Brzi odgovor: Brazilski Lei Geral de Proteção de Dados (LGPD) i Opća uredba o zaštiti podataka (GDPR) EU dijele zajedničku filozofsku osnovu, ali se značajno razlikuju u pravnim osnovama, strukturama kazni, zahtjevima za DPO i vremenskim rokovima za provođenje. Svaka organizacija koja posluje u Brazilu ili opslužuje brazilske subjekte podataka mora razumjeti ove razlike kako bi izgradila odbranjiv program usklađenosti; usklađenost sa GDPR-om sama po sebi nije dovoljna.
Ključne spoznaje
- LGPD pruža 10 pravnih osnova za obradu podataka; GDPR pruža samo 6, s jedinstvenim LGPD osnovama koje pokrivaju zaštitu kredita i javnu upravu.
- LGPD kazne su ograničene na 2% brazilskog prihoda po prekršaju, do 50 miliona R$, u poređenju sa GDPR-ovih 4% globalnog godišnjeg prometa ili 20 miliona €.
- Oba zakona se primjenjuju ekstrateritorijalno, nebrazilske kompanije koje obrađuju podatke brazilskih stanovnika moraju se pridržavati LGPD-a.
- Vremenski okvir za obavještavanje o povredi podataka prema LGPD-u je "razumno vrijeme", a ne strogi 72-satni prozor GDPR-a.
- LGPD pristanak za maloljetnike zahtijeva roditeljsko odobrenje do 18. godine, u poređenju sa GDPR-ovim starosnim pragom od 16 godina (ili čak 13 u nekim državama članicama EU).
- ANPD (brazilska agencija za zaštitu podataka) je počela s provođenjem u augustu 2021. godine i stalno povećava sankcijske aktivnosti.
- Od 2026. godine, ANPD još nije objavio službene liste adekvatnosti ili standardne ugovorne klauzule za međunarodne prijenose podataka.
- Usklađenost sa GDPR-om pruža snažnu osnovu za usklađenost sa LGPD-om, ali postoje praznine koje zahtijevaju namjerno otklanjanje.
Šta je LGPD i kako funkcioniše u Brazilu
Brazilski LGPD (Lei Geral de Proteção de Dados, Zakon br. 13.709/2018) je sveobuhvatan savezni zakon o zaštiti podataka u zemlji, djelimično modeliran po uzoru na GDPR, ali prilagođen brazilskom pravnom i ekonomskom kontekstu. On reguliše prikupljanje, obradu, pohranu i prijenos ličnih podataka pojedinaca koji se nalaze u Brazilu, bez obzira na to gdje je organizacija za obradu podataka smještena.
Zakon administrira ANPD (Autoridade Nacional de Proteção de Dados), koja ima ovlaštenje za izdavanje smjernica, provođenje istraga i izricanje sankcija. Provođenje je formalno počelo u augustu 2021. godine, a ANPD je od tada progresivno proširio svoje regulatorne aktivnosti [3].
Kako funkcioniše u praksi:
- Organizacije moraju identificirati zakonitu pravnu osnovu prije obrade bilo kakvih ličnih podataka.
- Subjekti podataka moraju biti informirani o aktivnostima obrade putem transparentnih obavijesti o privatnosti.
- Službenik za zaštitu podataka (Encarregado) mora se općenito imenovati i javno identificirati.
- Incidenti koji uključuju lične podatke moraju se prijaviti ANPD-u i pogođenim pojedincima u "razumnom roku".
- Organizacije koje obrađuju podatke visokog rizika moraju provesti procjene utjecaja na zaštitu podataka (DPIA), s posebnim kriterijima koje će definirati ANPD [2].
Glavne razlike između usklađenosti sa LGPD-om i GDPR-om
Kretanje kroz brazilski LGPD pored GDPR-a otkriva i strukturne sličnosti i značajne razlike koje direktno utječu na programe usklađenosti. Najznačajnije operativne razlike spadaju u pet kategorija: pravne osnove, izračun kazni, vrijeme obavještavanja o povredi, pragovi za podatke djece i zrelost regulatornih smjernica.
| Dimenzija | LGPD (Brazil) | GDPR (EU) |
|---|---|---|
| Pravne osnove | 10 (uklj. zaštitu kredita, javnu politiku) | 6 |
| Maksimalna kazna | 2% brazilskog prihoda, ograničenje od 50 miliona R$ | 4% globalnog prometa ili 20 miliona € |
| Obavještavanje o povredi | "Razumno vrijeme" (ANPD će definirati) | 72 sata nadzornom tijelu |
| Starost za pristanak djece | 18 (potreban pristanak roditelja) | 16 (države članice mogu smanjiti na 13) |
| Zahtjev za DPO | Općenito obavezno (mogući izuzeci) | Obavezno samo za specifične kriterije |
| Odluke o adekvatnosti | ANPD lista još nije objavljena (od 2026.) | Objavljena lista Komisije EU |
| Početak provođenja | August 2021. | Maj 2018. |
Izvori: [1][2][3]
10 pravnih osnova LGPD-a uključuje odredbe bez GDPR ekvivalenta, kao što su zaštita kredita i izvršavanje politika javne uprave. Organizacije koje se oslanjaju isključivo na GDPR pravne osnove mogu otkriti da su njihove brazilske aktivnosti obrade neadekvatno utemeljene [1].
Da li kompanije trebaju slijediti i LGPD i GDPR
Da, ako organizacija obrađuje lične podatke i stanovnika EU i Brazila, mora se istovremeno pridržavati oba zakona. Dvije uredbe imaju preklapajuće, ali ne i identične zahtjeve, što znači da dvostruka usklađenost zahtijeva namjernu analizu praznina, a ne pretpostavku da jedna zadovoljava drugu.
LGPD se primjenjuje na svaku organizaciju koja:
- Obrađuje lične podatke u Brazilu.
- Nudi robu ili usluge pojedincima koji se nalaze u Brazilu.
- Obrađuje podatke koji su prikupljeni u Brazilu, bez obzira na to gdje se obrada odvija [2].
Evropska kompanija sa brazilskim kupcima, ili brazilska kompanija sa korisnicima iz EU, potpada pod oba režima. Organizacije usklađene sa GDPR-om imaju prednost, ali specifične praznine u LGPD-u, posebno oko pravnih osnova, zahtjeva za javno objavljivanje DPO-a i jezika obavještavanja o povredi, zahtijevaju dodatni rad.
LGPD kazne i novčane kazne za neusklađenost
LGPD kazne se izračunavaju kao postotak prihoda organizacije u Brazilu (ne globalnog prihoda), ograničene na 50 miliona R$ po prekršaju. Ovo je strukturno drugačiji izračun od GDPR-a, koji se odnosi na globalni godišnji promet [3].
Dostupne sankcije prema LGPD-u uključuju:
- Upozorenja sa definiranim periodom za otklanjanje.
- Jednostavne novčane kazne do 2% brazilskog prihoda, ograničene na 50 miliona R$ po prekršaju.
- Dnevne novčane kazne dok se prekršaj ne otkloni.
- Objavljivanje prekršaja (reputacijska sankcija).
- Blokiranje ili brisanje relevantnih ličnih podataka.
- Djelomična ili potpuna obustava aktivnosti obrade podataka.
Provođenje ANPD-a je sazrelo od 2021. godine, i organizacije ne bi trebale pretpostavljati da niže ograničenje kazne u Brazilu znači niži rizik. Reputacijske sankcije i operativne obustave mogu nositi troškove koji premašuju novčane kazne.
Prava subjekata podataka prema LGPD-u u odnosu na prava prema GDPR-u
Oba zakona dodjeljuju uporediva osnovna prava, ali LGPD uključuje eksplicitno pravo bez direktne GDPR paralele: pravo na informaciju o tome s kojim javnim i privatnim entitetima je kontrolor podataka podijelio podatke. Ova obaveza transparentnosti u dijeljenju nameće veći teret dokumentacije kontrolorima koji upravljaju složenim ekosistemima podataka [2].
Zajednička prava prema LGPD-u i GDPR-u:
- Pristup ličnim podacima koje posjeduje kontrolor.
- Ispravka netačnih ili nepotpunih podataka.
- Brisanje podataka obrađenih bez valjane pravne osnove.
- Prenosivost podataka (GDPR specificira mašinski čitljiv format; LGPD nema ovu specifičnost).
- Prigovor na obradu.
- Opoziv pristanka.
Pravo specifično za LGPD: Eksplicitno pravo da se zna koje treće strane, javne i privatne, su primile lične podatke subjekta podataka. GDPR to indirektno rješava putem zahtjeva za transparentnost, ali to ne uokviruje kao samostalno navedeno pravo.
Da li je LGPD strožiji ili blaži od GDPR-a
Nijedan zakon nije kategorički strožiji u svim dimenzijama. GDPR je strožiji u pogledu veličine kazne (na osnovu globalnog prihoda), vremenskih rokova za obavještavanje o povredi (72 sata) i specifičnosti smjernica dostupnih organizacijama. LGPD je strožiji u pogledu podataka djece (starost 18 naspram 16) i ima širi zahtjev za imenovanje DPO-a [2][3].
Relativna mladost ANPD-a kao regulatornog tijela znači manje objavljenih smjernica, što stvara dvosmislenost u usklađenosti, a ne blagost. Organizacije bi trebale tretirati nedefinirane LGPD zahtjeve kao područja koja zahtijevaju konzervativno tumačenje, a ne kao regulatorne praznine koje treba iskoristiti.
LGPD zahtjevi za pristanak za obradu ličnih podataka
Pristanak je jedna od 10 valjanih pravnih osnova prema LGPD-u, a ne zadana ili preferirana osnova. Ovo odražava pristup GDPR-a, gdje je pristanak prikladan samo kada se druge osnove ne primjenjuju. LGPD pristanak mora biti slobodan, informiran, nedvosmislen i specifičan za definiranu svrhu [1].
Ključna pravila pristanka prema LGPD-u:
- Pristanak se mora dobiti odvojeno od ostalih ugovornih uslova.
- Obrada podataka maloljetnika (mlađih od 18 godina) zahtijeva provjerljiv pristanak roditelja ili staratelja.
- Pristanak se može opozvati u bilo kojem trenutku, a kontrolor mora to lako omogućiti.
- Pristanak za osjetljive lične podatke (zdravlje, biometrijski podaci, rasno porijeklo itd.) zahtijeva eksplicitno uključivanje.
Organizacije koje koriste pristanak kao sveobuhvatnu pravnu osnovu, uobičajenu grešku prenesenu iz praksi prije GDPR-a, suočavaju se s posebnim izlaganjem prema oba zakona.
Primjenjivost LGPD-a za nebrazilske kompanije
Nebrazilske kompanije podliježu LGPD-u ako obrađuju lične podatke pojedinaca koji se nalaze u Brazilu, bez obzira na to gdje je kompanija registrovana ili gdje su podaci pohranjeni. Ekstrateritorijalni opseg zakona je eksplicitan i odražava tržišno zasnovan pristup GDPR-a [2].
Američka platforma za e-trgovinu koja prodaje brazilskim potrošačima, kanadska SaaS kompanija sa brazilskim korporativnim klijentima, ili azijski proizvođač koji prikuplja podatke putem web stranice usmjerene na Brazil, svi spadaju u nadležnost LGPD-a. ANPD ima ovlaštenje za istraživanje i sankcionisanje stranih entiteta, iako je provođenje protiv nerezidentnih organizacija još uvijek područje koje se razvija.
LGPD zahtjevi za službenika za zaštitu podataka
LGPD općenito zahtijeva od svih kontrolora podataka da imenuju službenika za zaštitu podataka (nazvanog "Encarregado" na portugalskom) i da javno objave identitet i kontakt informacije te osobe. Ovo je šire od GDPR-a, koji nalaže imenovanje DPO-a samo za specifične kategorije organizacija (javne vlasti, opsežno sistematsko praćenje, opsežna obrada osjetljivih podataka) [2].
ANPD može definirati izuzetke od zahtjeva LGPD-a za DPO, posebno za mala preduzeća ili procesore niskog rizika, ali od 2026. godine ti izuzeci ostaju ograničeni. Organizacije bi trebale podrazumijevano imenovati Encarregadoa osim ako se ne primjenjuje specifično izuzeće ANPD-a.
Kako implementirati LGPD za vaše poslovanje u Brazilu
Implementacija LGPD-a slijedi strukturirani slijed. Organizacije s postojećim GDPR programima trebale bi provesti analizu praznina umjesto da počinju ispočetka, fokusirajući se na specifične razlike navedene gore.
Kontrolna lista za implementaciju:
- Mapiranje podataka: Popišite sve tokove ličnih podataka, uključujući podatke prikupljene u Brazilu ili od brazilskih stanovnika.
- Dodjela pravne osnove: Mapirajte svaku aktivnost obrade na jednu od 10 pravnih osnova LGPD-a, nemojte podrazumijevano koristiti pristanak.
- Obavijesti o privatnosti: Ažurirajte obavijesti kako bi uključile LGPD-specifična otkrivanja, uključujući identitet Encarregadoa.
- Imenovanje DPO-a: Imenujte i javno identificirajte Encarregadoa; dokumentirajte njihove kontakt podatke na svojoj web stranici i politici privatnosti.
- Procedure za prava subjekata podataka: Izgradite radne tokove za LGPD-specifične zahtjeve, uključujući pravo na otkrivanje dijeljenja s trećim stranama.
- Plan odgovora na povredu: Uspostavite interne procedure eskalacije usklađene s obavještavanjem u "razumnom roku", s konzervativnim internim ciljem (72 sata je odbranjiva referentna vrijednost do smjernica ANPD-a).
- Upravljanje pristankom: Implementirajte rješenje za upravljanje pristankom za web svojstva. Biscotti CMP (www.biscotti-cmp.com) podržava prikupljanje i upravljanje pristankom za organizacije koje upravljaju zahtjevima za usklađenost u više jurisdikcija.
- Pregled međunarodnog prijenosa: Revidirajte sve prekogranične prijenose podataka i primijenite dostupne zaštitne mjere (pristanak, ugovorne klauzule) s obzirom na okvir adekvatnosti ANPD-a koji je u toku [3].
- DPIA proces: Uspostavite proces procjene rizika za aktivnosti obrade visokog rizika.
- Obuka: Obučite osoblje s pristupom podacima o LGPD obavezama i odgovoru na incidente.
Uobičajene greške koje kompanije prave pri usklađenosti sa LGPD-om
Najčešći propusti u usklađenosti sa LGPD-om proizlaze iz tretiranja zakona kao direktne kopije GDPR-a i preskakanja zahtjeva specifičnih za Brazil.
Greške koje treba izbjegavati:
- Pretpostavka da usklađenost sa GDPR-om znači usklađenost sa LGPD-om. Različite pravne osnove, pravila DPO-a i pragovi za podatke djece stvaraju stvarne praznine.
- Korištenje pristanka kao zadane pravne osnove. LGPD nudi 10 osnova; pristanak često nije najprikladniji i stvara nepotreban rizik od opoziva.
- Propust javnog objavljivanja Encarregadoa. Za razliku od nekih GDPR implementacija gdje su detalji DPO-a interni, LGPD zahtijeva javnu identifikaciju.
- Ignorisanje prava na otkrivanje dijeljenja s trećim stranama. Ovo pravo zahtijeva od kontrolora da održavaju detaljne evidencije o odnosima dijeljenja podataka.
- Tretiranje nedefiniranih smjernica ANPD-a kao dozvole. Tamo gdje ANPD još nije objavio specifična pravila, konzervativno tumačenje smanjuje buduću izloženost.
- Previđanje podataka djece. Prag od 18 godina je viši nego što većina organizacija očekuje i zahtijeva aktivnu provjeru starosti ili mehanizme roditeljskog pristanka.
LGPD u odnosu na druge južnoameričke zakone o privatnosti
Brazilski LGPD je najsveobuhvatniji i najaktivnije provođen zakon o zaštiti podataka u Južnoj Americi od 2026. godine. Nekoliko susjednih zemalja je donijelo ili razvija slične okvire, ali nijedan ne odgovara opsegu ili infrastrukturi provođenja LGPD-a.
- Argentina: Ima zakon o zaštiti podataka (Zakon 25.326, 2000) koji prethodi LGPD-u, ali je manje sveobuhvatan. Argentina ima status adekvatnosti EU, što LGPD još nije postigao.
- Čile: Donio je ažurirani zakon o zaštiti podataka 2024. godine, modernizirajući svoj okvir iz 1999. godine odredbama pod utjecajem GDPR-a, ali infrastruktura provođenja se još uvijek razvija.
- Kolumbija: Zakon 1581 iz 2012. reguliše zaštitu podataka; opseg je ograničeniji od LGPD-a.
- Peru: Ima zakonodavstvo o zaštiti podataka (Zakon 29.733), ali s ograničenim kapacitetom provođenja.
Organizacije koje posluju širom Južne Amerike ne mogu se osloniti na jedinstveni regionalni okvir usklađenosti. Brazilski LGPD zahtijeva posebnu pažnju s obzirom na zrelost provođenja i veličinu tržišta.
Često postavljana pitanja
Šta znači LGPD? LGPD znači Lei Geral de Proteção de Dados, brazilski Opći zakon o zaštiti podataka, donesen 2018. godine i primjenjivan od augusta 2021. godine.
Kada je počelo provođenje LGPD-a? Provođenje administrativnih sankcija LGPD-a počelo je u augustu 2021. godine, kada je ANPD dobio ovlaštenje za izricanje novčanih kazni i drugih sankcija.
Da li se LGPD primjenjuje na kompanije izvan Brazila? Da. Svaka organizacija koja obrađuje lične podatke pojedinaca koji se nalaze u Brazilu, ili koja prikuplja podatke u Brazilu, potpada pod nadležnost LGPD-a bez obzira na to gdje je kompanija smještena [2].
Koja je maksimalna LGPD kazna? LGPD ograničava kazne na 2% prihoda organizacije u Brazilu po prekršaju, s maksimalnih 50 miliona R$ po prekršaju [3].
Da li je pristanak uvijek potreban prema LGPD-u? Ne. Pristanak je jedna od 10 valjanih pravnih osnova. Organizacije bi trebale identificirati najprikladniju pravnu osnovu za svaku aktivnost obrade umjesto da podrazumijevano koriste pristanak [1].
Koji je rok za obavještavanje o povredi podataka prema LGPD-u? LGPD zahtijeva obavještavanje u "razumnom roku", što se očekuje da će ANPD preciznije definirati. Do tih smjernica, 72-satni interni referentni okvir se široko koristi kao konzervativni standard [2].
Da li program usklađen sa GDPR-om zadovoljava zahtjeve LGPD-a? Ne u potpunosti. Usklađenost sa GDPR-om pruža snažnu osnovu, ali praznine u pravnim osnovama, javnom objavljivanju DPO-a, pragovima za podatke djece i pravima subjekata podataka zahtijevaju LGPD-specifično otklanjanje.
Šta je Encarregado prema LGPD-u? Encarregado je LGPD-ov ekvivalent službenika za zaštitu podataka. Za razliku od GDPR-a, LGPD općenito zahtijeva od svih kontrolora podataka da imenuju jednog i javno objave njihov identitet i kontakt informacije [2].
Mogu li se lični podaci prenositi međunarodno prema LGPD-u? Da, pod određenim uslovima, uključujući adekvatnu zaštitu, ugovorne zaštitne mjere ili specifičan pristanak. Od 2026. godine, ANPD još nije objavio službenu listu adekvatnosti ili standardne ugovorne klauzule [3].
Koja starost zahtijeva roditeljski pristanak prema LGPD-u? LGPD zahtijeva pristanak roditelja ili staratelja za obradu ličnih podataka pojedinaca mlađih od 18 godina, što je više od GDPR-ovog praga od 16 godina.
Zaključak
Kretanje kroz brazilski LGPD zahtijeva više od mapiranja GDPR kontrola na novu jurisdikciju. Strukturne razlike, 10 pravnih osnova naspram 6, širi mandat DPO-a, viša starost za pristanak djece i još uvijek sazrijevajući regulatorni okvir, zahtijevaju namjeran, Brazil-specifičan rad na usklađenosti.
Akcioni koraci za organizacije u 2026. godini:
- Provedite formalnu analizu praznina LGPD-a u odnosu na vaš postojeći GDPR program, fokusirajući se na pravne osnove, imenovanje DPO-a i procedure za prava subjekata podataka.
- Imenujte i javno objavite Encarregadoa ako obrađujete podatke brazilskih stanovnika.
- Pregledajte sve tokove pristanka radi usklađenosti sa LGPD standardima pristanka, posebno za korisnike mlađe od 18 godina.
- Implementirajte rješenje za upravljanje pristankom za vaša web svojstva koje podržava LGPD zahtjeve pored drugih primjenjivih zakona o privatnosti.
- Uspostavite proceduru odgovora na povredu podataka s internim ciljem eskalacije od 72 sata do smjernica ANPD-a.
- Pažljivo pratite publikacije ANPD-a, odluke o adekvatnosti, standardne ugovorne klauzule i DPIA kriteriji su svi u toku i direktno će utjecati na obaveze usklađenosti.
Organizacije koje tretiraju usklađenost sa LGPD-om kao derivat GDPR rada naći će se izložene upravo u dimenzijama gdje se dva zakona najviše razlikuju. Namjenski, dokumentirani LGPD program je jedini odbranjiv stav jer kapacitet provođenja ANPD-a nastavlja rasti.
Reference
[1] Lgpd Vs Gdpr Diferencas Similaridades - https://confidata.com.br/blog/lgpd-vs-gdpr-diferencas-similaridades?utm_source=openai
[2] Lgpd Vs Gdpr - https://lgpdpro.com.br/lgpd-vs-gdpr/?utm_source=openai
[3] Brazil Lgpd Vs Gdpr Differences - https://www.cleolabs.co/en/blog/brazil-lgpd-vs-gdpr-differences?utm_source=openai