, o que for maior. Na prática, empresas com operação global ficam mais expostas ao GDPR em termos de valor absoluto de penalidade.
Conclusão
LGPD e GDPR compartilham principios, mas apresentam diferenças significativas em bases legais, multas e transferencia de dados. Para empresas que processam CPFs, a chave e adotar o padrão mais restritivo e usar provedores conformes. A CPFHub.io
Cadastre-se em cpfhub.io
CPFHub.io
Pronto para integrar a API?
50 consultas gratuitas para testar agora. Sem cartão de crédito. Acesso imediato à documentação.
Sobre a redação
Redação CPFHub.io
Time editorial especializado em APIs de CPF, identidade digital e compliance no mercado brasileiro. Produzimos guias técnicos, análises regulatórias e tutoriais sobre LGPD e KYC para desenvolvedores e líderes de produto.
