Resposta rápida: A Lei Xeral de Protección de Datos (LGPD) de Brasil e o Regulamento Xeral de Protección de Datos (GDPR) da UE comparten unha base filosófica común, pero diverxen significativamente nas bases legais, estruturas de sancións, requisitos de DPO e prazos de aplicación. Calquera organización que opere en Brasil ou que preste servizos a titulares de datos brasileiros debe comprender estas distincións para construír un programa de cumprimento defendible; o cumprimento do GDPR por si só non é suficiente.
Puntos clave
- A LGPD proporciona 10 bases legais para o tratamento de datos; o GDPR proporciona só 6, con bases LGPD únicas que cobren a protección de crédito e a administración pública.
- As multas da LGPD están limitadas ao 2% dos ingresos brasileiros por infracción, ata R$50 millóns, en comparación co 4% da facturación anual global ou 20 millóns de euros do GDPR.
- Ambas as leis aplícanse extraterritorialmente; as empresas non brasileiras que procesen datos de residentes brasileiros deben cumprir coa LGPD.
- O prazo de notificación de violación de datos da LGPD é "tempo razoable", non a estrita xanela de 72 horas do GDPR.
- O consentimento da LGPD para menores require a aprobación dos pais ata os 18 anos, fronte ao limiar de idade do GDPR de 16 (ou tan baixo como 13 nalgúns estados membros da UE).
- A ANPD (autoridade de protección de datos de Brasil) comezou a aplicación en agosto de 2021 e estivo aumentando constantemente a actividade de sancións.
- A partir de 2026, a ANPD aínda non publicou listas oficiais de adecuación nin cláusulas contractuais estándar para transferencias internacionais de datos.
- O cumprimento do GDPR proporciona unha base sólida para o cumprimento da LGPD, pero existen lagoas que requiren unha remediación deliberada.
Que é a LGPD e como funciona en Brasil
A LGPD de Brasil (Lei Xeral de Protección de Datos, Lei nº 13.709/2018) é a lei federal integral de protección de datos do país, modelada en parte no GDPR pero adaptada ao contexto legal e económico de Brasil. Rege a recollida, o tratamento, o almacenamento e a transferencia de datos persoais pertencentes a individuos situados en Brasil, independentemente de onde estea baseada a organización que realiza o tratamento.
A lei é administrada pola ANPD (Autoridade Nacional de Proteção de Dados), que ten autoridade para emitir orientacións, realizar investigacións e impoñer sancións. A aplicación comezou formalmente en agosto de 2021, e a ANPD expandiu progresivamente a súa actividade reguladora desde entón [3].
Como funciona na práctica:
- As organizacións deben identificar unha base legal lexítima antes de procesar calquera dato persoal.
- Os titulares dos datos deben ser informados das actividades de tratamento mediante avisos de privacidade transparentes.
- Xeralmente, debe nomearse e identificarse publicamente un Delegado de Protección de Datos (Encarregado).
- Os incidentes que impliquen datos persoais deben ser comunicados á ANPD e aos individuos afectados nun "tempo razoable".
- As organizacións que procesen datos de alto risco deben realizar Avaliacións de Impacto na Protección de Datos (DPIA), con criterios específicos que serán definidos pola ANPD [2].
Principais diferenzas entre o cumprimento da LGPD e do GDPR
Navegar pola LGPD de Brasil xunto co GDPR revela tanto similitudes estruturais como diverxencias significativas que afectan directamente aos programas de cumprimento. As diferenzas máis significativas desde o punto de vista operativo caen en cinco categorías: bases legais, cálculo de sancións, prazos de notificación de violacións, limiares de datos de menores e a madurez da orientación reguladora.
| Dimensión | LGPD (Brasil) | GDPR (UE) |
|---|---|---|
| Bases legais | 10 (incl. protección de crédito, política pública) | 6 |
| Multa máxima | 2% dos ingresos brasileiros, límite de R$50M | 4% da facturación global ou 20M € |
| Notificación de violación | "Tempo razoable" (a ANPD definirá) | 72 horas á autoridade de supervisión |
| Idade de consentimento de menores | 18 (requírese consentimento parental) | 16 (os estados membros poden baixar a 13) |
| Requisito de DPO | Xeralmente obrigatorio (posibles excepcións) | Obrigatorio só para criterios específicos |
| Decisións de adecuación | Lista da ANPD aínda non publicada (a partir de 2026) | Lista da Comisión Europea publicada |
| Inicio da aplicación | Agosto de 2021 | Maio de 2018 |
Fontes: [1][2][3]
As 10 bases legais da LGPD inclúen disposicións sen equivalente no GDPR, como a protección do crédito e a execución de políticas da administración pública. As organizacións que se basean unicamente nas bases legais do GDPR poden atopar as súas actividades de tratamento brasileiras inadecuadamente fundamentadas [1].
As empresas necesitan seguir tanto a LGPD como o GDPR?
Si, se unha organización procesa datos persoais de residentes tanto da UE como de Brasil, debe cumprir ambas as leis simultaneamente. Os dous regulamentos teñen requisitos superpostos pero non idénticos, o que significa que o cumprimento dual require unha análise de lagoas deliberada en lugar de asumir que un satisface o outro.
A LGPD aplícase a calquera organización que:
- Procese datos persoais en Brasil.
- Ofreza bens ou servizos a individuos situados en Brasil.
- Procese datos que foron recollidos en Brasil, independentemente de onde se produza o tratamento [2].
Unha empresa europea con clientes brasileiros, ou unha empresa brasileira con usuarios da UE, cae baixo ambos os réximes. As organizacións que cumpren co GDPR teñen unha vantaxe, pero as lagoas específicas da LGPD, particularmente en torno ás bases legais, os requisitos de divulgación pública do DPO e a linguaxe de notificación de violacións, requiren traballo adicional.
Sancións e multas da LGPD por incumprimento
As multas da LGPD calcúlanse como unha porcentaxe dos ingresos da organización en Brasil (non os ingresos globais), cun límite de R$50 millóns por infracción. Este é un cálculo estruturalmente diferente do GDPR, que fai referencia á facturación anual global [3].
As sancións dispoñibles baixo a LGPD inclúen:
- Advertencias cun período de remediación definido.
- Multas simples de ata o 2% dos ingresos brasileiros, cun límite de R$50 millóns por infracción.
- Multas diarias ata que se remedie a infracción.
- Publicación da infracción (sanción reputacional).
- Bloqueo ou eliminación dos datos persoais relevantes.
- Suspensión parcial ou total das actividades de tratamento de datos.
A postura de aplicación da ANPD madurou desde 2021, e as organizacións non deben asumir que o límite de multa máis baixo de Brasil se traduce nun menor risco. As sancións reputacionais e as suspensións operativas poden implicar custos que superan as multas monetarias.
Dereitos do titular dos datos da LGPD fronte aos dereitos do GDPR
Ambas as leis conceden dereitos fundamentais comparables, pero a LGPD inclúe un dereito explícito sen paralelo directo no GDPR: o dereito á información sobre con que entidades públicas e privadas o responsable do tratamento compartiu datos. Esta obriga de transparencia na compartición impón unha carga de documentación maior aos responsables do tratamento que xestionan ecosistemas de datos complexos [2].
Dereitos compartidos baixo a LGPD e o GDPR:
- Acceso aos datos persoais en poder do responsable do tratamento.
- Corrección de datos inexactos ou incompletos.
- Eliminación de datos tratados sen unha base legal válida.
- Portabilidade dos datos (o GDPR especifica o formato lexible por máquina; a LGPD carece desta especificidade).
- Oposición ao tratamento.
- Revogación do consentimento.
Dereito específico da LGPD: Dereito explícito a saber que terceiros, tanto públicos como privados, recibiron os datos persoais do titular dos datos. O GDPR aborda isto indirectamente a través dos requisitos de transparencia, pero non o enmarca como un dereito enumerado independente.
É a LGPD máis estrita ou máis indulxente que o GDPR?
Ningunha das leis é categoricamente máis estrita en todas as dimensións. O GDPR é máis estrito na magnitude das sancións (base de ingresos globais), nos prazos de notificación de violacións (72 horas) e na especificidade da orientación dispoñible para as organizacións. A LGPD é máis estrita nos datos de menores (18 anos fronte a 16) e ten un requisito de nomeamento de DPO máis amplo [2][3].
A relativa xuventude da ANPD como organismo regulador significa menos orientación publicada, o que crea ambigüidade no cumprimento en lugar de indulxencia. As organizacións deben tratar os requisitos indefinidos da LGPD como áreas que requiren unha interpretación conservadora, non como lagoas reguladoras que explotar.
Requisitos de consentimento da LGPD para o tratamento de datos persoais
O consentimento é unha das 10 bases legais válidas baixo a LGPD, non a base predeterminada ou preferida. Isto reflicte o enfoque do GDPR, onde o consentimento é apropiado só cando non se aplican outras bases. O consentimento da LGPD debe ser libre, informado, inequívoco e específico para un propósito definido [1].
Regras clave de consentimento baixo a LGPD:
- O consentimento debe obterse por separado doutros termos contractuais.
- O tratamento de datos de menores (menores de 18 anos) require o consentimento verificable dos pais ou titores.
- O consentimento pode ser revogado en calquera momento, e o responsable do tratamento debe facilitar isto facilmente.
- O consentimento para datos persoais sensibles (saúde, biométricos, orixe racial, etc.) require unha aceptación explícita.
As organizacións que utilizan o consentimento como base legal xeral, un erro común arrastrado das prácticas anteriores ao GDPR, enfróntanse a unha exposición particular baixo ambas as leis.
Aplicabilidade da LGPD para empresas non brasileiras
As empresas non brasileiras están suxeitas á LGPD se procesan datos persoais de individuos situados en Brasil, independentemente de onde estea constituída a empresa ou onde se almacenen os datos. O alcance extraterritorial da lei é explícito e reflicte o enfoque baseado no mercado do GDPR [2].
Unha plataforma de comercio electrónico estadounidense que vende a consumidores brasileiros, unha empresa SaaS canadense con clientes empresariais brasileiros, ou un fabricante asiático que recolle datos a través dun sitio web dirixido a Brasil, todos caen dentro da xurisdición da LGPD. A ANPD ten autoridade para investigar e sancionar entidades estranxeiras, aínda que a aplicación contra organizacións non residentes segue sendo unha área en evolución.
Requisitos do Delegado de Protección de Datos da LGPD
A LGPD xeralmente require que todos os responsables do tratamento de datos nomeen un Delegado de Protección de Datos (chamado "Encarregado" en portugués) e que divulguen publicamente a identidade e a información de contacto desa persoa. Isto é máis amplo que o GDPR, que só esixe o nomeamento de DPO para categorías específicas de organizacións (autoridades públicas, vixilancia sistemática a gran escala, tratamento de datos sensibles a gran escala) [2].
A ANPD pode definir excepcións ao requisito de DPO da LGPD, particularmente para pequenas empresas ou procesadores de baixo risco, pero a partir de 2026 esas excepcións seguen sendo limitadas. As organizacións deben optar por nomear un Encarregado a menos que se aplique unha exención específica da ANPD.
Como implementar a LGPD para a súa empresa en Brasil
A implementación da LGPD segue unha secuencia estruturada. As organizacións con programas GDPR existentes deben realizar unha análise de lagoas en lugar de comezar de cero, centrándose nas diverxencias específicas descritas anteriormente.
Lista de verificación de implementación:
- Mapeo de datos: Inventariar todos os fluxos de datos persoais, incluídos os datos recollidos en Brasil ou de residentes brasileiros.
- Asignación de base legal: Mapear cada actividade de tratamento a unha das 10 bases legais da LGPD, non optar polo consentimento por defecto.
- Avisos de privacidade: Actualizar os avisos para incluír divulgacións específicas da LGPD, incluída a identidade do Encarregado.
- Nomeamento de DPO: Nomear e identificar publicamente un Encarregado; documentar os seus datos de contacto no seu sitio web e política de privacidade.
- Procedementos de dereitos do titular dos datos: Construír fluxos de traballo para solicitudes específicas da LGPD, incluído o dereito de divulgación de compartición con terceiros.
- Plan de resposta a violacións: Establecer procedementos internos de escalada aliñados coa notificación en "tempo razoable", cun obxectivo interno conservador (72 horas é un punto de referencia defendible pendente de orientación da ANPD).
- Xestión do consentimento: Implementar unha solución de xestión do consentimento para as propiedades web. Biscotti CMP (www.biscotti-cmp.com) admite a recollida e xestión do consentimento para organizacións que xestionan requisitos de cumprimento multixurisdicionais.
- Revisión de transferencias internacionais: Auditar todas as transferencias de datos transfronteirizas e aplicar as salvagardas dispoñibles (consentimento, cláusulas contractuais) dado o marco de adecuación pendente da ANPD [3].
- Proceso DPIA: Establecer un proceso de avaliación de riscos para actividades de tratamento de alto risco.
- Formación: Formar ao persoal con acceso a datos sobre as obrigas da LGPD e a resposta a incidentes.
Erros comúns que cometen as empresas co cumprimento da LGPD
Os fallos máis frecuentes no cumprimento da LGPD derivan de tratar a lei como unha copia directa do GDPR e de omitir os requisitos específicos de Brasil.
Erros a evitar:
- Asumir que o cumprimento do GDPR equivale ao cumprimento da LGPD. As diferentes bases legais, as regras do DPO e os limiares de datos de menores crean lagoas reais.
- Usar o consentimento como base legal predeterminada. A LGPD ofrece 10 bases; o consentimento moitas veces non é o máis apropiado e crea un risco de revogación innecesario.
- Non divulgar publicamente o Encarregado. A diferenza dalgunhas implementacións do GDPR onde os detalles do DPO son internos, a LGPD require identificación pública.
- Ignorar o dereito de divulgación de compartición con terceiros. Este dereito require que os responsables do tratamento manteñan rexistros detallados das relacións de compartición de datos.
- Tratar a orientación indefinida da ANPD como permiso. Cando a ANPD aínda non publicou regras específicas, a interpretación conservadora reduce a exposición futura.
- Pasar por alto os datos de menores. O limiar de 18 anos é máis alto do que a maioría das organizacións esperan e require mecanismos activos de verificación de idade ou consentimento parental.
LGPD fronte a outras leis de privacidade suramericanas
A LGPD de Brasil é a lei de protección de datos máis completa e activamente aplicada en América do Sur a partir de 2026. Varios países veciños promulgaron ou están a desenvolver marcos similares, pero ningún coincide co alcance ou a infraestrutura de aplicación da LGPD.
- Arxentina: Ten unha lei de protección de datos (Lei 25.326, 2000) que precede á LGPD pero é menos completa. Arxentina ten o status de adecuación da UE, que a LGPD aínda non acadou.
- Chile: Aprobou unha lei de protección de datos actualizada en 2024, modernizando o seu marco de 1999 con disposicións influenciadas polo GDPR, pero a infraestrutura de aplicación aínda está en desenvolvemento.
- Colombia: A Lei 1581 de 2012 rexe a protección de datos; de alcance máis limitado que a LGPD.
- Perú: Ten lexislación de protección de datos (Lei 29.733) pero con capacidade de aplicación limitada.
As organizacións que operan en toda América do Sur non poden depender dun único marco de cumprimento rexional. A LGPD de Brasil require unha atención dedicada dada a súa madurez de aplicación e o tamaño do mercado.
Preguntas frecuentes
Que significa LGPD? LGPD significa Lei Xeral de Protección de Datos, a Lei Xeral de Protección de Datos de Brasil, promulgada en 2018 e aplicada desde agosto de 2021.
Cando comezou a aplicación da LGPD? A aplicación das sancións administrativas da LGPD comezou en agosto de 2021, cando a ANPD obtivo autoridade para emitir multas e outras sancións.
A LGPD aplícase a empresas fóra de Brasil? Si. Calquera organización que procese datos persoais de individuos situados en Brasil, ou que recolla datos en Brasil, cae dentro da xurisdición da LGPD independentemente de onde estea baseada a empresa [2].
Cal é a multa máxima da LGPD? A LGPD limita as multas ao 2% dos ingresos da organización en Brasil por infracción, cun máximo de R$50 millóns por infracción [3].
O consentimento é sempre necesario baixo a LGPD? Non. O consentimento é unha das 10 bases legais válidas. As organizacións deben identificar a base legal máis apropiada para cada actividade de tratamento en lugar de optar polo consentimento por defecto [1].
Cal é o prazo de notificación de violación de datos da LGPD? A LGPD require a notificación nun "tempo razoable", que se espera que a ANPD defina con máis precisión. Pendente desa orientación, un punto de referencia interno de 72 horas é amplamente utilizado como un estándar conservador [2].
Un programa conforme ao GDPR satisface os requisitos da LGPD? Non totalmente. O cumprimento do GDPR proporciona unha base sólida, pero as lagoas nas bases legais, a divulgación pública do DPO, os limiares de datos de menores e os dereitos dos titulares dos datos requiren unha remediación específica da LGPD.
Que é o Encarregado baixo a LGPD? O Encarregado é o equivalente da LGPD a un Delegado de Protección de Datos. A diferenza do GDPR, a LGPD xeralmente require que todos os responsables do tratamento de datos nomeen un e divulguen publicamente a súa identidade e información de contacto [2].
Pódense transferir datos persoais internacionalmente baixo a LGPD? Si, baixo certas condicións, incluíndo protección adecuada, salvagardas contractuais ou consentimento específico. A partir de 2026, a ANPD aínda non publicou unha lista oficial de adecuación nin cláusulas contractuais estándar [3].
Que idade require o consentimento parental baixo a LGPD? A LGPD require o consentimento parental ou do titor para o tratamento de datos persoais de individuos menores de 18 anos, o que é superior ao limiar de 16 anos do GDPR.
Conclusión
Navegar pola LGPD de Brasil require máis que mapear os controis do GDPR a unha nova xurisdición. As diferenzas estruturais, 10 bases legais fronte a 6, un mandato de DPO máis amplo, unha idade de consentimento de menores máis alta e un marco regulador aínda en maduración, esixen un traballo de cumprimento deliberado e específico para Brasil.
Próximos pasos accionables para as organizacións en 2026:
- Realizar unha análise formal de lagoas da LGPD fronte ao seu programa GDPR existente, centrándose nas bases legais, o nomeamento de DPO e os procedementos de dereitos dos titulares dos datos.
- Nomear e divulgar publicamente un Encarregado se procesa datos de residentes brasileiros.
- Revisar todos os fluxos de consentimento para o cumprimento dos estándares de consentimento da LGPD, particularmente para usuarios menores de 18 anos.
- Implementar unha solución de xestión do consentimento para as súas propiedades web que admita os requisitos da LGPD xunto con outras leis de privacidade aplicables.
- Establecer un procedemento de resposta a violacións de datos cun obxectivo de escalada interno de 72 horas pendente de orientación da ANPD.
- Monitorizar de preto as publicacións da ANPD; as decisións de adecuación, as cláusulas contractuais estándar e os criterios de DPIA están pendentes e afectarán directamente as obrigas de cumprimento.
As organizacións que traten o cumprimento da LGPD como un derivado do traballo do GDPR atoparanse expostas precisamente nas dimensións onde as dúas leis diverxen máis. Un programa LGPD dedicado e documentado é a única postura defendible a medida que a capacidade de aplicación da ANPD segue crecendo.
Referencias
[1] Lgpd Vs Gdpr Diferencas Similaridades - https://confidata.com.br/blog/lgpd-vs-gdpr-diferencas-similaridades?utm_source=openai
[2] Lgpd Vs Gdpr - https://lgpdpro.com.br/lgpd-vs-gdpr/?utm_source=openai
[3] Brazil Lgpd Vs Gdpr Differences - https://www.cleolabs.co/en/blog/brazil-lgpd-vs-gdpr-differences?utm_source=openai