Perfis jurisdicionais
Status da revisão: Esta página-base exige revisão especializada antes da aprovação pública. Suas afirmações devem permanecer dentro do escopo declarado aqui.
Uma única tecnologia global de identidade não cria uma única configuração jurídica global. A UbID usa perfis jurisdicionais para aplicar política local sem redesenhar a arquitetura subjacente de credenciais e confiança para cada implantação.
Os perfis descritos aqui são baselines de implementação, e não pareceres jurídicos. Fontes oficiais atuais, assessoria jurídica local, regras setoriais, orientação regulatória e fatos específicos da implantação permanecem autoritativos.
Composição do perfil
Um perfil versionado deve identificar:
| Campo | Finalidade |
|---|---|
| Jurisdição e setor | País, estado, província, região, setor público ou privado e domínio regulado |
| Participantes e funções jurídicas | Controlador, controlador conjunto, operador, emissor, verificador, serviço do titular, custodiante, provedor de orquestração ou função de serviço de confiança |
| Finalidade e base legal | Finalidade de tratamento permitida, base legal, condição para categorias especiais e uso secundário proibido |
| Minimização de claims | Claims permitidos, fatos derivados, combinações proibidas e retenção do verificador |
| Aviso e autorização | Versão de aviso exigida, evidência de consentimento ou autorização, retirada e condições de renovação |
| Autenticação e assurance | Métodos aprovados, step-up, dispositivo, proofing e condições de revisão humana |
| Biometria | Necessidade, alternativas, captura, proteção de templates, função do fornecedor, retenção, exclusão e revisão |
| Direitos e reclamações | Acesso, correção, exclusão, restrição, oposição, portabilidade, recurso e encaminhamento ao regulador |
| Retenção e registros | Cronogramas de credenciais, evidência, segurança, fraude, legal hold e registros públicos |
| Transferências e residência | Local de tratamento, destinatário, suboperador, mecanismo de transferência e restrições de uso posterior |
| Obrigações de incidentes | Avaliação, notificação, preservação de evidência e prazos de comunicação |
| Status regulado | Registro, certificação, avaliação de conformidade, notificação ou afirmações proibidas |
| Controle de versões | Fontes oficiais, data de vigência, aprovadores, evidência de testes, substituição e data de revisão |
Baseline público comparativo
A tabela a seguir identifica o baseline principal usado no estudo regulatório institucional da UbID. Ela é intencionalmente concisa e não deve ser tratada como exposição completa do direito local.
| Jurisdição | Baseline principal | Foco da implantação |
|---|---|---|
| União Europeia | GDPR e Marco Europeu de Identidade Digital | Base legal, minimização, direitos, DPIA, transferências e funções reguladas de Wallet ou serviço de confiança |
| Reino Unido | UK GDPR, Data Protection Act 2018, Data (Use and Access) Act 2025 e DVS Trust Framework | Privacidade desde o projeto, reclamações, assurance, avaliação de conformidade, certificação e registro de serviços |
| Canadá | PIPEDA, Privacy Act, regimes provinciais e orientação de identidade digital do setor público | Finalidades apropriadas, consentimento, salvaguardas, acesso, registros de violações, escopo federal/provincial e interoperabilidade de assurance |
| Estados Unidos — federal | FTC e marcos setoriais específicos como saúde, finanças e privacidade infantil | Práticas desleais ou enganosas, segurança razoável, aplicabilidade setorial, contratos e procedimentos de incidentes |
| Estado de Nova York | SHIELD Act e regras de cibersegurança do NYDFS quando aplicáveis | Salvaguardas, governança de violações, MFA, programa de cibersegurança, testes e reporting |
| Califórnia | CCPA/CPRA e regulamentos de implementação | Direitos do consumidor, informações sensíveis, avaliações, auditorias de cibersegurança, controles de decisões automatizadas e mecanismos de opt-out |
| México | Marcos federal e geral de proteção de dados pessoais | Legalidade, finalidade, proporcionalidade, direitos ARCO, dados sensíveis, segurança, avisos e transferências |
| El Salvador | Legislação de proteção de dados pessoais e cibersegurança | Autoridade e procedimentos emergentes, consentimento, direitos, segurança, transferências e controles de incidentes |
| Colômbia | Lei 1581, Decreto 1074 e marco de comércio eletrônico | Autorização, finalidade, circulação restrita, habeas data, políticas, registro quando aplicável e procedimentos do regulador |
| Peru | Lei 29733 e seu regulamento vigente | Consentimento, direitos ARCO, governança de bancos de dados, dados sensíveis, segurança, incidentes e tratamento internacional |
| Brasil | LGPD e regulamentos da ANPD | Bases legais, direitos, dados sensíveis e de crianças, responsabilização, relatórios de impacto, incidentes e transferências |
| Chile | Lei 19.628 alterada pela Lei 21.719, lei de cibersegurança e marco de assinatura eletrônica | Transição para o regime modernizado de privacidade, direitos, supervisão, segurança, biometria, transferências e prontidão institucional |
| Paraguai | Lei 7593/2025 e transição de implementação | Novo baseline abrangente, confirmação de autoridade e procedimentos, direitos, transferências e implementação versionada |
| Argentina | Lei 25.326 e regras de implementação | Consentimento, habeas data, segurança, obrigações de bancos de dados, prazos de direitos e salvaguardas de transferência |
| Hong Kong | Personal Data (Privacy) Ordinance e seis Data Protection Principles | Coleta, finalidade, retenção, segurança, abertura, acesso, correção, operadores e marketing direto |
| Coreia do Sul | PIPA e orientação da PIPC | Consentimento granular, identificadores sensíveis e únicos, biometria, transferências, segurança, deveres de operadores estrangeiros e certificação setorial |
| Japão | APPI mais o ecossistema separado My Number e JPKI | Finalidade, segurança, transferências, direitos, uso autorizado de JPKI e separação estrita do Número Individual |
Exemplos importantes de transição
- Chile: a Lei nº 21.719 tem data de vigência diferida para 1º de dezembro de 2026. Uma implantação chilena deve tratar 2026 como transição de implementação e manter evidência de prontidão, sem presumir que um perfil técnico, por si só, satisfaz o novo regime.
- Reino Unido: o DVS Trust Framework 1.0 é final, mas seu início legal depende da acreditação do primeiro organismo de avaliação de conformidade e não pode ocorrer antes de 1º de setembro de 2026. Compatibilidade técnica não equivale a certificação ou registro.
- União Europeia: o uso de padrões de credenciais verificáveis não torna, por si só, um produto uma European Digital Identity Wallet notificada nem um serviço de confiança qualificado no Marco Europeu de Identidade Digital.
Esses exemplos mostram por que datas de vigência, condições de transição, certificações e procedimentos regulatórios devem integrar perfis versionados.
Avaliação do perfil
O perfil selecionado deve ser avaliado antes e durante:
- coleta ou proofing;
- criação de credenciais;
- tratamento biométrico;
- apresentação e divulgação;
- retenção pelo verificador;
- tomada de decisão automatizada ou assistida;
- registro de dispositivos ou recuperação;
- transferência transfronteiriça;
- tratamento de direitos ou reclamações;
- incidente, revogação, exclusão ou legal hold.
Combinação de overlays
Uma implantação pode exigir vários overlays ao mesmo tempo:
Baseline global
+ perfil nacional ou regional
+ perfil estadual ou provincial
+ perfil setorial
+ perfil de função institucional
+ perfil de credencial ou transação
O resultado deve ser determinístico e versionado. Conflitos devem ser resolvidos pela instituição responsável; a plataforma não deve escolher silenciosamente a regra menos restritiva.
Mudança e evidência histórica
Quando uma fonte muda, a instituição deve:
- avaliar o impacto jurídico e operacional;
- atualizar o perfil sob controle de mudanças;
- testar fluxos afetados de emissão, apresentação, recuperação, direitos e retenção;
- definir migração para credenciais e evidências existentes;
- preservar a versão anterior para explicação histórica;
- revisar afirmações públicas, contratos, avisos e documentação de parceiros.
Consulte Privacidade e alinhamento regulatório e Assurance, avaliação e certificação.