LGPD para empresas estrangeiras: transferências, ANPD e GDPR

Atualizado em outubro de 2026.

A LGPD para empresas estrangeiras se aplica sempre que o tratamento de dados pessoais ocorre no Brasil, se destina a oferecer bens ou serviços a pessoas localizadas no país ou a tratar dados dessas pessoas, ou envolve dados aqui coletados, ainda que a empresa não tenha sede, filial ou servidores em território nacional (art. 3.º da Lei n. 13.709/2018). Este artigo trata do alcance da lei sobre o grupo estrangeiro e sua subsidiária, da representação no país e do contato com a ANPD, dos mecanismos de transferência internacional de dados, inclusive a adequação recíproca entre Brasil e União Europeia de 2026, das diferenças em relação ao GDPR e das sanções.

Em resumo: a LGPD alcança a empresa estrangeira que trate dados no Brasil, ofereça bens ou serviços a pessoas no país, trate dados dessas pessoas ou use dados aqui coletados, mesmo sem estabelecimento local. Não há representante obrigatório como no GDPR, mas a filial ou o escritório no Brasil recebe as notificações (art. 61), e o encarregado deve se comunicar em português. A transferência ao exterior exige fundamento do art. 33, como as cláusulas-padrão da Resolução CD/ANPD n. 19/2024, adotadas sem alteração, as normas corporativas globais ou a adequação, que desde janeiro de 2026 abrange a União Europeia. A multa chega a 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração.

LGPD para empresas estrangeiras: quando a lei se aplica?

O critério de incidência é a operação de tratamento, e não a nacionalidade de quem a realiza: o art. 3.º aplica a lei a pessoas naturais e jurídicas, seja qual for o meio empregado, o país da sede ou o local de armazenamento dos dados, bastando uma de três hipóteses alternativas.

Os incisos II e III dão à lei alcance extraterritorial: o varejista on-line que entrega no Brasil, o fornecedor de software contratado por empresas brasileiras e a fintech estrangeira que oferece crédito a residentes no país submetem-se à LGPD quanto aos dados dessas relações, ainda que sistemas e equipes estejam no exterior. Em sentido inverso, a lei não se aplica a dados vindos do exterior que não sejam compartilhados com agentes de tratamento brasileiros nem transferidos a país diverso do de origem, desde que este ofereça proteção adequada (art. 4.º, IV). Na prática, o alcance extraterritorial se torna efetivo pela fiscalização da ANPD, pelas ações de titulares no Judiciário brasileiro e pelas exigências contratuais de clientes brasileiros, que, como controladores, precisam obter garantias de seus fornecedores.

Empresa estrangeira sem estabelecimento no Brasil

Sem subsidiária, filial ou escritório no país, a empresa deve cumprir as mesmas obrigações materiais de um controlador local: base legal para cada tratamento, transparência, atendimento aos titulares, segurança e comunicação de incidentes. A coleta feita diretamente junto ao titular pelo agente situado no exterior, chamada coleta internacional, não caracteriza transferência internacional de dados (art. 6.º do Regulamento aprovado pela Resolução CD/ANPD n. 19/2024). A plataforma estrangeira que recebe os dados do próprio usuário brasileiro dispensa, portanto, cláusulas-padrão para essa coleta, mas segue inteiramente sujeita à LGPD.

Subsidiária brasileira e matriz no exterior

Constituída a sociedade no Brasil, providência que inclui a inscrição dos administradores estrangeiros no CPF, a subsidiária torna-se controladora autônoma dos dados de suas operações e deve manter programa próprio de conformidade: encarregado, registro das operações, avisos de privacidade, contratos e interlocução com a ANPD. A aderência do grupo ao GDPR ou a leis norte-americanas facilita o trabalho, mas não substitui essas obrigações, descritas no guia sobre LGPD para empresas.

Na integração de sistemas, a matriz que trata dados por conta da subsidiária e segundo suas instruções, hospedando o ERP ou a plataforma global de recursos humanos, atua como operadora. Se define finalidades próprias, como campanhas globais com dados de clientes brasileiros, torna-se controladora, e os controladores diretamente envolvidos no tratamento que causar dano respondem solidariamente (art. 42, § 1.º, II). Essa qualificação define os contratos, o mecanismo de transferência e a divisão de responsabilidades em incidentes, com atenção especial aos dados de empregados, tema do artigo sobre a LGPD nas relações de trabalho.

A empresa estrangeira precisa de representante no Brasil perante a ANPD?

A LGPD não reproduz o representante que o art. 27 do GDPR exige de controladores sem estabelecimento na União Europeia, mas isso não afasta a empresa estrangeira da autoridade. Pelo art. 61, ela é notificada e intimada dos atos processuais previstos na lei na pessoa do agente, representante ou responsável por sua filial, agência, sucursal, estabelecimento ou escritório no Brasil, independentemente de procuração ou de previsão contratual ou estatutária. No plano judicial, o Código de Processo Civil considera domiciliada no país a pessoa jurídica estrangeira que aqui tenha agência, filial ou sucursal (art. 21, parágrafo único), atribui à Justiça brasileira as ações de consumo quando o consumidor tiver domicílio ou residência no Brasil (art. 22, II) e presume o gerente da filial ou agência autorizado a receber citação (art. 75, § 3.º). Para quem não tem presença local, a falta de representante obrigatório não elimina obrigações; apenas deixa à própria empresa o encargo de organizar canais para atender titulares e responder à autoridade.

Encarregado: o canal com os titulares e com a ANPD

Todo controlador deve indicar encarregado pelo tratamento de dados pessoais (art. 41) e divulgar sua identidade e seus contatos, preferencialmente no sítio eletrônico (art. 41, § 1.º). Cabe a ele receber reclamações dos titulares e comunicações da ANPD, adotar providências e orientar empregados e contratados (art. 41, § 2.º). A Resolução CD/ANPD n. 18/2024 admite que a função seja exercida por pessoa natural, integrante ou não da organização, ou por pessoa jurídica, e exige que o encarregado se comunique com os titulares e com a ANPD de forma clara e precisa, em língua portuguesa (art. 13). A lei não exige residência no Brasil, de modo que o encarregado global ou regional de um grupo multinacional é admissível, desde que o canal seja de fato acessível aos titulares brasileiros e as respostas sejam dadas em português.

Transferência internacional de dados na LGPD: quais mecanismos usar?

Enviar dados pessoais a agente situado no exterior, seja a matriz, uma coligada ou um fornecedor de nuvem, é transferência internacional, permitida apenas nas hipóteses do art. 33 da LGPD. O Regulamento de Transferência Internacional de Dados, aprovado pela Resolução CD/ANPD n. 19/2024, disciplina os principais instrumentos:

Sem decisão de adequação, as cláusulas-padrão são o instrumento mais utilizado. O modelo do Anexo II combina campos a preencher, como a identificação das partes, a descrição da transferência e opções predefinidas, entre elas a que admite ou veda transferências posteriores, com cláusulas mandatórias que devem ser adotadas integralmente e sem alteração. Quem já usava cláusulas contratuais teve 12 meses, contados da publicação da resolução em 23 de agosto de 2024, para incorporar o modelo da ANPD (art. 2.º, parágrafo único, da Resolução). Encerrado o prazo em agosto de 2025, cláusulas próprias não aprovadas pela ANPD deixaram de fundamentar a transferência.

As cláusulas-padrão submetem o contrato à lei brasileira e aos tribunais do Brasil, permitem que os titulares demandem o exportador ou o importador no país, inclusive no local de sua residência, e admitem arbitragem, desde que realizada no Brasil e conforme a Lei de Arbitragem (cláusula 24 do Anexo II). O controlador deve ainda fornecer ao titular que o solicitar, em até 15 dias, a íntegra das cláusulas, resguardados os segredos comercial e industrial, e publicar em seu site, em português e linguagem simples, documento sobre a transferência que indique finalidade, país de destino, responsabilidades dos agentes, medidas de segurança e direitos do titular (art. 17 do Regulamento). A ANPD pode também reconhecer como equivalentes cláusulas-padrão adotadas em outras jurisdições (art. 18 e seguintes do Regulamento).

Fluxos intragrupo: cláusulas-padrão ou normas corporativas globais

Os fluxos da subsidiária para a matriz e para outras empresas do grupo, destinados a consolidação contábil, sistemas integrados de gestão, folha de pagamento global ou bases centralizadas de clientes, são transferências internacionais como quaisquer outras, e o vínculo societário não cria dispensa. Fora da União Europeia, o grupo pode celebrar cláusulas-padrão entre a subsidiária e cada entidade importadora ou submeter à ANPD normas corporativas globais. Previstas no art. 33, II, “c”, da LGPD, essas normas já têm disciplina no Regulamento: destinam-se a transferências dentro do mesmo grupo ou conglomerado, vinculam os membros que as subscreverem, valem apenas para as entidades e os países abrangidos e devem estar ligadas a programa de governança em privacidade que atenda ao art. 50, § 2.º, da LGPD (arts. 25 a 27). Para grupos com muitas entidades em diferentes países, tendem a ser mais eficientes que a multiplicação de contratos bilaterais e se integram ao programa de compliance e governança corporativa.

Adequação recíproca entre Brasil e União Europeia

Em janeiro de 2026, Brasil e União Europeia concluíram o reconhecimento recíproco da adequação de seus regimes. A Comissão Europeia adotou decisão de adequação relativa ao Brasil, com base no art. 45 do GDPR, e a ANPD editou a Resolução CD/ANPD n. 32, de 26 de janeiro de 2026, que reconhece a União Europeia como organismo internacional com grau de proteção adequado ao previsto na LGPD (arts. 33, I, e 34). Até a data desta atualização, é a única decisão de adequação editada pela ANPD.

Para grupos europeus com operações no Brasil, a consequência é a dispensa de cláusulas-padrão nos dois sentidos: os dados da União Europeia podem vir ao Brasil com base na decisão da Comissão, e os do Brasil podem seguir para a União Europeia com base na decisão da ANPD. A adequação substitui apenas o mecanismo de transferência; base legal, transparência, segurança e atendimento aos titulares continuam exigíveis, e o reconhecimento não abrange os tratamentos excluídos da LGPD pelo art. 4.º, como os destinados exclusivamente à segurança pública e à defesa nacional. Para quem opera entre os dois blocos, a medida se soma às mudanças do acordo Mercosul-União Europeia. Para os demais destinos, inclusive os Estados Unidos, nada mudou: a transferência depende de cláusulas-padrão, de normas corporativas globais ou de outra hipótese do art. 33, e a falta desse suporte é ponto recorrente de verificação em auditorias e aquisições.

LGPD e GDPR: diferenças que a empresa estrangeira precisa conhecer

Inspirada no regulamento europeu, a LGPD compartilha com ele princípios, direitos dos titulares e a lógica de responsabilização, mas a conformidade não é automática: a adequação reconhece a equivalência dos sistemas para fins de transferência, e o tratamento sujeito à lei brasileira continua regido pela LGPD e fiscalizado pela ANPD. As principais diferenças práticas são estas:

Um equívoco frequente é tratar a vedação do legítimo interesse para dados sensíveis como peculiaridade brasileira: o GDPR também não o admite entre as exceções do art. 9.º. As diferenças estão no rol e na definição: a LGPD prevê, por exemplo, a prevenção à fraude e a segurança do titular em processos de identificação e autenticação de cadastro em sistemas eletrônicos (art. 11, II, “g”) e adota conceito próprio de dado sensível (art. 5.º, II), tema do artigo sobre dados sensíveis na LGPD. Os modelos globais também precisam ser mapeados para as hipóteses do art. 7.º; o legítimo interesse exige ponderação com os direitos e as liberdades do titular, e a ANPD pode solicitar relatório de impacto quando ele for o fundamento do tratamento (art. 10, § 3.º). Para equipes de compliance no exterior, há um guia em inglês sobre o tema: Brazil’s LGPD: compliance guide for foreign companies.

Quais obrigações a subsidiária brasileira precisa cumprir?

As obrigações da LGPD acompanham todo o ciclo de vida do dado e recaem sobre a subsidiária como controladora. Três delas exigem adaptação específica quando o programa de conformidade é desenhado pela matriz.

Bases legais e transparência

Cada tratamento deve apoiar-se em uma das dez hipóteses do art. 7.º, como o cumprimento de obrigação legal, a execução de contrato, o legítimo interesse ou a proteção do crédito, ou, para dados sensíveis, nas hipóteses do art. 11. Na relação de emprego, a folha de pagamento e as declarações obrigatórias apoiam-se em obrigação legal, e o consentimento tende a ser frágil diante da subordinação. Avisos de privacidade adaptados de modelos globais devem refletir as bases legais brasileiras e informar as transferências internacionais.

Registro das operações e relatório de impacto

Controlador e operador devem manter registro das operações de tratamento, especialmente das fundadas no legítimo interesse (art. 37). A lei não detalha o conteúdo do registro como o art. 30 do GDPR, mas o inventário do grupo é bom ponto de partida, desde que cada operação seja reclassificada segundo as bases legais brasileiras. A ANPD pode determinar a elaboração de relatório de impacto à proteção de dados (art. 38), recomendável antes de implantar no país reconhecimento facial, monitoramento comportamental ou sistemas de inteligência artificial que tratem dados pessoais, temas da regulamentação da inteligência artificial no Brasil e da área de Blockchain e Inteligência Artificial.

Incidentes de segurança

O incidente que possa acarretar risco ou dano relevante aos titulares deve ser comunicado à ANPD e aos titulares (art. 48) no prazo de três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais (Resolução CD/ANPD n. 15/2024). Planos globais de resposta calibrados pelas 72 horas do GDPR são compatíveis quanto ao tempo, mas devem prever a comunicação aos titulares brasileiros, o conteúdo mínimo do art. 48, § 1.º, e a atuação do encarregado local. Ataques de ransomware podem configurar, além disso, crime cibernético.

LGPD em aquisições de empresas brasileiras: due diligence e contrato

Em aquisições, os dados pessoais de clientes e empregados são, ao mesmo tempo, ativo e contingência. Bases de marketing sem fundamento legal, biometria implantada sem análise de risco, incidentes não comunicados e fornecedores sem contrato adequado afetam o preço e a estrutura do negócio e devem ser identificados antes do fechamento. A diligência de proteção de dados deve verificar, no mínimo:

• o inventário das operações de tratamento e a base legal de cada uma;
• o histórico de incidentes e as comunicações feitas à ANPD e aos titulares;
• os contratos com operadores e fornecedores estratégicos;
• os mecanismos usados nas transferências internacionais, inclusive a incorporação das cláusulas-padrão;
• a indicação do encarregado e o funcionamento do canal com os titulares;
• reclamações de titulares, processos na ANPD e ações judiciais em curso.

Os achados orientam as declarações e garantias do vendedor e as indenizações por contingências anteriores ao fechamento, como sanções administrativas, condenações por tratamento irregular e custos de adequação. Depois do fechamento, a integração deve atualizar avisos de privacidade e contratos com operadores, ajustar o mecanismo de transferência às novas entidades do grupo e incluir a empresa adquirida no plano de resposta a incidentes do comprador. A política de boas práticas e governança que daí resulta é, ademais, critério expresso de dosimetria das sanções (art. 52, § 1.º, IX).

Sanções da ANPD e responsabilidade civil da empresa estrangeira

As sanções administrativas da LGPD vigoram desde agosto de 2021 e são aplicadas após processo que assegure ampla defesa, de forma gradativa, isolada ou cumulativa, conforme as peculiaridades do caso (art. 52, § 1.º):

As suspensões e a proibição (incisos X a XII) pressupõem a imposição prévia, no mesmo caso, de ao menos uma das sanções dos incisos II a VI (art. 52, § 6.º). Como o teto é fixado por infração, várias infrações podem gerar multas que, somadas, superam R$ 50 milhões. Para grupos estrangeiros, importa ainda o art. 52, § 4.º: se a ANPD não dispuser do faturamento no ramo de atividade em que ocorreu a infração, ou se ele for apresentado de forma incompleta ou sem comprovação idônea, poderá considerar o faturamento total da empresa ou do grupo. A gradação segue o Regulamento de Dosimetria e Aplicação de Sanções Administrativas (Resolução CD/ANPD n. 4/2023), tratado no artigo sobre a multa da LGPD. A publicização, por sua vez, costuma pesar mais que a própria multa para companhias abertas sujeitas a deveres de divulgação ao mercado.

A ANPD como agência reguladora

A Lei n. 15.352, de 25 de fevereiro de 2026, resultante da conversão da Medida Provisória n. 1.317/2025, transformou a autoridade na Agência Nacional de Proteção de Dados, autarquia de natureza especial vinculada ao Ministério da Justiça e Segurança Pública, com autonomia funcional, técnica, decisória, administrativa e financeira, nos termos da Lei n. 13.848/2019 (art. 55-A da LGPD). A sigla ANPD foi mantida, e as regras sobre aplicação territorial, transferência internacional e sanções não mudaram; o regulador ganhou maior autonomia e carreira própria de regulação e fiscalização.

Responsabilidade civil e foro no Brasil

Independentemente das sanções administrativas, o controlador ou o operador que, em violação à legislação, causar dano patrimonial ou moral, individual ou coletivo, deve repará-lo (art. 42). O operador responde solidariamente quando descumpre a lei ou as instruções lícitas do controlador, e os agentes só se eximem se provarem que não realizaram o tratamento, que não houve violação da legislação ou que o dano decorreu de culpa exclusiva do titular ou de terceiro (art. 43). A doutrina diverge sobre a natureza objetiva ou subjetiva dessa responsabilidade. Nas relações de consumo, aplica-se o Código de Defesa do Consumidor (art. 45), e o juiz pode inverter o ônus da prova em favor do titular (art. 42, § 2.º). O Superior Tribunal de Justiça decidiu que o vazamento de dados pessoais comuns não gera, por si só, dano moral indenizável, cabendo ao titular demonstrar o prejuízo (AREsp 2.130.619/SP, 2.ª Turma, julgado em 7/3/2023).

Os titulares podem agir em juízo individual ou coletivamente (art. 22), e a empresa estrangeira com filial no país, ou com clientes consumidores domiciliados no Brasil, pode ser demandada aqui (arts. 21 e 22 do CPC). Nos Juizados Especiais Cíveis, competentes para causas de até 40 salários mínimos, não há custas em primeiro grau, e a assistência de advogado é facultativa nas causas de até 20 salários mínimos (arts. 3.º, 9.º e 54 da Lei n. 9.099/1995).

Perguntas frequentes sobre LGPD para empresas estrangeiras

A LGPD se aplica a empresa estrangeira sem sede no Brasil?

Sim, quando o tratamento ocorre no Brasil, visa oferecer bens ou serviços a pessoas localizadas no país ou tratar seus dados, ou envolve dados coletados em território brasileiro (art. 3.º da LGPD). A sede da empresa e a localização dos servidores são irrelevantes.

A empresa estrangeira precisa nomear representante legal no Brasil?

A LGPD não exige representante nos moldes do art. 27 do GDPR. A empresa que tem filial, agência, sucursal ou escritório no país é notificada e intimada na pessoa do responsável local (art. 61), e todo controlador deve indicar encarregado com contato divulgado ao público.

O encarregado (DPO) pode ficar no exterior?

Pode, porque a LGPD não exige que o encarregado resida no Brasil, e a função pode ser exercida por pessoa natural ou jurídica. A Resolução CD/ANPD n. 18/2024 exige, porém, que ele se comunique com os titulares e com a ANPD de forma clara e precisa, em língua portuguesa.

Empresa em conformidade com o GDPR está em conformidade com a LGPD?

Não automaticamente. As duas normas compartilham princípios, mas diferem nas bases legais, nas hipóteses para dados sensíveis, na obrigatoriedade do encarregado, no prazo de comunicação de incidentes e nas regras de transferência internacional, o que exige mapear o programa europeu segundo as exigências brasileiras.

Com a adequação entre Brasil e União Europeia, ainda são necessárias cláusulas-padrão?

Não para os fluxos entre Brasil e União Europeia, que desde janeiro de 2026 se apoiam na Resolução CD/ANPD n. 32/2026 e na decisão da Comissão Europeia. Para outros destinos, como os Estados Unidos, continuam necessárias as cláusulas-padrão da Resolução CD/ANPD n. 19/2024 ou outro fundamento do art. 33 da LGPD.

Qual era o prazo para adotar as cláusulas-padrão da ANPD?

Quem já usava cláusulas contratuais em transferências internacionais teve 12 meses, contados da publicação da Resolução CD/ANPD n. 19/2024 em 23 de agosto de 2024, para incorporar o modelo da ANPD; o prazo terminou em agosto de 2025. As cláusulas mandatórias devem ser adotadas integralmente e sem alteração.

Qual a multa máxima para empresa estrangeira que descumpre a LGPD?

A multa simples chega a 2% do faturamento da pessoa jurídica, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração (art. 52, II). Se a ANPD não dispuser do faturamento no ramo da infração, pode considerar o faturamento total da empresa ou do grupo (art. 52, § 4.º).

Conclusão

Para a empresa estrangeira, a LGPD é condição de acesso ao mercado brasileiro, e não tema reservado a quem tem sede no país. O ponto de partida é verificar o enquadramento no art. 3.º; a partir daí, a subsidiária precisa de programa próprio de conformidade, e cada fluxo de dados para o exterior, de fundamento no art. 33. A adequação recíproca simplificou as transferências com a União Europeia, mas os demais destinos continuam a depender das cláusulas-padrão, cujo prazo de incorporação já terminou, e a ANPD, agora agência reguladora, considera na dosimetria a conformidade documentada.

Principais pontos deste artigo:

• A LGPD alcança empresas estrangeiras que tratem dados no Brasil, ofereçam bens ou serviços a pessoas no país, tratem seus dados ou usem dados aqui coletados (art. 3.º).
• Não há representante obrigatório como no GDPR, mas a filial ou o escritório no Brasil recebe as notificações (art. 61), e o encarregado deve se comunicar em português.
• Transferências ao exterior exigem fundamento do art. 33; as cláusulas-padrão da Resolução CD/ANPD n. 19/2024 devem ser adotadas sem alteração.
• Desde janeiro de 2026, a adequação recíproca dispensa cláusulas-padrão nos fluxos entre Brasil e União Europeia.
• Conformidade com o GDPR não equivale a conformidade com a LGPD.
• A multa chega a 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração.

Leia também

• LGPD para empresas: obrigações, sanções e como se adequar
• Multa LGPD: valor, sanções da ANPD e como é calculada
• Dados sensíveis na LGPD: o que são, exemplos e bases legais
• LGPD nas relações de trabalho: obrigações do empregador
• Acordo Mercosul-União Europeia: o que muda para empresas em 2026
• CPF para estrangeiros: como obter, documentos e para que serve
• Brazil’s LGPD: The Complete Compliance Guide for Foreign Companies (2026)

Veja todo o conteúdo da área de LGPD e Proteção de Dados.