O General Data Protection Regulation (GDPR) é a lei de privacidade de dados fundamental da UE, em vigor desde 2018, que rege como os dados pessoais de residentes da UE/EEE são coletados, usados, armazenados e compartilhados. Para equipes jurídicas, o GDPR tem dois ângulos: (a) o próprio processamento de dados da equipe (dados de funcionários, contatos de fornecedores, registros de clientes) e (b) trabalho de assessoria para clientes sobre conformidade com o GDPR. O UK GDPR é substancialmente idêntico pós-Brexit; regimes equivalentes (LGPD brasileira, CCPA/CPRA da Califórnia, PIPEDA canadense) seguem o mesmo padrão estrutural.
Dados pessoais e as seis bases legais
O GDPR define dados pessoais de forma ampla — qualquer coisa que identifique ou possa identificar uma pessoa viva. Nomes, e-mails, endereços IP, IDs de funcionários, fotos, gravações de voz.
O processamento requer uma das seis bases legais:
| Base | Uso típico |
|---|---|
| Consentimento | Marketing, funcionalidades opcionais |
| Execução de contrato | Dados do cliente necessários para prestar o serviço |
| Obrigação legal | Registros fiscais, relatórios regulatórios |
| Interesses vitais | Emergências com risco de vida (raro) |
| Tarefa pública | Processamento governamental |
| Interesses legítimos | Vendas B2B, segurança, prevenção de fraudes — equilibrado com os direitos do titular |
A maioria do processamento de dados de equipes jurídicas B2B se baseia em interesses legítimos (gestão de fornecedores, registros de funcionários) ou execução de contrato (serviços a clientes). O consentimento é utilizado em excesso e frequentemente inválido, pois deve ser específico, informado, dado livremente e revogável.
Os oito direitos dos titulares de dados
O GDPR cria direitos que os indivíduos podem exercer:
- Acesso — direito de obter cópia dos dados pessoais que estão sendo processados
- Retificação — direito de corrigir dados imprecisos
- Apagamento (“direito ao esquecimento”) — direito à exclusão em determinadas circunstâncias
- Restrição — direito de limitar o processamento durante a resolução de uma disputa
- Portabilidade — direito de receber dados em formato legível por máquina
- Objeção — direito de se opor ao processamento com base em interesses legítimos
- Decisão automatizada — direito de não ser sujeito a decisões tomadas exclusivamente de forma automatizada
- Retirar o consentimento — quando o consentimento foi a base
Equipes jurídicas precisam de um workflow documentado para cada tipo de solicitação, com prazo de resposta padrão de 30 dias (extensível em circunstâncias restritas).
Transferências internacionais de dados
Dados pessoais só podem sair do EEE com salvaguardas adequadas. Os mecanismos disponíveis em 2026:
- Decisões de adequação — determinações da UE país a país de que o país tem proteção adequada. Atualmente inclui Reino Unido, Suíça, Israel, Japão, Canadá (comercial), Coreia do Sul, EUA (sob o Data Privacy Framework com limitações).
- Cláusulas Contratuais Padrão (SCCs) — termos contratuais aprovados pela UE que impõem obrigações equivalentes ao GDPR sobre o importador de dados. Atualizadas em 2021; as versões de 2010 são inválidas.
- Regras Corporativas Vinculantes (BCRs) — para transferências intragrupo dentro de organizações multinacionais; requerem aprovação do regulador.
- Derrogações específicas — exceções restritas (consentimento explícito para a transferência específica, execução de contrato, interesse público importante).
Após o Schrems II (2020), o uso de qualquer mecanismo exige uma Avaliação de Impacto da Transferência (TIA) considerando as leis de vigilância do país de destino e o regime de acesso a dados.
O que as equipes jurídicas gerenciam diretamente
Três workflows que recaem sobre o Legal Ops:
- Gestão de fornecedores e processadores. DPA com todo fornecedor que processa dados pessoais; repasse de obrigações para subprocessadores; documentação do mecanismo de transferência internacional.
- Resposta a solicitações dos titulares de dados. Receber DSARs, validar identidade, reunir dados em vários sistemas, revisar isenções (privilégio jurídico, dados de terceiros), responder dentro do prazo.
- Notificação de incidentes. Quando a equipe ou seus fornecedores sofrerem um incidente, notificar o regulador em 72 horas (quando exigido) e notificar individualmente quando houver alto risco para os indivíduos.
Armadilhas comuns
- Tratar o GDPR como um projeto único. O trabalho inicial de conformidade é finito; as operações contínuas (DSARs, onboarding de fornecedores, gestão de incidentes) são contínuas.
- Seleção errada da base legal. Muitas empresas citam “consentimento” quando “interesses legítimos” é a base real. A base errada torna todo o processamento ilegal.
- Ignorar atualizações do mecanismo de transferência. As SCCs foram atualizadas em 2021; muitos DPAs existentes ainda fazem referência às versões de 2010. Re-formalização necessária.
- Nenhum processo de resposta a DSARs. Quando o primeiro DSAR chega, equipes sem processo entram em pânico. Monte o playbook antes da solicitação.
- Falta de análise da isenção de privilégio jurídico. Comunicações privilegiadas advogado-cliente podem ser isentas da divulgação em DSARs; sem análise, as equipes divulgam em excesso ou em falta.
- Confundir GDPR com EU AI Act. Regimes diferentes, obrigações diferentes, ambos se aplicando quando a IA processa dados pessoais.
Relacionados
- Checklist de DPA — termos contratuais com fornecedores exigidos pelo GDPR
- EU AI Act para equipes jurídicas — regime regulatório adjacente que se intersecta
- Workflow de due diligence de fornecedores — processo onde a conformidade do fornecedor com o GDPR é verificada
- O que é Legal Ops? — função que é dona das operações de GDPR ao lado da privacidade/DPO