CCPA vs GDPR: Diferenças-chave que toda empresa deve entender em 2026
Se o seu site tem visitantes da Europa e da Califórnia, você precisa cumprir dois frameworks de privacidade diferentes: GDPR e CCPA (agora CPRA). Eles compartilham o mesmo objetivo — proteger dados pessoais — mas diferem fundamentalmente em abordagem, escopo e requisitos. Compreender essas diferenças é fundamental para configurar corretamente o gerenciamento de consentimento.
A diferença filosófica fundamental
- GDPR: Modelo opt-in — os dados não podem ser coletados até que o usuário dê consentimento ativamente
- CCPA/CPRA: Modelo opt-out — os dados podem ser coletados por padrão, mas os usuários devem ter a opção de recusar a venda e o compartilhamento
Diferenças-chave
1. Modelo de consentimento
O GDPR exige opt-in afirmativo antes de qualquer coleta de dados não essencial. O CCPA permite a coleta por padrão, mas exige um link visível com o texto «Do Not Sell or Share My Personal Information».
2. Quem é protegido
O GDPR protege todos os indivíduos na UE/EEE, independentemente da cidadania. O CCPA protege especificamente os residentes da Califórnia.
3. O que aciona a conformidade
O GDPR se aplica se você processar dados de residentes da UE — sem limite de receita. O CCPA se aplica a empresas com receita acima de US$ 25 milhões, dados de mais de 100 mil consumidores ou 50%+ da receita proveniente da venda de dados.
4. Multas
GDPR: Até €20 milhões ou 4% do faturamento global. CCPA: US$ 2.500 por violação não intencional, US$ 7.500 por violação intencional, mais direito de ação privada em caso de violações de dados.
5. Direitos do titular dos dados
Ambos fornecem direitos de acesso, exclusão e portabilidade. O GDPR acrescenta o direito de retificação e o direito de restringir o processamento. O CCPA acrescenta o direito de saber quais categorias de dados são vendidas.
Como seu CMP deve tratar ambos
- Detecção geográfica: Exibir banner de opt-in do GDPR para visitantes da UE, opt-out do CCPA para a Califórnia
- Estados padrão diferentes: Negado por padrão para a UE, permitido por padrão para os EUA (com opt-out)
- Link «Do Not Sell»: Obrigatório para o CCPA, normalmente no rodapé
- Registros de consentimento: Ambos exigem comprovação das escolhas de consentimento/opt-out
FlexyConsent
- Detecção geográfica automática — framework correto por visitante
- GDPR opt-in + CCPA opt-out em uma plataforma
- Google Consent Mode V2 + IAB TCF 2.3
- 43+ idiomas
- A partir de €0/mês