A LGPD, a GDPR e a CCPA são regulações de privacidade de dados e, como todo regulamento, seu texto é longo e detalhado. Mas, para facilitar o entendimento, elencamos as principais semelhanças e diferenças. São seis diferenças principais:

### 1\. Território em que cada um é válido

- A LGPD é válida em todo o território brasileiro.
- A GPDR é válida em toda a União Europeia.
- A CCPA é válida apenas no estado da California, EUA. Lembrando que apenas o titular dos dados deve residir na Califórnia; ou seja, a lei é válida para todos que fazem negócios no estado.

Mas, engana-se quem pensa que, por se tratarem de proteção de dados e privacidade, esses regulamentos são meras réplicas um do outro. A conformidade com uma delas não garante a conformidade com as demais.

### 2\. A quais titulares de dados se aplica a lei

- A GDPR é aplicável aos dados pessoais dos titulares dos dados, ou seja, os usuários. Podem ser clientes ou meros visitantes de um site.
- A CCPA é aplicável aos consumidores, famílias e domicílios.

### 3\. A definição de dado pessoal

1. Para a LGPD, dado pessoal é toda informação relacionada a uma pessoa identificada ou identificável. Existem informações que não te identificam pessoalmente; você continua anônimo. Há outras, no entanto, que te identificam individualmente, como nome, e-mail e documentos pessoais.
2. Para a CCPA, dado pessoal é toda informação que identifique, individualmente, uma pessoa ou família. Ou seja, dados anônimos não são considerados pessoais.
3. Para a GDPR, tudo isso é dado pessoal. E há ainda duas categorias distintas: dados tornados públicos pelo próprio titular e dados relacionados a instituições sem fins lucrativos.

Entre essas definições, de dados pessoais, anônimos ou não, há uma mais especial: dados sensíveis.

Dados sensíveis são os que revelam origem racial ou étnica; convicções políticas e religiosas; filiações sindicais; e questões relacionadas à saúde e sexualidade.

A GDPR, ao contrário da LGPD e CCPA, proíbe o uso de dados sensíveis, a não ser que esse uso esteja previsto em lei.

### 4\. Quem trata os dados

A LGPD e a GDPR, em seus respectivos territórios, se aplicam a todo tratamento de dados, com exceção do uso particular. Se é uma empresa, uma ONG ou uma instituição do governo, pouco importa: a lei se aplica.

A CCPA é bem diferente neste quesito. A aplicação desta é, especificamente, para:

1. Empresas com receita bruta anual superior a 25 milhões de dólares;
2. Empresas que recebem dados de mais de 50 mil consumidores, famílias ou dispositivos;
3. Empresas que obtêm mais de 50% da renda através da venda de informações pessoais.

### 5\. Venda de dados pessoais

Na LGPD e na GDPR, para que a venda de dados pessoais seja feita é necessária uma base legal prevista na lei. Não é qualquer um que pode fazer esse serviço.

A CCPA, por outro lado, não proíbe a venda de dados. Apenas estabelece a possibilidade do titular não permitir que seus dados não sejam vendidos. Ou seja, uma pessoa pode concordar ou não com a venda dos próprios dados, e a empresa não pode desacatar essa opção.

### 6\. Multas e penalidades

A GDPR, a LGPD e a CCPA aplicam multas e penalidades diferentes; portanto, cada uma deve ser consultada separadamente. [Neste artigo, você pode ter mais detalhes sobre as multas e penalidades da LGPD.](https://goadopt.io/blog/multas-na-lgpd/)

Já vimos, portanto, que existem diferenças consideráveis entre os três regulamentos. Então quais são as semelhanças?

## Semelhanças entre a LGPD, a GDPR e a CCPA

### 1\. Transparência sobre o uso de dados

Os três regulamentos garantem transparência quanto ao uso de dados: se estão sendo tratados, se podem ser vendidos e com que objetivo estas ações são feitas.

### 2\. Poder de atualizar e excluir dados

Os três regulamentos permitem que o usuário revogue a concessão dos dados, bem como garantem que ele possa atualizá-los quando bem entender.

### 3\. Autoridade responsável

Os regulamentos instituem uma autoridade governamental para garantir que a lei seja cumprida. No caso da LGPD, é a Autoridade Nacional de Proteção de Dados. No caso da CCPA, é o Procurador Geral do estado da Califórnia.

## Preciso me adequar às três leis?

Como vimos nos tópicos anteriores, as leis são válidas para seus respectivos territórios. Se sua empresa trata dados de californianos e brasileiros, é necessário que esteja inteiramente à par da CCPA e da LGPD. Se sua empresa trata os dados de clientes da União Europeia, é necessário que se adeque à GDPR.

Mas, na prática, isso é ainda mais simples. Já que a LGPD é baseada na GDPR, é fácil se adequar às duas legislações. E, tendo em vista que as três se baseiam em princípios de transparência e consentimento, existem três passos que garantirão que seu site não tenha nenhum problema com qualquer uma dessas leis.

## 3 passos para se adequar à LGPD, à GDPR e à CCPA

### 1\. Entenda consentimento e transparência

Algo que a LGPD, a GDPR e a CCPA têm em comum é a prioridade dada à transparência e ao consentimento, que fundamenta a lei na íntegra.

O que isso significa na prática?

Todo usuário precisa saber que está tendo dados coletados e com qual finalidade sua empresa fará esse tratamento de dados. Essas informações precisam estar explícitas. Sabendo disso, o usuário precisa concordar. Isso é transparência e consentimento.

Se o usuário não concordar com o tratamento de dados, ele deve poder expressar isso de forma clara e objetiva. E sua empresa respeitará essa decisão, sem forçá-lo a ceder os dados.

Mas pense bem: fazer isso manualmente tornaria a operação de qualquer empresa complicada. Para facilitar esse serviço, seguimos ao segundo passo:

### 2\. Instale um cookie banner

[Cookie banner](https://goadopt.io/blog/o-que-e-uma-cmp/) é um aviso em texto, como o que você viu quando entrou neste blog. O cookie banner serve para informar ao usuário que o site coleta dados e para pedir o consentimento do usuário para que tenha seus dados coletados. O cookie banner também informa com qual objetivo nós coletamos essas informações.

E o mais importante: registra tudo isso. Nós podemos provar quais dados você concordou em nos fornecer; e isso é de extrema importância para o cumprimento da lei. E, também, você pode dizer, por meio do cookie banner, quais dados deseja fornecer e quais não, ou até mesmo recusar nos passar qualquer informação. E assim fica tudo bem.

Para garantir que essa operação seja feita, a LGPD, a GDPR e a CCPA pedem que haja em cada empresa um responsável. Este profissional é chamado de DPO: Data Protection Officer. E escolhê-lo é o terceiro passo.

### 3\. Eleja um DPO

DPO é o [encarregado de proteção de dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/). Sua empresa pode terceirizar este serviço ou eleger algum colaborador interno para exercer essa função.

É o DPO que responde, legalmente, pela política de proteção de dados da empresa, fazendo a ponte entre a empresa e a autoridade de proteção de dados. No caso da LGPD, essa autoridade é a ANPD. No caso da CCPA, é o Procurador Geral da Califórnia.

Com essas boas práticas, sua empresa está garantida nesse cenário de mudanças e amplo debate sobre uso de dados.

GDPR, LGPD e CCPA: o que são essas leis, semelhanças e diferenças

A [LGPD - Lei Geral de Proteção de Dados](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) trouxe consigo várias siglas e termos específicos. Muitos deles importados de outros países e legislações. Um deles é o ROPA (_Record Of Processing Activities_), adaptado no Brasil para Registros das Atividades de Tratamento. Um documento essencial para qualquer DPO, Encarregado de Dados.

Se você trabalha na área ou está em processo de adequação da sua empresa, esse artigo foi feito para te ajudar a entender melhor esse documento.
 
O ROPA (_Record Of Processing Activities_), nada mais é do que um documento que organiza as provas oficiais da empresa sobre:
- **Como é feita a coleta de dados**, seus processos e atividades; 
- **O que é feito com o dado**, se há algum tratamento ou compartilhamento;
- **Como o dado é excluído**, se for o caso.

Ou seja, as perguntas e respostas essenciais em caso de consulta da ANPD - Autoridade Nacional de Proteção de Dados, à sua empresa. Abaixo falaremos melhor de cada um destes pontos.

Vale destacar que todos os documentos e processos mapeados pelo Encarregado de Dados da empresa são "vivos", em constante atualização e mudança. Um processo novo criado no departamento X pode alterar o ROPA, a [Política de Privacidade](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/) e tantos outros controles.

Assim, independente do tamanho da sua empresa, os documentos devem sempre refletir a realidade e serem constantemente atualizados.

Pode ser que empresas menores não sintam tanto a necessidade ou complexidade de manter esse "Mapeamento dos fluxos" atualizados, afinal tudo é menor e com menos pessoas envolvidas. Agora, para uma empresa maior, já existem softwares que ajudam nesse controle de maneira mais automatizada, como a [LGPDNOW](http://lgpdnow.com.br/), por exemplo.

## O que é o ROPA?
 
ROPA (_Record Of Processing Activities_), traduzido pelo mercado brasileiro para Registros das Atividades de Tratamento, é um documento oficial das empresas, gerado por um sistema ou não, que registra todos os fluxos, processamentos e atividades envolvendo dados pessoais. 

Nele, lista-se principalmente todas as finalidades e razões pela qual a empresa precisa daquele(s) dado para sua operação, embasamento jurídico ([Base Legal](https://goadopt.io/blog/bases-legais-da-lgpd/)), critérios de segurança, período de armazenamento/retenção do dado.

## ROPA é a mesma coisa que Data Mapping?
 
A resposta fácil é: _depende_.

O [Data Mapping ou Inventário de Dados ](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/)funciona como um mapa visual do fluxo de dados pessoais dentro do Agente de Tratamento, trazendo muito mais do que o ROPA, como mapas de sistema e transferências internacionais, parâmetros de adequação à ISO, NIST entre outros.

Já o ROPA foca nas atividades onde haja tratamento de dados. Ou seja, em uma empresa mais estruturada, pode acontecer de um Data Mapping conter alguns ROPAs como parte dele.

De qualquer maneira, o registro das atividades é parte essencial de ambos os documentos. A ótica e metodologia aplicada em cada um pode ser o seu diferencial.

## Como deve ser um ROPA?

De acordo com a [ICO (Information Commissioner’s Office) um ROPA deve ter no mínimo:](https://ico.org.uk/for-organisations/accountability-framework/records-of-processing-and-lawful-basis/#requirements)

- Nome e dados de contato de sua organização, seja ela um controlador ou um operador (e onde aplicável, o controlador conjunto, seu representante e o DPO);
- Os objetivos do processamento;
- Uma descrição das categorias de indivíduos e dos dados pessoais;
- As categorias de destinatários dos dados pessoais;
- Os detalhes das transferências para países terceiros, incluindo um registro das salvaguardas do mecanismo de transferência em vigor;
- Os horários de retenção / armazenamento;
- Uma descrição das medidas de segurança técnica e organizacional em vigor.
- Se você tem um registro interno de todas as atividades de processamento realizadas por qualquer processador em nome de sua organização.

**### Perguntas que o ROPA deverá responder:**

- Você já considerou a eficácia de suas medidas de responsabilização?
- O pessoal diria que você tem processos eficazes para manter o registro atualizado, preciso e garantir que os dados sejam minimizados?
- O pessoal poderia explicar suas responsabilidades e como as executam na prática?


## Boas práticas para um bom ROPA.

Ainda, de acordo com a [ICO (Information Commissioner’s Office)](https://ico.org.uk/for-organisations/accountability-framework/records-of-processing-and-lawful-basis/#requirements) O ROPA também inclui, ou faz links para, a documentação que cobre:

- Informações necessárias para os avisos de privacidade, tais como a base legal para o processamento e a fonte dos dados pessoais;
- Registros de consentimento;
- Contratos do controlador-processador;
- A localização dos dados pessoais;
- Relatórios da DPIA;
- Registros de violações de dados pessoais;
- Informações necessárias para o processamento de dados de categoria especial ou dados de condenações penais e infrações nos termos da Lei de Proteção de Dados de 2018 (DPA 2018); e
- Documentos de política de retenção e exclusão.

### **Questionamento para a criação do seu ROPA:**

- Você já considerou a eficácia de suas medidas de responsabilização?
- O pessoal entende como acessar outros documentos relevantes vinculados ao ROPA?
- É fácil para o pessoal acessar a documentação relevante da ROPA?
- O pessoal poderia explicar este processo e como ele impacta a sua função?


## Como fazer um ROPA para LGPD?
Um bom exemplo para quem está começando, ou tem uma empresa menor é utilizar planilhas para esse controle e organização.

Além disso, no site do [gov.br existem diversos guias e templates para te ajudar na adequação à LGPD.](https://www.gov.br/governodigital/pt-br/seguranca-e-protecao-de-dados/guias-operacionais-para-adequacao-a-lei-geral-de-protecao-de-dados-pessoais-lgpd)

Para empresas maiores que precisam estruturar melhor esses processos uma plataforma de gerenciamento da privacidade e mapeamento de dados pode ajudar muito! 

Por isso indicamos que você marque com o pessoal da [LGPDNOW](http://lgpdnow.com.br/) para uma conversa, sem compromisso, e ver como eles podem te ajudar no desenvolvimento do seu ROPA para LGPD.

Pois, templates e modelos importados de outras empresas ajuda muito. Mas, é essencial que você consiga traduzir exatamente a realidade da sua empresa com clareza e objetividade.

Todas as vezes que nos deparamos com a complexidade de justificar e embasar um a coleta de um dado, re-pensarmos a sua real necessidade. Afinal, devemos sempre prezar pela privacidade ao longo de todos os processos, como nos ensina o [Privacy by Design](https://goadopt.io/blog/o-que-e-privacy-by-design/)

## Como a AdOpt pode te ajudar no ROPA?
 
Conforme as recomendações da ICO listadas acima a Plataforma para LGPD da AdOpt te ajuda a mapear e organizar:

- [Banner de Cookies](https://goadopt.io/blog/banner-de-cookies/) dentro dos padrões da ICO, LGPD, GDPR, CCPA.
- Registros de todos os consentimentos por escrito; (organizado por usuário com data, hora e detalhes de cada consentimento.)
- API de Integração com suas demais plataformas para enriquecer os dados coletados com as informações de consentimento registradas.
- Entre outros, a depender do tamanho da sua empresa.

Estamos aqui para te ajudar!

Então, neste [link](https://calendly.com/valquiriaadopt) a nossa agenda aberta para discutirmos os seus desafios de adequação do seu negócio.

ROPA na LGPD? Conheça os Registros das Atividades de Tratamento

João Bruno Soares

Apesar de atualmente os chamados cookies de internet serem muito mais conhecidos, algumas empresas também utilizam o Local Storage e o Session Storage como outras maneiras, utilizadas pelos programadores, para armazenar informações persistentes no navegador do visitante. Contudo, qual a principal diferença entre cookies e local storage, por que escolher um ao outro? Esse artigo vai te ajudar com essas dúvidas!

Como já dito, [Cookies](https://goadopt.io/blog/cookies-e-lgpd/), Local Storage e Session Storage nada mais são do que métodos utilizados, via linguagem de programação, para armazenar informações no navegador do visitante do site.

Ou seja, nada mais fazem do que gravar informações no seu navegador a respeito do seu  acesso, e da maneira com que navega no site. Muitos destes já foram utilizados de forma maliciosa sendo até mesmo capazes de armazenar todas as informações digitadas em campos de texto de formulários, por exemplo.

## Calma, cookies e local storage não são sinônimos de invasão de privacidade.

Poucas pessoas sabem mas, os cookies são uma tecnologia inicialmente desenvolvida por hackers justamente para captar os dados das pessoas na internet. Posteriormente, essa tecnologia ganhou uma finalidade comercial e hoje é muito utilizada em toda a rede.

Antes de você se assustar, ou querer rejeitar todos os cookies e storages da internet, lembre-se, eles facilitam muito a sua vida. 

É graças a eles que os seus produtos permanecem no carrinho de compras quando você muda de aba, ou volta na loja para pegar mais um item. 

São eles que mantém um formulário pré-preenchido, caso aconteça alguma instabilidade de conexão evitando que você tenha que começar tudo de novo.

E também são eles que te dão as boas-vindas reconhecendo o seu acesso anterior, sem precisar logar na sua conta, centenas de vezes por dia.

## Quais as principais diferenças entre [cookies](https://goadopt.io/blog/cookies-e-lgpd/), local storage e session storage

Agora que já falamos das semelhanças, vamos às diferenças utilizando três principais critérios, são eles: **capacidade de armazenamento, local do armazenamento, persistência da informação e performance.**

**- Capacidade de armazenamento**

Essa capacidade costuma variar entre navegadores. Mas, em geral, os cookies armazenam até Cookie até 4096 bytes, ou 4kb, enquanto o Local Storage 5Mb, e o Session Storage entre 5mb a 10Mb.

Além disso, há também uma limitação no número máxima de cookies por domínio, não sendo recomendado que esse número ultrapasse 30.

Alguns navegadores, como o Opera, irão perguntar ao usuário se ele permite que o site utilize mais dados, quando esse limite é alcançado.

**- Local de armazenamento**

Informações dos cookies são armazenadas no navegador e no servidor de origem do serviço a ele referenciado.

Local Storage e Session Storage utilizam apenas o navegador como local de armazenamento de dados.

**- Persistência da informação.**

A persistência de informação se refere ao COMO e QUANDO a informação gravada é excluída, apagada ou invalidada.

**Cookies**

Cookies devem ter um prazo de validade, fazendo com que a informação ali armazenada seja invalidada, tornada obsoleta, quando esse prazo é alcançado. Contudo, sempre que o visitante apagar os cookies de um site, essa informação é excluída do navegador.

Alguns navegadores operam essa limpeza de cookies por padrão de tempos em tempos. Geralmente nas configurações você pode escolher essa funcionalidade.

[Aprenda a apagar os cookies e o cache do seu navegador.](https://goadopt.io/blog/apagar-cookies-cache-navegador)

Atualmente, por conta das legislações de privacidade como a LGPD, GDPR, CCPA, os sites que utilizam estes rastreadores devem obrigatoriamente comunicar a existência deles aos seus visitantes utilizando um aviso de cookies. Essa tecnologia, chamada [CMP](https://goadopt.io/blog/o-que-e-uma-cmp/), deve então bloquear os cookies de acordo com o consentimento do usuário. 

[Para saber tudo sobre  a GDPR, CCPA e LGPD, temos esse artigo para você.](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/)

**Local Storage**

O Local Storage não possui prazo de validade, logo a informação persiste armazenada no navegador até que o usuário faça uma limpeza e opere a exclusão. E também, são mais raros os navegadores que tenham funcionalidades de bloqueio destes, bem como sua exclusão periódica.

No caso das legislações de privacidade, principalmente a [GDPR](https://goadopt.io/), a mesma obrigatoriedade de comunicar seu uso acontece para o Local Storage. Logo, ao escolher seu aviso de cookies, certifique-se que ele lista também os rastreadores de Local Storage das tags de terceiros que você utiliza no seu site.

Para saber mais sobre [como funciona uma CMP ](https://goadopt.io/blog/o-que-e-uma-cmp/)aqui um artigo para te ajudar na compreensão.

**Session Storage**

No Local Storage a informação fica salva até que seja operada uma exclusão. Já no Session Storage, sempre que o visitante sai do site, ou fecha aquela aba do navegador a informação é excluída.

Essa é a principal diferença entre o Local e o Session Storage.


**- Performance**

Para analisarmos a performance entre cookies web storage (local e session), seria preciso um linguajar bastante técnico. Contudo, vamos tentar traduzir os fatos para que sejam mais simples.

Todo site tem uma parte visual codificada que está conectada a um servidor. É este que sustenta o site no ar, e quando alguém acessa aquele endereço (url) opera aquelas configurações visuais e responde à interação na tela. 

Essa interação é feita pelo [navegador (Chrome, Safari, Opera, Brave…)](https://goadopt.io/blog/apagar-cookies-cache-navegador)

Se o seu navegador tem cookies daquele site, além do navegador ter que se comunicar com o servidor do site, ele deve também aguardar a leitura do servidor àqueles cookies e seus respectivos servidores. Pois, podem haver cookies daquele site em específico, e também cookies de empresas terceiras instalados.

Assim sendo, quando utilizamos cookies, todas as requisições que você fizer ao site, dependerão também de você enviar as informações do(s) cookie(s) ao seu servidor de origem, e, depois, ao site. Logo, o simples fato de você utilizar um cookie na sua aplicação usa um pouco mais de "banda", "dados" de internet para que ele seja lido e executado pelo site, e apresentado no navegador.

**Enquanto o Local e o Session Storage, não precisam desta triangulação entre os servidores fazendo com que a quantidade de banda necessária para que o site responda àquela informação contida no web storage seja menor.**

## Como criar uma estratégia de consentimentos como [base legal da LGPD](https://goadopt.io/blog/bases-legais-da-lgpd/)?

Quer saber mais sobre [como funciona um aviso de cookies da LGPD](https://goadopt.io/blog/funcionamento-aviso-de-cookies/), neste link eu te explico o passo a passo da tecnologia desenvolvida pela [AdOpt](https://goadopt.io/blog/por-que-do-aviso-de-cookies/) e utilizada em milhares de sites.

Afinal, se o seu site utiliza cookies, você não pode simplesmente [ignorar a LGPD](https://goadopt.io/blog/ignorar-a-lgpd/), é preciso escolher uma estratégia para evitar as [multas](https://goadopt.io/blog/multas-na-lgpd/) dessa nova legislação.


GDPR, LGPD e CCPA: o que são essas leis, semelhanças e diferenças

ROPA na LGPD? Conheça os Registros das Atividades de Tratamento

Qual a diferença entre cookies, local e session storage?