Azken eguneratzea: 2026ko uztailaren 7a
Erantzun azkarra: Brasilgo Lei Geral de Proteção de Dados (LGPD) eta EBko Datuen Babeserako Erregelamendu Orokorrak (GDPR) oinarri filosofiko komun bat partekatzen dute, baina nabarmen desberdintzen dira oinarri juridikoetan, zigor-egituretan, DPO eskakizunetan eta betearazpen-epeetan. Brasilen jarduten duen edo Brasilgo datu-subjektuei zerbitzuak eskaintzen dizkien edozein erakundek desberdintasun horiek ulertu behar ditu betetze-programa defendagarri bat eraikitzeko; GDPR betetzea bakarrik ez da nahikoa.
Funtsezko ideiak
- LGPDk datuak prozesatzeko 10 oinarri juridiko eskaintzen ditu; GDPRk 6 baino ez ditu, LGPDren oinarri bereziek kreditu-babesa eta administrazio publikoa hartzen dituztelarik.
- LGPDren isunak Brasilgo diru-sarreren %2ra mugatzen dira urraketa bakoitzeko, R$50 milioira arte, GDPRren munduko urteko fakturazioaren %4 edo 20 milioi eurorekin alderatuta.
- Bi legeak estralurtarrak dira, Brasilgoak ez diren enpresek Brasilgo egoiliarren datuak prozesatzen badituzte, LGPD bete behar dute.
- LGPDren datu-haustearen jakinarazpen-epea "arrazoizko epea" da, ez GDPRren 72 orduko leiho zorrotza.
- Adingabeentzako LGPDren baimenak gurasoen onarpena eskatzen du 18 urtera arte, GDPRren 16 urteko adin-muga (edo EBko estatu kide batzuetan 13 urte arte) aldean.
- ANPDk (Brasilgo datuak babesteko agintaritza) 2021eko abuztuan hasi zuen betearazpena eta etengabe handitu du zigor-jarduera.
- 2026tik aurrera, ANPDk oraindik ez ditu argitaratu nazioarteko datu-transferentziarako egokitasun-zerrenda ofizialak edo kontratu-klausula estandarrak.
- GDPR betetzeak oinarri sendoa eskaintzen du LGPD betetzeko, baina hutsuneak daude, eta horiek zuzenketa deliberatua eskatzen dute.
Zer da LGPD eta nola funtzionatzen du Brasilen
Brasilgo LGPD (Lei Geral de Proteção de Dados, 13.709/2018 Legea) herrialdeko datuak babesteko lege federal integrala da, GDPRn oinarrituta dagoena, baina Brasilgo testuinguru legal eta ekonomikorako egokitua. Brasilen kokatutako pertsonen datu pertsonalen bilketa, prozesamendua, biltegiratzea eta transferentzia arautzen ditu, prozesatzen duen erakundea non dagoen kontuan hartu gabe.
Legea ANPDk (Autoridade Nacional de Proteção de Dados) administratzen du, eta honek orientabideak emateko, ikerketak egiteko eta zigorrak ezartzeko ahalmena du. Betearazpena formalki 2021eko abuztuan hasi zen, eta ANPDk ordutik aurrera bere arautze-jarduera progresiboki zabaldu du [3].
Nola funtzionatzen du praktikan:
- Erakundeek oinarri juridiko zilegi bat identifikatu behar dute datu pertsonalak prozesatu aurretik.
- Datu-subjektuei prozesatze-jardueren berri eman behar zaie pribatutasun-ohar gardenen bidez.
- Datuak Babesteko Ofizial bat (Encarregado) izendatu eta publikoki identifikatu behar da, oro har.
- Datu pertsonalak inplikatzen dituzten gertakariak ANPDri eta kaltetutako pertsonei jakinarazi behar zaizkie "arrazoizko epean".
- Arrisku handiko datuak prozesatzen dituzten erakundeek Datuak Babesteko Eraginaren Ebaluazioak (DPIA) egin behar dituzte, ANPDk zehaztuko dituen irizpide espezifikoekin [2].
LGPD eta GDPR betetzearen arteko desberdintasun nagusiak
Brasilgo LGPD eta GDPRren arteko nabigazioak egiturazko antzekotasunak eta betetze-programetan zuzenean eragina duten desberdintasun esanguratsuak erakusten ditu. Operazio-mailan esanguratsuenak diren desberdintasunak bost kategoriatan sailkatzen dira: oinarri juridikoak, zigorren kalkulua, haustearen jakinarazpen-epea, haurren datuen atalaseak eta arautze-orientabideen heldutasuna.
| Dimentsioa | LGPD (Brasil) | GDPR (EB) |
|---|---|---|
| Oinarri juridikoak | 10 (kreditu-babesa, politika publikoak barne) | 6 |
| Gehienezko isuna | Brasilgo diru-sarreren %2, R$50M-ko muga | Munduko fakturazioaren %4 edo 20M € |
| Haustearen jakinarazpena | "Arrazoizko epea" (ANPDk zehaztuko du) | 72 ordu gainbegiratze-agintaritzari |
| Haurren adostasun-adina | 18 (gurasoen baimena beharrezkoa) | 16 (estatu kideek 13ra jaitsi dezakete) |
| DPO eskakizuna | Oro har, derrigorrezkoa (salbuespenak posible) | Irizpide espezifikoetarako bakarrik derrigorrezkoa |
| Egokitasun-erabakiak | ANPDren zerrenda oraindik ez da argitaratu (2026tik aurrera) | EBko Batzordearen zerrenda argitaratua |
| Betearazpenaren hasiera | 2021eko abuztua | 2018ko maiatza |
Iturriak: [1][2][3]
LGPDren 10 oinarri juridikoek GDPRren baliokiderik ez duten xedapenak barne hartzen dituzte, hala nola kredituaren babesa eta administrazio publikoaren politiken exekuzioa. GDPRren oinarri juridikoetan soilik oinarritzen diren erakundeek beren Brasilgo prozesatze-jarduerak behar bezala oinarrituta ez daudela aurki dezakete [1].
Enpresek LGPD eta GDPR biak bete behar dituzte?
Bai, erakunde batek EBko eta Brasilgo egoiliarren datu pertsonalak prozesatzen baditu, bi legeak aldi berean bete behar ditu. Bi araudiek gainjartzen diren baina ez berdinak diren eskakizunak dituzte, hau da, betetze bikoitzak hutsuneen analisi deliberatua eskatzen du, batak bestea asetzen duela suposatu beharrean.
LGPDk honako erakunde hauei aplikatzen zaie:
- Brasilen datu pertsonalak prozesatzen dituztenak.
- Brasilen kokatutako pertsonei ondasunak edo zerbitzuak eskaintzen dizkietenak.
- Brasilen bildu ziren datuak prozesatzen dituztenak, prozesamendua non gertatzen den kontuan hartu gabe [2].
Brasilgo bezeroak dituen Europako enpresa batek, edo EBko erabiltzaileak dituen Brasilgo enpresa batek, bi araudien menpe daude. GDPR betetzen duten erakundeek abantaila dute, baina LGPDren hutsune espezifikoek, batez ere oinarri juridikoen, DPOren publiko egiteko eskakizunen eta haustearen jakinarazpenaren hizkuntzaren inguruan, lan gehigarria eskatzen dute.
LGPDren zigorrak eta isunak ez-betetzeagatik
LGPDren isunak erakundearen Brasilgo diru-sarreren ehuneko gisa kalkulatzen dira (ez munduko diru-sarrerak), urraketa bakoitzeko R$50 milioiko mugarekin. Hau GDPRren kalkuluaren egitura desberdina da, honek munduko urteko fakturazioa aipatzen baitu [3].
LGPDren arabera eskuragarri dauden zigorrak honako hauek dira:
- Abisuak, zuzenketa-epe zehatz batekin.
- Isun sinpleak, Brasilgo diru-sarreren %2ra arte, urraketa bakoitzeko R$50 milioiko mugarekin.
- Eguneroko isunak, urraketa zuzendu arte.
- Infrakzioaren argitalpena (ospe-zigorra).
- Datu pertsonal garrantzitsuen blokeoa edo ezabatzea.
- Datuen prozesatze-jardueren etenaldi partziala edo osoa.
ANPDren betearazpen-jarrera heldu egin da 2021etik aurrera, eta erakundeek ez lukete suposatu behar Brasilgo isun-muga baxuagoak arrisku txikiagoa dakarrenik. Ospe-zigorrek eta operazio-etenaldiek diru-isunak gainditzen dituzten kostuak ekar ditzakete.
LGPDren Datu Subjektuaren Eskubideak vs GDPRren Eskubideak
Bi legeek eskubide nagusi konparagarriak ematen dituzte, baina LGPDk GDPRren parekorik ez duen eskubide esplizitu bat barne hartzen du: datu-kontrolatzaileak datuak zein entitate publiko eta pribaturekin partekatu dituen jakiteko eskubidea. Partekatzearen gardentasun-betebehar honek dokumentazio-karga handiagoa jartzen die datu-ekosistema konplexuak kudeatzen dituzten kontrolatzaileei [2].
LGPD eta GDPRren arabera partekatutako eskubideak:
- Kontrolatzaileak dituen datu pertsonaletarako sarbidea.
- Datu okerrak edo osatugabeak zuzentzea.
- Oinarri juridiko baliorik gabe prozesatutako datuak ezabatzea.
- Datuen eramangarritasuna (GDPRk makina-irakurgarria den formatua zehazten du; LGPDk ez du zehaztasun hori).
- Prozesamenduaren aurka egitea.
- Baimenaren ezeztapena.
LGPDren eskubide espezifikoa: Hirugarren alderdi publiko zein pribatuek datu-subjektuaren datu pertsonalak jaso dituzten jakiteko eskubide esplizitua. GDPRk zeharka jorratzen du hau gardentasun-eskakizunen bidez, baina ez du eskubide autonomo gisa kokatzen.
LGPD GDPR baino zorrotzagoa edo malguagoa da?
Bi legeetako bat ere ez da kategorikoki zorrotzagoa dimentsio guztietan. GDPR zorrotzagoa da zigorren magnitudean (munduko diru-sarreren oinarria), haustearen jakinarazpen-epeetan (72 ordu) eta erakundeentzako eskuragarri dagoen orientabideen zehaztasunean. LGPD zorrotzagoa da haurren datuen inguruan (18 urte vs 16) eta DPO izendatzeko eskakizun zabalagoa du [2][3].
ANPDren gaztetasunak, erakunde arautzaile gisa, argitaratutako orientabide gutxiago dakar, eta horrek betetze-anbiguotasuna sortzen du, malgutasuna baino. Erakundeek LGPDren zehaztu gabeko eskakizunak interpretazio kontserbadorea eskatzen duten arlo gisa tratatu beharko lituzkete, ez ustiatzeko hutsune arautzaile gisa.
LGPDren baimen-eskakizunak datu pertsonalak prozesatzeko
Baimena LGPDren arabera baliozko 10 oinarri juridikoetako bat da, ez oinarri lehenetsia edo hobetsia. Honek GDPRren ikuspegia islatzen du, non baimena egokia den beste oinarri batzuk aplikatzen ez direnean bakarrik. LGPDren baimena askea, informatua, anbiguotasunik gabea eta helburu zehatz baterako espezifikoa izan behar da [1].
LGPDren baimen-arau nagusiak:
- Baimena kontratu-baldintza bestelakoetatik bereizita lortu behar da.
- Adingabeen datuak prozesatzeko (18 urtetik beherakoak) gurasoen edo tutorearen baimen egiaztagarria behar da.
- Baimena edozein unetan ezeztatu daiteke, eta kontrolatzaileak erraztu egin behar du hori.
- Datu pertsonal sentikorretarako (osasuna, biometrikoak, arraza-jatorria, etab.) baimenak berariazko opt-in bat eskatzen du.
Baimena oinarri juridiko orokor gisa erabiltzen duten erakundeek, GDPR aurreko praktiketatik datorren ohiko akatsa, esposizio berezia dute bi legeen arabera.
LGPDren aplikagarritasuna Brasilgoak ez diren enpresentzat
Brasilgoak ez diren enpresek LGPD bete behar dute, Brasilen kokatutako pertsonen datu pertsonalak prozesatzen badituzte, enpresa non dagoen edo datuak non gordetzen diren kontuan hartu gabe. Legearen estralurtar-esparrua esplizitua da eta GDPRren merkatu-oinarritutako ikuspegia islatzen du [2].
Brasilgo kontsumitzaileei saltzen dien AEBetako e-commerce plataforma batek, Brasilgo enpresa-bezeroak dituen Kanadako SaaS enpresa batek, edo Brasilera zuzendutako webgune baten bidez datuak biltzen dituen Asiako fabrikatzaile batek, guztiak LGPDren jurisdikzioaren barruan daude. ANPDk atzerriko entitateak ikertzeko eta zigortzeko ahalmena du, nahiz eta egoiliar ez diren erakundeen aurkako betearazpena garapen bidean dagoen arloa izan.
LGPDren Datuak Babesteko Ofizialaren Eskakizunak
LGPDk, oro har, datu-kontrolatzaile guztiei Datuak Babesteko Ofizial bat (portugesez "Encarregado" deitua) izendatzea eta pertsona horren identitatea eta harremanetarako informazioa publikoki jakinaraztea eskatzen die. Hau GDPR baino zabalagoa da, honek DPO izendatzea erakunde-kategoria espezifikoetarako bakarrik agintzen baitu (agintaritza publikoak, eskala handiko jarraipen sistematikoa, eskala handiko datu sentikorren prozesamendua) [2].
ANPDk LGPDren DPO eskakizunaren salbuespenak zehaztu ditzake, batez ere enpresa txikientzat edo arrisku txikiko prozesatzaileentzat, baina 2026tik aurrera salbuespen horiek mugatuak dira. Erakundeek Encarregado bat izendatzea lehenetsi beharko lukete, ANPDren salbuespen espezifiko bat aplikatzen ez bada.
Nola ezarri LGPD zure negozioan Brasilen
LGPDren ezarpenak sekuentzia egituratu bat jarraitzen du. Lehendik GDPR programak dituzten erakundeek hutsuneen analisi bat egin beharko lukete hutsetik hasi beharrean, goian azaldutako desberdintasun espezifikoetan arreta jarriz.
Ezarpen-zerrenda:
- Datuen mapaketa: Datu pertsonalen fluxu guztiak inbentariatu, Brasilen edo Brasilgo egoiliarrengandik bildutako datuak barne.
- Oinarri juridikoaren esleipena: Prozesatze-jarduera bakoitza LGPDren 10 oinarri juridikoetako batera lotu, ez lehenetsi baimena.
- Pribatutasun-oharrak: Oharrak eguneratu LGPDren berariazko dibulgazioak barne hartzeko, Encarregadoaren identitatea barne.
- DPO izendapena: Encarregado bat izendatu eta publikoki identifikatu; haien harremanetarako datuak dokumentatu zure webgunean eta pribatutasun-politikan.
- Datu-subjektuaren eskubideen prozedurak: LGPDren berariazko eskaeretarako lan-fluxuak eraiki, hirugarrenen partekatzearen dibulgazio-eskubidea barne.
- Haustearen erantzun-plana: Barne eskalatze-prozedurak ezarri "arrazoizko epeko" jakinarazpenarekin bat etorriz, barne-helburu kontserbadore batekin (72 ordu erreferentzia defendagarria da ANPDren orientabideen zain).
- Baimenaren kudeaketa: Web-propietateetarako baimenaren kudeaketa-soluzio bat ezarri. Biscotti CMP (www.biscotti-cmp.com) baimenaren bilketa eta kudeaketa onartzen du jurisdikzio anitzeko betetze-eskakizunak kudeatzen dituzten erakundeentzat.
- Nazioarteko transferentzien berrikuspena: Mugaz gaindiko datu-transferentzia guztiak auditatu eta eskuragarri dauden babesak aplikatu (baimena, kontratu-klausulak) ANPDren egokitasun-esparruaren zain [3].
- DPIA prozesua: Arrisku handiko prozesatze-jardueretarako arrisku-ebaluazio prozesu bat ezarri.
- Prestakuntza: Datuetarako sarbidea duten langileak LGPDren betebeharrei eta gertakarien erantzunari buruz trebatu.
Enpresek LGPD betetzean egiten dituzten akats ohikoenak
LGPDren betetze-hutsegite ohikoenak legea GDPRren kopia zuzen gisa tratatzean eta Brasilgo eskakizun espezifikoak alde batera uztean datza.
Saihestu beharreko akatsak:
- GDPR betetzeak LGPD betetzea dakarrela suposatzea. Oinarri juridiko desberdinek, DPO arauek eta haurren datuen atalaseek benetako hutsuneak sortzen dituzte.
- Baimena oinarri juridiko lehenetsi gisa erabiltzea. LGPDk 10 oinarri eskaintzen ditu; baimena askotan ez da egokiena eta alferrikako ezeztapen-arriskua sortzen du.
- Encarregadoa publikoki ez jakinaraztea. DPOren xehetasunak barnekoak diren GDPR ezarpen batzuekin alderatuta, LGPDk identifikazio publikoa eskatzen du.
- Hirugarrenen partekatzearen dibulgazio-eskubidea alde batera uztea. Eskubide honek kontrolatzaileei datuak partekatzeko harremanen erregistro zehatzak mantentzea eskatzen die.
- ANPDren zehaztu gabeko orientabideak baimen gisa tratatzea. ANPDk oraindik arau espezifikorik argitaratu ez duenean, interpretazio kontserbadoreak etorkizuneko esposizioa murrizten du.
- Haurren datuak ez ikustea. 18 urteko adin-muga erakunde gehienek espero dutena baino altuagoa da eta adinaren egiaztapen aktiboa edo gurasoen baimen-mekanismoak eskatzen ditu.
LGPD vs Hego Amerikako beste pribatutasun-lege batzuk
Brasilgo LGPD Hego Amerikako datuak babesteko legerik osatuena eta aktiboki betearazten dena da 2026tik aurrera. Hainbat herrialde bizilagunek antzeko esparruak ezarri dituzte edo garatzen ari dira, baina inork ez du LGPDren esparrua edo betearazpen-azpiegitura berdintzen.
- Argentina: Datuak babesteko lege bat du (25.326 Legea, 2000) LGPD baino lehenagokoa dena, baina ez da hain integrala. Argentinak EBko egokitasun-egoera du, LGPDk oraindik lortu ez duena.
- Txile: 2024an datuak babesteko lege eguneratu bat onartu zuen, 1999ko esparrua GDPRk eragindako xedapenekin modernizatuz, baina betearazpen-azpiegitura oraindik garatzen ari da.
- Kolonbia: 2012ko 1581 Legeak datuen babesa arautzen du; LGPD baino esparru mugatuagoa du.
- Peru: Datuak babesteko legeria du (29.733 Legea), baina betearazpen-ahalmen mugatuarekin.
Hego Amerikan zehar jarduten duten erakundeek ezin dute eskualdeko betetze-esparru bakar batean oinarritu. Brasilgo LGPDk arreta berezia eskatzen du, bere betearazpen-heldutasuna eta merkatuaren tamaina kontuan hartuta.
Ohiko galderak
Zer esan nahi du LGPDk? LGPDk Lei Geral de Proteção de Dados esan nahi du, Brasilgo Datuen Babeserako Lege Orokorra, 2018an ezarri eta 2021eko abuztutik betearazten dena.
Noiz hasi zen LGPDren betearazpena? LGPDren zigor administratiboen betearazpena 2021eko abuztuan hasi zen, ANPDk isunak eta bestelako zigorrak ezartzeko ahalmena lortu zuenean.
LGPDk Brasilgoak ez diren enpresei aplikatzen zaie? Bai. Brasilen kokatutako pertsonen datu pertsonalak prozesatzen dituen edo Brasilen datuak biltzen dituen edozein erakunde LGPDren jurisdikzioaren barruan dago, enpresa non dagoen kontuan hartu gabe [2].
Zein da LGPDren gehienezko isuna? LGPDk isunak erakundearen Brasilgo diru-sarreren %2ra mugatzen ditu urraketa bakoitzeko, gehienez R$50 milioi infrakzio bakoitzeko [3].
Baimena beti beharrezkoa da LGPDren arabera? Ez. Baimena baliozko 10 oinarri juridikoetako bat da. Erakundeek prozesatze-jarduera bakoitzerako oinarri juridiko egokiena identifikatu beharko lukete, baimena lehenetsi beharrean [1].
Zein da LGPDren datu-haustearen jakinarazpen-epea? LGPDk jakinarazpena "arrazoizko epean" eskatzen du, eta ANPDk zehatzago definitzea espero da. Orientabide horren zain, 72 orduko barne-erreferentzia estandar kontserbadore gisa erabiltzen da [2].
GDPR betetzen duen programa batek LGPDren eskakizunak asetzen ditu? Ez guztiz. GDPR betetzeak oinarri sendoa eskaintzen du, baina oinarri juridikoetan, DPOren publiko egitean, haurren datuen atalaseetan eta datu-subjektuaren eskubideetan hutsuneek LGPDren berariazko zuzenketa eskatzen dute.
Zer da Encarregadoa LGPDren arabera? Encarregadoa LGPDren Datuak Babesteko Ofizialaren baliokidea da. GDPRren aldean, LGPDk, oro har, datu-kontrolatzaile guztiei bat izendatzea eta haien identitatea eta harremanetarako informazioa publikoki jakinaraztea eskatzen die [2].
Datu pertsonalak nazioartean transferitu daitezke LGPDren arabera? Bai, baldintza jakin batzuetan, babes egokia, kontratu-babesak edo baimen espezifikoa barne. 2026tik aurrera, ANPDk oraindik ez du argitaratu egokitasun-zerrenda ofizialik edo kontratu-klausula estandarrik [3].
Zein adinek eskatzen du gurasoen baimena LGPDren arabera? LGPDk gurasoen edo tutorearen baimena eskatzen du 18 urtetik beherako pertsonen datu pertsonalak prozesatzeko, GDPRren 16 urteko atalasea baino altuagoa dena.
Ondorioa
Brasilgo LGPD ulertzeak GDPRren kontrolak jurisdikzio berri batera mapatzea baino gehiago eskatzen du. Egiturazko desberdintasunek, 10 oinarri juridiko 6ren aurrean, DPOren agindu zabalago batek, haurren adostasun-adin altuago batek eta oraindik heldutasun-prozesuan dagoen arautze-esparru batek, Brasilgo betetze-lan deliberatua eskatzen dute.
Erakundeentzako hurrengo urratsak 2026an:
- LGPDren hutsuneen analisi formal bat egin zure lehendik dagoen GDPR programaren aurka, oinarri juridikoetan, DPOren izendapenean eta datu-subjektuaren eskubideen prozeduretan arreta jarriz.
- Encarregado bat izendatu eta publikoki jakinarazi Brasilgo egoiliarren datuak prozesatzen badituzu.
- Baimen-fluxu guztiak berrikusi LGPDren baimen-estandarrak betetzen dituztela ziurtatzeko, batez ere 18 urtetik beherako erabiltzaileentzat.
- Baimenaren kudeaketa-soluzio bat ezarri zure web-propietateetarako, LGPDren eskakizunak eta aplikagarriak diren beste pribatutasun-lege batzuk onartzen dituena.
- Datu-haustearen erantzun-prozedura bat ezarri, 72 orduko barne-eskalatze-helburu batekin, ANPDren orientabideen zain.
- ANPDren argitalpenak arretaz jarraitu, egokitasun-erabakiak, kontratu-klausula estandarrak eta DPIA irizpideak guztiak zain daude eta zuzenean eragingo diete betetze-betebeharrei.
LGPDren betetzea GDPRren lanaren deribatu gisa tratatzen duten erakundeek bi legeak gehien desberdintzen diren dimentsioetan aurkituko dute beren burua. LGPD programa dedikatu eta dokumentatu bat da ANPDren betearazpen-ahalmena hazten jarraitzen duen heinean jarrera defendagarri bakarra.
Erreferentziak
[1] Lgpd Vs Gdpr Diferencas Similaridades - https://confidata.com.br/blog/lgpd-vs-gdpr-diferencas-similaridades?utm_source=openai
[2] Lgpd Vs Gdpr - https://lgpdpro.com.br/lgpd-vs-gdpr/?utm_source=openai
[3] Brazil Lgpd Vs Gdpr Differences - https://www.cleolabs.co/en/blog/brazil-lgpd-vs-gdpr-differences?utm_source=openai