Marco legal por país

O que você encontrará aqui

A Trazza pode ser configurada para negócios de 27 países e territórios da América e da Europa. Esta página resume, para cada um, as leis de proteção de dados, de consumo e de acessibilidade mais relevantes para um negócio de beleza que usa um serviço na nuvem.

São informações gerais, vigentes em outubro de 2026, e não constituem assessoria jurídica. As leis mudam e algumas fontes não conseguimos verificar no texto oficial; quando é assim, nós dizemos.

Quem responde pelo quê

Cada negócio é responsável por cumprir as leis do seu país perante seus clientes e sua equipe.

A Trazza atua como operadora, também chamada de encargado, processadora ou prestadora de serviços, conforme o país: trata os dados em nome do negócio e de acordo com suas instruções, como explica o Acordo de tratamento de dados.

Como ler cada país

Agrupamos os países por região. Em cada um você verá sete pontos: a lei de proteção de dados, a autoridade, os direitos das pessoas, as transferências internacionais, a comunicação de incidentes, as normas de consumo e comércio eletrônico, e a acessibilidade.

Quando uma lei foi aprovada mas ainda não se aplica, ou quando existe apenas um projeto, indicamos isso expressamente. Um projeto não obriga ninguém até ser aprovado e publicado.

Abra um país para ver os detalhes. Você pode abrir vários ao mesmo tempo.

América do Sul

Argentina

Proteção de dados: Vigora a Ley 25.326 de Protección de los Datos Personales (2000), regulamentada pelo Decreto 1558/2001, e a Ley 27.699 aprovou a Convenção 108+. Há projetos de reforma no Congresso, como o expediente 3397-D-2026, sem sanção em outubro de 2026.
Autoridade: Agencia de Acceso a la Información Pública (AAIP): https://www.argentina.gob.ar/aaip
Direitos das pessoas: Acesso (gratuito a cada seis meses), retificação, atualização, supressão e confidencialidade, perante o controlador. Se ele não responder, cabe a denúncia à AAIP ou a ação de habeas data.
Transferências internacionais: A lei proíbe transferir para países sem proteção adequada, salvo consentimento ou garantias contratuais. A autoridade aprovou cláusulas modelo (Disposición 60-E/2016 e Resolución AAIP 198/2023), e os Estados Unidos não constam da lista de países adequados.
Comunicação de incidentes: Não há um dever legal de notificar incidentes. A Resolución AAIP 47/2018 recomenda notificá-los à AAIP e documentá-los.
Consumidor e comércio eletrônico: Ley 24.240 de Defensa del Consumidor e Código Civil y Comercial, que dá 10 dias para revogar contratos a distância. As normas do botão de arrependimento e do botão de cancelamento se aplicam às vendas on-line a consumidores, e a Ley 25.506 regula a assinatura digital.
Acessibilidade: Ley 26.653, de acessibilidade web, com o Decreto 656/2019 e o padrão WCAG 2.0 AA. Obriga o Estado e certas empresas vinculadas a ele, não as empresas privadas em geral.

Bolívia

Proteção de dados: Não há uma lei geral de proteção de dados pessoais. Vigoram a Constituição, que protege a privacidade e prevê a Acción de Protección de Privacidad (arts. 130 e 131), e normas setoriais como a Ley 164 de Telecomunicaciones y TIC. Há projetos de lei em tramitação, nenhum promulgado em outubro de 2026.
Autoridade: Não há uma autoridade de proteção de dados. Têm competências setoriais a AGETIC (https://www.agetic.gob.bo) e a ATT (https://www.att.gob.bo).
Direitos das pessoas: A Acción de Protección de Privacidad permite conhecer, impugnar, retificar ou eliminar dados guardados em bases públicas ou privadas, perante juízes e tribunais de garantias.
Transferências internacionais: Não há regras específicas sobre transferências internacionais.
Comunicação de incidentes: Não há um dever geral de notificar incidentes; podem se aplicar regras setoriais.
Consumidor e comércio eletrônico: Ley 453 General de los Derechos de las Usuarias y los Usuarios y de las Consumidoras y los Consumidores (2013), regulamentada pelo DS 2130. A Ley 164 e seus regulamentos (DS 1793 e DS 3527) dão validade aos documentos e às assinaturas digitais.
Acessibilidade: Ley 223 General para Personas con Discapacidad (2012). A AGETIC fixou diretrizes para os sites do Estado; não verificamos uma obrigação de cumprir as WCAG para privados.

Brasil

Proteção de dados: Vigora a Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018), com sanções desde agosto de 2021. A Lei 15.352 de 2026 transformou a ANPD em agência reguladora sem alterar as obrigações de fundo. O operador trata os dados de acordo com as instruções lícitas do controlador, aplica medidas de segurança e responde solidariamente se as descumprir.
Autoridade: Agência Nacional de Proteção de Dados (ANPD): https://www.gov.br/anpd/pt-br
Direitos das pessoas: Confirmação e acesso, correção, anonimização, bloqueio ou eliminação, portabilidade, informação sobre com quem os dados são compartilhados, revogação do consentimento, oposição e revisão de decisões automatizadas. São exercidos gratuitamente perante o controlador e depois perante a ANPD.
Transferências internacionais: Por adequação, com as cláusulas contratuais padrão da ANPD (Resolução 19/2024) ou com outros mecanismos. A União Europeia e o Brasil se reconheceram mutuamente como adequados em janeiro de 2026; os Estados Unidos não têm adequação.
Comunicação de incidentes: O controlador comunica à ANPD e aos titulares, dentro de 3 dias úteis, os incidentes que possam acarretar risco ou dano relevante (Resolução 15/2024), e registra todos os incidentes.
Consumidor e comércio eletrônico: Código de Defesa do Consumidor (Lei 8.078/1990), com 7 dias de arrependimento em contratos a distância, que também pode proteger pequenos negócios; Decreto 7.962/2013 sobre comércio eletrônico e Marco Civil da Internet (Lei 12.965/2014). A assinatura eletrônica é regida pela MP 2.200-2/2001 e pela Lei 14.063/2020.
Acessibilidade: A Lei Brasileira de Inclusão (Lei 13.146/2015, art. 63) exige acessibilidade nos sites de empresas com sede ou representação no Brasil. A norma ABNT NBR 17225:2025 se baseia nas WCAG 2.2.

Chile

Proteção de dados: Hoje vigora a Ley 19.628 sobre Protección de la Vida Privada (1999), e a Constituição protege os dados pessoais desde 2018 (art. 19 N° 4). A Ley 21.719, publicada em dezembro de 2024, modifica integralmente a Ley 19.628, cria a Agencia de Protección de Datos Personales e entra em vigor em 1º de dezembro de 2026. Um projeto de lei para adiá-la por um ano (Boletín 18.623-07) continuava em tramitação no Senado, sem aprovação, em outubro de 2026.
Autoridade: Hoje não há uma autoridade dedicada: as pessoas reclamam perante os tribunais, e o SERNAC atua nas relações de consumo (https://www.sernac.cl). A Ley 21.719 cria a Agencia de Protección de Datos Personales, que ainda não foi instalada.
Direitos das pessoas: Com a Ley 19.628: acesso, retificação, cancelamento e bloqueio, além da ação judicial de habeas data. Com a Ley 21.719 somam-se a oposição, a portabilidade e o direito de não ser objeto de decisões automatizadas, que são exercidos perante o controlador.
Transferências internacionais: A Ley 19.628 não tem um regime específico. A Ley 21.719 permitirá transferir para países adequados ou com garantias, como cláusulas contratuais modelo; a lista de países e as cláusulas ainda não foram editadas.
Comunicação de incidentes: Hoje não existe um dever geral de notificar. Com a Ley 21.719, o controlador deve comunicar à Agencia sem demora indevida e informar os titulares em certos casos; a Ley 21.663, de cibersegurança, fixa prazos próprios para serviços essenciais.
Consumidor e comércio eletrônico: Ley 19.496 de Protección de los Derechos de los Consumidores, reforçada pela Ley 21.398 (2021), com direito de arrependimento em contratos a distância, e Reglamento de Comercio Electrónico (DS 6/2021). A Ley 20.416 estende certas proteções a micro e pequenas empresas, e a Ley 19.799 regula os documentos e a assinatura eletrônica.
Acessibilidade: Ley 20.422 (2010), sobre igualdade de oportunidades para pessoas com deficiência. A norma técnica web baseada nas WCAG (DS 1/2015) obriga os órgãos do Estado; para empresas privadas não há uma obrigação geral de cumprir as WCAG.

Colômbia

Proteção de dados: Vigora a Ley Estatutaria 1581 de 2012 e seus decretos regulamentares, compilados no Decreto Único 1074 de 2015, junto com o habeas data do art. 15 da Constituição. Há projetos de reforma no Congresso, nenhum aprovado em outubro de 2026.
Autoridade: Superintendencia de Industria y Comercio (SIC), Delegatura para la Protección de Datos Personales: https://www.sic.gov.co
Direitos das pessoas: Conhecer, atualizar, retificar e suprimir os dados, revogar a autorização, pedir prova dela e apresentar queixa à SIC. As consultas são respondidas em 10 dias úteis e as reclamações em 15, e antes de recorrer à SIC é preciso reclamar ao controlador ou ao operador.
Transferências internacionais: Somente para países com nível adequado segundo a SIC, salvo exceções. Enviar dados a um operador no exterior (transmissão) não exige autorização do titular se houver um contrato de transmissão, e a SIC adotou em 2025 cláusulas modelo voluntárias.
Comunicação de incidentes: O controlador e o operador devem informar à SIC as violações aos códigos de segurança, por meio do Registro Nacional de Bases de Datos, dentro de 15 dias úteis desde que tomam conhecimento delas.
Consumidor e comércio eletrônico: Ley 1480 de 2011, Estatuto del Consumidor, com arrependimento de 5 dias úteis em vendas a distância e regras de comércio eletrônico. A Ley 527 de 1999 regula as mensagens de dados e as assinaturas digitais, e a Ley 2300 de 2023 limita os horários e canais de contato com os consumidores.
Acessibilidade: Ley Estatutaria 1618 de 2013. A Resolución MinTIC 1519 de 2020 exige WCAG 2.1 AA das entidades públicas.

Equador

Proteção de dados: Vigora a Ley Orgánica de Protección de Datos Personales (LOPDP, 2021), com regime sancionador desde maio de 2023 e um Reglamento General de novembro de 2023. A Superintendencia editou normas complementares em 2025 e 2026, entre elas sobre transferências, inteligência artificial e notificação de violações.
Autoridade: Superintendencia de Protección de Datos Personales (SPDP): https://spdp.gob.ec
Direitos das pessoas: Informação, acesso, retificação e atualização, eliminação, oposição, portabilidade, suspensão do tratamento e não ser objeto de decisões baseadas apenas em avaliações automatizadas. São exercidos perante o controlador e depois perante a SPDP ou com a ação de habeas data.
Transferências internacionais: Permite-se transferir para países adequados ou, se não o forem, com garantias como cláusulas contratuais padrão ou normas corporativas vinculantes, segundo a Norma General de Transferencias de janeiro de 2026.
Comunicação de incidentes: O operador avisa o controlador em no máximo 2 dias, e o controlador notifica a SPDP em no máximo 5 dias e informa os titulares em linguagem clara (art. 43 da LOPDP e norma técnica de setembro de 2026).
Consumidor e comércio eletrônico: Ley Orgánica de Defensa del Consumidor (2000) e Ley de Comercio Electrónico, Firmas Electrónicas y Mensajes de Datos (2002), que exige o consentimento do consumidor para usar meios eletrônicos.
Acessibilidade: Ley Orgánica de Discapacidades (2012). O regulamento técnico RTE INEN 288 sobre conteúdo web, equivalente às WCAG 2.0, é voltado principalmente ao setor público.

Guiana

Proteção de dados: A Data Protection Act 2023 (Act No. 18 of 2023), de perfil semelhante ao RGPD, foi promulgada, mas entra em vigor por ordem ministerial, e não encontramos essa ordem publicada até outubro de 2026. Enquanto isso, vigoram a proteção constitucional da privacidade e o common law.
Autoridade: A lei prevê um Data Protection Commissioner que ainda não foi estabelecido. O Ministério de Assuntos Jurídicos coordena sua implementação: https://mola.gov.gy
Direitos das pessoas: A lei reconhece acesso, retificação, supressão, restrição, portabilidade, oposição e direitos diante de decisões automatizadas, que ainda não estão operacionais.
Transferências internacionais: A lei regula as transferências para fora da Guiana com proteção adequada ou salvaguardas, mas essa parte ainda não está operacional.
Comunicação de incidentes: A lei prevê notificar o Commissioner e os titulares. Não verificamos o prazo, e hoje não há um canal operacional.
Consumidor e comércio eletrônico: Consumer Affairs Act 2011, aplicada pela Competition and Consumer Affairs Commission, e Electronic Communications and Transactions Act 2023, sobre contratos e assinaturas eletrônicas.
Acessibilidade: Persons with Disabilities Act 2010, sem uma obrigação web específica verificada.

Paraguai

Proteção de dados: A Ley 7593/2025 de Protección de Datos Personales, promulgada em novembro de 2025, é a primeira lei geral do país. Tem uma transição de dois anos, então sua plena exigibilidade é esperada para o fim de 2027, sujeita a regulamentação. Até lá vigoram o habeas data constitucional e leis setoriais, como a Ley 6534/2020, de dados de crédito.
Autoridade: A Ley 7593 cria a Agencia Nacional de Protección de Datos Personales dentro do MITIC, que ainda está em formação: https://www.mitic.gov.py
Direitos das pessoas: A Ley 7593 reconhece acesso, retificação, supressão, oposição, portabilidade e revisão de decisões automatizadas, entre outros. Enquanto ela não for plenamente exigível, usa-se a ação de habeas data do art. 135 da Constituição.
Transferências internacionais: A Ley 7593 permite transferir para países adequados ou com garantias, como cláusulas contratuais; os detalhes dependem da regulamentação pendente.
Comunicação de incidentes: Fontes secundárias indicam que a Ley 7593 exige notificar a autoridade e os afetados em 72 horas, mas não verificamos isso no texto oficial. Antes de sua plena vigência não há um dever geral.
Consumidor e comércio eletrônico: Ley 1334/1998 de Defensa del Consumidor y del Usuario, aplicada pela SEDECO, e Ley 4868/2013 de Comercio Electrónico. A Ley 6822/2021 regula a assinatura eletrônica e os serviços de confiança.
Acessibilidade: Não verificamos uma lei nem uma norma técnica obrigatória de acessibilidade web.

Peru

Proteção de dados: Vigora a Ley 29733 de Protección de Datos Personales (2011) e seu novo Reglamento (DS 016-2024-JUS), vigente desde 30 de março de 2025, que acrescenta responsabilidade proativa, portabilidade e um Oficial de Datos Personales obrigatório quando se tratam grandes volumes de dados ou dados sensíveis, com prazos escalonados conforme o porte da empresa. Os controladores inscrevem seus bancos de dados no Registro Nacional.
Autoridade: Autoridad Nacional de Protección de Datos Personales (ANPD), do Ministerio de Justicia y Derechos Humanos: https://www.gob.pe/institucion/anpd
Direitos das pessoas: Direitos ARCO (acesso, retificação, cancelamento e oposição), além de informação, portabilidade e tratamento objetivo diante de decisões automatizadas. São exercidos perante o controlador do banco de dados e, se ele não responder, cabe a tutela perante a ANPD.
Transferências internacionais: Permite-se o fluxo transfronteiriço para países adequados ou com garantias, como as cláusulas modelo da ANPD, e ele deve ser comunicado à autoridade. Deixar de comunicá-lo já foi objeto de sanção.
Comunicação de incidentes: É preciso notificar a ANPD dentro de 48 horas sobre os incidentes graves, como os que afetam grandes volumes ou dados sensíveis, e informar os titulares afetados. Todos os incidentes são documentados.
Consumidor e comércio eletrônico: Código de Protección y Defensa del Consumidor (Ley 29571), a cargo do INDECOPI. A Ley 32495 (2025) estende o Libro de Reclamaciones às plataformas de comércio eletrônico, e a Ley 27269 regula as assinaturas e os certificados digitais.
Acessibilidade: Ley 29973 General de la Persona con Discapacidad. Uma diretriz de 2025 baseada nas WCAG 2.2 é obrigatória para as entidades públicas.

Suriname

Proteção de dados: Não há uma lei geral de proteção de dados; um projeto apresentado em 2018 continua pendente, segundo as informações disponíveis. Vigoram o art. 17 da Constituição sobre a vida privada, a Wet Elektronisch Rechtsverkeer 2017 sobre os dados coletados pelos provedores eletrônicos e o novo Código Civil, vigente desde maio de 2025.
Autoridade: Não há uma autoridade de proteção de dados.
Direitos das pessoas: Não há um catálogo legal de direitos. A privacidade é protegida perante os tribunais e pela via da responsabilidade civil.
Transferências internacionais: Não há restrições legais específicas às transferências internacionais.
Comunicação de incidentes: Não há uma obrigação legal geral de notificar incidentes.
Consumidor e comércio eletrônico: A Wet Elektronisch Rechtsverkeer 2017 regula os contratos e as mensagens eletrônicas. Não consta a aprovação de um projeto de lei de proteção ao consumidor de 2020.
Acessibilidade: Não há lei nem padrão de acessibilidade digital. O Suriname ratificou em 2017 a Convenção da ONU sobre os Direitos das Pessoas com Deficiência.

Uruguai

Proteção de dados: Vigora a Ley 18.331 de Protección de Datos Personales (2008), com o Decreto 414/009, atualizada pela Ley 19.670 e pelo Decreto 64/020. A União Europeia reconhece o Uruguai como país com proteção adequada.
Autoridade: Unidad Reguladora y de Control de Datos Personales (URCDP), da AGESIC: https://www.gub.uy/unidad-reguladora-control-datos-personales
Direitos das pessoas: Acesso, retificação, atualização, inclusão e supressão, além do direito de ser informado. São exercidos perante o controlador e, se ele não responder, cabe a ação de habeas data ou a denúncia à URCDP.
Transferências internacionais: Somente para países adequados ou com garantias contratuais, segundo resoluções da URCDP; desde 2023, as organizações aderentes ao Data Privacy Framework dos Estados Unidos contam como adequadas. A Ley 20.075 exige informar as pessoas de que haverá transferência internacional.
Comunicação de incidentes: O Decreto 64/020 exige iniciar medidas em 24 horas, comunicar o incidente à URCDP em no máximo 72 horas e informar os titulares quando seus direitos forem afetados de forma significativa. O operador avisa imediatamente o controlador.
Consumidor e comércio eletrônico: Ley 17.250 de Relaciones de Consumo, com direito de arrependimento em vendas fora do estabelecimento, incluídas as realizadas por meios informáticos, e Decreto 167/021 sobre informação no comércio eletrônico. A Ley 18.600 regula o documento e a assinatura eletrônica.
Acessibilidade: Ley 18.651, de proteção integral das pessoas com deficiência. O Decreto 406/022 exige WCAG 2.1 A e AA do Estado e das pessoas públicas não estatais; para privados não é obrigatório.

Venezuela

Proteção de dados: Não há uma lei geral de proteção de dados pessoais. Vigoram a Constituição de 1999 (art. 28, habeas data, e art. 60, intimidade), a jurisprudência do Tribunal Supremo de Justicia e normas setoriais como a Ley Especial contra los Delitos Informáticos (2001).
Autoridade: Não há uma autoridade de proteção de dados: atuam os tribunais e a Defensoría del Pueblo. A SUSCERTE é a autoridade de assinatura eletrônica: https://www.suscerte.gob.ve
Direitos das pessoas: Habeas data (art. 28 da Constituição): acessar os próprios dados, conhecer seu uso e finalidade, e pedir sua atualização, retificação ou destruição quando forem errôneos ou afetarem direitos.
Transferências internacionais: Não há regras específicas sobre transferências internacionais.
Comunicação de incidentes: Não há um dever geral de notificar incidentes.
Consumidor e comércio eletrônico: Ley Orgánica de Precios Justos (2015), a cargo da SUNDDE, com uma reforma em discussão em 2026 cuja situação não verificamos. O Decreto-Ley sobre Mensajes de Datos y Firmas Electrónicas (2001) dá valor probatório às mensagens de dados.
Acessibilidade: Ley Orgánica para la Inclusión, Igualdad y Desarrollo Integral de las Personas con Discapacidad (2024). Não verificamos um padrão WCAG obrigatório.

América Central e Caribe

Belize

Proteção de dados: A Data Protection Act 2021 (Act No. 45 of 2021), de perfil semelhante ao RGPD, foi promulgada, mas entra em vigor por ordem ministerial, e não verificamos que essa ordem tenha sido publicada até outubro de 2026. Enquanto isso, vigoram a proteção constitucional da vida privada e o common law.
Autoridade: A lei prevê um Data Protection Commissioner, que não foi nomeado.
Direitos das pessoas: A lei reconhece acesso, retificação, supressão, restrição, portabilidade, oposição, incluída a oposição ao marketing direto, e direitos diante de decisões automatizadas; ainda não estão operacionais.
Transferências internacionais: A lei regula as transferências para fora de Belize com proteção adequada, salvaguardas ou normas corporativas vinculantes, mas essa parte ainda não está operacional.
Comunicação de incidentes: Uma fonte secundária indica que é preciso notificar a autoridade dentro de 72 horas, quando possível; não verificamos isso no texto da lei, e hoje não há um canal operacional.
Consumidor e comércio eletrônico: Electronic Transactions Act 2021, sobre contratos eletrônicos. Não há uma lei geral de proteção ao consumidor.
Acessibilidade: Disabilities Act 2024, que abrange edifícios, transporte e serviços essenciais; não verificamos obrigações para sites.

Costa Rica

Proteção de dados: Vigora a Ley 8968 de Protección de la Persona frente al Tratamiento de sus Datos Personales (2011) e seu regulamento. Exige consentimento informado, expresso e inequívoco. Em outubro de 2026 foi apresentado um projeto de reforma sobre vazamentos (expediente 25.826), sem aprovação.
Autoridade: Agencia de Protección de Datos de los Habitantes (PRODHAB): http://www.prodhab.go.cr
Direitos das pessoas: Acesso, retificação e supressão, e revogação do consentimento. Reclama-se perante a PRODHAB ou com um recurso de amparo perante a Sala Constitucional.
Transferências internacionais: Transferir a terceiros exige consentimento expresso e por escrito. As comunicações a provedores tecnológicos que atuam em nome do controlador não são consideradas transferências.
Comunicação de incidentes: É preciso notificar a pessoa afetada e a PRODHAB dentro dos 5 dias úteis seguintes ao conhecimento da violação.
Consumidor e comércio eletrônico: Ley 7472 de Promoción de la Competencia y Defensa Efectiva del Consumidor, com regras de comércio eletrônico em seu regulamento, e Ley 8454 de Certificados, Firmas Digitales y Documentos Electrónicos. Segundo a Ley General de Telecomunicaciones, o marketing não solicitado exige consentimento prévio.
Acessibilidade: Ley 7600 de Igualdad de Oportunidades para las Personas con Discapacidad. Uma diretriz de 2019 exige WCAG 2.1 do Poder Executivo; não obriga privados.

Cuba

Proteção de dados: Vigora a Ley 149/2022 de Protección de Datos Personales, vigente desde fevereiro de 2023, que distingue entre controlador e operador. A Resolución 58/2022 do Ministerio de Comunicaciones fixa requisitos de segurança e de registro para as bases de dados eletrônicas.
Autoridade: O Ministerio de Justicia como regulador, segundo fontes secundárias, e o Ministerio de Comunicaciones para a segurança dos dados eletrônicos: https://www.mincom.gob.cu
Direitos das pessoas: Acesso, retificação e atualização, cancelamento e oposição, que são exercidos perante o controlador ou o operador. Não verificamos os prazos de resposta.
Transferências internacionais: A lei regula as transferências internacionais, mas não verificamos o texto final dessas regras.
Comunicação de incidentes: Não encontramos uma obrigação clara de notificar incidentes na Ley 149.
Consumidor e comércio eletrônico: Não há uma lei geral de proteção ao consumidor; vigora a Resolución 54/2018 do Ministerio del Comercio Interior. O comércio on-line é regulado pelo Decreto-Ley 370/2018 e por normas de 2023 e 2026.
Acessibilidade: Não identificamos uma lei nem um padrão oficial de acessibilidade web.

El Salvador

Proteção de dados: Vigora a Ley para la Protección de Datos Personales (Decreto Legislativo 144 de 2024), reformada em setembro de 2026 pelo Decreto Legislativo 659, que eliminou a obrigação das empresas privadas de nomear um delegado de proteção de dados. Exige consentimento expresso e dá às pessoas o direito de saber quem guarda seus dados, incluindo os provedores de nuvem.
Autoridade: Agencia de Ciberseguridad del Estado (ACE), entidade reitora em dados pessoais. Não verificamos um endereço web oficial.
Direitos das pessoas: Direitos ARCO-POL: acesso, retificação, cancelamento, oposição, limitação, portabilidade e esquecimento. São exercidos gratuitamente perante o controlador.
Transferências internacionais: Toda transferência internacional exige, salvo exceções, o consentimento prévio da pessoa, um contrato com o destinatário com obrigações equivalentes e dar conhecimento do fluxo à ACE.
Comunicação de incidentes: É preciso notificar a ACE, a Fiscalía General de la República e os titulares afetados em no máximo 72 horas desde que se toma conhecimento da violação, e manter um registro de todas elas.
Consumidor e comércio eletrônico: Ley de Protección al Consumidor, com obrigações para o comércio eletrônico, aplicada pela Defensoría del Consumidor (https://www.defensoria.gob.sv). A Ley de Comercio Electrónico (2020) abrange os contratos eletrônicos entre empresas, e a Ley de Firma Electrónica (2015), sua validade.
Acessibilidade: Ley Especial de Inclusión de las Personas con Discapacidad. Não identificamos um padrão web obrigatório para privados.

Guatemala

Proteção de dados: Não há uma lei geral de proteção de dados pessoais; há iniciativas no Congresso, como a 6464, sem aprovação em outubro de 2026. Vigoram a Constituição, a jurisprudência da Corte de Constitucionalidad sobre autodeterminação informativa e a Ley de Acceso a la Información Pública (Decreto 57-2008), que se aplica aos sujeitos obrigados.
Autoridade: Não há uma autoridade de dados para o setor privado. No âmbito da Ley de Acceso a la Información Pública atua o Procurador de los Derechos Humanos: https://www.pdh.org.gt
Direitos das pessoas: Habeas data perante os sujeitos obrigados: acesso, atualização, retificação e proteção. Perante privados não há um regime legal de direitos ARCO; a via é o amparo constitucional.
Transferências internacionais: Não há um regime específico de transferências internacionais.
Comunicação de incidentes: Não há uma obrigação legal geral de notificar incidentes.
Consumidor e comércio eletrônico: Ley de Protección al Consumidor y Usuario (Decreto 006-2003), aplicada pela DIACO, e Ley para el Reconocimiento de las Comunicaciones y Firmas Electrónicas (Decreto 47-2008).
Acessibilidade: Ley de Atención a las Personas con Discapacidad (Decreto 135-96). Não identificamos um padrão oficial de acessibilidade web obrigatório para privados.

Haiti

Proteção de dados: Não há uma lei geral de proteção de dados. Um decreto regulamentar de 2018 exige consentimento, e o Código Penal de 2020 tipifica o tratamento ilícito de dados, embora sua vigência não esteja clara. Nossa confiança nessas informações é baixa.
Autoridade: Não há uma autoridade nacional de proteção de dados.
Direitos das pessoas: Não há um catálogo legal de direitos. O decreto de 2018 implica direitos de acesso e modificação, e a Constituição de 1987 protege a vida privada.
Transferências internacionais: Não há um regime específico de transferências internacionais.
Comunicação de incidentes: Não há obrigação de notificar incidentes.
Consumidor e comércio eletrônico: Há leis sobre trocas eletrônicas e assinatura eletrônica de 2017, atualizadas em 2025. Não identificamos uma lei geral de proteção ao consumidor vigente.
Acessibilidade: Há uma lei de 2012 sobre a integração das pessoas com deficiência; não identificamos um padrão web oficial.

Honduras

Proteção de dados: Não há uma lei geral vigente: o projeto de Ley de Protección de Datos Personales impulsionado pelo IAIP continuava pendente em agosto de 2026. Vigoram o habeas data do art. 182 da Constituição e a Ley de Transparencia y Acceso a la Información Pública, que exige consentimento expresso e por escrito para transferir dados pessoais confidenciais.
Autoridade: Não há uma autoridade específica de proteção de dados. O Instituto de Acceso a la Información Pública tem funções parciais: https://www.iaip.gob.hn
Direitos das pessoas: Habeas data constitucional: acesso, retificação, confidencialidade e supressão de dados falsos, por meio de uma ação perante a Sala de lo Constitucional.
Transferências internacionais: Não há um regime específico. A normativa de transparência exige consentimento expresso e por escrito para transferir dados pessoais confidenciais, salvo exceções.
Comunicação de incidentes: Não há uma obrigação legal de notificar incidentes.
Consumidor e comércio eletrônico: Ley de Protección al Consumidor (2008), com um regulamento vigente desde 2021, e Ley sobre Firmas Electrónicas (Decreto 149-2013). Existe ainda uma lei de comércio eletrônico de 2015 cujo número não verificamos.
Acessibilidade: Ley de Equidad y Desarrollo Integral para las Personas con Discapacidad (Decreto 160-2005). Não identificamos um padrão oficial de acessibilidade web.

Nicarágua

Proteção de dados: A Ley 787 de Protección de Datos Personales (2012) e seu regulamento (Decreto 36-2012) estão formalmente vigentes, mas sua aplicação prática é mínima porque a autoridade prevista não foi constituída. Exige consentimento para o tratamento, em especial de dados sensíveis.
Autoridade: A Ley 787 prevê uma Dirección de Protección de Datos Personales no Ministerio de Hacienda y Crédito Público, que não está em funcionamento.
Direitos das pessoas: Acesso, retificação, modificação, cancelamento e revogação do consentimento, segundo a Ley 787.
Transferências internacionais: As cessões exigem o consentimento prévio da pessoa, informando-lhe a finalidade e quem recebe os dados. Não há um regime operacional de transferências internacionais.
Comunicação de incidentes: Não há uma obrigação geral de notificar incidentes.
Consumidor e comércio eletrônico: Ley 842 de Protección de los Derechos de las Personas Consumidoras y Usuarias (2013), reformada em 2021, e Ley 729 de Firma Electrónica (2010).
Acessibilidade: Ley 763 de los Derechos de las Personas con Discapacidad (2011). Não identificamos um padrão oficial de acessibilidade web.

Panamá

Proteção de dados: Vigora a Ley 81 de 2019 sobre Protección de Datos Personales, vigente desde março de 2021 e regulamentada pelo Decreto Ejecutivo 285 de 2021. O operador atua de acordo com as instruções do controlador e deve avisá-lo imediatamente diante de um incidente.
Autoridade: Autoridad Nacional de Transparencia y Acceso a la Información (ANTAI), Dirección de Protección de Datos Personales: https://www.antai.gob.pa
Direitos das pessoas: Acesso, retificação, cancelamento, oposição e portabilidade. São exercidos perante o controlador e, se ele não responder, denuncia-se à ANTAI.
Transferências internacionais: A regra geral é o consentimento prévio e informado. Permitem-se transferências para países com proteção adequada, entre empresas do mesmo grupo ou com garantias contratuais.
Comunicação de incidentes: É preciso notificar a ANTAI e os titulares afetados imediatamente e dentro de 72 horas, documentando as causas, os efeitos e as medidas tomadas.
Consumidor e comércio eletrônico: Ley 45 de 2007, de proteção ao consumidor, aplicada pela ACODECO (https://www.acodeco.gob.pa), e Ley 51 de 2008, sobre documentos, assinaturas e comércio eletrônico, que exige consentimento prévio e uma opção de descadastramento no e-mail comercial.
Acessibilidade: Ley 42 de 1999, sobre equiparação de oportunidades, reformada pela Ley 15 de 2016. Não há um padrão web obrigatório.

Porto Rico

Proteção de dados: Não há uma lei geral de privacidade, nem federal nem de Porto Rico. Vigoram leis setoriais, como a Ley 111-2005, de notificação de violações de dados, e leis federais como a FTC Act, a CAN-SPAM, a TCPA para mensagens e chamadas automatizadas e a COPPA para menores de 13 anos.
Autoridade: Departamento de Asuntos del Consumidor (DACO): https://www.daco.pr.gov. Federal Trade Commission (FTC): https://www.ftc.gov
Direitos das pessoas: Não há direitos ARCO gerais na lei. A Constituição de Porto Rico protege a vida privada, inclusive perante particulares, e existem direitos setoriais.
Transferências internacionais: Não há restrições gerais às transferências internacionais.
Comunicação de incidentes: Se alguém acessar sem autorização certas informações pessoais não criptografadas, é preciso notificar os afetados o quanto antes e apresentar um relatório ao DACO dentro de 10 dias a partir da detecção (Ley 111-2005).
Consumidor e comércio eletrônico: Ley Orgánica del DACO e seus regulamentos contra práticas enganosas, Ley 148-2006 de Transacciones Electrónicas e a lei federal E-SIGN. Para assinaturas com renovação automática aplicam-se a ROSCA e a regra de opção negativa da FTC.
Acessibilidade: A Ley 229-2003 obriga as agências do Governo a seguir as diretrizes WCAG. Para privados, a ADA (Título III) tem interpretação dividida e as WCAG 2.1 AA são usadas como referência.

República Dominicana

Proteção de dados: Vigora a Ley 172-13 sobre Protección Integral de los Datos Personales (2013), que exige um consentimento livre, inequívoco e informado, com exceções, e medidas de segurança. Um projeto de reforma que criaria uma autoridade independente continuava em discussão em 2026.
Autoridade: Não há uma autoridade geral de proteção de dados para o setor privado. O Pro Consumidor atua nas relações de consumo (https://proconsumidor.gob.do), e os tribunais julgam o habeas data.
Direitos das pessoas: Acesso, retificação e cancelamento ou supressão, além da ação de habeas data (arts. 44 e 70 da Constituição).
Transferências internacionais: Somente com a autorização expressa da pessoa ou quando for necessária para executar um contrato com ela.
Comunicação de incidentes: Não há uma obrigação legal vigente de notificar incidentes.
Consumidor e comércio eletrônico: Ley 358-05 General de Protección de los Derechos del Consumidor o Usuario e Ley 126-02 de Comercio Electrónico, Documentos y Firmas Digitales. A Ley 310-14 exige consentimento e um mecanismo de descadastramento nos e-mails comerciais.
Acessibilidade: Ley 5-13 sobre Discapacidad. A norma NORTIC B2 de acessibilidade web é obrigatória para os portais do Estado e voluntária para os privados.

América do Norte

Estados Unidos

Proteção de dados: Não há uma lei federal geral de privacidade; a FTC pune as práticas desleais ou enganosas, incluindo as promessas de privacidade descumpridas. Cerca de vinte estados têm leis gerais vigentes, como Califórnia (CCPA e CPRA), Virgínia, Colorado ou Texas, com limites que muitos negócios pequenos não atingem.
Autoridade: Federal Trade Commission (FTC): https://www.ftc.gov. Na Califórnia, a California Privacy Protection Agency (https://cppa.ca.gov); nos demais estados, seus procuradores-gerais.
Direitos das pessoas: Na Califórnia: saber e acessar, suprimir, corrigir, optar por não participar da venda ou do compartilhamento de dados e limitar o uso de informações sensíveis. Nos demais estados com lei geral: acesso, correção, supressão, portabilidade e exclusão da publicidade direcionada e da criação de perfis.
Transferências internacionais: Não há uma restrição geral. Uma regra do Departamento de Justiça vigente desde abril de 2025 limita dar acesso a grandes volumes de dados sensíveis de pessoas nos Estados Unidos a certos países, entre eles China, Rússia, Irã, Coreia do Norte e Cuba. A Venezuela também constava da lista; convém verificar se continua nela.
Comunicação de incidentes: Todos os estados têm leis de notificação de violações de dados, com prazos que vão de sem demora irrazoável até 30 a 60 dias. Quem trata dados em nome de outro deve avisar imediatamente o dono dos dados.
Consumidor e comércio eletrônico: FTC Act e ROSCA, que exige consentimento informado e uma forma simples de cancelar as assinaturas; a regra federal de cancelamento com um clique foi anulada em 2025. A Califórnia tem sua própria lei de renovação automática, e as leis E-SIGN e UETA dão validade aos contratos e assinaturas eletrônicas.
Acessibilidade: A ADA (Título III) tem interpretação dividida para os sites privados e, na prática, as WCAG 2.1 AA são usadas como referência. Para os governos estaduais e locais vigora uma regra do Departamento de Justiça baseada nas WCAG 2.1 AA.

México

Proteção de dados: Vigora a Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada em 20 de março de 2025, que substituiu a lei de 2010; o regulamento de 2011 continua sendo aplicado no que não a contrariar. O operador trata os dados somente de acordo com as instruções do controlador e os suprime ou devolve ao fim da relação.
Autoridade: Secretaría Anticorrupción y Buen Gobierno, que assumiu em 2025 as funções do extinto INAI: https://www.gob.mx/buengobierno
Direitos das pessoas: Direitos ARCO (acesso, retificação, cancelamento e oposição) e revogação do consentimento. O controlador tem até 20 dias para responder; depois cabe o procedimento de proteção de direitos perante a autoridade.
Transferências internacionais: Transferir para um terceiro distinto do operador exige consentimento, salvo exceções legais. A remessa a operadores, ainda que estejam em outro país, não exige consentimento se houver contrato e instruções.
Comunicação de incidentes: O controlador deve informar imediatamente os titulares sobre as violações que afetem de forma significativa seus direitos patrimoniais ou morais. A lei não prevê notificar a autoridade.
Consumidor e comércio eletrônico: Ley Federal de Protección al Consumidor, com regras de comércio eletrônico e, desde dezembro de 2025, deveres sobre cobranças recorrentes, avisos de renovação e cancelamento simples. Uma microempresa credenciada pode reclamar perante a PROFECO, e o Código de Comercio regula as mensagens de dados e a assinatura eletrônica.
Acessibilidade: Ley General para la Inclusión de las Personas con Discapacidad (2011). As disposições de acessibilidade web de 2015 obrigam apenas a Administración Pública Federal; para privados não há um padrão obrigatório.

Europa

Espanha

Proteção de dados: Vigoram o Regulamento Geral sobre a Proteção de Dados da União Europeia (RGPD, Regulamento 2016/679) e a Ley Orgánica 3/2018 (LOPDGDD). O operador precisa de um contrato com o conteúdo do art. 28 do RGPD. A reforma do RGPD conhecida como Digital Omnibus continua em tramitação, sem aprovação.
Autoridade: Agencia Española de Protección de Datos (AEPD): https://www.aepd.es
Direitos das pessoas: Acesso, retificação, supressão, limitação, portabilidade, oposição e não ser objeto de decisões individuais automatizadas. São exercidos gratuitamente perante o controlador, que responde em um mês prorrogável, e reclama-se perante a AEPD.
Transferências internacionais: Fora do Espaço Econômico Europeu, somente para países com decisão de adequação, como Argentina, Uruguai, Brasil desde 2026 ou empresas dos Estados Unidos certificadas no Data Privacy Framework, ou com cláusulas contratuais padrão e uma avaliação de impacto. O Chile e a maior parte da América Latina não têm adequação.
Comunicação de incidentes: O controlador notifica a AEPD em 72 horas, salvo se for improvável um risco, e informa os afetados se o risco for alto. O operador avisa o controlador sem demora indevida.
Consumidor e comércio eletrônico: Ley General para la Defensa de los Consumidores y Usuarios (Real Decreto Legislativo 1/2007), com 14 dias de direito de desistência para consumidores, e Ley 34/2002, de serviços da sociedade da informação, que regula as comunicações comerciais e os cookies. A Ley 7/1998, sobre condições gerais de contratação, também se aplica entre empresas.
Acessibilidade: Ley 11/2023, que transpõe o Ato Europeu de Acessibilidade e se aplica desde junho de 2025 aos serviços de comércio eletrônico para consumidores, com isenção para as microempresas que prestam serviços. O padrão técnico é a EN 301 549.

Portugal

Proteção de dados: Vigoram o RGPD e a Lei 58/2019, que o executa em Portugal; a autoridade decidiu não aplicar algumas de suas disposições por considerá-las incompatíveis com o RGPD. O subcontratante, como lá é chamado o operador, precisa de um contrato com o conteúdo do art. 28 do RGPD.
Autoridade: Comissão Nacional de Proteção de Dados (CNPD): https://www.cnpd.pt
Direitos das pessoas: Acesso, retificação, supressão, limitação, portabilidade, oposição e não ser objeto de decisões automatizadas. São exercidos perante o controlador, que responde em um mês prorrogável, e reclama-se perante a CNPD.
Transferências internacionais: As mesmas regras do RGPD que na Espanha: adequação, cláusulas contratuais padrão com avaliação de impacto ou normas corporativas vinculantes.
Comunicação de incidentes: O controlador notifica a CNPD em 72 horas e os titulares se o risco for alto. O operador avisa o controlador sem demora injustificada.
Consumidor e comércio eletrônico: Lei 24/96 de Defesa do Consumidor, Decreto-Lei 24/2014 sobre contratos a distância, com 14 dias para consumidores, Decreto-Lei 7/2004 sobre comércio eletrônico e Decreto-Lei 446/85 sobre cláusulas gerais, que também se aplica entre empresas. O Livro de Reclamações eletrônico se aplica a quem presta serviços a consumidores.
Acessibilidade: Decreto-Lei 82/2022, que transpõe o Ato Europeu de Acessibilidade desde junho de 2025, e Decreto-Lei 83/2018 para o setor público (WCAG 2.1 AA).

Por que as transferências importam

A aplicação e o banco de dados da Trazza funcionam em São Paulo (Brasil), e alguns provedores estão nos Estados Unidos. Por isso, convém verificar o que a lei de cada país exige para enviar dados ao exterior.

Muitas leis da região permitem enviar dados a um operador em outro país se houver um contrato que o respalde. Outras exigem também o consentimento da pessoa ou que a autoridade seja avisada.

O que se repete em quase todos os países

Informar as pessoas sobre quais dados são coletados e para quê, com uma política ou um aviso de privacidade.

Pedir consentimento para as mensagens promocionais e respeitar quem pede para não recebê-las.

Ter um contrato com quem trata dados em seu nome, como a Trazza.

Proteger os dados com medidas de segurança razoáveis e saber o que fazer diante de um incidente.

Atualizações

Revisamos esta página periodicamente. Se você vir uma informação desatualizada, avise-nos pelo canal de contato indicado no final desta página.

Antes de tomar decisões importantes, consulte a fonte oficial ou um advogado do seu país.

Outros documentos jurídicos

Voltar à central jurídica

Contato

Se você tiver dúvidas sobre este documento ou sobre seus dados, escreva para nós em contacto@trazza.pro.

Quem opera a Trazza

O serviço Trazza Pro é operado a partir de Santiago do Chile. Para consultas jurídicas, de privacidade ou sobre seus dados, escreva para nós em contacto@trazza.pro.

O que você encontrará aqui

Quem responde pelo quê

Cada negócio é responsável por cumprir as leis do seu país perante seus clientes e sua equipe.

Como ler cada país

Quando uma lei foi aprovada mas ainda não se aplica, ou quando existe apenas um projeto, indicamos isso expressamente. Um projeto não obriga ninguém até ser aprovado e publicado.

Abra um país para ver os detalhes. Você pode abrir vários ao mesmo tempo.

América do Sul

Argentina

Proteção de dados: Vigora a Ley 25.326 de Protección de los Datos Personales (2000), regulamentada pelo Decreto 1558/2001, e a Ley 27.699 aprovou a Convenção 108+. Há projetos de reforma no Congresso, como o expediente 3397-D-2026, sem sanção em outubro de 2026.
Autoridade: Agencia de Acceso a la Información Pública (AAIP): https://www.argentina.gob.ar/aaip
Direitos das pessoas: Acesso (gratuito a cada seis meses), retificação, atualização, supressão e confidencialidade, perante o controlador. Se ele não responder, cabe a denúncia à AAIP ou a ação de habeas data.
Transferências internacionais: A lei proíbe transferir para países sem proteção adequada, salvo consentimento ou garantias contratuais. A autoridade aprovou cláusulas modelo (Disposición 60-E/2016 e Resolución AAIP 198/2023), e os Estados Unidos não constam da lista de países adequados.
Comunicação de incidentes: Não há um dever legal de notificar incidentes. A Resolución AAIP 47/2018 recomenda notificá-los à AAIP e documentá-los.
Consumidor e comércio eletrônico: Ley 24.240 de Defensa del Consumidor e Código Civil y Comercial, que dá 10 dias para revogar contratos a distância. As normas do botão de arrependimento e do botão de cancelamento se aplicam às vendas on-line a consumidores, e a Ley 25.506 regula a assinatura digital.
Acessibilidade: Ley 26.653, de acessibilidade web, com o Decreto 656/2019 e o padrão WCAG 2.0 AA. Obriga o Estado e certas empresas vinculadas a ele, não as empresas privadas em geral.

Bolívia

Proteção de dados: Não há uma lei geral de proteção de dados pessoais. Vigoram a Constituição, que protege a privacidade e prevê a Acción de Protección de Privacidad (arts. 130 e 131), e normas setoriais como a Ley 164 de Telecomunicaciones y TIC. Há projetos de lei em tramitação, nenhum promulgado em outubro de 2026.
Autoridade: Não há uma autoridade de proteção de dados. Têm competências setoriais a AGETIC (https://www.agetic.gob.bo) e a ATT (https://www.att.gob.bo).
Direitos das pessoas: A Acción de Protección de Privacidad permite conhecer, impugnar, retificar ou eliminar dados guardados em bases públicas ou privadas, perante juízes e tribunais de garantias.
Transferências internacionais: Não há regras específicas sobre transferências internacionais.
Comunicação de incidentes: Não há um dever geral de notificar incidentes; podem se aplicar regras setoriais.
Consumidor e comércio eletrônico: Ley 453 General de los Derechos de las Usuarias y los Usuarios y de las Consumidoras y los Consumidores (2013), regulamentada pelo DS 2130. A Ley 164 e seus regulamentos (DS 1793 e DS 3527) dão validade aos documentos e às assinaturas digitais.
Acessibilidade: Ley 223 General para Personas con Discapacidad (2012). A AGETIC fixou diretrizes para os sites do Estado; não verificamos uma obrigação de cumprir as WCAG para privados.

Brasil

Proteção de dados: Vigora a Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018), com sanções desde agosto de 2021. A Lei 15.352 de 2026 transformou a ANPD em agência reguladora sem alterar as obrigações de fundo. O operador trata os dados de acordo com as instruções lícitas do controlador, aplica medidas de segurança e responde solidariamente se as descumprir.
Autoridade: Agência Nacional de Proteção de Dados (ANPD): https://www.gov.br/anpd/pt-br
Direitos das pessoas: Confirmação e acesso, correção, anonimização, bloqueio ou eliminação, portabilidade, informação sobre com quem os dados são compartilhados, revogação do consentimento, oposição e revisão de decisões automatizadas. São exercidos gratuitamente perante o controlador e depois perante a ANPD.
Transferências internacionais: Por adequação, com as cláusulas contratuais padrão da ANPD (Resolução 19/2024) ou com outros mecanismos. A União Europeia e o Brasil se reconheceram mutuamente como adequados em janeiro de 2026; os Estados Unidos não têm adequação.
Comunicação de incidentes: O controlador comunica à ANPD e aos titulares, dentro de 3 dias úteis, os incidentes que possam acarretar risco ou dano relevante (Resolução 15/2024), e registra todos os incidentes.
Consumidor e comércio eletrônico: Código de Defesa do Consumidor (Lei 8.078/1990), com 7 dias de arrependimento em contratos a distância, que também pode proteger pequenos negócios; Decreto 7.962/2013 sobre comércio eletrônico e Marco Civil da Internet (Lei 12.965/2014). A assinatura eletrônica é regida pela MP 2.200-2/2001 e pela Lei 14.063/2020.
Acessibilidade: A Lei Brasileira de Inclusão (Lei 13.146/2015, art. 63) exige acessibilidade nos sites de empresas com sede ou representação no Brasil. A norma ABNT NBR 17225:2025 se baseia nas WCAG 2.2.

Chile

Proteção de dados: Hoje vigora a Ley 19.628 sobre Protección de la Vida Privada (1999), e a Constituição protege os dados pessoais desde 2018 (art. 19 N° 4). A Ley 21.719, publicada em dezembro de 2024, modifica integralmente a Ley 19.628, cria a Agencia de Protección de Datos Personales e entra em vigor em 1º de dezembro de 2026. Um projeto de lei para adiá-la por um ano (Boletín 18.623-07) continuava em tramitação no Senado, sem aprovação, em outubro de 2026.
Autoridade: Hoje não há uma autoridade dedicada: as pessoas reclamam perante os tribunais, e o SERNAC atua nas relações de consumo (https://www.sernac.cl). A Ley 21.719 cria a Agencia de Protección de Datos Personales, que ainda não foi instalada.
Direitos das pessoas: Com a Ley 19.628: acesso, retificação, cancelamento e bloqueio, além da ação judicial de habeas data. Com a Ley 21.719 somam-se a oposição, a portabilidade e o direito de não ser objeto de decisões automatizadas, que são exercidos perante o controlador.
Transferências internacionais: A Ley 19.628 não tem um regime específico. A Ley 21.719 permitirá transferir para países adequados ou com garantias, como cláusulas contratuais modelo; a lista de países e as cláusulas ainda não foram editadas.
Comunicação de incidentes: Hoje não existe um dever geral de notificar. Com a Ley 21.719, o controlador deve comunicar à Agencia sem demora indevida e informar os titulares em certos casos; a Ley 21.663, de cibersegurança, fixa prazos próprios para serviços essenciais.
Consumidor e comércio eletrônico: Ley 19.496 de Protección de los Derechos de los Consumidores, reforçada pela Ley 21.398 (2021), com direito de arrependimento em contratos a distância, e Reglamento de Comercio Electrónico (DS 6/2021). A Ley 20.416 estende certas proteções a micro e pequenas empresas, e a Ley 19.799 regula os documentos e a assinatura eletrônica.
Acessibilidade: Ley 20.422 (2010), sobre igualdade de oportunidades para pessoas com deficiência. A norma técnica web baseada nas WCAG (DS 1/2015) obriga os órgãos do Estado; para empresas privadas não há uma obrigação geral de cumprir as WCAG.

Colômbia

Proteção de dados: Vigora a Ley Estatutaria 1581 de 2012 e seus decretos regulamentares, compilados no Decreto Único 1074 de 2015, junto com o habeas data do art. 15 da Constituição. Há projetos de reforma no Congresso, nenhum aprovado em outubro de 2026.
Autoridade: Superintendencia de Industria y Comercio (SIC), Delegatura para la Protección de Datos Personales: https://www.sic.gov.co
Direitos das pessoas: Conhecer, atualizar, retificar e suprimir os dados, revogar a autorização, pedir prova dela e apresentar queixa à SIC. As consultas são respondidas em 10 dias úteis e as reclamações em 15, e antes de recorrer à SIC é preciso reclamar ao controlador ou ao operador.
Transferências internacionais: Somente para países com nível adequado segundo a SIC, salvo exceções. Enviar dados a um operador no exterior (transmissão) não exige autorização do titular se houver um contrato de transmissão, e a SIC adotou em 2025 cláusulas modelo voluntárias.
Comunicação de incidentes: O controlador e o operador devem informar à SIC as violações aos códigos de segurança, por meio do Registro Nacional de Bases de Datos, dentro de 15 dias úteis desde que tomam conhecimento delas.
Consumidor e comércio eletrônico: Ley 1480 de 2011, Estatuto del Consumidor, com arrependimento de 5 dias úteis em vendas a distância e regras de comércio eletrônico. A Ley 527 de 1999 regula as mensagens de dados e as assinaturas digitais, e a Ley 2300 de 2023 limita os horários e canais de contato com os consumidores.
Acessibilidade: Ley Estatutaria 1618 de 2013. A Resolución MinTIC 1519 de 2020 exige WCAG 2.1 AA das entidades públicas.

Equador

Proteção de dados: Vigora a Ley Orgánica de Protección de Datos Personales (LOPDP, 2021), com regime sancionador desde maio de 2023 e um Reglamento General de novembro de 2023. A Superintendencia editou normas complementares em 2025 e 2026, entre elas sobre transferências, inteligência artificial e notificação de violações.
Autoridade: Superintendencia de Protección de Datos Personales (SPDP): https://spdp.gob.ec
Direitos das pessoas: Informação, acesso, retificação e atualização, eliminação, oposição, portabilidade, suspensão do tratamento e não ser objeto de decisões baseadas apenas em avaliações automatizadas. São exercidos perante o controlador e depois perante a SPDP ou com a ação de habeas data.
Transferências internacionais: Permite-se transferir para países adequados ou, se não o forem, com garantias como cláusulas contratuais padrão ou normas corporativas vinculantes, segundo a Norma General de Transferencias de janeiro de 2026.
Comunicação de incidentes: O operador avisa o controlador em no máximo 2 dias, e o controlador notifica a SPDP em no máximo 5 dias e informa os titulares em linguagem clara (art. 43 da LOPDP e norma técnica de setembro de 2026).
Consumidor e comércio eletrônico: Ley Orgánica de Defensa del Consumidor (2000) e Ley de Comercio Electrónico, Firmas Electrónicas y Mensajes de Datos (2002), que exige o consentimento do consumidor para usar meios eletrônicos.
Acessibilidade: Ley Orgánica de Discapacidades (2012). O regulamento técnico RTE INEN 288 sobre conteúdo web, equivalente às WCAG 2.0, é voltado principalmente ao setor público.

Guiana

Proteção de dados: A Data Protection Act 2023 (Act No. 18 of 2023), de perfil semelhante ao RGPD, foi promulgada, mas entra em vigor por ordem ministerial, e não encontramos essa ordem publicada até outubro de 2026. Enquanto isso, vigoram a proteção constitucional da privacidade e o common law.
Autoridade: A lei prevê um Data Protection Commissioner que ainda não foi estabelecido. O Ministério de Assuntos Jurídicos coordena sua implementação: https://mola.gov.gy
Direitos das pessoas: A lei reconhece acesso, retificação, supressão, restrição, portabilidade, oposição e direitos diante de decisões automatizadas, que ainda não estão operacionais.
Transferências internacionais: A lei regula as transferências para fora da Guiana com proteção adequada ou salvaguardas, mas essa parte ainda não está operacional.
Comunicação de incidentes: A lei prevê notificar o Commissioner e os titulares. Não verificamos o prazo, e hoje não há um canal operacional.
Consumidor e comércio eletrônico: Consumer Affairs Act 2011, aplicada pela Competition and Consumer Affairs Commission, e Electronic Communications and Transactions Act 2023, sobre contratos e assinaturas eletrônicas.
Acessibilidade: Persons with Disabilities Act 2010, sem uma obrigação web específica verificada.

Paraguai

Proteção de dados: A Ley 7593/2025 de Protección de Datos Personales, promulgada em novembro de 2025, é a primeira lei geral do país. Tem uma transição de dois anos, então sua plena exigibilidade é esperada para o fim de 2027, sujeita a regulamentação. Até lá vigoram o habeas data constitucional e leis setoriais, como a Ley 6534/2020, de dados de crédito.
Autoridade: A Ley 7593 cria a Agencia Nacional de Protección de Datos Personales dentro do MITIC, que ainda está em formação: https://www.mitic.gov.py
Direitos das pessoas: A Ley 7593 reconhece acesso, retificação, supressão, oposição, portabilidade e revisão de decisões automatizadas, entre outros. Enquanto ela não for plenamente exigível, usa-se a ação de habeas data do art. 135 da Constituição.
Transferências internacionais: A Ley 7593 permite transferir para países adequados ou com garantias, como cláusulas contratuais; os detalhes dependem da regulamentação pendente.
Comunicação de incidentes: Fontes secundárias indicam que a Ley 7593 exige notificar a autoridade e os afetados em 72 horas, mas não verificamos isso no texto oficial. Antes de sua plena vigência não há um dever geral.
Consumidor e comércio eletrônico: Ley 1334/1998 de Defensa del Consumidor y del Usuario, aplicada pela SEDECO, e Ley 4868/2013 de Comercio Electrónico. A Ley 6822/2021 regula a assinatura eletrônica e os serviços de confiança.
Acessibilidade: Não verificamos uma lei nem uma norma técnica obrigatória de acessibilidade web.

Peru

Proteção de dados: Vigora a Ley 29733 de Protección de Datos Personales (2011) e seu novo Reglamento (DS 016-2024-JUS), vigente desde 30 de março de 2025, que acrescenta responsabilidade proativa, portabilidade e um Oficial de Datos Personales obrigatório quando se tratam grandes volumes de dados ou dados sensíveis, com prazos escalonados conforme o porte da empresa. Os controladores inscrevem seus bancos de dados no Registro Nacional.
Autoridade: Autoridad Nacional de Protección de Datos Personales (ANPD), do Ministerio de Justicia y Derechos Humanos: https://www.gob.pe/institucion/anpd
Direitos das pessoas: Direitos ARCO (acesso, retificação, cancelamento e oposição), além de informação, portabilidade e tratamento objetivo diante de decisões automatizadas. São exercidos perante o controlador do banco de dados e, se ele não responder, cabe a tutela perante a ANPD.
Transferências internacionais: Permite-se o fluxo transfronteiriço para países adequados ou com garantias, como as cláusulas modelo da ANPD, e ele deve ser comunicado à autoridade. Deixar de comunicá-lo já foi objeto de sanção.
Comunicação de incidentes: É preciso notificar a ANPD dentro de 48 horas sobre os incidentes graves, como os que afetam grandes volumes ou dados sensíveis, e informar os titulares afetados. Todos os incidentes são documentados.
Consumidor e comércio eletrônico: Código de Protección y Defensa del Consumidor (Ley 29571), a cargo do INDECOPI. A Ley 32495 (2025) estende o Libro de Reclamaciones às plataformas de comércio eletrônico, e a Ley 27269 regula as assinaturas e os certificados digitais.
Acessibilidade: Ley 29973 General de la Persona con Discapacidad. Uma diretriz de 2025 baseada nas WCAG 2.2 é obrigatória para as entidades públicas.

Suriname

Proteção de dados: Não há uma lei geral de proteção de dados; um projeto apresentado em 2018 continua pendente, segundo as informações disponíveis. Vigoram o art. 17 da Constituição sobre a vida privada, a Wet Elektronisch Rechtsverkeer 2017 sobre os dados coletados pelos provedores eletrônicos e o novo Código Civil, vigente desde maio de 2025.
Autoridade: Não há uma autoridade de proteção de dados.
Direitos das pessoas: Não há um catálogo legal de direitos. A privacidade é protegida perante os tribunais e pela via da responsabilidade civil.
Transferências internacionais: Não há restrições legais específicas às transferências internacionais.
Comunicação de incidentes: Não há uma obrigação legal geral de notificar incidentes.
Consumidor e comércio eletrônico: A Wet Elektronisch Rechtsverkeer 2017 regula os contratos e as mensagens eletrônicas. Não consta a aprovação de um projeto de lei de proteção ao consumidor de 2020.
Acessibilidade: Não há lei nem padrão de acessibilidade digital. O Suriname ratificou em 2017 a Convenção da ONU sobre os Direitos das Pessoas com Deficiência.

Uruguai

Proteção de dados: Vigora a Ley 18.331 de Protección de Datos Personales (2008), com o Decreto 414/009, atualizada pela Ley 19.670 e pelo Decreto 64/020. A União Europeia reconhece o Uruguai como país com proteção adequada.
Autoridade: Unidad Reguladora y de Control de Datos Personales (URCDP), da AGESIC: https://www.gub.uy/unidad-reguladora-control-datos-personales
Direitos das pessoas: Acesso, retificação, atualização, inclusão e supressão, além do direito de ser informado. São exercidos perante o controlador e, se ele não responder, cabe a ação de habeas data ou a denúncia à URCDP.
Transferências internacionais: Somente para países adequados ou com garantias contratuais, segundo resoluções da URCDP; desde 2023, as organizações aderentes ao Data Privacy Framework dos Estados Unidos contam como adequadas. A Ley 20.075 exige informar as pessoas de que haverá transferência internacional.
Comunicação de incidentes: O Decreto 64/020 exige iniciar medidas em 24 horas, comunicar o incidente à URCDP em no máximo 72 horas e informar os titulares quando seus direitos forem afetados de forma significativa. O operador avisa imediatamente o controlador.
Consumidor e comércio eletrônico: Ley 17.250 de Relaciones de Consumo, com direito de arrependimento em vendas fora do estabelecimento, incluídas as realizadas por meios informáticos, e Decreto 167/021 sobre informação no comércio eletrônico. A Ley 18.600 regula o documento e a assinatura eletrônica.
Acessibilidade: Ley 18.651, de proteção integral das pessoas com deficiência. O Decreto 406/022 exige WCAG 2.1 A e AA do Estado e das pessoas públicas não estatais; para privados não é obrigatório.

Venezuela

Proteção de dados: Não há uma lei geral de proteção de dados pessoais. Vigoram a Constituição de 1999 (art. 28, habeas data, e art. 60, intimidade), a jurisprudência do Tribunal Supremo de Justicia e normas setoriais como a Ley Especial contra los Delitos Informáticos (2001).
Autoridade: Não há uma autoridade de proteção de dados: atuam os tribunais e a Defensoría del Pueblo. A SUSCERTE é a autoridade de assinatura eletrônica: https://www.suscerte.gob.ve
Direitos das pessoas: Habeas data (art. 28 da Constituição): acessar os próprios dados, conhecer seu uso e finalidade, e pedir sua atualização, retificação ou destruição quando forem errôneos ou afetarem direitos.
Transferências internacionais: Não há regras específicas sobre transferências internacionais.
Comunicação de incidentes: Não há um dever geral de notificar incidentes.
Consumidor e comércio eletrônico: Ley Orgánica de Precios Justos (2015), a cargo da SUNDDE, com uma reforma em discussão em 2026 cuja situação não verificamos. O Decreto-Ley sobre Mensajes de Datos y Firmas Electrónicas (2001) dá valor probatório às mensagens de dados.
Acessibilidade: Ley Orgánica para la Inclusión, Igualdad y Desarrollo Integral de las Personas con Discapacidad (2024). Não verificamos um padrão WCAG obrigatório.

América Central e Caribe

Belize

Proteção de dados: A Data Protection Act 2021 (Act No. 45 of 2021), de perfil semelhante ao RGPD, foi promulgada, mas entra em vigor por ordem ministerial, e não verificamos que essa ordem tenha sido publicada até outubro de 2026. Enquanto isso, vigoram a proteção constitucional da vida privada e o common law.
Autoridade: A lei prevê um Data Protection Commissioner, que não foi nomeado.
Direitos das pessoas: A lei reconhece acesso, retificação, supressão, restrição, portabilidade, oposição, incluída a oposição ao marketing direto, e direitos diante de decisões automatizadas; ainda não estão operacionais.
Transferências internacionais: A lei regula as transferências para fora de Belize com proteção adequada, salvaguardas ou normas corporativas vinculantes, mas essa parte ainda não está operacional.
Comunicação de incidentes: Uma fonte secundária indica que é preciso notificar a autoridade dentro de 72 horas, quando possível; não verificamos isso no texto da lei, e hoje não há um canal operacional.
Consumidor e comércio eletrônico: Electronic Transactions Act 2021, sobre contratos eletrônicos. Não há uma lei geral de proteção ao consumidor.
Acessibilidade: Disabilities Act 2024, que abrange edifícios, transporte e serviços essenciais; não verificamos obrigações para sites.

Costa Rica

Proteção de dados: Vigora a Ley 8968 de Protección de la Persona frente al Tratamiento de sus Datos Personales (2011) e seu regulamento. Exige consentimento informado, expresso e inequívoco. Em outubro de 2026 foi apresentado um projeto de reforma sobre vazamentos (expediente 25.826), sem aprovação.
Autoridade: Agencia de Protección de Datos de los Habitantes (PRODHAB): http://www.prodhab.go.cr
Direitos das pessoas: Acesso, retificação e supressão, e revogação do consentimento. Reclama-se perante a PRODHAB ou com um recurso de amparo perante a Sala Constitucional.
Transferências internacionais: Transferir a terceiros exige consentimento expresso e por escrito. As comunicações a provedores tecnológicos que atuam em nome do controlador não são consideradas transferências.
Comunicação de incidentes: É preciso notificar a pessoa afetada e a PRODHAB dentro dos 5 dias úteis seguintes ao conhecimento da violação.
Consumidor e comércio eletrônico: Ley 7472 de Promoción de la Competencia y Defensa Efectiva del Consumidor, com regras de comércio eletrônico em seu regulamento, e Ley 8454 de Certificados, Firmas Digitales y Documentos Electrónicos. Segundo a Ley General de Telecomunicaciones, o marketing não solicitado exige consentimento prévio.
Acessibilidade: Ley 7600 de Igualdad de Oportunidades para las Personas con Discapacidad. Uma diretriz de 2019 exige WCAG 2.1 do Poder Executivo; não obriga privados.

Cuba

Proteção de dados: Vigora a Ley 149/2022 de Protección de Datos Personales, vigente desde fevereiro de 2023, que distingue entre controlador e operador. A Resolución 58/2022 do Ministerio de Comunicaciones fixa requisitos de segurança e de registro para as bases de dados eletrônicas.
Autoridade: O Ministerio de Justicia como regulador, segundo fontes secundárias, e o Ministerio de Comunicaciones para a segurança dos dados eletrônicos: https://www.mincom.gob.cu
Direitos das pessoas: Acesso, retificação e atualização, cancelamento e oposição, que são exercidos perante o controlador ou o operador. Não verificamos os prazos de resposta.
Transferências internacionais: A lei regula as transferências internacionais, mas não verificamos o texto final dessas regras.
Comunicação de incidentes: Não encontramos uma obrigação clara de notificar incidentes na Ley 149.
Consumidor e comércio eletrônico: Não há uma lei geral de proteção ao consumidor; vigora a Resolución 54/2018 do Ministerio del Comercio Interior. O comércio on-line é regulado pelo Decreto-Ley 370/2018 e por normas de 2023 e 2026.
Acessibilidade: Não identificamos uma lei nem um padrão oficial de acessibilidade web.

El Salvador

Proteção de dados: Vigora a Ley para la Protección de Datos Personales (Decreto Legislativo 144 de 2024), reformada em setembro de 2026 pelo Decreto Legislativo 659, que eliminou a obrigação das empresas privadas de nomear um delegado de proteção de dados. Exige consentimento expresso e dá às pessoas o direito de saber quem guarda seus dados, incluindo os provedores de nuvem.
Autoridade: Agencia de Ciberseguridad del Estado (ACE), entidade reitora em dados pessoais. Não verificamos um endereço web oficial.
Direitos das pessoas: Direitos ARCO-POL: acesso, retificação, cancelamento, oposição, limitação, portabilidade e esquecimento. São exercidos gratuitamente perante o controlador.
Transferências internacionais: Toda transferência internacional exige, salvo exceções, o consentimento prévio da pessoa, um contrato com o destinatário com obrigações equivalentes e dar conhecimento do fluxo à ACE.
Comunicação de incidentes: É preciso notificar a ACE, a Fiscalía General de la República e os titulares afetados em no máximo 72 horas desde que se toma conhecimento da violação, e manter um registro de todas elas.
Consumidor e comércio eletrônico: Ley de Protección al Consumidor, com obrigações para o comércio eletrônico, aplicada pela Defensoría del Consumidor (https://www.defensoria.gob.sv). A Ley de Comercio Electrónico (2020) abrange os contratos eletrônicos entre empresas, e a Ley de Firma Electrónica (2015), sua validade.
Acessibilidade: Ley Especial de Inclusión de las Personas con Discapacidad. Não identificamos um padrão web obrigatório para privados.

Guatemala

Proteção de dados: Não há uma lei geral de proteção de dados pessoais; há iniciativas no Congresso, como a 6464, sem aprovação em outubro de 2026. Vigoram a Constituição, a jurisprudência da Corte de Constitucionalidad sobre autodeterminação informativa e a Ley de Acceso a la Información Pública (Decreto 57-2008), que se aplica aos sujeitos obrigados.
Autoridade: Não há uma autoridade de dados para o setor privado. No âmbito da Ley de Acceso a la Información Pública atua o Procurador de los Derechos Humanos: https://www.pdh.org.gt
Direitos das pessoas: Habeas data perante os sujeitos obrigados: acesso, atualização, retificação e proteção. Perante privados não há um regime legal de direitos ARCO; a via é o amparo constitucional.
Transferências internacionais: Não há um regime específico de transferências internacionais.
Comunicação de incidentes: Não há uma obrigação legal geral de notificar incidentes.
Consumidor e comércio eletrônico: Ley de Protección al Consumidor y Usuario (Decreto 006-2003), aplicada pela DIACO, e Ley para el Reconocimiento de las Comunicaciones y Firmas Electrónicas (Decreto 47-2008).
Acessibilidade: Ley de Atención a las Personas con Discapacidad (Decreto 135-96). Não identificamos um padrão oficial de acessibilidade web obrigatório para privados.

Haiti

Proteção de dados: Não há uma lei geral de proteção de dados. Um decreto regulamentar de 2018 exige consentimento, e o Código Penal de 2020 tipifica o tratamento ilícito de dados, embora sua vigência não esteja clara. Nossa confiança nessas informações é baixa.
Autoridade: Não há uma autoridade nacional de proteção de dados.
Direitos das pessoas: Não há um catálogo legal de direitos. O decreto de 2018 implica direitos de acesso e modificação, e a Constituição de 1987 protege a vida privada.
Transferências internacionais: Não há um regime específico de transferências internacionais.
Comunicação de incidentes: Não há obrigação de notificar incidentes.
Consumidor e comércio eletrônico: Há leis sobre trocas eletrônicas e assinatura eletrônica de 2017, atualizadas em 2025. Não identificamos uma lei geral de proteção ao consumidor vigente.
Acessibilidade: Há uma lei de 2012 sobre a integração das pessoas com deficiência; não identificamos um padrão web oficial.

Honduras

Proteção de dados: Não há uma lei geral vigente: o projeto de Ley de Protección de Datos Personales impulsionado pelo IAIP continuava pendente em agosto de 2026. Vigoram o habeas data do art. 182 da Constituição e a Ley de Transparencia y Acceso a la Información Pública, que exige consentimento expresso e por escrito para transferir dados pessoais confidenciais.
Autoridade: Não há uma autoridade específica de proteção de dados. O Instituto de Acceso a la Información Pública tem funções parciais: https://www.iaip.gob.hn
Direitos das pessoas: Habeas data constitucional: acesso, retificação, confidencialidade e supressão de dados falsos, por meio de uma ação perante a Sala de lo Constitucional.
Transferências internacionais: Não há um regime específico. A normativa de transparência exige consentimento expresso e por escrito para transferir dados pessoais confidenciais, salvo exceções.
Comunicação de incidentes: Não há uma obrigação legal de notificar incidentes.
Consumidor e comércio eletrônico: Ley de Protección al Consumidor (2008), com um regulamento vigente desde 2021, e Ley sobre Firmas Electrónicas (Decreto 149-2013). Existe ainda uma lei de comércio eletrônico de 2015 cujo número não verificamos.
Acessibilidade: Ley de Equidad y Desarrollo Integral para las Personas con Discapacidad (Decreto 160-2005). Não identificamos um padrão oficial de acessibilidade web.

Nicarágua

Proteção de dados: A Ley 787 de Protección de Datos Personales (2012) e seu regulamento (Decreto 36-2012) estão formalmente vigentes, mas sua aplicação prática é mínima porque a autoridade prevista não foi constituída. Exige consentimento para o tratamento, em especial de dados sensíveis.
Autoridade: A Ley 787 prevê uma Dirección de Protección de Datos Personales no Ministerio de Hacienda y Crédito Público, que não está em funcionamento.
Direitos das pessoas: Acesso, retificação, modificação, cancelamento e revogação do consentimento, segundo a Ley 787.
Transferências internacionais: As cessões exigem o consentimento prévio da pessoa, informando-lhe a finalidade e quem recebe os dados. Não há um regime operacional de transferências internacionais.
Comunicação de incidentes: Não há uma obrigação geral de notificar incidentes.
Consumidor e comércio eletrônico: Ley 842 de Protección de los Derechos de las Personas Consumidoras y Usuarias (2013), reformada em 2021, e Ley 729 de Firma Electrónica (2010).
Acessibilidade: Ley 763 de los Derechos de las Personas con Discapacidad (2011). Não identificamos um padrão oficial de acessibilidade web.

Panamá

Proteção de dados: Vigora a Ley 81 de 2019 sobre Protección de Datos Personales, vigente desde março de 2021 e regulamentada pelo Decreto Ejecutivo 285 de 2021. O operador atua de acordo com as instruções do controlador e deve avisá-lo imediatamente diante de um incidente.
Autoridade: Autoridad Nacional de Transparencia y Acceso a la Información (ANTAI), Dirección de Protección de Datos Personales: https://www.antai.gob.pa
Direitos das pessoas: Acesso, retificação, cancelamento, oposição e portabilidade. São exercidos perante o controlador e, se ele não responder, denuncia-se à ANTAI.
Transferências internacionais: A regra geral é o consentimento prévio e informado. Permitem-se transferências para países com proteção adequada, entre empresas do mesmo grupo ou com garantias contratuais.
Comunicação de incidentes: É preciso notificar a ANTAI e os titulares afetados imediatamente e dentro de 72 horas, documentando as causas, os efeitos e as medidas tomadas.
Consumidor e comércio eletrônico: Ley 45 de 2007, de proteção ao consumidor, aplicada pela ACODECO (https://www.acodeco.gob.pa), e Ley 51 de 2008, sobre documentos, assinaturas e comércio eletrônico, que exige consentimento prévio e uma opção de descadastramento no e-mail comercial.
Acessibilidade: Ley 42 de 1999, sobre equiparação de oportunidades, reformada pela Ley 15 de 2016. Não há um padrão web obrigatório.

Porto Rico

Proteção de dados: Não há uma lei geral de privacidade, nem federal nem de Porto Rico. Vigoram leis setoriais, como a Ley 111-2005, de notificação de violações de dados, e leis federais como a FTC Act, a CAN-SPAM, a TCPA para mensagens e chamadas automatizadas e a COPPA para menores de 13 anos.
Autoridade: Departamento de Asuntos del Consumidor (DACO): https://www.daco.pr.gov. Federal Trade Commission (FTC): https://www.ftc.gov
Direitos das pessoas: Não há direitos ARCO gerais na lei. A Constituição de Porto Rico protege a vida privada, inclusive perante particulares, e existem direitos setoriais.
Transferências internacionais: Não há restrições gerais às transferências internacionais.
Comunicação de incidentes: Se alguém acessar sem autorização certas informações pessoais não criptografadas, é preciso notificar os afetados o quanto antes e apresentar um relatório ao DACO dentro de 10 dias a partir da detecção (Ley 111-2005).
Consumidor e comércio eletrônico: Ley Orgánica del DACO e seus regulamentos contra práticas enganosas, Ley 148-2006 de Transacciones Electrónicas e a lei federal E-SIGN. Para assinaturas com renovação automática aplicam-se a ROSCA e a regra de opção negativa da FTC.
Acessibilidade: A Ley 229-2003 obriga as agências do Governo a seguir as diretrizes WCAG. Para privados, a ADA (Título III) tem interpretação dividida e as WCAG 2.1 AA são usadas como referência.

República Dominicana

Proteção de dados: Vigora a Ley 172-13 sobre Protección Integral de los Datos Personales (2013), que exige um consentimento livre, inequívoco e informado, com exceções, e medidas de segurança. Um projeto de reforma que criaria uma autoridade independente continuava em discussão em 2026.
Autoridade: Não há uma autoridade geral de proteção de dados para o setor privado. O Pro Consumidor atua nas relações de consumo (https://proconsumidor.gob.do), e os tribunais julgam o habeas data.
Direitos das pessoas: Acesso, retificação e cancelamento ou supressão, além da ação de habeas data (arts. 44 e 70 da Constituição).
Transferências internacionais: Somente com a autorização expressa da pessoa ou quando for necessária para executar um contrato com ela.
Comunicação de incidentes: Não há uma obrigação legal vigente de notificar incidentes.
Consumidor e comércio eletrônico: Ley 358-05 General de Protección de los Derechos del Consumidor o Usuario e Ley 126-02 de Comercio Electrónico, Documentos y Firmas Digitales. A Ley 310-14 exige consentimento e um mecanismo de descadastramento nos e-mails comerciais.
Acessibilidade: Ley 5-13 sobre Discapacidad. A norma NORTIC B2 de acessibilidade web é obrigatória para os portais do Estado e voluntária para os privados.

América do Norte

Estados Unidos

Proteção de dados: Não há uma lei federal geral de privacidade; a FTC pune as práticas desleais ou enganosas, incluindo as promessas de privacidade descumpridas. Cerca de vinte estados têm leis gerais vigentes, como Califórnia (CCPA e CPRA), Virgínia, Colorado ou Texas, com limites que muitos negócios pequenos não atingem.
Autoridade: Federal Trade Commission (FTC): https://www.ftc.gov. Na Califórnia, a California Privacy Protection Agency (https://cppa.ca.gov); nos demais estados, seus procuradores-gerais.
Direitos das pessoas: Na Califórnia: saber e acessar, suprimir, corrigir, optar por não participar da venda ou do compartilhamento de dados e limitar o uso de informações sensíveis. Nos demais estados com lei geral: acesso, correção, supressão, portabilidade e exclusão da publicidade direcionada e da criação de perfis.
Transferências internacionais: Não há uma restrição geral. Uma regra do Departamento de Justiça vigente desde abril de 2025 limita dar acesso a grandes volumes de dados sensíveis de pessoas nos Estados Unidos a certos países, entre eles China, Rússia, Irã, Coreia do Norte e Cuba. A Venezuela também constava da lista; convém verificar se continua nela.
Comunicação de incidentes: Todos os estados têm leis de notificação de violações de dados, com prazos que vão de sem demora irrazoável até 30 a 60 dias. Quem trata dados em nome de outro deve avisar imediatamente o dono dos dados.
Consumidor e comércio eletrônico: FTC Act e ROSCA, que exige consentimento informado e uma forma simples de cancelar as assinaturas; a regra federal de cancelamento com um clique foi anulada em 2025. A Califórnia tem sua própria lei de renovação automática, e as leis E-SIGN e UETA dão validade aos contratos e assinaturas eletrônicas.
Acessibilidade: A ADA (Título III) tem interpretação dividida para os sites privados e, na prática, as WCAG 2.1 AA são usadas como referência. Para os governos estaduais e locais vigora uma regra do Departamento de Justiça baseada nas WCAG 2.1 AA.

México

Proteção de dados: Vigora a Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada em 20 de março de 2025, que substituiu a lei de 2010; o regulamento de 2011 continua sendo aplicado no que não a contrariar. O operador trata os dados somente de acordo com as instruções do controlador e os suprime ou devolve ao fim da relação.
Autoridade: Secretaría Anticorrupción y Buen Gobierno, que assumiu em 2025 as funções do extinto INAI: https://www.gob.mx/buengobierno
Direitos das pessoas: Direitos ARCO (acesso, retificação, cancelamento e oposição) e revogação do consentimento. O controlador tem até 20 dias para responder; depois cabe o procedimento de proteção de direitos perante a autoridade.
Transferências internacionais: Transferir para um terceiro distinto do operador exige consentimento, salvo exceções legais. A remessa a operadores, ainda que estejam em outro país, não exige consentimento se houver contrato e instruções.
Comunicação de incidentes: O controlador deve informar imediatamente os titulares sobre as violações que afetem de forma significativa seus direitos patrimoniais ou morais. A lei não prevê notificar a autoridade.
Consumidor e comércio eletrônico: Ley Federal de Protección al Consumidor, com regras de comércio eletrônico e, desde dezembro de 2025, deveres sobre cobranças recorrentes, avisos de renovação e cancelamento simples. Uma microempresa credenciada pode reclamar perante a PROFECO, e o Código de Comercio regula as mensagens de dados e a assinatura eletrônica.
Acessibilidade: Ley General para la Inclusión de las Personas con Discapacidad (2011). As disposições de acessibilidade web de 2015 obrigam apenas a Administración Pública Federal; para privados não há um padrão obrigatório.

Europa

Espanha

Proteção de dados: Vigoram o Regulamento Geral sobre a Proteção de Dados da União Europeia (RGPD, Regulamento 2016/679) e a Ley Orgánica 3/2018 (LOPDGDD). O operador precisa de um contrato com o conteúdo do art. 28 do RGPD. A reforma do RGPD conhecida como Digital Omnibus continua em tramitação, sem aprovação.
Autoridade: Agencia Española de Protección de Datos (AEPD): https://www.aepd.es
Direitos das pessoas: Acesso, retificação, supressão, limitação, portabilidade, oposição e não ser objeto de decisões individuais automatizadas. São exercidos gratuitamente perante o controlador, que responde em um mês prorrogável, e reclama-se perante a AEPD.
Transferências internacionais: Fora do Espaço Econômico Europeu, somente para países com decisão de adequação, como Argentina, Uruguai, Brasil desde 2026 ou empresas dos Estados Unidos certificadas no Data Privacy Framework, ou com cláusulas contratuais padrão e uma avaliação de impacto. O Chile e a maior parte da América Latina não têm adequação.
Comunicação de incidentes: O controlador notifica a AEPD em 72 horas, salvo se for improvável um risco, e informa os afetados se o risco for alto. O operador avisa o controlador sem demora indevida.
Consumidor e comércio eletrônico: Ley General para la Defensa de los Consumidores y Usuarios (Real Decreto Legislativo 1/2007), com 14 dias de direito de desistência para consumidores, e Ley 34/2002, de serviços da sociedade da informação, que regula as comunicações comerciais e os cookies. A Ley 7/1998, sobre condições gerais de contratação, também se aplica entre empresas.
Acessibilidade: Ley 11/2023, que transpõe o Ato Europeu de Acessibilidade e se aplica desde junho de 2025 aos serviços de comércio eletrônico para consumidores, com isenção para as microempresas que prestam serviços. O padrão técnico é a EN 301 549.

Portugal

Proteção de dados: Vigoram o RGPD e a Lei 58/2019, que o executa em Portugal; a autoridade decidiu não aplicar algumas de suas disposições por considerá-las incompatíveis com o RGPD. O subcontratante, como lá é chamado o operador, precisa de um contrato com o conteúdo do art. 28 do RGPD.
Autoridade: Comissão Nacional de Proteção de Dados (CNPD): https://www.cnpd.pt
Direitos das pessoas: Acesso, retificação, supressão, limitação, portabilidade, oposição e não ser objeto de decisões automatizadas. São exercidos perante o controlador, que responde em um mês prorrogável, e reclama-se perante a CNPD.
Transferências internacionais: As mesmas regras do RGPD que na Espanha: adequação, cláusulas contratuais padrão com avaliação de impacto ou normas corporativas vinculantes.
Comunicação de incidentes: O controlador notifica a CNPD em 72 horas e os titulares se o risco for alto. O operador avisa o controlador sem demora injustificada.
Consumidor e comércio eletrônico: Lei 24/96 de Defesa do Consumidor, Decreto-Lei 24/2014 sobre contratos a distância, com 14 dias para consumidores, Decreto-Lei 7/2004 sobre comércio eletrônico e Decreto-Lei 446/85 sobre cláusulas gerais, que também se aplica entre empresas. O Livro de Reclamações eletrônico se aplica a quem presta serviços a consumidores.
Acessibilidade: Decreto-Lei 82/2022, que transpõe o Ato Europeu de Acessibilidade desde junho de 2025, e Decreto-Lei 83/2018 para o setor público (WCAG 2.1 AA).

Por que as transferências importam

Muitas leis da região permitem enviar dados a um operador em outro país se houver um contrato que o respalde. Outras exigem também o consentimento da pessoa ou que a autoridade seja avisada.

O que se repete em quase todos os países

Informar as pessoas sobre quais dados são coletados e para quê, com uma política ou um aviso de privacidade.

Pedir consentimento para as mensagens promocionais e respeitar quem pede para não recebê-las.

Ter um contrato com quem trata dados em seu nome, como a Trazza.

Proteger os dados com medidas de segurança razoáveis e saber o que fazer diante de um incidente.

Atualizações

Revisamos esta página periodicamente. Se você vir uma informação desatualizada, avise-nos pelo canal de contato indicado no final desta página.

Antes de tomar decisões importantes, consulte a fonte oficial ou um advogado do seu país.

Outros documentos jurídicos

Voltar à central jurídica

Contato

Se você tiver dúvidas sobre este documento ou sobre seus dados, escreva para nós em contacto@trazza.pro.

Quem opera a Trazza

O serviço Trazza Pro é operado a partir de Santiago do Chile. Para consultas jurídicas, de privacidade ou sobre seus dados, escreva para nós em contacto@trazza.pro.

Marco legal por país

O que você encontrará aqui

Quem responde pelo quê

Como ler cada país

América do Sul

América Central e Caribe

América do Norte

Europa

Por que as transferências importam

O que se repete em quase todos os países

Atualizações

Outros documentos jurídicos

Contato

Quem opera a Trazza

Cargando Trazza Pro

Marco legal por país

O que você encontrará aqui

Quem responde pelo quê

Como ler cada país

América do Sul

América Central e Caribe

América do Norte

Europa

Por que as transferências importam

O que se repete em quase todos os países

Atualizações

Outros documentos jurídicos

Contato

Quem opera a Trazza