Stručná odpověď: Brazilský zákon Lei Geral de Proteção de Dados (LGPD) a Obecné nařízení o ochraně osobních údajů (GDPR) EU sdílejí společný filozofický základ, ale významně se liší v právních základech, struktuře sankcí, požadavcích na DPO a časových osách vymáhání. Každá organizace působící v Brazílii nebo obsluhující brazilské subjekty údajů musí těmto rozdílům rozumět, aby mohla vybudovat obhajitelný program shody; samotná shoda s GDPR nestačí.
Klíčové poznatky
- LGPD poskytuje 10 právních základů pro zpracování dat; GDPR poskytuje pouze 6, přičemž jedinečné základy LGPD pokrývají ochranu úvěrů a veřejnou správu.
- Pokuty LGPD jsou omezeny na 2 % brazilských příjmů za porušení, maximálně 50 milionů R$, ve srovnání se 4 % celkového ročního obratu nebo 20 miliony EUR u GDPR.
- Oba zákony platí extrateritoriálně, nebazilské společnosti zpracovávající data brazilských rezidentů musí dodržovat LGPD.
- Lhůta pro oznámení narušení dat podle LGPD je „přiměřená doba“, nikoli přísné 72hodinové okno GDPR.
- Souhlas LGPD pro nezletilé vyžaduje souhlas rodičů do 18 let, oproti věkové hranici GDPR 16 let (nebo až 13 let v některých členských státech EU).
- ANPD (brazilský úřad pro ochranu dat) zahájil vymáhání v srpnu 2021 a neustále zvyšuje sankční činnost.
- K roku 2026 ANPD dosud nezveřejnil oficiální seznamy přiměřenosti ani standardní smluvní doložky pro mezinárodní přenosy dat.
- Shoda s GDPR poskytuje silný základ pro shodu s LGPD, ale existují mezery, které vyžadují záměrnou nápravu.
Co je LGPD a jak funguje v Brazílii
Brazilský LGPD (Lei Geral de Proteção de Dados, zákon č. 13.709/2018) je komplexní federální zákon o ochraně dat v zemi, částečně modelovaný podle GDPR, ale přizpůsobený brazilskému právnímu a ekonomickému kontextu. Upravuje shromažďování, zpracování, ukládání a přenos osobních údajů patřících jednotlivcům nacházejícím se v Brazílii, bez ohledu na to, kde se nachází zpracovávající organizace.
Zákon je spravován ANPD (Autoridade Nacional de Proteção de Dados), který má pravomoc vydávat pokyny, provádět šetření a ukládat sankce. Vymáhání formálně začalo v srpnu 2021 a ANPD od té doby postupně rozšiřuje svou regulační činnost [3].
Jak to funguje v praxi:
- Organizace musí před zpracováním jakýchkoli osobních údajů identifikovat zákonný právní základ.
- Subjekty údajů musí být informovány o činnostech zpracování prostřednictvím transparentních oznámení o ochraně soukromí.
- Úředník pro ochranu údajů (Encarregado) musí být obecně jmenován a veřejně identifikován.
- Incidenty zahrnující osobní údaje musí být nahlášeny ANPD a dotčeným jednotlivcům v „přiměřené době“.
- Organizace zpracovávající vysoce riziková data musí provádět posouzení dopadu na ochranu dat (DPIA), se specifickými kritérii, která má definovat ANPD [2].
Hlavní rozdíly mezi souladem s LGPD a GDPR
Orientace v brazilském LGPD vedle GDPR odhaluje jak strukturální podobnosti, tak i významné rozdíly, které přímo ovlivňují programy souladu. Nejdůležitější provozní rozdíly spadají do pěti kategorií: právní základy, výpočet sankcí, načasování oznámení o narušení, prahové hodnoty pro data dětí a zralost regulačních pokynů.
| Rozměr | LGPD (Brazílie) | GDPR (EU) |
|---|---|---|
| Právní základy | 10 (včetně ochrany úvěrů, veřejné politiky) | 6 |
| Maximální pokuta | 2 % brazilských příjmů, limit 50 milionů R$ | 4 % celkového obratu nebo 20 milionů EUR |
| Oznámení o narušení | „Přiměřená doba“ (ANPD definuje) | 72 hodin dozorovému úřadu |
| Věk pro souhlas dětí | 18 (vyžadován souhlas rodičů) | 16 (členské státy mohou snížit na 13) |
| Požadavek na DPO | Obecně povinný (možné výjimky) | Povinný pouze pro specifická kritéria |
| Rozhodnutí o přiměřenosti | Seznam ANPD dosud nezveřejněn (k roku 2026) | Seznam Komise EU zveřejněn |
| Zahájení vymáhání | Srpen 2021 | Květen 2018 |
Zdroje: [1][2][3]
10 právních základů LGPD zahrnuje ustanovení bez ekvivalentu v GDPR, jako je ochrana úvěrů a provádění politik veřejné správy. Organizace, které se spoléhají pouze na právní základy GDPR, mohou zjistit, že jejich brazilské zpracovatelské činnosti jsou nedostatečně podloženy [1].
Musí společnosti dodržovat LGPD i GDPR?
Ano, pokud organizace zpracovává osobní údaje rezidentů EU i Brazílie, musí dodržovat oba zákony současně. Obě nařízení mají překrývající se, ale ne identické požadavky, což znamená, že dvojí soulad vyžaduje záměrnou analýzu mezer, spíše než předpoklad, že jedno uspokojuje druhé.
LGPD se vztahuje na každou organizaci, která:
- Zpracovává osobní údaje v Brazílii.
- Nabízí zboží nebo služby jednotlivcům nacházejícím se v Brazílii.
- Zpracovává data, která byla shromážděna v Brazílii, bez ohledu na to, kde zpracování probíhá [2].
Evropská společnost s brazilskými zákazníky nebo brazilská společnost s uživateli z EU spadá pod oba režimy. Organizace v souladu s GDPR mají náskok, ale specifické mezery v LGPD, zejména kolem právních základů, požadavků na veřejné zveřejnění DPO a jazyka oznámení o narušení, vyžadují další práci.
Sankce a pokuty LGPD za nedodržení
Pokuty LGPD se vypočítávají jako procento příjmů organizace v Brazílii (nikoli globálních příjmů), s maximální hranicí 50 milionů R$ za porušení. Jedná se o strukturálně odlišný výpočet od GDPR, které odkazuje na globální roční obrat [3].
Dostupné sankce podle LGPD zahrnují:
- Varování s definovanou lhůtou pro nápravu.
- Jednoduché pokuty až do výše 2 % brazilských příjmů, s maximální hranicí 50 milionů R$ za porušení.
- Denní pokuty, dokud není porušení napraveno.
- Zveřejnění přestupku (reputační sankce).
- Blokování nebo vymazání příslušných osobních údajů.
- Částečné nebo úplné pozastavení činností zpracování dat.
Vymáhací postoj ANPD se od roku 2021 vyvinul a organizace by neměly předpokládat, že nižší limit pokut v Brazílii znamená nižší riziko. Reputační sankce a provozní pozastavení mohou nést náklady, které přesahují peněžní pokuty.
Práva subjektů údajů podle LGPD vs. práva podle GDPR
Oba zákony udělují srovnatelná základní práva, ale LGPD zahrnuje výslovné právo bez přímé paralely v GDPR: právo na informace o tom, se kterými veřejnými a soukromými subjekty správce údajů sdílel data. Tato povinnost transparentnosti sdílení klade vyšší zátěž na dokumentaci pro správce spravující složité datové ekosystémy [2].
Společná práva podle LGPD i GDPR:
- Přístup k osobním údajům uchovávaným správcem.
- Oprava nepřesných nebo neúplných údajů.
- Vymazání údajů zpracovaných bez platného právního základu.
- Přenositelnost dat (GDPR specifikuje strojově čitelný formát; LGPD tuto specifičnost postrádá).
- Námitka proti zpracování.
- Odvolání souhlasu.
Specifické právo LGPD: Výslovné právo vědět, které třetí strany, veřejné i soukromé, obdržely osobní údaje subjektu údajů. GDPR se tímto zabývá nepřímo prostřednictvím požadavků na transparentnost, ale neformuluje to jako samostatné vyjmenované právo.
Je LGPD přísnější nebo benevolentnější než GDPR?
Žádný zákon není kategoricky přísnější ve všech dimenzích. GDPR je přísnější ohledně výše sankcí (na základě globálních příjmů), lhůt pro oznámení o narušení (72 hodin) a specifičnosti pokynů dostupných organizacím. LGPD je přísnější ohledně dat dětí (věk 18 vs. 16) a má širší požadavek na jmenování DPO [2][3].
Relativní mládí ANPD jako regulačního orgánu znamená méně zveřejněných pokynů, což vytváří nejednoznačnost v souladu, spíše než shovívavost. Organizace by měly nedefinované požadavky LGPD považovat za oblasti vyžadující konzervativní interpretaci, nikoli za regulační mezery, které je třeba využít.
Požadavky na souhlas LGPD pro zpracování osobních údajů
Souhlas je jedním z 10 platných právních základů podle LGPD, nikoli výchozím nebo preferovaným základem. To odráží přístup GDPR, kde je souhlas vhodný pouze tehdy, když se neuplatňují jiné základy. Souhlas LGPD musí být svobodný, informovaný, jednoznačný a specifický pro definovaný účel [1].
Klíčová pravidla pro souhlas podle LGPD:
- Souhlas musí být získán odděleně od ostatních smluvních podmínek.
- Zpracování dat nezletilých (do 18 let) vyžaduje ověřitelný souhlas rodičů nebo opatrovníků.
- Souhlas lze kdykoli odvolat a správce to musí snadno umožnit.
- Souhlas pro citlivé osobní údaje (zdraví, biometrické údaje, rasový původ atd.) vyžaduje výslovný souhlas.
Organizace, které používají souhlas jako univerzální právní základ, což je běžná chyba přenesená z praktik před GDPR, čelí zvláštnímu riziku podle obou zákonů.
Použitelnost LGPD pro nebrazilské společnosti
Nebraziilské společnosti podléhají LGPD, pokud zpracovávají osobní údaje jednotlivců nacházejících se v Brazílii, bez ohledu na to, kde je společnost založena nebo kde jsou data uložena. Extrateritoriální rozsah zákona je výslovný a odráží tržně orientovaný přístup GDPR [2].
Americká e-commerce platforma prodávající brazilským spotřebitelům, kanadská SaaS společnost s brazilskými podnikovými klienty nebo asijský výrobce shromažďující data prostřednictvím brazilské webové stránky, to vše spadá pod jurisdikci LGPD. ANPD má pravomoc vyšetřovat a sankcionovat zahraniční subjekty, ačkoli vymáhání proti nerezidentním organizacím zůstává rozvíjející se oblastí.
Požadavky na úředníka pro ochranu dat podle LGPD
LGPD obecně vyžaduje, aby všichni správci dat jmenovali úředníka pro ochranu dat (v portugalštině nazývaného „Encarregado“) a veřejně zveřejnili jeho totožnost a kontaktní údaje. To je širší než GDPR, které nařizuje jmenování DPO pouze pro specifické kategorie organizací (veřejné orgány, rozsáhlé systematické monitorování, rozsáhlé zpracování citlivých dat) [2].
ANPD může definovat výjimky z požadavku LGPD na DPO, zejména pro malé podniky nebo zpracovatele s nízkým rizikem, ale k roku 2026 zůstávají tyto výjimky omezené. Organizace by měly ve výchozím nastavení jmenovat Encarregado, pokud se neuplatňuje specifická výjimka ANPD.
Jak implementovat LGPD pro vaše podnikání v Brazílii
Implementace LGPD se řídí strukturovanou posloupností. Organizace s existujícími programy GDPR by měly provést analýzu mezer, spíše než začínat od nuly, se zaměřením na výše uvedené specifické rozdíly.
Kontrolní seznam implementace:
- Mapování dat: Inventarizujte všechny toky osobních dat, včetně dat shromážděných v Brazílii nebo od brazilských rezidentů.
- Přiřazení právního základu: Mapujte každou zpracovatelskou činnost na jeden z 10 právních základů LGPD, nepoužívejte výchozí souhlas.
- Oznámení o ochraně soukromí: Aktualizujte oznámení tak, aby zahrnovala specifická zveřejnění LGPD, včetně totožnosti Encarregado.
- Jmenování DPO: Jmenujte a veřejně identifikujte Encarregado; dokumentujte jejich kontaktní údaje na vašem webu a v zásadách ochrany osobních údajů.
- Postupy pro práva subjektů údajů: Vytvořte pracovní postupy pro požadavky specifické pro LGPD, včetně práva na zveřejnění sdílení s třetími stranami.
- Plán reakce na narušení: Zaveďte interní postupy pro eskalaci v souladu s oznámením „přiměřené doby“, s konzervativním interním cílem (72 hodin je obhajitelný benchmark do doby vydání pokynů ANPD).
- Správa souhlasu: Implementujte řešení pro správu souhlasu pro webové vlastnosti. Biscotti CMP (www.biscotti-cmp.com) podporuje shromažďování a správu souhlasu pro organizace spravující požadavky na soulad s více jurisdikcemi.
- Přezkum mezinárodních přenosů: Auditujte všechny přeshraniční přenosy dat a aplikujte dostupné záruky (souhlas, smluvní doložky) s ohledem na probíhající rámec přiměřenosti ANPD [3].
- Proces DPIA: Zaveďte proces posuzování rizik pro vysoce rizikové zpracovatelské činnosti.
- Školení: Proškolte zaměstnance s přístupem k datům o povinnostech LGPD a reakci na incidenty.
Běžné chyby, kterých se společnosti dopouštějí při dodržování LGPD
Nejčastější selhání v dodržování LGPD pramení z toho, že se zákon považuje za přímou kopii GDPR a vynechávají se specifické požadavky pro Brazílii.
Chyby, kterým se vyhnout:
- Předpoklad, že soulad s GDPR se rovná souladu s LGPD. Různé právní základy, pravidla DPO a prahové hodnoty pro data dětí vytvářejí skutečné mezery.
- Používání souhlasu jako výchozího právního základu. LGPD nabízí 10 základů; souhlas často není nejvhodnější a vytváří zbytečné riziko odvolání.
- Nezveřejnění Encarregado. Na rozdíl od některých implementací GDPR, kde jsou podrobnosti o DPO interní, LGPD vyžaduje veřejnou identifikaci.
- Ignorování práva na zveřejnění sdílení s třetími stranami. Toto právo vyžaduje, aby správci uchovávali podrobné záznamy o vztazích sdílení dat.
- Považování nedefinovaných pokynů ANPD za povolení. Tam, kde ANPD dosud nezveřejnil specifická pravidla, konzervativní interpretace snižuje budoucí expozici.
- Přehlížení dat dětí. Věková hranice 18 let je vyšší, než většina organizací očekává, a vyžaduje aktivní ověřování věku nebo mechanismy souhlasu rodičů.
LGPD vs. jiné jihoamerické zákony o ochraně soukromí
Brazilský LGPD je k roku 2026 nejkomplexnějším a nejaktivněji vymáhaným zákonem o ochraně dat v Jižní Americe. Několik sousedních zemí zavedlo nebo vyvíjí podobné rámce, ale žádný se nevyrovná rozsahu nebo infrastruktuře vymáhání LGPD.
- Argentina: Má zákon o ochraně dat (zákon 25.326, 2000), který předchází LGPD, ale je méně komplexní. Argentina má status přiměřenosti EU, kterého LGPD dosud nedosáhlo.
- Chile: V roce 2024 schválilo aktualizovaný zákon o ochraně dat, který modernizuje svůj rámec z roku 1999 s ustanoveními ovlivněnými GDPR, ale infrastruktura vymáhání se stále vyvíjí.
- Kolumbie: Zákon 1581 z roku 2012 upravuje ochranu dat; má omezenější rozsah než LGPD.
- Peru: Má legislativu o ochraně dat (zákon 29.733), ale s omezenou kapacitou vymáhání.
Organizace působící po celé Jižní Americe se nemohou spoléhat na jediný regionální rámec souladu. Brazilský LGPD vyžaduje zvláštní pozornost vzhledem k jeho zralosti vymáhání a velikosti trhu.
Často kladené otázky
Co znamená LGPD? LGPD znamená Lei Geral de Proteção de Dados, brazilský obecný zákon o ochraně dat, přijatý v roce 2018 a vymáhaný od srpna 2021.
Kdy začalo vymáhání LGPD? Vymáhání administrativních sankcí LGPD začalo v srpnu 2021, kdy ANPD získal pravomoc ukládat pokuty a další sankce.
Vztahuje se LGPD na společnosti mimo Brazílii? Ano. Každá organizace, která zpracovává osobní údaje jednotlivců nacházejících se v Brazílii, nebo která shromažďuje data v Brazílii, spadá pod jurisdikci LGPD bez ohledu na to, kde je společnost založena [2].
Jaká je maximální pokuta LGPD? LGPD omezuje pokuty na 2 % příjmů organizace v Brazílii za porušení, s maximem 50 milionů R$ za přestupek [3].
Je souhlas vždy vyžadován podle LGPD? Ne. Souhlas je jedním z 10 platných právních základů. Organizace by měly identifikovat nejvhodnější právní základ pro každou zpracovatelskou činnost, spíše než se spoléhat na souhlas [1].
Jaká je lhůta pro oznámení o narušení dat podle LGPD? LGPD vyžaduje oznámení v „přiměřené době“, kterou ANPD očekává, že bude přesněji definovat. Do doby vydání těchto pokynů je 72hodinový interní benchmark široce používán jako konzervativní standard [2].
Uspokojuje program v souladu s GDPR požadavky LGPD? Ne zcela. Soulad s GDPR poskytuje silný základ, ale mezery v právních základech, veřejném zveřejnění DPO, prahových hodnotách pro data dětí a právech subjektů údajů vyžadují specifickou nápravu podle LGPD.
Co je Encarregado podle LGPD? Encarregado je ekvivalentem úředníka pro ochranu dat podle LGPD. Na rozdíl od GDPR LGPD obecně vyžaduje, aby všichni správci dat jednoho jmenovali a veřejně zveřejnili jeho totožnost a kontaktní údaje [2].
Lze osobní údaje přenášet mezinárodně podle LGPD? Ano, za určitých podmínek, včetně odpovídající ochrany, smluvních záruk nebo specifického souhlasu. K roku 2026 ANPD dosud nezveřejnil oficiální seznam přiměřenosti ani standardní smluvní doložky [3].
Jaký věk vyžaduje souhlas rodičů podle LGPD? LGPD vyžaduje souhlas rodičů nebo opatrovníků pro zpracování osobních údajů osob mladších 18 let, což je vyšší než prahová hodnota GDPR 16 let.
Závěr
Orientace v brazilském LGPD vyžaduje více než jen mapování kontrol GDPR na novou jurisdikci. Strukturální rozdíly, 10 právních základů oproti 6, širší mandát DPO, vyšší věk pro souhlas dětí a stále se vyvíjející regulační rámec vyžadují záměrnou, brazilskou specifickou práci na souladu.
Akční další kroky pro organizace v roce 2026:
- Proveďte formální analýzu mezer LGPD proti vašemu stávajícímu programu GDPR, se zaměřením na právní základy, jmenování DPO a postupy pro práva subjektů údajů.
- Jmenujte a veřejně zveřejněte Encarregado, pokud zpracováváte data brazilských rezidentů.
- Zkontrolujte všechny toky souhlasu pro soulad se standardy souhlasu LGPD, zejména pro uživatele mladší 18 let.
- Implementujte řešení pro správu souhlasu pro vaše webové vlastnosti, které podporuje požadavky LGPD spolu s dalšími platnými zákony o ochraně soukromí.
- Zaveďte postup reakce na narušení dat s interním cílem eskalace do 72 hodin do doby vydání pokynů ANPD.
- Pečlivě sledujte publikace ANPD, rozhodnutí o přiměřenosti, standardní smluvní doložky a kritéria DPIA jsou všechna v procesu a přímo ovlivní povinnosti souladu.
Organizace, které považují soulad s LGPD za odvozeninu práce s GDPR, se ocitnou v ohrožení právě v těch dimenzích, kde se oba zákony nejvíce rozcházejí. Vyhrazený, zdokumentovaný program LGPD je jediným obhajitelným postojem, protože kapacita vymáhání ANPD nadále roste.
Reference
[1] Lgpd Vs Gdpr Diferencas Similaridades - https://confidata.com.br/blog/lgpd-vs-gdpr-diferencas-similaridades?utm_source=openai
[2] Lgpd Vs Gdpr - https://lgpdpro.com.br/lgpd-vs-gdpr/?utm_source=openai
[3] Brazil Lgpd Vs Gdpr Differences - https://www.cleolabs.co/en/blog/brazil-lgpd-vs-gdpr-differences?utm_source=openai