A CCPA e o GDPR são as duas regulamentações de privacidade mais influentes globalmente, mas adotam abordagens fundamentalmente diferentes para proteger dados pessoais. Entender essas diferenças é essencial para organizações que operam em ambas as jurisdições.

Abordagem Filosófica

O GDPR é prescritivo: estabelece regras rígidas sobre o que as organizações podem e não podem fazer com dados pessoais, exigindo uma base legal antes que qualquer processamento comece. A CCPA é empoderadora do consumidor: dá aos indivíduos direitos para controlar seus dados, mas permite às empresas considerável liberdade, a menos que os consumidores exerçam ativamente esses direitos.

Escopo e Aplicabilidade

O GDPR se aplica a qualquer organização que processe dados de residentes da UE/EEE, independentemente do tamanho. A CCPA se aplica apenas a empresas com fins lucrativos que atendam a limites específicos de receita ou volume de dados. O GDPR cobre todo o processamento de dados pessoais; a CCPA isenta dados de funcionários e certas outras categorias.

Consentimento e Bases Legais

Sob o GDPR, as organizações precisam de uma base legal específica para processar dados pessoais, sendo o consentimento apenas uma das seis opções. A CCPA geralmente permite o processamento de dados por padrão, mas dá aos consumidores o direito de optar por não participar de vendas e compartilhamento de dados.

Dados Sensíveis

Ambas as regulamentações reconhecem categorias de dados sensíveis, mas o GDPR impõe restrições rigorosas de processamento exigindo consentimento explícito, enquanto a CCPA permite que os consumidores limitem o uso de dados sensíveis -- uma abordagem menos restritiva.

Fiscalização e Penalidades

As multas do GDPR podem chegar a 4% do faturamento anual global ou 20 milhões de euros. A fiscalização da CCPA é conduzida pelo Procurador-Geral e pela Agência de Proteção à Privacidade da Califórnia, com penalidades adicionais para violações não resolvidas após um período de correção de 30 dias. A CCPA também prevê o direito de ação privada para violações de dados.

Regras de Transferência de Dados

O GDPR possui regras elaboradas para transferências internacionais de dados que levaram a ações de fiscalização contra serviços baseados nos EUA. A CCPA não restringe transferências de dados transfronteiriças da mesma forma.