Бърз отговор: Бразилският Lei Geral de Proteção de Dados (LGPD) и Общият регламент за защита на данните (GDPR) на ЕС споделят обща философска основа, но се различават значително по отношение на правните основания, структурите на наказанията, изискванията за ДЗЛ и сроковете за прилагане. Всяка организация, оперираща в Бразилия или обслужваща бразилски субекти на данни, трябва да разбира тези различия, за да изгради защитима програма за съответствие; само съответствието с GDPR не е достатъчно.
Основни изводи
- LGPD предоставя 10 правни основания за обработка на данни; GDPR предоставя само 6, като уникалните основания на LGPD обхващат защита на кредита и публична администрация.
- Глобите по LGPD са ограничени до 2% от бразилските приходи на нарушение, до 50 милиона R$, в сравнение с 4% от глобалния годишен оборот или 20 милиона евро по GDPR.
- И двата закона се прилагат екстериториално, небразилски компании, обработващи данни на бразилски жители, трябва да спазват LGPD.
- Срокът за уведомяване за нарушение на данни по LGPD е „разумен срок“, а не строгият 72-часов прозорец на GDPR.
- Съгласието по LGPD за непълнолетни изисква родителско одобрение до 18-годишна възраст, срещу възрастовия праг на GDPR от 16 години (или до 13 години в някои държави-членки на ЕС).
- ANPD (бразилският орган за защита на данните) започна прилагането през август 2021 г. и постоянно увеличава санкционната си дейност.
- Към 2026 г. ANPD все още не е публикувал официални списъци за адекватност или стандартни договорни клаузи за международни трансфери на данни.
- Съответствието с GDPR осигурява силна основа за съответствие с LGPD, но съществуват пропуски, които изискват целенасочено отстраняване.
Какво е LGPD и как работи в Бразилия
Бразилският LGPD (Lei Geral de Proteção de Dados, Закон № 13,709/2018) е всеобхватният федерален закон за защита на данните в страната, моделиран отчасти по GDPR, но адаптиран към бразилския правен и икономически контекст. Той регулира събирането, обработката, съхранението и трансфера на лични данни, принадлежащи на лица, намиращи се в Бразилия, независимо от местоположението на организацията, извършваща обработката.
Законът се администрира от ANPD (Autoridade Nacional de Proteção de Dados), който има правомощия да издава указания, да провежда разследвания и да налага санкции. Прилагането официално започна през август 2021 г., и оттогава ANPD прогресивно разширява регулаторната си дейност [3].
Как работи на практика:
- Организациите трябва да идентифицират законно правно основание, преди да обработват каквито и да било лични данни.
- Субектите на данни трябва да бъдат информирани за дейностите по обработка чрез прозрачни известия за поверителност.
- Длъжностно лице по защита на данните (Encarregado) обикновено трябва да бъде назначено и публично идентифицирано.
- Инциденти, включващи лични данни, трябва да бъдат докладвани на ANPD и на засегнатите лица в „разумен срок“.
- Организациите, обработващи високорискови данни, трябва да провеждат оценки на въздействието върху защитата на данните (DPIA), като специфичните критерии ще бъдат определени от ANPD [2].
Основни разлики между LGPD и GDPR съответствието
Навигирането в бразилския LGPD заедно с GDPR разкрива както структурни прилики, така и значими различия, които пряко засягат програмите за съответствие. Най-оперативно значимите разлики попадат в пет категории: правни основания, изчисляване на наказанията, срокове за уведомяване за нарушения, прагове за данни на деца и зрялост на регулаторните указания.
| Измерение | LGPD (Бразилия) | GDPR (ЕС) |
|---|---|---|
| Правни основания | 10 (вкл. защита на кредита, публична политика) | 6 |
| Максимална глоба | 2% от бразилските приходи, таван 50 милиона R$ | 4% от глобалния оборот или 20 милиона евро |
| Уведомяване за нарушение | „Разумен срок“ (ANPD да определи) | 72 часа до надзорния орган |
| Възраст за съгласие на деца | 18 (изисква се родителско съгласие) | 16 (държавите-членки могат да намалят до 13) |
| Изискване за ДЗЛ | Като цяло задължително (възможни изключения) | Задължително само за специфични критерии |
| Решения за адекватност | Списъкът на ANPD все още не е публикуван (към 2026 г.) | Списъкът на Европейската комисия е публикуван |
| Начало на прилагане | Август 2021 г. | Май 2018 г. |
Източници: [1][2][3]
10-те правни основания на LGPD включват разпоредби без еквивалент в GDPR, като защита на кредита и изпълнение на политики на публичната администрация. Организациите, които разчитат единствено на правните основания на GDPR, може да открият, че техните бразилски дейности по обработка са неадекватно обосновани [1].
Трябва ли компаниите да спазват както LGPD, така и GDPR
Да, ако една организация обработва лични данни както на жители на ЕС, така и на бразилски жители, тя трябва да спазва и двата закона едновременно. Двата регламента имат припокриващи се, но не идентични изисквания, което означава, че двойното съответствие изисква целенасочен анализ на пропуските, вместо да се приема, че едното удовлетворява другото.
LGPD се прилага за всяка организация, която:
- Обработва лични данни в Бразилия.
- Предлага стоки или услуги на лица, намиращи се в Бразилия.
- Обработва данни, които са били събрани в Бразилия, независимо от мястото на обработка [2].
Европейска компания с бразилски клиенти или бразилска компания с потребители от ЕС попада под двата режима. Организациите, съвместими с GDPR, имат предимство, но специфичните пропуски в LGPD, особено по отношение на правните основания, изискванията за публично оповестяване на ДЗЛ и езика за уведомяване за нарушения, изискват допълнителна работа.
LGPD санкции и глоби за несъответствие
Глобите по LGPD се изчисляват като процент от приходите на организацията в Бразилия (не глобалните приходи), ограничени до 50 милиона R$ на нарушение. Това е структурно различно изчисление от GDPR, което се отнася до глобалния годишен оборот [3].
Наличните санкции съгласно LGPD включват:
- Предупреждения с определен срок за отстраняване.
- Обикновени глоби до 2% от бразилските приходи, ограничени до 50 милиона R$ на нарушение.
- Ежедневни глоби до отстраняване на нарушението.
- Публикуване на нарушението (репутационна санкция).
- Блокиране или изтриване на съответните лични данни.
- Частично или пълно спиране на дейностите по обработка на данни.
Прилагането на ANPD е узряло от 2021 г. насам и организациите не трябва да приемат, че по-ниският таван на глобите в Бразилия означава по-нисък риск. Репутационните санкции и оперативните спирания могат да доведат до разходи, които надвишават паричните глоби.
Права на субектите на данни по LGPD срещу права по GDPR
И двата закона предоставят сравними основни права, но LGPD включва изрично право без пряк паралел в GDPR: правото на информация за това с кои публични и частни субекти контролерът на данни е споделил данни. Това задължение за прозрачност при споделяне налага по-голяма тежест за документиране на контролерите, управляващи сложни екосистеми от данни [2].
Споделени права съгласно LGPD и GDPR:
- Достъп до лични данни, съхранявани от контролера.
- Корекция на неточни или непълни данни.
- Изтриване на данни, обработени без валидно правно основание.
- Преносимост на данните (GDPR уточнява машинно четим формат; LGPD липсва тази специфичност).
- Възражение срещу обработката.
- Оттегляне на съгласието.
Специфично право на LGPD: Изрично право да се знае кои трети страни, както публични, така и частни, са получили личните данни на субекта на данни. GDPR разглежда това косвено чрез изискванията за прозрачност, но не го формулира като самостоятелно изброено право.
LGPD по-строг ли е или по-снизходителен от GDPR
Нито един от законите не е категорично по-строг във всички измерения. GDPR е по-строг по отношение на размера на наказанията (на база глобални приходи), сроковете за уведомяване за нарушения (72 часа) и специфичността на наличните указания за организациите. LGPD е по-строг по отношение на данните на деца (възраст 18 срещу 16) и има по-широко изискване за назначаване на ДЗЛ [2][3].
Относителната младост на ANPD като регулаторен орган означава по-малко публикувани указания, което създава неяснота в съответствието, а не снизходителност. Организациите трябва да третират неопределените изисквания на LGPD като области, изискващи консервативно тълкуване, а не като регулаторни пропуски за експлоатация.
Изисквания за съгласие по LGPD за обработка на лични данни
Съгласието е едно от 10-те валидни правни основания съгласно LGPD, а не основание по подразбиране или предпочитано. Това отразява подхода на GDPR, където съгласието е подходящо само когато други основания не се прилагат. Съгласието по LGPD трябва да бъде свободно, информирано, недвусмислено и специфично за определена цел [1].
Основни правила за съгласие съгласно LGPD:
- Съгласието трябва да бъде получено отделно от други договорни условия.
- Обработката на данни на непълнолетни (под 18 години) изисква проверимо родителско или настойническо съгласие.
- Съгласието може да бъде оттеглено по всяко време и контролерът трябва да улесни това лесно.
- Съгласието за чувствителни лични данни (здраве, биометрични данни, расов произход и т.н.) изисква изрично включване.
Организациите, които използват съгласието като всеобхватно правно основание, често срещана грешка, пренесена от практиките преди GDPR, са особено изложени на риск съгласно двата закона.
Приложимост на LGPD за небразилски компании
Небразилските компании подлежат на LGPD, ако обработват лични данни на лица, намиращи се в Бразилия, независимо от това къде е регистрирана компанията или къде се съхраняват данните. Екстериториалният обхват на закона е изричен и отразява пазарно ориентирания подход на GDPR [2].
Платформа за електронна търговия от САЩ, продаваща на бразилски потребители, канадска SaaS компания с бразилски корпоративни клиенти или азиатски производител, събиращ данни чрез бразилски уебсайт, всички попадат под юрисдикцията на LGPD. ANPD има правомощия да разследва и санкционира чуждестранни субекти, въпреки че прилагането срещу нерезидентни организации остава развиваща се област.
Изисквания за длъжностно лице по защита на данните по LGPD
LGPD обикновено изисква всички контролери на данни да назначат длъжностно лице по защита на данните (наричано „Encarregado“ на португалски) и публично да разкрият самоличността и информацията за контакт на това лице. Това е по-широко от GDPR, който задължава назначаването на ДЗЛ само за специфични категории организации (публични органи, широкомащабно систематично наблюдение, широкомащабна обработка на чувствителни данни) [2].
ANPD може да определи изключения от изискването за ДЗЛ по LGPD, особено за малки предприятия или нискорискови обработващи, но към 2026 г. тези изключения остават ограничени. Организациите трябва по подразбиране да назначават Encarregado, освен ако не се прилага специфично изключение от ANPD.
Как да приложите LGPD за вашия бизнес в Бразилия
Прилагането на LGPD следва структурирана последователност. Организациите със съществуващи GDPR програми трябва да проведат анализ на пропуските, вместо да започват от нулата, като се фокусират върху специфичните различия, посочени по-горе.
Контролен списък за изпълнение:
- Картографиране на данни: Инвентаризирайте всички потоци от лични данни, включително данни, събрани в Бразилия или от бразилски жители.
- Присвояване на правно основание: Картографирайте всяка дейност по обработка към едно от 10-те правни основания на LGPD, не по подразбиране към съгласие.
- Известия за поверителност: Актуализирайте известията, за да включите специфични за LGPD разкрития, включително самоличността на Encarregado.
- Назначаване на ДЗЛ: Назначете и публично идентифицирайте Encarregado; документирайте техните данни за контакт на вашия уебсайт и политика за поверителност.
- Процедури за правата на субектите на данни: Изградете работни потоци за специфични за LGPD заявки, включително правото на разкриване на споделяне с трети страни.
- План за реакция при нарушения: Установете вътрешни процедури за ескалация, съобразени с уведомяване в „разумен срок“, с консервативна вътрешна цел (72 часа е защитим еталон в очакване на указания от ANPD).
- Управление на съгласието: Внедрете решение за управление на съгласието за уеб свойства. Biscotti CMP (www.biscotti-cmp.com) поддържа събиране и управление на съгласието за организации, управляващи изисквания за съответствие в множество юрисдикции.
- Преглед на международни трансфери: Проверете всички трансгранични трансфери на данни и приложете наличните предпазни мерки (съгласие, договорни клаузи) предвид предстоящата рамка за адекватност на ANPD [3].
- DPIA процес: Установете процес за оценка на риска за високорискови дейности по обработка.
- Обучение: Обучете персонала с достъп до данни относно задълженията по LGPD и реакцията при инциденти.
Често срещани грешки, които компаниите правят при съответствие с LGPD
Най-честите провали в съответствието с LGPD произтичат от третирането на закона като пряко копие на GDPR и пропускането на специфични за Бразилия изисквания.
Грешки, които трябва да се избягват:
- Приемане, че съответствието с GDPR е равно на съответствие с LGPD. Различните правни основания, правила за ДЗЛ и прагове за данни на деца създават реални пропуски.
- Използване на съгласието като правно основание по подразбиране. LGPD предлага 10 основания; съгласието често не е най-подходящото и създава ненужен риск от оттегляне.
- Неуспех да се разкрие публично Encarregado. За разлика от някои внедрявания на GDPR, където данните за ДЗЛ са вътрешни, LGPD изисква публична идентификация.
- Игнориране на правото на разкриване на споделяне с трети страни. Това право изисква контролерите да поддържат подробни записи на отношенията за споделяне на данни.
- Третиране на неопределени указания от ANPD като разрешение. Когато ANPD все още не е публикувал специфични правила, консервативното тълкуване намалява бъдещата експозиция.
- Пренебрегване на данните на деца. Прагът от 18 години е по-висок, отколкото повечето организации очакват, и изисква активна проверка на възрастта или механизми за родителско съгласие.
LGPD срещу други южноамерикански закони за поверителност
Бразилският LGPD е най-всеобхватният и активно прилаган закон за защита на данните в Южна Америка към 2026 г. Няколко съседни държави са приели или разработват подобни рамки, но нито една не съответства на обхвата или инфраструктурата за прилагане на LGPD.
- Аржентина: Има закон за защита на данните (Закон 25,326, 2000), който предхожда LGPD, но е по-малко всеобхватен. Аржентина има статут на адекватност от ЕС, който LGPD все още не е постигнал.
- Чили: Прие актуализиран закон за защита на данните през 2024 г., модернизирайки своята рамка от 1999 г. с разпоредби, повлияни от GDPR, но инфраструктурата за прилагане все още се развива.
- Колумбия: Закон 1581 от 2012 г. регулира защитата на данните; по-ограничен по обхват от LGPD.
- Перу: Има законодателство за защита на данните (Закон 29,733), но с ограничен капацитет за прилагане.
Организациите, опериращи в Южна Америка, не могат да разчитат на единна регионална рамка за съответствие. Бразилският LGPD изисква специално внимание предвид зрелостта на прилагането му и размера на пазара.
ЧЗВ
Какво означава LGPD? LGPD означава Lei Geral de Proteção de Dados, Общият закон за защита на данните на Бразилия, приет през 2018 г. и прилаган от август 2021 г.
Кога започна прилагането на LGPD? Прилагането на административните санкции на LGPD започна през август 2021 г., когато ANPD получи правомощия да налага глоби и други наказания.
Прилага ли се LGPD за компании извън Бразилия? Да. Всяка организация, която обработва лични данни на лица, намиращи се в Бразилия, или която събира данни в Бразилия, попада под юрисдикцията на LGPD, независимо от местоположението на компанията [2].
Каква е максималната глоба по LGPD? LGPD ограничава глобите до 2% от приходите на организацията в Бразилия на нарушение, с максимум 50 милиона R$ на нарушение [3].
Винаги ли се изисква съгласие съгласно LGPD? Не. Съгласието е едно от 10-те валидни правни основания. Организациите трябва да идентифицират най-подходящото правно основание за всяка дейност по обработка, вместо да прибягват до съгласие по подразбиране [1].
Какъв е крайният срок за уведомяване за нарушение на данни по LGPD? LGPD изисква уведомяване в „разумен срок“, който ANPD се очаква да определи по-точно. В очакване на тези указания, 72-часов вътрешен еталон се използва широко като консервативен стандарт [2].
Удовлетворява ли програма, съвместима с GDPR, изискванията на LGPD? Не напълно. Съответствието с GDPR осигурява силна основа, но пропуските в правните основания, публичното оповестяване на ДЗЛ, праговете за данни на деца и правата на субектите на данни изискват специфично за LGPD отстраняване.
Какво е Encarregado съгласно LGPD? Encarregado е еквивалентът на длъжностно лице по защита на данните по LGPD. За разлика от GDPR, LGPD обикновено изисква всички контролери на данни да назначат такова лице и публично да разкрият самоличността и информацията за контакт [2].
Могат ли лични данни да бъдат прехвърляни в международен план съгласно LGPD? Да, при определени условия, включително адекватна защита, договорни предпазни мерки или специфично съгласие. Към 2026 г. ANPD все още не е публикувал официален списък за адекватност или стандартни договорни клаузи [3].
На каква възраст се изисква родителско съгласие съгласно LGPD? LGPD изисква родителско или настойническо съгласие за обработка на лични данни на лица под 18 години, което е по-високо от прага на GDPR от 16 години.
Заключение
Навигирането в бразилския LGPD изисква повече от просто картографиране на контролите на GDPR към нова юрисдикция. Структурните разлики, 10 правни основания срещу 6, по-широк мандат за ДЗЛ, по-висока възраст за съгласие на деца и все още развиваща се регулаторна рамка, изискват целенасочена, специфична за Бразилия работа по съответствие.
Действени следващи стъпки за организациите през 2026 г.:
- Проведете официален анализ на пропуските по LGPD спрямо вашата съществуваща GDPR програма, като се фокусирате върху правните основания, назначаването на ДЗЛ и процедурите за правата на субектите на данни.
- Назначете и публично оповестете Encarregado, ако обработвате данни на бразилски жители.
- Прегледайте всички потоци за съгласие за съответствие със стандартите за съгласие по LGPD, особено за потребители под 18 години.
- Внедрете решение за управление на съгласието за вашите уеб свойства, което поддържа изискванията на LGPD заедно с други приложими закони за поверителност.
- Установете процедура за реакция при нарушения на данни с вътрешна цел за ескалация от 72 часа в очакване на указания от ANPD.
- Следете внимателно публикациите на ANPD, решенията за адекватност, стандартните договорни клаузи и критериите за DPIA, всички те са в процес на изчакване и ще повлияят пряко на задълженията за съответствие.
Организациите, които третират съответствието с LGPD като производно на работата по GDPR, ще се окажат изложени точно в измеренията, където двата закона се различават най-много. Специализирана, документирана програма за LGPD е единствената защитима позиция, тъй като капацитетът за прилагане на ANPD продължава да расте.
Източници
[1] Lgpd Vs Gdpr Diferencas Similaridades - https://confidata.com.br/blog/lgpd-vs-gdpr-diferencas-similaridades?utm_source=openai
[2] Lgpd Vs Gdpr - https://lgpdpro.com.br/lgpd-vs-gdpr/?utm_source=openai
[3] Brazil Lgpd Vs Gdpr Differences - https://www.cleolabs.co/en/blog/brazil-lgpd-vs-gdpr-differences?utm_source=openai