Resposta ràpida: La Lei Geral de Proteção de Dados (LGPD) del Brasil i el Reglament General de Protecció de Dades (GDPR) de la UE comparteixen una base filosòfica comuna, però divergeixen significativament en les bases legals, les estructures de sancions, els requisits del DPO i els terminis d'aplicació. Qualsevol organització que operi al Brasil o que serveixi a interessats brasilers ha d'entendre aquestes distincions per construir un programa de compliment defensable; el compliment del GDPR per si sol no és suficient.
Punts clau
- La LGPD proporciona 10 bases legals per al tractament de dades; el GDPR només en proporciona 6, amb bases úniques de la LGPD que cobreixen la protecció de crèdit i l'administració pública.
- Les multes de la LGPD estan limitades al 2% dels ingressos brasilers per infracció, fins a 50 milions de R$, en comparació amb el 4% de la facturació anual global o 20 milions d'euros del GDPR.
- Ambdues lleis s'apliquen extraterritorialment; les empreses no brasileres que processen dades de residents brasilers han de complir amb la LGPD.
- El termini de notificació de violació de dades de la LGPD és "temps raonable", no la finestra estricta de 72 hores del GDPR.
- El consentiment de la LGPD per a menors requereix l'aprovació dels pares fins als 18 anys, enfront del llindar d'edat del GDPR de 16 (o tan baix com 13 en alguns estats membres de la UE).
- L'ANPD (autoritat brasilera de protecció de dades) va començar l'aplicació a l'agost de 2021 i ha augmentat constantment l'activitat de sancions.
- A partir de 2026, l'ANPD encara no ha publicat llistes oficials d'adequació ni clàusules contractuals estàndard per a transferències internacionals de dades.
- El compliment del GDPR proporciona una base sòlida per al compliment de la LGPD, però existeixen llacunes que requereixen una reparació deliberada.
Què és la LGPD i com funciona al Brasil
La LGPD del Brasil (Lei Geral de Proteção de Dados, Llei núm. 13.709/2018) és la llei federal integral de protecció de dades del país, modelada en part sobre el GDPR però adaptada al context legal i econòmic del Brasil. Regula la recollida, el tractament, l'emmagatzematge i la transferència de dades personals pertanyents a individus ubicats al Brasil, independentment d'on es basi l'organització de processament.
La llei és administrada per l'ANPD (Autoridade Nacional de Proteção de Dados), que té autoritat per emetre orientacions, realitzar investigacions i imposar sancions. L'aplicació va començar formalment a l'agost de 2021, i l'ANPD ha ampliat progressivament la seva activitat reguladora des de llavors [3].
Com funciona a la pràctica:
- Les organitzacions han d'identificar una base legal lícita abans de processar qualsevol dada personal.
- Els interessats han de ser informats de les activitats de processament mitjançant avisos de privadesa transparents.
- Generalment s'ha de nomenar i identificar públicament un Delegat de Protecció de Dades (Encarregado).
- Els incidents que impliquin dades personals s'han de comunicar a l'ANPD i als individus afectats en un "temps raonable".
- Les organitzacions que processen dades d'alt risc han de realitzar Avaluacions d'Impacte de Protecció de Dades (DPIA), amb criteris específics a definir per l'ANPD [2].
Principals diferències entre el compliment de la LGPD i el GDPR
Navegar per la LGPD del Brasil juntament amb el GDPR revela tant similituds estructurals com divergències significatives que afecten directament els programes de compliment. Les diferències més significatives des del punt de vista operatiu es divideixen en cinc categories: bases legals, càlcul de sancions, temps de notificació de violacions, llindars de dades de menors i la maduresa de les orientacions reguladores.
| Dimensió | LGPD (Brasil) | GDPR (UE) |
|---|---|---|
| Bases legals | 10 (incl. protecció de crèdit, política pública) | 6 |
| Multa màxima | 2% dels ingressos brasilers, límit de 50 milions de R$ | 4% de la facturació global o 20 milions d'euros |
| Notificació de violació | "Temps raonable" (a definir per l'ANPD) | 72 hores a l'autoritat de supervisió |
| Edat de consentiment dels menors | 18 (requereix consentiment parental) | 16 (els estats membres poden reduir-la a 13) |
| Requisit de DPO | Generalment obligatori (excepcions possibles) | Obligatori només per a criteris específics |
| Decisions d'adequació | Llista de l'ANPD encara no publicada (a partir de 2026) | Llista de la Comissió Europea publicada |
| Inici de l'aplicació | Agost de 2021 | Maig de 2018 |
Fonts: [1][2][3]
Les 10 bases legals de la LGPD inclouen disposicions sense equivalent en el GDPR, com la protecció del crèdit i l'execució de polítiques d'administració pública. Les organitzacions que es basen únicament en les bases legals del GDPR poden trobar que les seves activitats de processament brasileres no estan adequadament fonamentades [1].
Les empreses han de seguir tant la LGPD com el GDPR?
Sí, si una organització processa dades personals de residents tant de la UE com del Brasil, ha de complir amb ambdues lleis simultàniament. Les dues regulacions tenen requisits superposats però no idèntics, el que significa que el compliment dual requereix una anàlisi de bretxes deliberada en lloc de suposar que una satisfà l'altra.
La LGPD s'aplica a qualsevol organització que:
- Processa dades personals al Brasil.
- Ofereix béns o serveis a individus ubicats al Brasil.
- Processa dades que es van recollir al Brasil, independentment d'on es produeixi el processament [2].
Una empresa europea amb clients brasilers, o una empresa brasilera amb usuaris de la UE, cau sota ambdós règims. Les organitzacions que compleixen amb el GDPR tenen un avantatge, però les llacunes específiques de la LGPD, particularment al voltant de les bases legals, els requisits de divulgació pública del DPO i el llenguatge de notificació de violacions, requereixen treball addicional.
Sancions i multes de la LGPD per incompliment
Les multes de la LGPD es calculen com un percentatge dels ingressos de l'organització al Brasil (no els ingressos globals), amb un límit de 50 milions de R$ per infracció. Aquest és un càlcul estructuralment diferent del GDPR, que fa referència a la facturació anual global [3].
Les sancions disponibles sota la LGPD inclouen:
- Advertiments amb un període de reparació definit.
- Multes simples de fins al 2% dels ingressos brasilers, amb un límit de 50 milions de R$ per infracció.
- Multes diàries fins que es repari la infracció.
- Publicació de la infracció (sanció reputacional).
- Bloqueig o eliminació de les dades personals rellevants.
- Suspensió parcial o total de les activitats de processament de dades.
La postura d'aplicació de l'ANPD ha madurat des de 2021, i les organitzacions no haurien de suposar que el límit de multa més baix del Brasil es tradueix en un risc menor. Les sancions reputacionals i les suspensions operatives poden comportar costos que superen les multes monetàries.
Drets dels interessats de la LGPD vs. Drets del GDPR
Ambdues lleis atorguen drets bàsics comparables, però la LGPD inclou un dret explícit sense paral·lel directe en el GDPR: el dret a la informació sobre amb quines entitats públiques i privades el responsable del tractament ha compartit dades. Aquesta obligació de transparència en la compartició imposa una càrrega de documentació més gran als responsables del tractament que gestionen ecosistemes de dades complexos [2].
Drets compartits sota la LGPD i el GDPR:
- Accés a les dades personals en poder del responsable del tractament.
- Correcció de dades inexactes o incompletes.
- Eliminació de dades processades sense una base legal vàlida.
- Portabilitat de dades (el GDPR especifica el format llegible per màquina; la LGPD no té aquesta especificitat).
- Oposició al tractament.
- Revocació del consentiment.
Dret específic de la LGPD: Dret explícit a saber quins tercers, tant públics com privats, han rebut les dades personals de l'interessat. El GDPR aborda això indirectament mitjançant requisits de transparència, però no ho emmarca com un dret enumerat independent.
La LGPD és més estricta o més indulgent que el GDPR?
Cap de les dues lleis és categòricament més estricta en totes les dimensions. El GDPR és més estricte en la magnitud de les sancions (base d'ingressos globals), els terminis de notificació de violacions (72 hores) i l'especificitat de les orientacions disponibles per a les organitzacions. La LGPD és més estricta en les dades dels menors (18 anys vs. 16) i té un requisit de nomenament de DPO més ampli [2][3].
La relativa joventut de l'ANPD com a organisme regulador significa menys orientació publicada, la qual cosa crea ambigüitat en el compliment en lloc d'indulgència. Les organitzacions haurien de tractar els requisits indefinits de la LGPD com a àrees que requereixen una interpretació conservadora, no com a llacunes reguladores per explotar.
Requisits de consentiment de la LGPD per al tractament de dades personals
El consentiment és una de les 10 bases legals vàlides sota la LGPD, no la base predeterminada o preferida. Això reflecteix l'enfocament del GDPR, on el consentiment és apropiat només quan no s'apliquen altres bases. El consentiment de la LGPD ha de ser lliure, informat, inequívoc i específic per a una finalitat definida [1].
Normes clau de consentiment sota la LGPD:
- El consentiment s'ha d'obtenir per separat d'altres termes contractuals.
- El tractament de dades de menors (menors de 18 anys) requereix el consentiment verificable dels pares o tutors.
- El consentiment es pot revocar en qualsevol moment, i el responsable del tractament ha de facilitar-ho fàcilment.
- El consentiment per a dades personals sensibles (salut, biomètriques, origen racial, etc.) requereix una acceptació explícita.
Les organitzacions que utilitzen el consentiment com a base legal general, un error comú arrossegat de les pràctiques anteriors al GDPR, s'enfronten a una exposició particular sota ambdues lleis.
Aplicabilitat de la LGPD per a empreses no brasileres
Les empreses no brasileres estan subjectes a la LGPD si processen dades personals d'individus ubicats al Brasil, independentment d'on estigui constituïda l'empresa o on s'emmagatzemin les dades. L'abast extraterritorial de la llei és explícit i reflecteix l'enfocament basat en el mercat del GDPR [2].
Una plataforma de comerç electrònic dels EUA que ven a consumidors brasilers, una empresa SaaS canadenca amb clients empresarials brasilers, o un fabricant asiàtic que recull dades a través d'un lloc web orientat al Brasil, tots cauen dins de la jurisdicció de la LGPD. L'ANPD té autoritat per investigar i sancionar entitats estrangeres, tot i que l'aplicació contra organitzacions no residents segueix sent una àrea en evolució.
Requisits del Delegat de Protecció de Dades de la LGPD
La LGPD generalment requereix que tots els responsables del tractament de dades nomenin un Delegat de Protecció de Dades (anomenat "Encarregado" en portuguès) i que divulguin públicament la identitat i la informació de contacte d'aquesta persona. Això és més ampli que el GDPR, que només exigeix el nomenament d'un DPO per a categories específiques d'organitzacions (autoritats públiques, supervisió sistemàtica a gran escala, tractament de dades sensibles a gran escala) [2].
L'ANPD pot definir excepcions al requisit de DPO de la LGPD, particularment per a petites empreses o processadors de baix risc, però a partir de 2026 aquestes excepcions segueixen sent limitades. Les organitzacions haurien de per defecte nomenar un Encarregado tret que s'apliqui una exempció específica de l'ANPD.
Com implementar la LGPD per al vostre negoci al Brasil
La implementació de la LGPD segueix una seqüència estructurada. Les organitzacions amb programes GDPR existents haurien de realitzar una anàlisi de bretxes en lloc de començar de zero, centrant-se en les divergències específiques esmentades anteriorment.
Llista de verificació d'implementació:
- Mapatge de dades: Inventariar tots els fluxos de dades personals, incloses les dades recollides al Brasil o de residents brasilers.
- Assignació de base legal: Mapejar cada activitat de processament a una de les 10 bases legals de la LGPD, no per defecte al consentiment.
- Avisos de privadesa: Actualitzar els avisos per incloure divulgacions específiques de la LGPD, inclosa la identitat de l'Encarregado.
- Nomenament de DPO: Nomenar i identificar públicament un Encarregado; documentar les seves dades de contacte al vostre lloc web i política de privadesa.
- Procediments de drets dels interessats: Construir fluxos de treball per a sol·licituds específiques de la LGPD, inclòs el dret de divulgació de compartició amb tercers.
- Pla de resposta a violacions: Establir procediments d'escalada interns alineats amb la notificació en "temps raonable", amb un objectiu intern conservador (72 hores és un punt de referència defensable a l'espera de les orientacions de l'ANPD).
- Gestió del consentiment: Implementar una solució de gestió del consentiment per a propietats web. Biscotti CMP (www.biscotti-cmp.com) admet la recollida i gestió del consentiment per a organitzacions que gestionen requisits de compliment multijurisdiccionals.
- Revisió de transferències internacionals: Auditar totes les transferències de dades transfrontereres i aplicar salvaguardes disponibles (consentiment, clàusules contractuals) donat el marc d'adequació pendent de l'ANPD [3].
- Procés de DPIA: Establir un procés d'avaluació de riscos per a activitats de processament d'alt risc.
- Formació: Formar el personal amb accés a dades sobre les obligacions de la LGPD i la resposta a incidents.
Errors comuns que cometen les empreses amb el compliment de la LGPD
Els errors de compliment de la LGPD més freqüents provenen de tractar la llei com una còpia directa del GDPR i ometre els requisits específics del Brasil.
Errors a evitar:
- Assumir que el compliment del GDPR equival al compliment de la LGPD. Les diferents bases legals, normes de DPO i llindars de dades de menors creen llacunes reals.
- Utilitzar el consentiment com a base legal predeterminada. La LGPD ofereix 10 bases; el consentiment sovint no és el més adequat i crea un risc de revocació innecessari.
- No divulgar públicament l'Encarregado. A diferència d'algunes implementacions del GDPR on els detalls del DPO són interns, la LGPD requereix una identificació pública.
- Ignorar el dret de divulgació de compartició amb tercers. Aquest dret requereix que els responsables del tractament mantinguin registres detallats de les relacions de compartició de dades.
- Tractar les orientacions indefinides de l'ANPD com a permís. Quan l'ANPD encara no ha publicat normes específiques, la interpretació conservadora redueix l'exposició futura.
- Passar per alt les dades dels menors. El llindar d'edat de 18 anys és més alt del que la majoria de les organitzacions esperen i requereix mecanismes actius de verificació d'edat o consentiment parental.
LGPD vs. Altres lleis de privadesa sud-americanes
La LGPD del Brasil és la llei de protecció de dades més completa i activament aplicada a Amèrica del Sud a partir de 2026. Diversos països veïns han promulgat o estan desenvolupant marcs similars, però cap coincideix amb l'abast o la infraestructura d'aplicació de la LGPD.
- Argentina: Té una llei de protecció de dades (Llei 25.326, 2000) que és anterior a la LGPD però és menys completa. Argentina té l'estat d'adequació de la UE, que la LGPD encara no ha aconseguit.
- Xile: Va aprovar una llei de protecció de dades actualitzada el 2024, modernitzant el seu marc de 1999 amb disposicions influenciades pel GDPR, però la infraestructura d'aplicació encara s'està desenvolupant.
- Colòmbia: La Llei 1581 de 2012 regula la protecció de dades; d'abast més limitat que la LGPD.
- Perú: Té legislació de protecció de dades (Llei 29.733) però amb una capacitat d'aplicació limitada.
Les organitzacions que operen a Amèrica del Sud no poden dependre d'un únic marc de compliment regional. La LGPD del Brasil requereix una atenció dedicada donada la seva maduresa d'aplicació i la mida del mercat.
Preguntes freqüents
Què significa LGPD? LGPD significa Lei Geral de Proteção de Dados, la Llei General de Protecció de Dades del Brasil, promulgada el 2018 i aplicada des d'agost de 2021.
Quan va començar l'aplicació de la LGPD? L'aplicació de les sancions administratives de la LGPD va començar a l'agost de 2021, quan l'ANPD va obtenir autoritat per imposar multes i altres sancions.
La LGPD s'aplica a empreses fora del Brasil? Sí. Qualsevol organització que processi dades personals d'individus ubicats al Brasil, o que reculli dades al Brasil, cau dins de la jurisdicció de la LGPD, independentment d'on es basi l'empresa [2].
Quina és la multa màxima de la LGPD? La LGPD limita les multes al 2% dels ingressos de l'organització al Brasil per infracció, amb un màxim de 50 milions de R$ per infracció [3].
Sempre es requereix el consentiment sota la LGPD? No. El consentiment és una de les 10 bases legals vàlides. Les organitzacions haurien d'identificar la base legal més adequada per a cada activitat de processament en lloc de per defecte al consentiment [1].
Quin és el termini de notificació de violació de dades de la LGPD? La LGPD requereix la notificació en un "temps raonable", que s'espera que l'ANPD defineixi amb més precisió. A l'espera d'aquesta orientació, un punt de referència intern de 72 hores s'utilitza àmpliament com a estàndard conservador [2].
Un programa compatible amb el GDPR satisfà els requisits de la LGPD? No del tot. El compliment del GDPR proporciona una base sòlida, però les llacunes en les bases legals, la divulgació pública del DPO, els llindars de dades de menors i els drets dels interessats requereixen una reparació específica de la LGPD.
Què és l'Encarregado sota la LGPD? L'Encarregado és l'equivalent de la LGPD a un Delegat de Protecció de Dades. A diferència del GDPR, la LGPD generalment requereix que tots els responsables del tractament de dades en nomenin un i divulguin públicament la seva identitat i informació de contacte [2].
Es poden transferir dades personals internacionalment sota la LGPD? Sí, sota certes condicions, inclosa la protecció adequada, les salvaguardes contractuals o el consentiment específic. A partir de 2026, l'ANPD encara no ha publicat una llista oficial d'adequació ni clàusules contractuals estàndard [3].
Quina edat requereix el consentiment parental sota la LGPD? La LGPD requereix el consentiment parental o del tutor per al tractament de dades personals d'individus menors de 18 anys, que és superior al llindar de 16 anys del GDPR.
Conclusió
Navegar per la LGPD del Brasil requereix més que mapejar els controls del GDPR a una nova jurisdicció. Les diferències estructurals, 10 bases legals enfront de 6, un mandat de DPO més ampli, una edat de consentiment dels menors més alta i un marc regulador encara en maduració, exigeixen un treball de compliment deliberat i específic del Brasil.
Pròxims passos accionables per a les organitzacions el 2026:
- Realitzar una anàlisi formal de bretxes de la LGPD respecte al vostre programa GDPR existent, centrant-se en les bases legals, el nomenament del DPO i els procediments de drets dels interessats.
- Nomenar i divulgar públicament un Encarregado si processeu dades de residents brasilers.
- Revisar tots els fluxos de consentiment per al compliment dels estàndards de consentiment de la LGPD, particularment per a usuaris menors de 18 anys.
- Implementar una solució de gestió del consentiment per a les vostres propietats web que admeti els requisits de la LGPD juntament amb altres lleis de privadesa aplicables.
- Establir un procediment de resposta a violacions de dades amb un objectiu d'escalada intern de 72 hores a l'espera de les orientacions de l'ANPD.
- Monitoritzar de prop les publicacions de l'ANPD; les decisions d'adequació, les clàusules contractuals estàndard i els criteris de DPIA estan tots pendents i afectaran directament les obligacions de compliment.
Les organitzacions que tracten el compliment de la LGPD com un derivat del treball del GDPR es trobaran exposades precisament en les dimensions on les dues lleis divergeixen més. Un programa LGPD dedicat i documentat és l'única postura defensable a mesura que la capacitat d'aplicació de l'ANPD continua creixent.
Referències
[1] Lgpd Vs Gdpr Diferencas Similaridades - https://confidata.com.br/blog/lgpd-vs-gdpr-diferencas-similaridades?utm_source=openai
[2] Lgpd Vs Gdpr - https://lgpdpro.com.br/lgpd-vs-gdpr/?utm_source=openai
[3] Brazil Lgpd Vs Gdpr Differences - https://www.cleolabs.co/en/blog/brazil-lgpd-vs-gdpr-differences?utm_source=openai