תשובה מהירה: חוק הגנת הנתונים הכללי של ברזיל (LGPD) ותקנת הגנת הנתונים הכללית של האיחוד האירופי (GDPR) חולקים בסיס פילוסופי משותף אך נבדלים באופן משמעותי בבסיסים משפטיים, מבני ענישה, דרישות DPO ולוחות זמנים לאכיפה. כל ארגון הפועל בברזיל או משרת נושאי נתונים ברזילאים חייב להבין הבדלים אלה כדי לבנות תוכנית ציות הגנתית; ציות ל-GDPR לבדו אינו מספיק.
נקודות מפתח
- ה-LGPD מספק 10 בסיסים משפטיים לעיבוד נתונים; ה-GDPR מספק רק 6, עם בסיסים ייחודיים ל-LGPD המכסים הגנת אשראי ומינהל ציבורי.
- קנסות ה-LGPD מוגבלים ל-2% מההכנסות בברזיל לכל הפרה, עד 50 מיליון ריאל, בהשוואה ל-4% מהמחזור השנתי העולמי או 20 מיליון אירו ב-GDPR.
- שני החוקים חלים באופן אקסטריטוריאלי; חברות שאינן ברזילאיות המעבדות נתונים של תושבים ברזילאים חייבות לציית ל-LGPD.
- לוח הזמנים להודעה על פרצת נתונים ב-LGPD הוא "זמן סביר", לא חלון ה-72 שעות הקפדני של ה-GDPR.
- הסכמת LGPD לקטינים דורשת אישור הורים עד גיל 18, לעומת סף הגיל של 16 ב-GDPR (או נמוך עד 13 בחלק ממדינות האיחוד האירופי).
- ה-ANPD (רשות הגנת הנתונים של ברזיל) החלה באכיפה באוגוסט 2021 ומגבירה בהתמדה את פעילות הסנקציות.
- נכון לשנת 2026, ה-ANPD טרם פרסמה רשימות התאמה רשמיות או סעיפים חוזיים סטנדרטיים להעברות נתונים בינלאומיות.
- ציות ל-GDPR מספק בסיס חזק לציות ל-LGPD, אך קיימים פערים הדורשים תיקון מכוון.
מהו ה-LGPD וכיצד הוא פועל בברזיל
ה-LGPD של ברזיל (Lei Geral de Proteção de Dados, חוק מס' 13,709/2018) הוא חוק הגנת הנתונים הפדרלי המקיף של המדינה, שנוסח בחלקו על בסיס ה-GDPR אך הותאם להקשר המשפטי והכלכלי של ברזיל. הוא מסדיר את האיסוף, העיבוד, האחסון וההעברה של נתונים אישיים השייכים לאנשים הנמצאים בברזיל, ללא קשר למקום מושבו של הארגון המעבד.
החוק מנוהל על ידי ה-ANPD (Autoridade Nacional de Proteção de Dados), שיש לה סמכות להוציא הנחיות, לבצע חקירות ולהטיל סנקציות. האכיפה החלה רשמית באוגוסט 2021, וה-ANPD הרחיבה בהדרגה את פעילותה הרגולטורית מאז [3].
כיצד זה עובד בפועל:
- ארגונים חייבים לזהות בסיס משפטי חוקי לפני עיבוד נתונים אישיים כלשהם.
- יש ליידע את נושאי הנתונים על פעילויות העיבוד באמצעות הודעות פרטיות שקופות.
- יש למנות בדרך כלל קצין הגנת נתונים (Encarregado) ולזהותו בפומבי.
- יש לדווח על אירועים הכוללים נתונים אישיים ל-ANPD ולנפגעים ב"זמן סביר".
- ארגונים המעבדים נתונים בסיכון גבוה חייבים לבצע הערכות השפעה על הגנת נתונים (DPIA), עם קריטריונים ספציפיים שיוגדרו על ידי ה-ANPD [2].
הבדלים עיקריים בין ציות ל-LGPD לבין ציות ל-GDPR
ניווט ב-LGPD של ברזיל לצד ה-GDPR חושף הן קווי דמיון מבניים והן הבדלים משמעותיים המשפיעים ישירות על תוכניות ציות. ההבדלים המשמעותיים ביותר מבחינה תפעולית נופלים לחמש קטגוריות: בסיסים משפטיים, חישוב קנסות, עיתוי הודעה על פרצה, ספי נתונים של ילדים, ובגרות ההנחיות הרגולטוריות.
| מימד | LGPD (ברזיל) | GDPR (האיחוד האירופי) |
|---|---|---|
| בסיסים משפטיים | 10 (כולל הגנת אשראי, מדיניות ציבורית) | 6 |
| קנס מקסימלי | 2% מההכנסות בברזיל, תקרה של 50 מיליון ריאל | 4% מהמחזור העולמי או 20 מיליון אירו |
| הודעה על פרצה | "זמן סביר" (יוגדר על ידי ה-ANPD) | 72 שעות לרשות הפיקוח |
| גיל הסכמת ילדים | 18 (נדרשת הסכמת הורים) | 16 (מדינות חברות רשאיות להוריד ל-13) |
| דרישת DPO | בדרך כלל חובה (אפשריים חריגים) | חובה רק לקריטריונים ספציפיים |
| החלטות התאמה | רשימת ה-ANPD טרם פורסמה (נכון ל-2026) | רשימת נציבות האיחוד האירופי פורסמה |
| תחילת אכיפה | אוגוסט 2021 | מאי 2018 |
מקורות: [1][2][3]
10 הבסיסים המשפטיים של ה-LGPD כוללים הוראות ללא מקבילה ב-GDPR, כגון הגנת אשראי וביצוע מדיניות מינהל ציבורי. ארגונים המסתמכים אך ורק על בסיסים משפטיים של GDPR עשויים למצוא את פעילויות העיבוד הברזילאיות שלהם מבוססות באופן לא מספק [1].
האם חברות צריכות לציית גם ל-LGPD וגם ל-GDPR?
כן, אם ארגון מעבד נתונים אישיים של תושבי האיחוד האירופי וגם של תושבי ברזיל, עליו לציית לשני החוקים בו זמנית. לשתי התקנות דרישות חופפות אך לא זהות, כלומר ציות כפול דורש ניתוח פערים מכוון במקום להניח שאחת מספקת את השנייה.
ה-LGPD חל על כל ארגון אשר:
- מעבד נתונים אישיים בברזיל.
- מציע סחורות או שירותים לאנשים הנמצאים בברזיל.
- מעבד נתונים שנאספו בברזיל, ללא קשר למקום בו מתרחש העיבוד [2].
חברה אירופית עם לקוחות ברזילאים, או חברה ברזילאית עם משתמשים באיחוד האירופי, כפופות לשני המשטרים. לארגונים התואמים ל-GDPR יש יתרון התחלתי, אך פערים ספציפיים ב-LGPD, במיוחד סביב בסיסים משפטיים, דרישות גילוי ציבורי של DPO ושפת הודעה על פרצה, דורשים עבודה נוספת.
עונשים וקנסות של LGPD בגין אי-ציות
קנסות ה-LGPD מחושבים כאחוז מהכנסות הארגון בברזיל (לא הכנסות גלובליות), ומוגבלים ל-50 מיליון ריאל לכל הפרה. זהו חישוב שונה מבחינה מבנית מה-GDPR, המתייחס למחזור שנתי גלובלי [3].
סנקציות זמינות במסגרת ה-LGPD כוללות:
- אזהרות עם תקופת תיקון מוגדרת.
- קנסות פשוטים עד 2% מההכנסות בברזיל, מוגבלים ל-50 מיליון ריאל לכל הפרה.
- קנסות יומיים עד לתיקון ההפרה.
- פרסום ההפרה (סנקציה תדמיתית).
- חסימה או מחיקה של הנתונים האישיים הרלוונטיים.
- השעיה חלקית או מלאה של פעילויות עיבוד נתונים.
עמדת האכיפה של ה-ANPD התבגרה מאז 2021, וארגונים לא צריכים להניח שתקרת הקנס הנמוכה יותר של ברזיל מתורגמת לסיכון נמוך יותר. סנקציות תדמיתיות והשעיות תפעוליות יכולות לשאת עלויות העולות על קנסות כספיים.
זכויות נושא נתונים ב-LGPD לעומת זכויות ב-GDPR
שני החוקים מעניקים זכויות ליבה דומות, אך ה-LGPD כולל זכות מפורשת ללא מקבילה ישירה ב-GDPR: הזכות למידע על אילו גופים ציבוריים ופרטיים בקר הנתונים שיתף נתונים. חובת שקיפות זו בשיתוף מטילה נטל תיעוד גבוה יותר על בקרים המנהלים מערכות אקולוגיות מורכבות של נתונים [2].
זכויות משותפות תחת LGPD ו-GDPR:
- גישה לנתונים אישיים המוחזקים על ידי הבקר.
- תיקון נתונים לא מדויקים או לא מלאים.
- מחיקת נתונים שעובדו ללא בסיס משפטי תקף.
- ניידות נתונים (ה-GDPR מציין פורמט קריא מכונה; ה-LGPD חסר ספציפיות זו).
- התנגדות לעיבוד.
- ביטול הסכמה.
זכות ספציפית ל-LGPD: זכות מפורשת לדעת אילו צדדים שלישיים, ציבוריים ופרטיים כאחד, קיבלו את הנתונים האישיים של נושא הנתונים. ה-GDPR מתייחס לכך בעקיפין באמצעות דרישות שקיפות אך אינו מציג זאת כזכות מפורטת עצמאית.
האם ה-LGPD מחמיר או מקל יותר מה-GDPR?
אף אחד מהחוקים אינו מחמיר באופן קטגורי בכל הממדים. ה-GDPR מחמיר יותר מבחינת גודל העונש (על בסיס הכנסות גלובליות), לוחות זמנים להודעה על פרצה (72 שעות), והספציפיות של ההנחיות הזמינות לארגונים. ה-LGPD מחמיר יותר בנוגע לנתוני ילדים (גיל 18 לעומת 16) ויש לו דרישה רחבה יותר למינוי DPO [2][3].
הצעירות היחסית של ה-ANPD כגוף רגולטורי פירושה פחות הנחיות מפורסמות, מה שיוצר עמימות בציות במקום הקלה. ארגונים צריכים להתייחס לדרישות LGPD לא מוגדרות כאזורים הדורשים פרשנות שמרנית, ולא כפערים רגולטוריים לניצול.
דרישות הסכמה של LGPD לעיבוד נתונים אישיים
הסכמה היא אחד מ-10 בסיסים משפטיים תקפים במסגרת ה-LGPD, לא הבסיס המוגדר כברירת מחדל או המועדף. זה משקף את גישת ה-GDPR, שבה הסכמה מתאימה רק כאשר בסיסים אחרים אינם חלים. הסכמת LGPD חייבת להיות חופשית, מיודעת, חד משמעית וספציפית למטרה מוגדרת [1].
כללי הסכמה מרכזיים במסגרת ה-LGPD:
- יש לקבל הסכמה בנפרד מתנאים חוזיים אחרים.
- עיבוד נתוני קטינים (מתחת לגיל 18) דורש הסכמת הורים או אפוטרופוס ניתנת לאימות.
- ניתן לבטל הסכמה בכל עת, והבקר חייב לאפשר זאת בקלות.
- הסכמה לנתונים אישיים רגישים (בריאות, ביומטריים, מוצא גזעי וכו') דורשת הסכמה מפורשת.
ארגונים המשתמשים בהסכמה כבסיס משפטי כוללני, טעות נפוצה שהועברה מפרקטיקות טרום-GDPR, חשופים במיוחד לשני החוקים.
תחולת LGPD על חברות שאינן ברזילאיות
חברות שאינן ברזילאיות כפופות ל-LGPD אם הן מעבדות נתונים אישיים של אנשים הנמצאים בברזיל, ללא קשר למקום שבו החברה התאגדה או היכן הנתונים מאוחסנים. היקף החוק האקסטריטוריאלי מפורש ומשקף את גישת השוק של ה-GDPR [2].
פלטפורמת מסחר אלקטרוני אמריקאית המוכרת לצרכנים ברזילאים, חברת SaaS קנדית עם לקוחות ארגוניים ברזילאים, או יצרן אסיאתי האוסף נתונים באמצעות אתר אינטרנט הפונה לברזיל, כולם נופלים תחת סמכות השיפוט של ה-LGPD. ל-ANPD יש סמכות לחקור ולהטיל סנקציות על ישויות זרות, אם כי אכיפה נגד ארגונים שאינם תושבים נותרה תחום מתפתח.
דרישות קצין הגנת נתונים של LGPD
ה-LGPD דורש בדרך כלל מכל בקרי הנתונים למנות קצין הגנת נתונים (הנקרא "Encarregado" בפורטוגזית) ולחשוף בפומבי את זהותו ופרטי הקשר שלו. זה רחב יותר מה-GDPR, המצריך מינוי DPO רק לקטגוריות ספציפיות של ארגונים (רשויות ציבוריות, ניטור שיטתי בקנה מידה גדול, עיבוד נתונים רגישים בקנה מידה גדול) [2].
ה-ANPD רשאית להגדיר חריגים לדרישת ה-DPO של ה-LGPD, במיוחד לעסקים קטנים או מעבדים בסיכון נמוך, אך נכון לשנת 2026 חריגים אלה נותרו מוגבלים. ארגונים צריכים להגדיר כברירת מחדל מינוי Encarregado אלא אם כן חל פטור ספציפי של ה-ANPD.
כיצד ליישם את ה-LGPD עבור העסק שלך בברזיל
יישום ה-LGPD עוקב אחר רצף מובנה. ארגונים עם תוכניות GDPR קיימות צריכים לבצע ניתוח פערים במקום להתחיל מאפס, תוך התמקדות בהבדלים הספציפיים שהוצגו לעיל.
רשימת בדיקה ליישום:
- מיפוי נתונים: מלאי את כל זרימות הנתונים האישיים, כולל נתונים שנאספו בברזיל או מתושבים ברזילאים.
- הקצאת בסיס משפטי: מפה כל פעילות עיבוד לאחד מ-10 הבסיסים המשפטיים של ה-LGPD, אל תגדיר כברירת מחדל הסכמה.
- הודעות פרטיות: עדכן הודעות לכלול גילויים ספציפיים ל-LGPD, כולל זהות ה-Encarregado.
- מינוי DPO: מינה וזהה בפומבי Encarregado; תעד את פרטי הקשר שלהם באתר האינטרנט ובמדיניות הפרטיות שלך.
- נהלי זכויות נושא נתונים: בנה תהליכי עבודה לבקשות ספציפיות ל-LGPD, כולל הזכות לגילוי שיתוף צד שלישי.
- תוכנית תגובה לפרצה: קבע נהלי הסלמה פנימיים מותאמים להודעה ב"זמן סביר", עם יעד פנימי שמרני (72 שעות הוא מדד הגנתי עד להנחיות ה-ANPD).
- ניהול הסכמה: הטמע פתרון לניהול הסכמה עבור נכסי אינטרנט. Biscotti CMP (www.biscotti-cmp.com) תומך באיסוף וניהול הסכמה עבור ארגונים המנהלים דרישות ציות מרובות תחומי שיפוט.
- בדיקת העברה בינלאומית: בקר את כל העברות הנתונים חוצות הגבולות והחל אמצעי הגנה זמינים (הסכמה, סעיפים חוזיים) בהתחשב במסגרת ההתאמה הממתינה של ה-ANPD [3].
- תהליך DPIA: קבע תהליך הערכת סיכונים לפעילויות עיבוד בסיכון גבוה.
- הדרכה: הכשר צוות בעל גישה לנתונים על חובות ה-LGPD ותגובה לאירועים.
טעויות נפוצות שחברות עושות בציות ל-LGPD
כשלים נפוצים ביותר בציות ל-LGPD נובעים מהתייחסות לחוק כהעתק ישיר של ה-GDPR ודילוג על דרישות ספציפיות לברזיל.
טעויות שיש להימנע מהן:
- הנחה שציות ל-GDPR שווה לציות ל-LGPD. הבסיסים המשפטיים השונים, כללי ה-DPO וספי נתוני הילדים יוצרים פערים אמיתיים.
- שימוש בהסכמה כבסיס משפטי ברירת מחדל. ה-LGPD מציע 10 בסיסים; הסכמה לעיתים קרובות אינה המתאימה ביותר ויוצרת סיכון ביטול מיותר.
- אי-גילוי פומבי של ה-Encarregado. בניגוד לחלק מיישומי ה-GDPR שבהם פרטי ה-DPO פנימיים, ה-LGPD דורש זיהוי פומבי.
- התעלמות מזכות הגילוי של שיתוף צד שלישי. זכות זו דורשת מבקרים לשמור תיעוד מפורט של יחסי שיתוף נתונים.
- התייחסות להנחיות ANPD לא מוגדרות כהיתר. כאשר ה-ANPD טרם פרסמה כללים ספציפיים, פרשנות שמרנית מפחיתה חשיפה עתידית.
- התעלמות מנתוני ילדים. סף הגיל 18 גבוה ממה שרוב הארגונים מצפים ודורש מנגנוני אימות גיל פעילים או הסכמת הורים.
LGPD לעומת חוקי פרטיות אחרים בדרום אמריקה
ה-LGPD של ברזיל הוא חוק הגנת הנתונים המקיף והנאכף ביותר בדרום אמריקה נכון לשנת 2026. מספר מדינות שכנות חוקקו או מפתחות מסגרות דומות, אך אף אחת מהן אינה תואמת את היקף ה-LGPD או את תשתית האכיפה שלו.
- ארגנטינה: יש לה חוק הגנת נתונים (חוק 25,326, 2000) שקדם ל-LGPD אך פחות מקיף. ארגנטינה מחזיקה במעמד התאמה של האיחוד האירופי, שה-LGPD טרם השיג.
- צ'ילה: העבירה חוק הגנת נתונים מעודכן בשנת 2024, המודרניזציה של המסגרת שלה משנת 1999 עם הוראות שהושפעו מ-GDPR, אך תשתית האכיפה עדיין מתפתחת.
- קולומביה: חוק 1581 משנת 2012 מסדיר את הגנת הנתונים; מוגבל יותר בהיקפו מה-LGPD.
- פרו: יש לה חקיקת הגנת נתונים (חוק 29,733) אך עם יכולת אכיפה מוגבלת.
ארגונים הפועלים ברחבי דרום אמריקה אינם יכולים להסתמך על מסגרת ציות אזורית אחת. ה-LGPD של ברזיל דורש תשומת לב ייעודית בהתחשב בבגרות האכיפה שלו ובגודל השוק.
שאלות נפוצות
מה ראשי התיבות LGPD? LGPD ראשי תיבות של Lei Geral de Proteção de Dados, חוק הגנת הנתונים הכללי של ברזיל, שנחקק בשנת 2018 ונאכף מאז אוגוסט 2021.
מתי החלה אכיפת ה-LGPD? אכיפת הסנקציות המנהליות של ה-LGPD החלה באוגוסט 2021, כאשר ה-ANPD קיבלה סמכות להטיל קנסות ועונשים אחרים.
האם ה-LGPD חל על חברות מחוץ לברזיל? כן. כל ארגון המעבד נתונים אישיים של אנשים הנמצאים בברזיל, או שאוסף נתונים בברזיל, נופל תחת סמכות השיפוט של ה-LGPD ללא קשר למקום מושבה של החברה [2].
מהו הקנס המקסימלי של ה-LGPD? ה-LGPD מגביל קנסות ל-2% מהכנסות הארגון בברזיל לכל הפרה, עם מקסימום של 50 מיליון ריאל לכל הפרה [3].
האם תמיד נדרשת הסכמה במסגרת ה-LGPD? לא. הסכמה היא אחד מ-10 בסיסים משפטיים תקפים. ארגונים צריכים לזהות את הבסיס המשפטי המתאים ביותר לכל פעילות עיבוד במקום להגדיר כברירת מחדל הסכמה [1].
מהו מועד ההודעה על פרצת נתונים ב-LGPD? ה-LGPD דורש הודעה ב"זמן סביר", שה-ANPD צפויה להגדיר ביתר דיוק. עד להנחיה זו, מדד פנימי של 72 שעות נמצא בשימוש נרחב כסטנדרט שמרני [2].
האם תוכנית תואמת GDPR מספקת את דרישות ה-LGPD? לא לגמרי. ציות ל-GDPR מספק בסיס חזק, אך פערים בבסיסים משפטיים, גילוי ציבורי של DPO, ספי נתוני ילדים וזכויות נושא נתונים דורשים תיקון ספציפי ל-LGPD.
מיהו ה-Encarregado במסגרת ה-LGPD? ה-Encarregado הוא המקבילה של ה-LGPD לקצין הגנת נתונים. בניגוד ל-GDPR, ה-LGPD דורש בדרך כלל מכל בקרי הנתונים למנות אחד ולחשוף בפומבי את זהותו ופרטי הקשר שלו [2].
האם ניתן להעביר נתונים אישיים בינלאומית במסגרת ה-LGPD? כן, בתנאים מסוימים הכוללים הגנה נאותה, אמצעי הגנה חוזיים או הסכמה ספציפית. נכון לשנת 2026, ה-ANPD טרם פרסמה רשימת התאמה רשמית או סעיפים חוזיים סטנדרטיים [3].
באיזה גיל נדרשת הסכמת הורים במסגרת ה-LGPD? ה-LGPD דורש הסכמת הורים או אפוטרופוס לעיבוד נתונים אישיים של אנשים מתחת לגיל 18, שזה גבוה יותר מסף ה-16 של ה-GDPR.
מסקנה
ניווט ב-LGPD של ברזיל דורש יותר ממיפוי בקרות GDPR לתחום שיפוט חדש. ההבדלים המבניים, 10 בסיסים משפטיים לעומת 6, מנדט DPO רחב יותר, גיל הסכמת ילדים גבוה יותר, ומסגרת רגולטורית שעדיין מתבגרת, דורשים עבודת ציות מכוונת וספציפית לברזיל.
צעדים הבאים ניתנים לביצוע עבור ארגונים בשנת 2026:
- בצע ניתוח פערים רשמי של LGPD מול תוכנית ה-GDPR הקיימת שלך, תוך התמקדות בבסיסים משפטיים, מינוי DPO ונהלי זכויות נושא נתונים.
- מינה וחשוף בפומבי Encarregado אם אתה מעבד נתונים של תושבים ברזילאים.
- סקור את כל זרימות ההסכמה לצורך ציות לתקני הסכמה של LGPD, במיוחד עבור משתמשים מתחת לגיל 18.
- הטמע פתרון לניהול הסכמה עבור נכסי האינטרנט שלך התומך בדרישות LGPD לצד חוקי פרטיות אחרים החלים.
- קבע נוהל תגובה לפרצת נתונים עם יעד הסלמה פנימי של 72 שעות עד להנחיות ה-ANPD.
- עקוב מקרוב אחר פרסומי ה-ANPD; החלטות התאמה, סעיפים חוזיים סטנדרטיים וקריטריוני DPIA כולם ממתינים וישפיעו ישירות על חובות הציות.
ארגונים שיתייחסו לציות ל-LGPD כנגזרת של עבודת GDPR ימצאו את עצמם חשופים בדיוק בממדים שבהם שני החוקים נבדלים ביותר. תוכנית LGPD ייעודית ומתועדת היא העמדה ההגנתית היחידה ככל שיכולת האכיפה של ה-ANPD ממשיכה לגדול.
הפניות
[1] Lgpd Vs Gdpr Diferencas Similaridades - https://confidata.com.br/blog/lgpd-vs-gdpr-diferencas-similaridades?utm_source=openai
[2] Lgpd Vs Gdpr - https://lgpdpro.com.br/lgpd-vs-gdpr/?utm_source=openai
[3] Brazil Lgpd Vs Gdpr Differences - https://www.cleolabs.co/en/blog/brazil-lgpd-vs-gdpr-differences?utm_source=openai