GDPR (Regulamento UE 2016/679) Regulamento europeu

47 controles, organizados por grupo, com resumo em português.

Regulamento europeu de proteção de dados pessoais, referência internacional que inspirou a LGPD. Exigível de qualquer organização que trate dado de titular na União Europeia, mesmo fora do bloco. Traz elementos que a LGPD não tem: estrutura de multa em dois níveis (até 2%/€10M ou 4%/€20M do faturamento global, conforme o tipo de violação), mecanismo de "one-stop-shop" para tratamento transfronteiriço, e um capítulo dedicado a situações específicas (imprensa, pesquisa científica, relações de trabalho).

Fonte oficial · A cor indica o perfil em que cada controle entra: Básico Intermediário Avançado.

É regulamento da União Europeia (texto de acesso público via EUR-Lex). As descrições são uma checklist prática da InfoCuestaSec, no mesmo padrão temático do módulo de LGPD (agrupado por tema, não artigo por artigo — o GDPR tem 99 artigos em 11 capítulos). Texto normativo substancialmente inalterado desde 2016 (só corrigenda linguísticos); há uma proposta em negociação ("Digital Omnibus", nov/2025) ainda não adotada. Divisão em perfis é didática.

PRIN Princípios do tratamento

PRIN.1
Tratar dados com licitude, lealdade e transparência perante o titular. Tratamento sem transparência ou de forma desleal quebra a confiança do titular mesmo quando tecnicamente 'legal' em outros aspectos.
Básico
PRIN.2
Limitar o tratamento à finalidade específica e explícita informada ao titular. Coletar para um fim e usar depois para outro, sem nova base legal, é o desvio de finalidade que o princípio proíbe.
Básico
PRIN.3
Coletar apenas os dados necessários e adequados à finalidade (minimização). Quanto menos dado coletado, menor o dano possível em caso de vazamento — minimização é redução de risco pela raiz.
Básico
PRIN.4
Manter os dados exatos e atualizados, corrigindo ou apagando o que estiver incorreto. Decisão automatizada, crédito, saúde — decisão baseada em dado errado sobre uma pessoa pode causar dano real e injusto.
Intermediário
PRIN.5
Limitar o período de retenção dos dados ao estritamente necessário para a finalidade. Guardar dado além do necessário só aumenta a superfície de risco sem nenhum benefício correspondente.
Intermediário
PRIN.6
Garantir integridade e confidencialidade do dado, com segurança apropriada. Sem confidencialidade e integridade garantidas, todos os outros princípios ficam vulneráveis a um incidente de segurança.
Básico
PRIN.7
Ser capaz de demonstrar conformidade com todos os princípios (responsabilização/accountability). Não basta cumprir os princípios — é preciso conseguir provar isso à autoridade supervisora quando questionado.
Intermediário

BASE Bases legais e consentimento

BASE.1
Ter uma base legal válida (das 6 do Art. 6) para cada tratamento realizado. Tratamento sem base legal válida é, por definição, ilícito perante o GDPR — é o primeiro requisito de qualquer atividade.
Básico
BASE.2
Gerir o consentimento conforme condições de validade: ônus da prova, retirada tão fácil quanto dar, separado de outros termos. Consentimento pré-marcado, genérico ou difícil de retirar não é consentimento válido — é só uma aparência de conformidade.
Básico
BASE.3
Aplicar idade mínima de consentimento para crianças (16 anos por padrão, 13-16 conforme o Estado-membro). Crianças têm proteção reforçada porque não têm capacidade plena de entender o que estão consentindo.
Intermediário
BASE.4
Tratar categorias especiais de dado (saúde, biometria, origem étnica, religião, orientação sexual etc.) só sob uma das exceções previstas. Dado de saúde, biometria ou orientação sexual, se vazado, pode gerar discriminação ou dano muito maior que um dado comum.
Intermediário
BASE.5
Tratar dado de condenação penal apenas sob controle de autoridade pública ou autorização legal específica. Dado de condenação penal tem potencial de estigmatização severo — por isso o tratamento é restrito a hipóteses formais e específicas.
Avançado

DIR Direitos do titular

DIR.1
Responder ao exercício de direitos do titular de forma transparente e acessível, em até 1 mês. Um titular que não recebe resposta clara e no prazo não teve seu direito verdadeiramente exercido, só formalmente reconhecido.
Básico
DIR.2
Informar o titular no momento da coleta, seja ela direta ou indireta. Sem ser informado desde o início, o titular não tem como saber que precisa (ou pode) exercer qualquer outro direito.
Básico
DIR.3
Dar acesso aos dados do titular quando solicitado. Sem acesso, o titular não consegue verificar se o que a organização diz fazer com seus dados é o que ela realmente faz.
Básico
DIR.4
Corrigir dados incompletos ou inexatos a pedido do titular. Dado incorreto sobre uma pessoa pode se propagar para decisões automatizadas, compartilhamentos e outros sistemas — corrigir na origem evita efeito cascata.
Intermediário
DIR.5
Apagar os dados a pedido do titular quando aplicável (direito ao esquecimento). Guardar dado que deveria ter sido apagado, além de violar o direito, mantém risco de vazamento sem necessidade nenhuma.
Básico
DIR.6
Limitar o tratamento a pedido do titular, quando o caso não pedir apagamento. Às vezes o titular contesta um dado mas não quer que ele seja apagado (ex.: processo em andamento) — a limitação é o meio-termo entre usar normalmente e apagar.
Intermediário
DIR.7
Notificar terceiros que receberam o dado sobre retificação, apagamento ou limitação feitos. Sem notificar quem recebeu o dado, uma correção ou apagamento fica incompleto — a informação errada continua circulando em outro lugar.
Avançado
DIR.8
Prover portabilidade dos dados em formato estruturado e de uso comum, quando cabível. Portabilidade dá ao titular poder real de trocar de fornecedor sem perder o histórico dos próprios dados.
Intermediário
DIR.9
Permitir oposição ao tratamento, incluindo para fins de marketing direto. Marketing direto é um dos usos mais comuns de dado pessoal — o titular precisa de um jeito simples de dizer não.
Básico
DIR.10
Garantir intervenção humana e não submeter o titular só a decisão automatizada com efeito significativo, salvo exceções. Uma decisão automatizada que afeta significativamente uma pessoa (ex.: negar crédito) sem revisão humana possível tira dela qualquer chance de contestar.
Avançado

GOV Governança de privacidade

GOV.1
Adotar medidas concretas para demonstrar a responsabilização do controlador. Accountability é o princípio que transforma todos os outros de intenção em prática auditável — sem evidência, não há conformidade demonstrável.
Básico
GOV.2
Aplicar privacidade desde a concepção e por padrão (privacy by design e by default). Pensar em privacidade só depois que o sistema já está pronto é sempre mais caro e menos eficaz do que pensar desde o design.
Básico
GOV.3
Definir claramente as responsabilidades entre controladores conjuntos, quando houver mais de um. Sem responsabilidade clara entre controladores conjuntos, um incidente vira disputa sobre quem deveria ter agido, em vez de resposta rápida.
Intermediário
GOV.4
Nomear representante na União Europeia quando o controlador/operador estiver fora do bloco. Sem representante na UE, a autoridade supervisora local não tem um ponto de contato formal para fiscalizar uma empresa de fora do bloco.
Avançado
GOV.5
Formalizar contrato com operadores (processors) com as cláusulas de proteção de dados exigidas. Sem contrato formal, o operador pode tratar o dado de um jeito que o controlador nunca autorizou nem sabe que está acontecendo.
Básico
GOV.6
Manter o registro das atividades de tratamento (ROPA). Sem o registro de atividades de tratamento, a organização não sabe (e não consegue provar) o que faz com quais dados.
Básico
GOV.7
Designar um Encarregado de Proteção de Dados (DPO) quando exigido: autoridade pública, monitoramento sistemático em larga escala, ou tratamento em larga escala de categoria especial de dado. O DPO é o ponto de contato formal entre a organização, os titulares e a autoridade — sem ele nos casos obrigatórios, falta essa ponte.
Intermediário

DPIA Avaliação de Impacto (DPIA)

DPIA.1
Realizar Avaliação de Impacto (DPIA) quando o tratamento apresentar alto risco aos direitos do titular. Tratamento de alto risco sem avaliação prévia é decisão tomada sem entender de verdade o que pode dar errado.
Intermediário
DPIA.2
Consultar previamente a autoridade supervisora quando a DPIA indicar alto risco residual. Quando a própria organização identifica risco residual alto, a consulta prévia é o que traz um segundo olhar independente antes de prosseguir.
Avançado

SEG Segurança do tratamento

SEG.1
Adotar medidas técnicas e organizacionais apropriadas ao risco: pseudonimização, criptografia, confidencialidade, integridade, disponibilidade e resiliência. Medida de segurança proporcional ao risco é o que a norma exige — não existe um padrão único que sirva para todo tratamento.
Básico
SEG.2
Testar e avaliar periodicamente a eficácia das medidas de segurança adotadas. Segurança implementada uma vez e nunca testada tende a degradar com o tempo sem que ninguém perceba.
Intermediário

INC Incidentes

INC.1
Notificar a autoridade supervisora em até 72 horas do conhecimento do incidente, salvo risco improvável ao titular. 72 horas é pouco tempo — só se cumpre com processo de detecção e decisão já preparado antes do incidente acontecer.
Básico
INC.2
Comunicar o titular quando o incidente apresentar alto risco aos seus direitos e liberdades. O titular avisado a tempo pode se proteger (trocar senha, monitorar fraude); avisado tarde, o dano já pode ter acontecido.
Intermediário

INT Transferência internacional

INT.1
Só transferir dado para fora da UE respeitando as condições do capítulo de transferências internacionais. Transferir dado pra fora da UE sem respeitar as condições do capítulo esvazia toda a proteção que o GDPR dá dentro do bloco.
Básico
INT.2
Usar decisão de adequação da Comissão Europeia quando disponível para o país de destino. A decisão de adequação já avalia que o país de destino oferece proteção equivalente — usar isso simplifica a transferência legalmente.
Intermediário
INT.3
Usar garantias apropriadas (cláusulas contratuais padrão) quando não houver decisão de adequação. Sem decisão de adequação, as cláusulas contratuais padrão são o mecanismo mais comum para garantir proteção equivalente por contrato.
Intermediário
INT.4
Usar Regras Corporativas Vinculantes (BCRs) para transferência dentro do mesmo grupo econômico. BCRs formalizam regras únicas de proteção de dados dentro de um grupo econômico inteiro, útil para transferências internas recorrentes.
Avançado
INT.5
Usar derrogações específicas (consentimento explícito, execução de contrato etc.) só em situações excepcionais. Derrogação é exceção pontual, não uma base regular de transferência — usar fora de hipótese excepcional descumpre o espírito da regra.
Avançado

SANC Sanções e responsabilização

SANC.1
Reconhecer o direito do titular a indenização por dano material ou moral decorrente de violação do regulamento. O titular prejudicado por uma violação tem direito a ser indenizado pelo dano sofrido, material ou moral.
Intermediário
SANC.2
Entender a estrutura de multa em dois níveis: até €10 milhões ou 2% do faturamento global para violações organizacionais/procedimentais, até €20 milhões ou 4% para violações de princípios, direitos do titular ou transferência internacional. Entender qual nível de multa se aplica a cada tipo de violação ajuda a priorizar onde o risco financeiro é realmente maior.
Básico
SANC.3
Cumprir prontamente ordens e limitações impostas pela autoridade supervisora. Ignorar uma ordem da autoridade supervisora agrava a situação e pode, em si, gerar nova sanção específica.
Avançado

ESP Situações específicas de tratamento

ESP.1
Equilibrar proteção de dados com liberdade de expressão e de imprensa, quando o tratamento envolver finalidade jornalística. Proteção de dados não pode anular a liberdade de imprensa — o GDPR reconhece explicitamente esse equilíbrio necessário.
Avançado
ESP.2
Tratar número de identificação nacional conforme as condições específicas do Estado-membro aplicável. Número de identificação nacional tem tratamento sensível porque, combinado a outros dados, facilita identificação e fraude.
Avançado
ESP.3
Aplicar regras específicas para tratamento de dado de empregados no contexto de relações de trabalho. A relação de trabalho tem desequilíbrio de poder entre empregador e empregado — regras específicas evitam consentimento não genuíno nesse contexto.
Intermediário
ESP.4
Aplicar salvaguardas específicas para tratamento com fins de arquivo de interesse público, pesquisa científica/histórica ou fins estatísticos. Pesquisa e arquivo de interesse público têm salvaguardas próprias porque o uso do dado, ali, serve a um interesse coletivo distinto do uso comercial comum.
Avançado