Requisitos Legais para Websites e Aplicativos: União Europeia

Comece pela localização da sua empresa, os mercados que você atende e o que seu produto realmente faz. Leis estrangeiras de privacidade e do consumidor podem se aplicar, mas o fato de um site ser acessível a partir de um país não é, por si só, um gatilho legal universal. Por exemplo, o escopo territorial do RGPD (GDPR) inclui o processamento no contexto de um estabelecimento na UE, ou de uma empresa fora da UE que oferece bens ou serviços a pessoas na UE ou monitora seu comportamento lá. Avalie cada lei separadamente. Avalie também a acessibilidade para produtos e serviços abrangidos, deveres de intermediários, obrigações relevantes de transparência em IA e a função de retirada para contratos de consumo online cobertos. A boa notícia é que o conjunto de regras da UE é coerente. Vários controles podem ser reutilizados em outros mercados, mas a conformidade com a UE não estabelece conformidade com as leis locais deles. A má notícia é o limite máximo de aplicação: até 4% do faturamento anual global sob o RGPD. Este é o capítulo da UE da nossa lista de verificação jurídica pré-lançamento. Execute essa sequência de prompts primeiro, depois aplique esta.

Principais pontos

• Estabelecimento, oferta direcionada e monitoramento determinam o escopo territorial do RGPD; a mera disponibilidade não.
• Classifique bases legais, papéis dos fornecedores e salvaguardas de transferência em vez de chamar todo fornecedor de operador.
• O consentimento é geralmente necessário para rastreamento não isento; existem exceções nacionais limitadas.
• O escopo do EAA e isenções para microempresas precisam de uma avaliação específica do serviço.
• Os deveres do Artigo 50 diferem para provedores e implantadores de IA.
• Contratos online cobertos com direito de retirada precisam da função de retirada obrigatória sob medidas nacionais aplicáveis a partir de 19 de junho de 2026.
• França e Espanha exigem verificações nacionais além das regras da UE.

RGPD: as partes que realmente se aplicam a um produto pequeno

Uma base legal para tudo. O consentimento é uma das seis bases e geralmente a escolha mais fraca — ele pode ser retirado a qualquer momento. A necessidade contratual cobre o que você precisa para entregar o serviço; o interesse legítimo cobre coisas como prevenção de fraude e segurança básica, mas exige que você documente um teste de balanceamento. Marketing eletrônico e rastreamento de dispositivos possuem regras e exceções separadas. Dados de categorias especiais requerem uma base legal do Artigo 6 e uma condição do Artigo 9; consentimento explícito é uma condição possível, não a única.

Transparência. Seu aviso de privacidade deve declarar quem você é, o que coleta, por que, com que base, quem recebe os dados, por quanto tempo os retém, se os dados deixam a UE e sob qual salvaguarda, e como exercer direitos e reclamar a uma autoridade supervisora.

Direitos que funcionam. Acesso, retificação, apagamento, restrição, portabilidade, objeção e o direito de não estar sujeito a decisões automatizadas que produzam efeitos jurídicos ou significativos similares. Prazo: um mês, prorrogável por dois para solicitações complexas. Gratuito.

Minimização de dados e limitação de finalidade. Não colete o que não precisa; não reaproveite o que coletou para outra coisa. Este é o princípio que os criadores de IA mais violam, porque gerar "um formulário de perfil de usuário completo" é mais fácil do que gerar um mínimo.

Contratos de fornecedores (Artigo 28). Todo operador precisa de um contrato por escrito. Verifique o papel de cada construtor de aplicativos, hospedagem, banco de dados, e-mail, análise e serviço de IA; alguns atuam como controladores independentes ou conjuntos em vez de operadores. Verifique se cada um publica um DPA (Acordo de Processamento de Dados) e uma lista de suboperadores, e guarde cópias.

Transferências internacionais. Enviar dados para fora da UE requer uma salvaguarda: uma decisão de adequação, Cláusulas Contratuais Padrão ou — para destinatários baseados nos EUA — certificação sob o Quadro de Privacidade de Dados UE-EUA. A maioria das ferramentas que você usa é americana; verifique em que cada uma se baseia.

Registros e avaliações. Organizações com menos de 250 funcionários obtêm um dever de manutenção de registros reduzido, mas as exceções o anulam para a maioria dos produtos (processamento regular ou qualquer dado de categoria especial). Mantenha um registro simples de qualquer maneira; o inventário de dados da lista de verificação principal já é a maior parte disso. Um DPIA (Avaliação de Impacto sobre a Proteção de Dados) é necessário para processamento de alto risco — criação de perfil em larga escala, monitoramento sistemático, dados sensíveis em escala.

Notificação de violação. Notifique sua autoridade supervisora dentro de 72 horas após tomar conhecimento de uma violação de dados pessoais que represente um risco para os indivíduos, e notifique os indivíduos afetados diretamente se o risco for alto. Decida agora quem fará isso e como você descobriria.

Um DPO (Encarregado de Proteção de Dados) é exigido apenas se você for um órgão público, ou se suas atividades principais envolverem monitoramento sistemático em larga escala ou processamento de dados sensíveis em larga escala. A maioria dos produtos pequenos não precisa de um — mas se você estiver fora da UE e processando dados da UE regularmente, pode precisar de um representante na UE sob o Artigo 27.

Cookies e rastreadores

O armazenamento e acesso a dispositivos são regidos pelas regras nacionais de ePrivacy juntamente com o RGPD. O consentimento é geralmente necessário para rastreamento não isento antes que ele comece. O armazenamento necessário pode ser isento, e alguns países permitem medição de audiência configurada de forma restrita sem consentimento. Uma solicitação de fonte remota não é automaticamente um cookie: avalie a solicitação, os dados pessoais e a base legal separadamente.

Para uma implementação compartilhada simples, bloqueie publicidade e rastreamento opcionais até o consentimento, torne a rejeição tão fácil quanto a aceitação e forneça a retirada. Trate isso como uma configuração conservadora. Não descreva toda configuração de análise como ilegal sem consentimento: a CNIL explica a exceção limitada de medição de audiência.

Acessibilidade: o Ato Europeu de Acessibilidade (EAA)

O EAA tem se aplicado a produtos e serviços especificados, incluindo comércio eletrônico ao consumidor, desde 28 de junho de 2025. Ele não cobre automaticamente todos os sites. Microempresas que prestam serviços têm uma isenção: menos de dez pessoas e faturamento anual ou balanço total anual não superior a € 2 milhões, sujeito à definição de empresa aplicável. As obrigações do produto são diferentes.

Avalie o serviço, a implementação nacional e qualquer isenção. O teste WCAG é uma evidência técnica útil, não por si só prova de que todos os requisitos de informação, suporte e funcionais do EAA foram atendidos. Veja a visão geral de acessibilidade da UE e a definição de tamanho da empresa.

Se você hospeda conteúdo de usuário: o DSA

Classifique o serviço primeiro: intermediário, serviço de hospedagem, plataforma online ou marketplace. Os deveres de hospedagem incluem lidar com avisos de conteúdo ilegal e fornecer razões para restrições relevantes. Os deveres de plataforma e marketplace têm seu próprio escopo e exceções para pequenas empresas; não presuma que toda caixa de comentários aciona todas as obrigações de um marketplace.

Prepare pontos de contato, termos de moderação e um processo de denúncia baseado em registros. Provedores estrangeiros também podem precisar de um representante legal na UE. Verifique os artigos e exceções relevantes na Lei de Serviços Digitais (DSA).

A Lei de IA (AI Act), na parte que afeta você

As obrigações de transparência do Artigo 50 começaram a ser aplicadas em 2 de agosto de 2026. Os deveres diferem para provedores e implantadores, e para chatbots, conteúdo sintético e texto de interesse público. Uma divulgação de chatbot não é um substituto para a marcação técnica exigida; inversamente, usar IA para ajudar a escrever código não exige automaticamente um rótulo de IA público no site resultante.

Inventarie o que o produto realmente faz e se você fornece ou implanta o sistema relevante. Verifique exceções e disposições transitórias em relação à orientação do Artigo 50 da Comissão. Não dependa de uma alegação genérica de período de carência. Emprego, educação, crédito e outros usos consequenciais exigem uma revisão de classificação separada.

Se você vende para consumidores da UE

Antes do checkout, forneça a identidade aplicável, produto, preço, entrega e informações de retirada. Onde existe um direito de retirada para um contrato à distância coberto celebrado através de uma interface online, uma função de retirada online deve estar disponível durante esse período, com confirmação em um meio durável. As medidas nacionais aplicam-se a partir de 19 de junho de 2026. O direito tem exceções; esta não é uma regra que exige reembolsos para todas as compras digitais indefinidamente. Veja a Diretiva 2023/2673.

Conteúdo e serviços digitais imediatos têm condições diferentes para iniciar o fornecimento e perder os direitos de retirada; use o fluxo correto para o que você vende. Mantenha os rótulos de checkout inequívocos sobre o pagamento e não pré-selecione extras pagos.

Verifique divulgações de identidade nacional e regras do consumidor. O IVA depende do fornecimento, do cliente e do estabelecimento, portanto, não aplique uma regra universal de primeira venda sem verificar o regime relevante.

França e Espanha: a camada nacional

França. Revise a identidade empresarial e avisos legais, termos de venda ao consumidor e acesso a um mediador de consumo apropriado, incluindo os detalhes de contato exigidos. Não invente um mediador em uma política gerada. Veja a orientação oficial de mediação e as obrigações de e-commerce.

Espanha. Avalie a aplicabilidade da LSSI e seus requisitos de informação do provedor, incluindo identidade, contato e detalhes de registro aplicáveis. Verifique as escolhas de cookies em relação à orientação atual da AEPD. Veja Artigos 2–4, 10 e 22 da LSSI e a orientação de cookies da AEPD.

Estas são adições específicas para o lançamento, não levantamentos completos de legislação nacional. Uma tradução para o francês não estabelece conformidade com Quebec, e uma tradução para o espanhol não estabelece conformidade com o México ou outra conformidade latino-americana.

O prompt específico da UE

Execute isso após os dez prompts na lista de verificação principal:

Add European Union compliance mechanics to this app. Implement each item and report exactly what changed:

1. Consent gate: no analytics, advertising, chat widget, embedded video, map or third-party font loads before the user chooses. Accept and Reject equally prominent on the first layer, granular categories behind "Manage preferences", nothing pre-selected, and a permanent footer link to change or withdraw consent. Store each consent with a timestamp and the version of the text shown.
2. Audit and list every request the app makes to a third-party domain on first page load, before any consent. This list must be empty except for strictly necessary requests — tell me which ones remain and why.
3. A privacy notice section covering: legal basis for each processing purpose, retention periods, recipients, whether data leaves the EU and under what safeguard, all user rights including the right to complain to a supervisory authority, and our contact details. Use placeholders like [[LEGAL ENTITY]], [[EU REPRESENTATIVE]], [[RETENTION PERIOD]] for anything you cannot know.
4. Self-service rights: export my data, delete my account, correct my profile, and object to marketing — each in at most two clicks, with a log of requests and their dates.
5. An identity page ("Legal notice") reachable from the footer of every page with placeholders for company name, registered address, email, trade register number and VAT number.
6. If the app has any AI feature: a disclosure at the first point of interaction stating the user is interacting with an AI system, and a note stating which provider processes the input.
7. If the app sells to consumers: total price including taxes shown before checkout, a payment button whose label states that ordering creates a payment obligation, the approved consent and acknowledgement flow for immediate digital-content supply, only where the applicable withdrawal exception permits it, and a "Withdraw from contract" function, including a route for guest buyers that opens a confirmation screen with the contract details, completes in one further click, and sends an email acknowledgement.
8. An accessibility pass against WCAG 2.1 Level AA — report findings by severity before fixing.

For each item report PASS or explain what blocked it. Do not write legal claims you cannot verify from the code.
Copiar prompt

Lista de verificação pré-lançamento — UE

• Nada não essencial carrega antes do consentimento; rejeitar é tão fácil quanto aceitar; o consentimento é registrado
• Aviso de privacidade declara base legal, retenção, destinatários, transferências e direitos
• Papéis dos fornecedores verificados e DPAs coletados dos operadores; listas de suboperadores revisadas; salvaguarda de transferência identificada para cada ferramenta fora da UE
• Excluir, exportar e corrigir tudo de ponta a ponta
• Página de aviso legal / Impressum com detalhes da entidade, acessível de todas as páginas
• Acessibilidade auditada contra WCAG 2.1 AA (ou isenção de microempresa confirmada por escrito)
• Recursos de IA divulgados na primeira interação
• Vendas: botão de retirada ativo, preço com IVA mostrado, rótulo de botão de obrigação de pagamento, caixa de seleção de consentimento de conteúdo digital
• Conteúdo do usuário: mecanismo de aviso e ação, declarações de motivos, ponto de contato
• Um plano por escrito para quem notifica a autoridade dentro de 72 horas se houver uma violação

O que as verificações de build estabelecem

Os prompts são solicitações de implementação, não uma certificação legal. Controles de dois cliques e padrões de consentimento primeiro são escolhas práticas de design, não requisitos estatutários universais. Confirme a jurisdição, exceções, retenção e contratos de provedores separadamente. Verifique os controles com contas de teste e comportamento real do navegador/rede; um APROVADO de um construtor baseado apenas na inspeção de código é uma evidência incompleta.

Fontes oficiais e escopo de revisão

Atualizado em 14 de setembro de 2026. As fontes vinculadas suportam o escopo e as correções discutidas aqui; esta é uma revisão editorial, não uma opinião jurídica exaustiva ou uma certificação do seu produto. Verifique a regra operativa ao agir.

• Bases legais do EDPB
• Orientação do Artigo 50 da Comissão

• Visão geral do DSA da Comissão

Comece pelo escopo, depois implemente e teste os controles relevantes. Execute a lista de verificação pré-lançamento, depois o prompt da UE acima. Vendendo em outros lugares também? Compare com os Estados Unidos, o Reino Unido, Canadá, Austrália, Brasil e Israel. Você pode construir isso.