Apesar de seus objetivos similares e a aparente influência do GDPR sobre os legisladores brasileiros, existem algumas diferenças marcantes a serem notadas entre as duas legislações.
Ambos os textos legais demandam que os negócios e as organizações contratem um encarregado de proteção de dados. No entanto, enquanto a GDPR define quando um encarregado é necessário, o artigo 41 da LGPD diz, simplesmente: “O controlador deverá indicar encarregado pelo tratamento de dados pessoais”, o que sugere que qualquer organização que processa dados de pessoas no Brasil terá de contratar alguém para tal posto.
Possivelmente a mais significativa diferença entre a LGPD e o GDPR recai sobre o que se qualifica como base legal para processar dados. O GDPR tem seis bases legais para o processamento, e um controlador de dados deve escolher uma delas como justificativa para utilizar a informação de um titular de dados. No entanto, no seu artigo 7º, a LGPD lista dez. São eles:
Pela administração pública, para o tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres, observadas as disposições do capítulo IV da Lei;
Para o exercício regular de direitos em processo judicial, administrativo ou arbitral, esse último nos termos da lei nº 9.307, de 23 de setembro de 1996 (Lei de Arbitragem);
Quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais;
Ter a proteção do crédito como base legal para o processamento de dados é de fato uma diferença substancial em relação ao GDPR.