Kort svar: Brasiliens Lei Geral de Proteção de Dados (LGPD) og EU's General Data Protection Regulation (GDPR) deler et fælles filosofisk grundlag, men afviger markant i retsgrundlag, bødestrukturer, DPO-krav og håndhævelsesfrister. Enhver organisation, der opererer i Brasilien eller betjener brasilianske registrerede, skal forstå disse forskelle for at opbygge et forsvarligt compliance-program; GDPR-compliance alene er ikke tilstrækkeligt.
Nøglepunkter
- LGPD giver 10 retsgrundlag for databehandling; GDPR giver kun 6, med unikke LGPD-grundlag, der dækker kreditbeskyttelse og offentlig administration.
- LGPD-bøder er begrænset til 2 % af den brasilianske omsætning pr. overtrædelse, op til R$50 millioner, sammenlignet med GDPR's 4 % af den globale årlige omsætning eller €20 millioner.
- Begge love gælder ekstraterritorialt; ikke-brasilianske virksomheder, der behandler data om brasilianske indbyggere, skal overholde LGPD.
- LGPD's frist for underretning om databrud er "rimelig tid", ikke GDPR's strenge 72-timers vindue.
- LGPD-samtykke for mindreårige kræver forældregodkendelse op til 18 år, versus GDPR's aldersgrænse på 16 (eller så lavt som 13 i nogle EU-medlemsstater).
- ANPD (Brasiliens databeskyttelsesmyndighed) begyndte håndhævelsen i august 2021 og har støt øget sanktionsaktiviteten.
- Fra 2026 har ANPD endnu ikke offentliggjort officielle tilstrækkelighedslister eller standardkontraktklausuler for internationale dataoverførsler.
- GDPR-compliance giver et stærkt fundament for LGPD-compliance, men der er huller, der kræver bevidst afhjælpning.
Hvad er LGPD, og hvordan fungerer den i Brasilien
Brasiliens LGPD (Lei Geral de Proteção de Dados, lov nr. 13.709/2018) er landets omfattende føderale databeskyttelseslov, delvist modelleret efter GDPR, men tilpasset Brasiliens juridiske og økonomiske kontekst. Den regulerer indsamling, behandling, opbevaring og overførsel af personoplysninger, der tilhører enkeltpersoner i Brasilien, uanset hvor den behandlende organisation er baseret.
Loven administreres af ANPD (Autoridade Nacional de Proteção de Dados), som har beføjelse til at udstede vejledning, foretage undersøgelser og pålægge sanktioner. Håndhævelsen begyndte formelt i august 2021, og ANPD har siden da gradvist udvidet sin reguleringsaktivitet [3].
Sådan fungerer det i praksis:
- Organisationer skal identificere et lovligt retsgrundlag, før de behandler personoplysninger.
- Registrerede skal informeres om behandlingsaktiviteter gennem gennemsigtige privatlivspolitikker.
- En databeskyttelsesrådgiver (Encarregado) skal generelt udpeges og offentligt identificeres.
- Hændelser, der involverer personoplysninger, skal rapporteres til ANPD og berørte enkeltpersoner inden for en "rimelig tid".
- Organisationer, der behandler højrisikodata, skal udføre databeskyttelseskonsekvensanalyser (DPIA'er), med specifikke kriterier, der skal defineres af ANPD [2].
Hovedforskelle mellem LGPD og GDPR-compliance
Navigering i Brasiliens LGPD sideløbende med GDPR afslører både strukturelle ligheder og meningsfulde forskelle, der direkte påvirker compliance-programmer. De mest operationelt betydningsfulde forskelle falder i fem kategorier: retsgrundlag, bødeberegning, frist for underretning om brud, tærskler for børns data og modenheden af reguleringsvejledning.
| Dimension | LGPD (Brasilien) | GDPR (EU) |
|---|---|---|
| Retsgrundlag | 10 (inkl. kreditbeskyttelse, offentlig politik) | 6 |
| Maksimal bøde | 2 % af brasiliansk omsætning, R$50M loft | 4 % af global omsætning eller €20M |
| Underretning om brud | "Rimelig tid" (ANPD skal definere) | 72 timer til tilsynsmyndighed |
| Børns samtykkealder | 18 (forældresamtykke påkrævet) | 16 (medlemsstater kan sænke til 13) |
| DPO-krav | Generelt obligatorisk (undtagelser mulige) | Kun obligatorisk for specifikke kriterier |
| Tilstrækkelighedsbeslutninger | ANPD-liste endnu ikke offentliggjort (pr. 2026) | EU-Kommissionens liste offentliggjort |
| Håndhævelsesstart | August 2021 | Maj 2018 |
Kilder: [1][2][3]
LGPD's 10 retsgrundlag omfatter bestemmelser uden GDPR-ækvivalent, såsom beskyttelse af kredit og udførelse af offentlige administrationspolitikker. Organisationer, der udelukkende baserer sig på GDPR-retsgrundlag, kan opleve, at deres brasilianske behandlingsaktiviteter er utilstrækkeligt begrundet [1].
Skal virksomheder følge både LGPD og GDPR
Ja, hvis en organisation behandler personoplysninger om både EU- og brasilianske indbyggere, skal den overholde begge love samtidigt. De to forordninger har overlappende, men ikke identiske krav, hvilket betyder, at dobbelt compliance kræver en bevidst gapanalyse snarere end at antage, at den ene tilfredsstiller den anden.
LGPD gælder for enhver organisation, der:
- Behandler personoplysninger i Brasilien.
- Tilbyder varer eller tjenester til enkeltpersoner i Brasilien.
- Behandler data, der er indsamlet i Brasilien, uanset hvor behandlingen finder sted [2].
En europæisk virksomhed med brasilianske kunder, eller en brasiliansk virksomhed med EU-brugere, falder under begge regimer. GDPR-kompatible organisationer har et forspring, men specifikke LGPD-huller, især omkring retsgrundlag, krav til offentliggørelse af DPO og sprog for underretning om brud, kræver yderligere arbejde.
LGPD-straffe og bøder for manglende overholdelse
LGPD-bøder beregnes som en procentdel af organisationens omsætning i Brasilien (ikke global omsætning), begrænset til R$50 millioner pr. overtrædelse. Dette er en strukturelt anderledes beregning end GDPR, som refererer til global årlig omsætning [3].
Tilgængelige sanktioner under LGPD omfatter:
- Advarsler med en defineret afhjælpningsperiode.
- Simple bøder op til 2 % af brasiliansk omsætning, begrænset til R$50 millioner pr. overtrædelse.
- Daglige bøder, indtil overtrædelsen er afhjulpet.
- Offentliggørelse af overtrædelsen (reputationssanktion).
- Blokering eller sletning af de relevante personoplysninger.
- Delvis eller total suspension af databehandlingsaktiviteter.
ANPD's håndhævelsesposition er modnet siden 2021, og organisationer bør ikke antage, at Brasiliens lavere bødeloft betyder lavere risiko. Reputationssanktioner og operationelle suspensioner kan medføre omkostninger, der overstiger monetære bøder.
LGPD-registreredes rettigheder vs. GDPR-rettigheder
Begge love giver sammenlignelige kernerettigheder, men LGPD inkluderer en eksplicit ret uden direkte GDPR-parallel: retten til information om, hvilke offentlige og private enheder den dataansvarlige har delt data med. Denne gennemsigtighedsforpligtelse pålægger dataansvarlige, der administrerer komplekse dataøkosystemer, en højere dokumentationsbyrde [2].
Fælles rettigheder under både LGPD og GDPR:
- Adgang til personoplysninger, der opbevares af den dataansvarlige.
- Korrektion af unøjagtige eller ufuldstændige data.
- Sletning af data behandlet uden et gyldigt retsgrundlag.
- Dataportabilitet (GDPR specificerer maskinlæsbart format; LGPD mangler denne specificitet).
- Indsigelse mod behandling.
- Tilbagekaldelse af samtykke.
LGPD-specifik ret: Eksplicit ret til at vide, hvilke tredjeparter, både offentlige og private, der har modtaget den registreredes personoplysninger. GDPR adresserer dette indirekte gennem gennemsigtighedskrav, men formulerer det ikke som en selvstændig opregnet ret.
Er LGPD strengere eller mere lempelig end GDPR
Ingen af lovene er kategorisk strengere på tværs af alle dimensioner. GDPR er strengere med hensyn til bødestørrelse (global omsætningsbasis), frister for underretning om brud (72 timer) og specificiteten af den vejledning, der er tilgængelig for organisationer. LGPD er strengere med hensyn til børns data (alder 18 vs. 16) og har et bredere krav til udnævnelse af DPO [2][3].
ANPD's relative ungdom som regulerende organ betyder mindre offentliggjort vejledning, hvilket skaber compliance-tvetydighed snarere end lempelighed. Organisationer bør behandle udefinerede LGPD-krav som områder, der kræver konservativ fortolkning, ikke som reguleringshuller, der skal udnyttes.
LGPD-samtykkekrav for behandling af personoplysninger
Samtykke er et af 10 gyldige retsgrundlag under LGPD, ikke standard- eller foretrukket grundlag. Dette afspejler GDPR's tilgang, hvor samtykke kun er passende, når andre grundlag ikke gælder. LGPD-samtykke skal være frit, informeret, utvetydigt og specifikt til et defineret formål [1].
Nøgleregler for samtykke under LGPD:
- Samtykke skal indhentes separat fra andre kontraktvilkår.
- Behandling af mindreåriges data (under 18) kræver verificerbart forældre- eller værgesamtykke.
- Samtykke kan tilbagekaldes til enhver tid, og den dataansvarlige skal lette dette.
- Samtykke til følsomme personoplysninger (sundhed, biometriske data, racemæssig oprindelse osv.) kræver eksplicit opt-in.
Organisationer, der bruger samtykke som et altomfattende retsgrundlag, en almindelig fejl overført fra praksis før GDPR, står over for særlig eksponering under begge love.
LGPD's anvendelse for ikke-brasilianske virksomheder
Ikke-brasilianske virksomheder er underlagt LGPD, hvis de behandler personoplysninger om enkeltpersoner i Brasilien, uanset hvor virksomheden er registreret, eller hvor data opbevares. Lovens ekstraterritoriale anvendelsesområde er eksplicit og afspejler GDPR's markedsbaserede tilgang [2].
En amerikansk e-handelsplatform, der sælger til brasilianske forbrugere, et canadisk SaaS-firma med brasilianske erhvervskunder eller en asiatisk producent, der indsamler data via en brasiliansk-rettet hjemmeside, falder alle inden for LGPD's jurisdiktion. ANPD har beføjelse til at undersøge og sanktionere udenlandske enheder, selvom håndhævelsen over for ikke-hjemmehørende organisationer forbliver et område i udvikling.
LGPD-krav til databeskyttelsesrådgiver
LGPD kræver generelt, at alle dataansvarlige udpeger en databeskyttelsesrådgiver (kaldet "Encarregado" på portugisisk) og offentligt oplyser denne persons identitet og kontaktoplysninger. Dette er bredere end GDPR, som kun pålægger udnævnelse af DPO for specifikke kategorier af organisationer (offentlige myndigheder, systematisk overvågning i stor skala, behandling af følsomme data i stor skala) [2].
ANPD kan definere undtagelser fra LGPD's DPO-krav, især for små virksomheder eller lavrisikobehandlere, men fra 2026 forbliver disse undtagelser begrænsede. Organisationer bør som standard udpege en Encarregado, medmindre en specifik ANPD-undtagelse gælder.
Sådan implementerer du LGPD for din virksomhed i Brasilien
LGPD-implementering følger en struktureret rækkefølge. Organisationer med eksisterende GDPR-programmer bør udføre en gapanalyse snarere end at starte fra bunden, med fokus på de specifikke forskelle, der er beskrevet ovenfor.
Implementeringscheckliste:
- Datakortlægning: Opgør alle personlige dataflows, herunder data indsamlet i Brasilien eller fra brasilianske indbyggere.
- Tildeling af retsgrundlag: Kortlæg hver behandlingsaktivitet til et af LGPD's 10 retsgrundlag, og undlad at falde tilbage på samtykke.
- Privatlivspolitikker: Opdater meddelelser for at inkludere LGPD-specifikke oplysninger, herunder identiteten af Encarregado.
- Udnævnelse af DPO: Udnævn og offentligt identificer en Encarregado; dokumenter deres kontaktoplysninger på din hjemmeside og i din privatlivspolitik.
- Procedurer for registreredes rettigheder: Opbyg arbejdsgange for LGPD-specifikke anmodninger, herunder retten til oplysning om tredjepartsdeling.
- Plan for håndtering af brud: Etabler interne eskaleringsprocedurer i overensstemmelse med "rimelig tid" for underretning, med et konservativt internt mål (72 timer er et forsvarligt benchmark i afventning af ANPD-vejledning).
- Samtykkestyring: Implementer en løsning til samtykkestyring for webegenskaber. Biscotti CMP (www.biscotti-cmp.com) understøtter indsamling og styring af samtykke for organisationer, der administrerer krav til overholdelse af flere jurisdiktioner.
- Gennemgang af internationale overførsler: Gennemgå alle grænseoverskridende dataoverførsler og anvend tilgængelige sikkerhedsforanstaltninger (samtykke, kontraktklausuler) givet ANPD's afventende tilstrækkelighedsramme [3].
- DPIA-proces: Etabler en risikovurderingsproces for højrisikobehandlingsaktiviteter.
- Træning: Træn personale med dataadgang i LGPD-forpligtelser og hændelsesrespons.
Almindelige fejl virksomheder begår med LGPD-compliance
De hyppigste fejl i LGPD-compliance skyldes, at loven behandles som en direkte kopi af GDPR og at Brasilien-specifikke krav springes over.
Fejl, der skal undgås:
- Antagelse af, at GDPR-compliance er lig med LGPD-compliance. De forskellige retsgrundlag, DPO-regler og tærskler for børns data skaber reelle huller.
- Brug af samtykke som standardretsgrundlag. LGPD tilbyder 10 grundlag; samtykke er ofte ikke det mest passende og skaber unødvendig tilbagekaldelsesrisiko.
- Manglende offentliggørelse af Encarregado. I modsætning til nogle GDPR-implementeringer, hvor DPO-detaljer er interne, kræver LGPD offentlig identifikation.
- Ignorering af retten til oplysning om tredjepartsdeling. Denne ret kræver, at dataansvarlige fører detaljerede optegnelser over datadelingsforhold.
- Behandling af udefineret ANPD-vejledning som tilladelse. Hvor ANPD endnu ikke har offentliggjort specifikke regler, reducerer konservativ fortolkning fremtidig eksponering.
- Overblik over børns data. Aldersgrænsen på 18 år er højere, end de fleste organisationer forventer, og kræver aktiv aldersverifikation eller mekanismer for forældresamtykke.
LGPD vs. andre sydamerikanske privatlivslove
Brasiliens LGPD er den mest omfattende og aktivt håndhævede databeskyttelseslov i Sydamerika pr. 2026. Flere nabolande har vedtaget eller udvikler lignende rammer, men ingen matcher LGPD's omfang eller håndhævelsesinfrastruktur.
- Argentina: Har en databeskyttelseslov (lov 25.326, 2000), der er ældre end LGPD, men er mindre omfattende. Argentina har EU-tilstrækkelighedsstatus, hvilket LGPD endnu ikke har opnået.
- Chile: Vedtog en opdateret databeskyttelseslov i 2024, der moderniserer sin ramme fra 1999 med GDPR-påvirkede bestemmelser, men håndhævelsesinfrastrukturen er stadig under udvikling.
- Colombia: Lov 1581 af 2012 regulerer databeskyttelse; mere begrænset i omfang end LGPD.
- Peru: Har databeskyttelseslovgivning (lov 29.733), men med begrænset håndhævelseskapacitet.
Organisationer, der opererer i hele Sydamerika, kan ikke stole på en enkelt regional compliance-ramme. Brasiliens LGPD kræver dedikeret opmærksomhed givet dens håndhævelsesmodenhed og markedsstørrelse.
Ofte stillede spørgsmål
Hvad står LGPD for? LGPD står for Lei Geral de Proteção de Dados, Brasiliens generelle databeskyttelseslov, vedtaget i 2018 og håndhævet siden august 2021.
Hvornår begyndte LGPD-håndhævelsen? Håndhævelsen af LGPD's administrative sanktioner begyndte i august 2021, da ANPD fik beføjelse til at udstede bøder og andre sanktioner.
Gælder LGPD for virksomheder uden for Brasilien? Ja. Enhver organisation, der behandler personoplysninger om enkeltpersoner i Brasilien, eller som indsamler data i Brasilien, falder inden for LGPD's jurisdiktion, uanset hvor virksomheden er baseret [2].
Hvad er den maksimale LGPD-bøde? LGPD begrænser bøder til 2 % af organisationens omsætning i Brasilien pr. overtrædelse, med et maksimum på R$50 millioner pr. overtrædelse [3].
Er samtykke altid påkrævet under LGPD? Nej. Samtykke er et af 10 gyldige retsgrundlag. Organisationer bør identificere det mest passende retsgrundlag for hver behandlingsaktivitet snarere end at falde tilbage på samtykke [1].
Hvad er LGPD's frist for underretning om databrud? LGPD kræver underretning inden for en "rimelig tid", som ANPD forventes at definere mere præcist. I afventning af denne vejledning bruges en intern 72-timers benchmark bredt som en konservativ standard [2].
Opfylder et GDPR-kompatibelt program LGPD-kravene? Ikke helt. GDPR-compliance giver et stærkt fundament, men huller i retsgrundlag, offentliggørelse af DPO, tærskler for børns data og registreredes rettigheder kræver LGPD-specifik afhjælpning.
Hvad er Encarregado under LGPD? Encarregado er LGPD's ækvivalent til en databeskyttelsesrådgiver. I modsætning til GDPR kræver LGPD generelt, at alle dataansvarlige udpeger en og offentligt oplyser deres identitet og kontaktoplysninger [2].
Kan personoplysninger overføres internationalt under LGPD? Ja, under visse betingelser, herunder tilstrækkelig beskyttelse, kontraktmæssige sikkerhedsforanstaltninger eller specifikt samtykke. Fra 2026 har ANPD endnu ikke offentliggjort en officiel tilstrækkelighedsliste eller standardkontraktklausuler [3].
Hvilken alder kræver forældresamtykke under LGPD? LGPD kræver forældre- eller værgesamtykke til behandling af personoplysninger om enkeltpersoner under 18 år, hvilket er højere end GDPR's tærskel på 16 år.
Konklusion
Navigering i Brasiliens LGPD kræver mere end at kortlægge GDPR-kontroller til en ny jurisdiktion. De strukturelle forskelle, 10 retsgrundlag versus 6, et bredere DPO-mandat, en højere aldersgrænse for børns samtykke og en stadig modnende reguleringsramme, kræver bevidst, Brasilien-specifikt compliance-arbejde.
Handlingsorienterede næste skridt for organisationer i 2026:
- Udfør en formel LGPD-gapanalyse mod dit eksisterende GDPR-program, med fokus på retsgrundlag, udnævnelse af DPO og procedurer for registreredes rettigheder.
- Udnævn og offentligt oplys en Encarregado, hvis du behandler data om brasilianske indbyggere.
- Gennemgå alle samtykkeflows for overholdelse af LGPD-samtykkestandarder, især for brugere under 18 år.
- Implementer en løsning til samtykkestyring for dine webegenskaber, der understøtter LGPD-krav sammen med andre gældende privatlivslove.
- Etabler en procedure for håndtering af databrud med et internt 72-timers eskaleringsmål i afventning af ANPD-vejledning.
- Overvåg ANPD-publikationer nøje; tilstrækkelighedsbeslutninger, standardkontraktklausuler og DPIA-kriterier er alle afventende og vil direkte påvirke compliance-forpligtelser.
Organisationer, der behandler LGPD-compliance som et derivat af GDPR-arbejde, vil finde sig selv udsat på netop de dimensioner, hvor de to love afviger mest. Et dedikeret, dokumenteret LGPD-program er den eneste forsvarlige position, da ANPD's håndhævelseskapacitet fortsætter med at vokse.
Referencer
[1] Lgpd Vs Gdpr Diferencas Similaridades - https://confidata.com.br/blog/lgpd-vs-gdpr-diferencas-similaridades?utm_source=openai
[2] Lgpd Vs Gdpr - https://lgpdpro.com.br/lgpd-vs-gdpr/?utm_source=openai
[3] Brazil Lgpd Vs Gdpr Differences - https://www.cleolabs.co/en/blog/brazil-lgpd-vs-gdpr-differences?utm_source=openai