Operar na internet em 2026 significa operar sob uma manta de retalhos de leis de cibersegurança e proteção de dados que variam enormemente de país para país. Uma empresa que trata dados de clientes em quatro países pode enfrentar quatro quadros regulatórios completamente diferentes, cada um com as suas próprias definições, prazos, sanções e entidades de fiscalização.
Isto não é um problema teórico. Uma empresa SaaS sediada em Portugal que serve clientes nos EUA, no Brasil e na Índia tem de cumprir simultaneamente o RGPD, potencialmente o SOC2, a LGPD e a DPDPA — cada um com requisitos diferentes em matéria de consentimento, notificação de violações, conservação de dados e transferências internacionais.
Eis um guia prático dos principais quadros de conformidade em quatro regiões-chave, do que torna cada um único e de como construir uma estratégia de conformidade que funcione além-fronteiras.
EUA: uma manta de retalhos sem uma lei federal única
Os Estados Unidos são o maior mercado tecnológico do mundo, mas não têm uma lei federal única de proteção de dados. Em vez disso, a conformidade está fragmentada entre regulamentações setoriais e leis estaduais.
Quadros principais
SOC 2 (Tipo I e Tipo II) é o padrão de facto para empresas SaaS e cloud. Não é uma lei — é um referencial de auditoria baseado nos Trust Service Criteria (Segurança, Disponibilidade, Integridade do Processamento, Confidencialidade, Privacidade). Os compradores enterprise exigem-no antes de assinar contratos.
HIPAA regula os dados de saúde. Se o teu sistema toca em informação de saúde de doentes (PHI), precisas de salvaguardas administrativas, físicas e técnicas, além de Business Associate Agreements com cada fornecedor da cadeia de dados.
PCI DSS 4.0 aplica-se a qualquer entidade que processe, armazene ou transmita dados de cartões de crédito. A versão 4.0 introduziu alterações significativas, incluindo a autenticação multifator obrigatória e a monitorização contínua.
FedRAMP é obrigatório para serviços cloud que vendem ao governo federal dos EUA. O processo de autorização é rigoroso e caro — tipicamente 12-18 meses e mais de $500K em custos de preparação.
CMMC 2.0 (Cybersecurity Maturity Model Certification) afeta toda a cadeia de fornecimento do Departamento de Defesa. Os fornecedores têm de demonstrar práticas de cibersegurança num de três níveis antes de ganharem contratos.
As leis estaduais de privacidade estão a multiplicar-se rapidamente. A Califórnia (CCPA/CPRA), a Virgínia (VCDPA), o Colorado (CPA), o Connecticut (CTDPA) e mais de uma dúzia de outros estados têm agora as suas próprias leis de privacidade, cada uma com requisitos ligeiramente diferentes quanto aos direitos dos consumidores, mecanismos de opt-out e fiscalização.
O que torna os EUA únicos
A ausência de um quadro federal unificado significa que as empresas têm de cumprir várias regulamentações sobrepostas em simultâneo. Uma empresa SaaS da área da saúde que processe pagamentos com cartão para agências federais pode enfrentar HIPAA + PCI DSS + FedRAMP + SOC2 + CCPA — tudo ao mesmo tempo.
Os prazos de notificação de violações variam de estado para estado, de 30 a 90 dias. Alguns estados exigem notificação ao procurador-geral; outros não. Não existe uma definição única de "dados pessoais" em todos os quadros.
Impacto prático: a conformidade nos EUA é cara e complexa, mas a fiscalização é muitas vezes reativa em vez de proativa. O custo do incumprimento aparece em processos judiciais e em responsabilidade contratual, mais do que em coimas regulatórias.
Europa: a regulamentação mais abrangente e mais rigorosa
A União Europeia construiu o quadro regulatório mais unificado e mais rigorosamente fiscalizado do mundo. Se tratas dados de residentes na UE, estas regras aplicam-se a ti, independentemente de onde a tua empresa esteja sediada.
Quadros principais
RGPD (Regulamento Geral sobre a Proteção de Dados) é o padrão de referência da legislação de proteção de dados. Define regras rigorosas para o consentimento, a minimização dos dados, a limitação da finalidade, os direitos dos titulares dos dados (acesso, apagamento, portabilidade), a notificação de violações no prazo de 72 horas e as transferências internacionais de dados. As coimas chegam a 4% do volume de negócios anual global ou EUR 20 milhões, consoante o que for mais elevado.
NIS2 (Diretiva relativa à Segurança das Redes e da Informação 2) tinha de ser transposta para o direito nacional até outubro de 2024 e alargou significativamente as obrigações de cibersegurança. Abrange entidades essenciais e importantes em 18 setores e exige medidas de gestão de riscos, notificação de incidentes em 24 horas (inicial) e 72 horas (detalhada), avaliações de segurança da cadeia de fornecimento e responsabilidade pessoal dos órgãos de gestão.
DORA (Regulamento de Resiliência Operacional Digital) visa especificamente o setor financeiro. Desde janeiro de 2025, os bancos, as seguradoras, as empresas de investimento e os seus prestadores de serviços de TIC têm de implementar uma gestão abrangente do risco de TIC, notificação de incidentes, testes de resiliência operacional digital e gestão do risco de terceiros.
Regulamento de Ciber-Resiliência (CRA) abrange produtos com componentes digitais (dispositivos IoT, software). Os fabricantes têm de garantir a segurança desde a conceção, disponibilizar atualizações de segurança e notificar no prazo de 24 horas as vulnerabilidades ativamente exploradas. Está atualmente em fase de implementação.
eIDAS 2.0 estabelece um quadro para as Carteiras Europeias de Identidade Digital, a identificação eletrónica transfronteiriça e os serviços de confiança, incluindo assinaturas e selos eletrónicos.
O que torna a Europa única
A Europa trata a privacidade como um direito humano fundamental, não apenas como uma regulamentação empresarial. Esta diferença filosófica determina tudo — desde o rigor dos requisitos de consentimento até ao valor das coimas.
A fiscalização é real e significativa. A Meta recebeu uma coima de EUR 1.2 mil milhões por transferências ilegais de dados para os EUA. A Amazon recebeu uma coima de EUR 746 milhões. As pequenas e médias empresas também são sancionadas — a coima média do RGPD para PME é de EUR 300K-500K.
A combinação RGPD + NIS2 + DORA significa que as empresas europeias enfrentam o maior fardo regulatório do mundo, mas também o mais previsível. Ao contrário dos EUA, as regras estão unificadas nos 27 Estados-Membros.
Impacto prático: se queres fazer negócio na Europa, a conformidade não é opcional. Prevê orçamento para um Encarregado da Proteção de Dados, DPIAs regulares (avaliações de impacto sobre a proteção de dados) e monitorização contínua da conformidade.
Brasil: inspirado no RGPD, com carácter próprio
O Brasil seguiu o exemplo da Europa com a LGPD, mas acrescentou as suas próprias camadas regulatórias, sobretudo para o setor financeiro.
Quadros principais
LGPD (Lei Geral de Proteção de Dados) é a lei geral de proteção de dados do Brasil, fortemente inspirada no RGPD. Abrange os requisitos de consentimento, os direitos dos titulares (acesso, correção, eliminação, portabilidade), a notificação de violações à ANPD (Autoridade Nacional de Proteção de Dados), as bases legais para o tratamento (consentimento, interesse legítimo, contrato, etc.) e a nomeação obrigatória de um DPO (Encarregado de Dados).
Marco Civil da Internet é anterior à LGPD e estabelece princípios de governação da internet, incluindo a neutralidade da rede, a privacidade das comunicações e regras de responsabilidade para as plataformas de conteúdos. Exige que as aplicações de internet guardem os registos de acesso durante 6 meses.
Resolução CMN 4.893 (que em 2021 substituiu a 4.658), supervisionada pelo Banco Central do Brasil, impõe requisitos de cibersegurança às instituições financeiras, incluindo políticas de cibersegurança obrigatórias, planos de resposta a incidentes, regras sobre computação em cloud e relatórios anuais ao Banco Central.
PCI DSS aplica-se da mesma forma em todo o mundo — qualquer entidade que processe pagamentos com cartão no Brasil tem de o cumprir.
O que torna o Brasil único
A LGPD parece-se com o RGPD no papel, mas a fiscalização ainda está a amadurecer. A ANPD (a autoridade de proteção de dados do Brasil) só começou a aplicar coimas em 2023, e a sanção máxima é bastante inferior: 2% do volume de negócios no Brasil, com um limite de R$50 milhões (aproximadamente EUR 9 milhões) por infração. Compara isso com os 4% do volume de negócios global do RGPD, sem limite.
Ainda assim, não subestimes o risco. Os tribunais brasileiros julgam cada vez mais casos relacionados com privacidade, e as ações coletivas (ações civis públicas) podem resultar em indemnizações que vão além das sanções administrativas da ANPD.
A LGPD fala apenas em notificar em "prazo razoável", mas desde abril de 2024 a Resolução 15/2024 da ANPD fixa um prazo rígido: três dias úteis a contar do momento em que o responsável pelo tratamento sabe que o incidente afetou dados pessoais.
O setor financeiro enfrenta uma supervisão mais apertada. O Banco Central audita ativamente as práticas de cibersegurança e tem requisitos específicos para a utilização de cloud que vão além do que a LGPD exige.
Impacto prático: as empresas que operam no Brasil precisam tanto da conformidade com a LGPD como da conformidade setorial. O panorama regulatório está a evoluir rapidamente — o que hoje é uma recomendação pode tornar-se obrigatório amanhã.
Índia: prazos agressivos e evolução rápida
A Índia está a construir rapidamente o seu quadro regulatório, e alguns requisitos — sobretudo os relativos à notificação de incidentes — estão entre os mais rigorosos do mundo.
Quadros principais
DPDPA 2023 (Digital Personal Data Protection Act) é a primeira lei abrangente de proteção de dados da Índia. Abrange o tratamento baseado no consentimento, as obrigações dos data fiduciaries (semelhantes aos responsáveis pelo tratamento no RGPD), os direitos dos data principals (acesso, correção, apagamento), restrições às transferências internacionais de dados e sanções significativas até INR 250 crore (aproximadamente EUR 27 milhões).
As diretrizes do CERT-In (2022) introduziram alguns dos requisitos de cibersegurança mais agressivos do mundo. Todas as organizações têm de notificar os incidentes de cibersegurança ao CERT-In no prazo de 6 horas após a sua deteção (não 72 horas como no RGPD — seis horas), manter os logs dos sistemas de TIC durante 180 dias dentro da jurisdição indiana e sincronizar os relógios dos sistemas com servidores NTP. Os fornecedores de VPN, cloud e centros de dados têm ainda de conservar os registos dos seus clientes durante 5 anos.
As diretrizes do RBI (Reserve Bank of India) regulam a cibersegurança do setor bancário, incluindo quadros de cibersegurança obrigatórios, auditorias regulares, notificação de incidentes e requisitos de localização de dados — os dados de pagamento têm de ser armazenados na Índia.
O quadro de cibersegurança da SEBI aplica-se às bolsas de valores, aos depositários e aos intermediários de mercado, com requisitos de centros de operações de cibersegurança, avaliações regulares de vulnerabilidades e quadros de ciber-resiliência.
IT Act 2000 (com as respetivas alterações) é a lei fundamental da Índia em matéria de cibercrime, comércio eletrónico, assinaturas digitais e responsabilidade dos intermediários. É anterior à DPDPA e abrange os aspetos criminais da cibersegurança.
O que torna a Índia única
O requisito do CERT-In de notificar os incidentes em 6 horas é o mais agressivo do mundo. Para contexto: o RGPD dá-te 72 horas, a NIS2 dá 24 horas para a notificação inicial e nos EUA varia de 30 a 90 dias consoante o estado. A Índia espera um relatório detalhado no prazo de 6 horas após se tomar conhecimento do incidente.
O requisito de conservação de logs durante 180 dias na Índia acrescenta complexidade operacional para as empresas globais, já que os logs têm de ser armazenados na jurisdição indiana, independentemente de onde os sistemas estejam alojados.
A localização de dados é um tema em crescimento. O RBI já exige que os dados de pagamento sejam armazenados na Índia, e espera-se que o quadro da DPDPA alargue os requisitos de localização aos dados pessoais sensíveis.
A DPDPA ainda está numa fase inicial de implementação — o regulamento (DPDP Rules) foi publicado em novembro de 2025 e a maioria das obrigações só se aplica a partir de maio de 2027. No entanto, as diretrizes do CERT-In são ativamente fiscalizadas e o incumprimento tem consequências reais.
Impacto prático: qualquer empresa com operações na Índia precisa de um mecanismo robusto de deteção e notificação de incidentes capaz de cumprir a janela de 6 horas. Isto não é alcançável sem deteção automatizada e modelos de notificação redigidos antecipadamente.
Comparação transfronteiriça num relance
Compreender as diferenças torna-se crítico quando o teu negócio opera em várias jurisdições:
Maturidade da legislação de proteção de dados: a Europa é a mais madura, com o RGPD aplicado desde 2018. Os EUA continuam fragmentados, sem lei federal. A fiscalização da LGPD no Brasil está a crescer. A DPDPA da Índia está numa fase inicial de implementação.
Sanções máximas: a Europa lidera com 4% do volume de negócios global (sem limite). Segue-se a Índia, com aproximadamente EUR 27 milhões. O Brasil tem um limite de aproximadamente EUR 9 milhões. Nos EUA varia consoante o quadro e o estado.
Prazos de notificação de violações: a Índia é a mais agressiva, com 6 horas. A Europa exige 24-72 horas consoante o quadro. O Brasil exige três dias úteis (Resolução 15/2024 da ANPD). Nos EUA varia de 30 a 90 dias consoante o estado.
Localização de dados: a Índia é a mais restritiva, exigindo que os dados de pagamento e certos logs permaneçam no país. A UE restringe as transferências para fora do Espaço Económico Europeu através de decisões de adequação e Cláusulas Contratuais-Tipo. O Brasil e os EUA têm menos requisitos rígidos de localização.
Abordagem à fiscalização: a Europa é proativa, com investigações ativas e coimas elevadas. A Índia é rigorosa nos prazos, com o CERT-In a monitorizar ativamente. Os EUA são reativos e movidos pelo litígio. O Brasil está a evoluir, com a ANPD a desenvolver a sua capacidade de fiscalização.
Construir uma estratégia de conformidade global
Operar além-fronteiras não significa construir quatro programas de conformidade separados. A abordagem mais eficaz é construir uma base unificada e acrescentar por cima os requisitos regionais.
Começa pelo padrão mais rigoroso
Se cumprires o RGPD + os requisitos do CERT-In, ficas em grande medida coberto para a LGPD e para a maioria dos quadros dos EUA. Constrói a tua base em torno dos princípios do RGPD (consentimento, minimização dos dados, limitação da finalidade, direitos dos titulares) e dos requisitos operacionais da Índia (notificação em 6 horas, conservação de logs durante 180 dias).
Implementa controlos técnicos unificados
Independentemente da jurisdição, todos os quadros exigem cifragem em repouso e em trânsito, controlo de acessos com menor privilégio e MFA, logging e monitorização com retenção, gestão de vulnerabilidades e aplicação de patches, procedimentos de deteção e resposta a incidentes, e backup e recuperação de desastres.
Constrói um quadro de conformidade modular
Usa a ISO 27001 como base — mapeia para requisitos das quatro regiões. Acrescenta os controlos SOC 2 para os clientes dos EUA, os processos específicos do RGPD para a UE (DPIAs, DPO, fluxos de pedidos dos titulares dos dados), os ajustes da LGPD para o Brasil (notificação à ANPD, nomeação do Encarregado) e a conformidade com o CERT-In para a Índia (capacidade de notificação em 6 horas, armazenamento local de logs).
Automatiza o que puderes
A conformidade manual não escala além-fronteiras. Investe em plataformas de automação de conformidade para a recolha de evidências, soluções SIEM para monitorização em tempo real (crítica para a janela de 6 horas da Índia), ferramentas de mapeamento de dados para acompanhar por onde circulam os dados pessoais entre países e sistemas de gestão de políticas para manter as políticas específicas de cada jurisdição.
A realidade da governação da internet em 2026
A internet foi construída como uma rede sem fronteiras, mas a regulamentação está a torná-la cada vez mais territorial. Todos os anos, mais países aprovam leis de proteção de dados, apertam os requisitos de cibersegurança e exigem a localização de dados. A tendência é clara: o fardo regulatório está a crescer, não a diminuir.
Para as empresas que operam globalmente, a conformidade já não é um mero exercício burocrático — é uma função central do negócio que exige investimento contínuo em tecnologia, processos e conhecimento especializado.
As organizações que tratarem a conformidade como uma vantagem estratégica — criando confiança junto dos clientes, abrindo portas a mercados regulados e reduzindo o risco de violações — vão superar as que a tratam como um centro de custos a minimizar.
A internet pode ser global, mas as regras são locais. Compreender e respeitar essas regras não é apenas boa conformidade — é bom negócio.