Kratak odgovor: Brazilski Lei Geral de Proteção de Dados (LGPD) i Opća uredba o zaštiti podataka (GDPR) EU-a dijele zajednički filozofski temelj, ali se značajno razlikuju u pravnim osnovama, strukturama kazni, zahtjevima za DPO-a i rokovima provedbe. Svaka organizacija koja posluje u Brazilu ili opslužuje brazilske ispitanike mora razumjeti te razlike kako bi izgradila obranjiv program usklađenosti; usklađenost s GDPR-om sama po sebi nije dovoljna.
Ključne spoznaje
- LGPD pruža 10 pravnih osnova za obradu podataka; GDPR pruža samo 6, s jedinstvenim LGPD osnovama koje pokrivaju zaštitu kredita i javnu upravu.
- Kazne prema LGPD-u ograničene su na 2% brazilskog prihoda po prekršaju, do 50 milijuna R$, u usporedbi s GDPR-ovih 4% globalnog godišnjeg prometa ili 20 milijuna €.
- Oba zakona primjenjuju se ekstrateritorijalno; nebrazilske tvrtke koje obrađuju podatke brazilskih stanovnika moraju se pridržavati LGPD-a.
- Rok za obavještavanje o povredi podataka prema LGPD-u je "razumno vrijeme", a ne strogi rok od 72 sata prema GDPR-u.
- Suglasnost prema LGPD-u za maloljetnike zahtijeva roditeljsko odobrenje do 18. godine, u usporedbi s GDPR-ovim pragom dobi od 16 godina (ili čak 13 godina u nekim državama članicama EU-a).
- ANPD (brazilsko tijelo za zaštitu podataka) započelo je provedbu u kolovozu 2021. i stalno povećava aktivnosti sankcioniranja.
- Od 2026. godine, ANPD još nije objavio službene popise adekvatnosti ili standardne ugovorne klauzule za međunarodne prijenose podataka.
- Usklađenost s GDPR-om pruža snažan temelj za usklađenost s LGPD-om, ali postoje praznine koje zahtijevaju namjerno otklanjanje.
Što je LGPD i kako funkcionira u Brazilu
Brazilski LGPD (Lei Geral de Proteção de Dados, Zakon br. 13.709/2018) je sveobuhvatni savezni zakon o zaštiti podataka u zemlji, djelomično modeliran prema GDPR-u, ali prilagođen brazilskom pravnom i ekonomskom kontekstu. On regulira prikupljanje, obradu, pohranu i prijenos osobnih podataka pojedinaca koji se nalaze u Brazilu, bez obzira na to gdje je organizacija za obradu podataka smještena.
Zakon provodi ANPD (Autoridade Nacional de Proteção de Dados), koje ima ovlasti izdavati smjernice, provoditi istrage i izricati sankcije. Provedba je formalno započela u kolovozu 2021., a ANPD je od tada progresivno proširio svoje regulatorne aktivnosti [3].
Kako funkcionira u praksi:
- Organizacije moraju identificirati zakonitu pravnu osnovu prije obrade bilo kakvih osobnih podataka.
- Ispitanici moraju biti obaviješteni o aktivnostima obrade putem transparentnih obavijesti o privatnosti.
- Službenik za zaštitu podataka (Encarregado) općenito se mora imenovati i javno identificirati.
- Incidenti koji uključuju osobne podatke moraju se prijaviti ANPD-u i pogođenim pojedincima u "razumnom roku".
- Organizacije koje obrađuju podatke visokog rizika moraju provesti procjene učinka na zaštitu podataka (DPIA), s posebnim kriterijima koje će definirati ANPD [2].
Glavne razlike između LGPD-a i usklađenosti s GDPR-om
Snalaženje u brazilskom LGPD-u uz GDPR otkriva strukturne sličnosti i značajne razlike koje izravno utječu na programe usklađenosti. Najznačajnije operativne razlike spadaju u pet kategorija: pravne osnove, izračun kazni, vrijeme obavještavanja o povredi, pragovi za podatke djece i zrelost regulatornih smjernica.
| Dimenzija | LGPD (Brazil) | GDPR (EU) |
|---|---|---|
| Pravne osnove | 10 (uklj. zaštitu kredita, javnu politiku) | 6 |
| Maksimalna kazna | 2% brazilskog prihoda, ograničenje 50 milijuna R$ | 4% globalnog prometa ili 20 milijuna € |
| Obavijest o povredi | "Razumno vrijeme" (ANPD će definirati) | 72 sata nadzornom tijelu |
| Dob za pristanak djece | 18 (potreban pristanak roditelja) | 16 (države članice mogu smanjiti na 13) |
| Zahtjev za DPO-a | Općenito obvezan (moguće iznimke) | Obvezan samo za specifične kriterije |
| Odluke o adekvatnosti | Popis ANPD-a još nije objavljen (od 2026.) | Popis Europske komisije objavljen |
| Početak provedbe | Kolovoz 2021. | Svibanj 2018. |
Izvori: [1][2][3]
10 pravnih osnova LGPD-a uključuje odredbe bez ekvivalenta u GDPR-u, kao što su zaštita kredita i provedba politika javne uprave. Organizacije koje se oslanjaju isključivo na pravne osnove GDPR-a mogu otkriti da su njihove brazilske aktivnosti obrade podataka neadekvatno utemeljene [1].
Moraju li tvrtke slijediti i LGPD i GDPR
Da, ako organizacija obrađuje osobne podatke i stanovnika EU-a i Brazila, mora se istovremeno pridržavati oba zakona. Dvije uredbe imaju preklapajuće, ali ne i identične zahtjeve, što znači da dvostruka usklađenost zahtijeva namjernu analizu praznina, a ne pretpostavku da jedna zadovoljava drugu.
LGPD se primjenjuje na svaku organizaciju koja:
- Obrađuje osobne podatke u Brazilu.
- Nudi robu ili usluge pojedincima koji se nalaze u Brazilu.
- Obrađuje podatke koji su prikupljeni u Brazilu, bez obzira na to gdje se obrada odvija [2].
Europska tvrtka s brazilskim kupcima ili brazilska tvrtka s korisnicima u EU-u potpada pod oba režima. Organizacije usklađene s GDPR-om imaju prednost, ali specifične praznine u LGPD-u, posebno u vezi s pravnim osnovama, zahtjevima za javno objavljivanje DPO-a i jezikom obavijesti o povredi, zahtijevaju dodatni rad.
LGPD kazne i novčane kazne za neusklađenost
LGPD kazne izračunavaju se kao postotak prihoda organizacije u Brazilu (ne globalnog prihoda), s ograničenjem od 50 milijuna R$ po prekršaju. Ovo je strukturno drugačiji izračun od GDPR-a, koji se odnosi na globalni godišnji promet [3].
Dostupne sankcije prema LGPD-u uključuju:
- Upozorenja s definiranim razdobljem za otklanjanje.
- Jednostavne novčane kazne do 2% brazilskog prihoda, s ograničenjem od 50 milijuna R$ po prekršaju.
- Dnevne novčane kazne dok se prekršaj ne otkloni.
- Objava prekršaja (sankcija za ugled).
- Blokiranje ili brisanje relevantnih osobnih podataka.
- Djelomična ili potpuna obustava aktivnosti obrade podataka.
Stav ANPD-a o provedbi sazrio je od 2021. godine, a organizacije ne bi trebale pretpostavljati da niže ograničenje kazni u Brazilu znači niži rizik. Sankcije za ugled i operativne obustave mogu nositi troškove koji premašuju novčane kazne.
Prava ispitanika prema LGPD-u u odnosu na prava prema GDPR-u
Oba zakona dodjeljuju usporediva temeljna prava, ali LGPD uključuje izričito pravo bez izravne paralele u GDPR-u: pravo na informaciju o tome s kojim je javnim i privatnim subjektima voditelj obrade podataka podijelio podatke. Ova obveza transparentnosti u dijeljenju nameće veće opterećenje dokumentacije voditeljima obrade koji upravljaju složenim ekosustavima podataka [2].
Zajednička prava prema LGPD-u i GDPR-u:
- Pristup osobnim podacima koje posjeduje voditelj obrade.
- Ispravak netočnih ili nepotpunih podataka.
- Brisanje podataka obrađenih bez valjane pravne osnove.
- Prenosivost podataka (GDPR specificira strojno čitljiv format; LGPD nema tu specifičnost).
- Prigovor na obradu.
- Povlačenje privole.
Pravo specifično za LGPD: Izričito pravo znati koje su treće strane, javne i privatne, primile osobne podatke ispitanika. GDPR to neizravno rješava putem zahtjeva za transparentnost, ali to ne formulira kao samostalno navedeno pravo.
Je li LGPD stroži ili blaži od GDPR-a
Nijedan zakon nije kategorički stroži u svim dimenzijama. GDPR je stroži u pogledu visine kazni (na temelju globalnog prihoda), rokova za obavještavanje o povredi (72 sata) i specifičnosti smjernica dostupnih organizacijama. LGPD je stroži u pogledu podataka djece (dob 18 naspram 16) i ima širi zahtjev za imenovanje DPO-a [2][3].
Relativna mladost ANPD-a kao regulatornog tijela znači manje objavljenih smjernica, što stvara dvosmislenost u usklađenosti, a ne blagost. Organizacije bi trebale nedefinirane zahtjeve LGPD-a tretirati kao područja koja zahtijevaju konzervativno tumačenje, a ne kao regulatorne praznine koje treba iskoristiti.
LGPD zahtjevi za pristanak za obradu osobnih podataka
Pristanak je jedna od 10 valjanih pravnih osnova prema LGPD-u, a ne zadana ili preferirana osnova. To odražava pristup GDPR-a, gdje je pristanak prikladan samo kada se druge osnove ne primjenjuju. Pristanak prema LGPD-u mora biti slobodan, informiran, nedvosmislen i specifičan za definiranu svrhu [1].
Ključna pravila o pristanku prema LGPD-u:
- Pristanak se mora dobiti odvojeno od ostalih ugovornih uvjeta.
- Obrada podataka maloljetnika (mlađih od 18 godina) zahtijeva provjerljiv pristanak roditelja ili skrbnika.
- Pristanak se može povući u bilo kojem trenutku, a voditelj obrade mora to lako omogućiti.
- Pristanak za osjetljive osobne podatke (zdravlje, biometrijski podaci, rasno podrijetlo itd.) zahtijeva izričitu privolu.
Organizacije koje koriste pristanak kao sveobuhvatnu pravnu osnovu, uobičajenu pogrešku prenesenu iz prakse prije GDPR-a, suočavaju se s posebnim izlaganjem prema oba zakona.
Primjenjivost LGPD-a za nebrazilske tvrtke
Nebrazičke tvrtke podliježu LGPD-u ako obrađuju osobne podatke pojedinaca koji se nalaze u Brazilu, bez obzira na to gdje je tvrtka registrirana ili gdje su podaci pohranjeni. Ekstrateritorijalni opseg zakona je izričit i odražava tržišni pristup GDPR-a [2].
Američka platforma za e-trgovinu koja prodaje brazilskim potrošačima, kanadska SaaS tvrtka s brazilskim poslovnim klijentima ili azijski proizvođač koji prikuplja podatke putem web stranice usmjerene na Brazil, svi potpadaju pod nadležnost LGPD-a. ANPD ima ovlasti istraživati i sankcionirati strane subjekte, iako je provedba protiv nerezidentnih organizacija još uvijek područje u razvoju.
LGPD zahtjevi za službenika za zaštitu podataka
LGPD općenito zahtijeva od svih voditelja obrade podataka da imenuju službenika za zaštitu podataka (na portugalskom se naziva "Encarregado") i da javno objave identitet i kontakt podatke te osobe. To je šire od GDPR-a, koji nalaže imenovanje DPO-a samo za određene kategorije organizacija (javna tijela, opsežno sustavno praćenje, opsežna obrada osjetljivih podataka) [2].
ANPD može definirati iznimke od zahtjeva LGPD-a za DPO-a, posebno za mala poduzeća ili obrađivače niskog rizika, ali od 2026. te su iznimke i dalje ograničene. Organizacije bi trebale zadano imenovati Encarregadoa, osim ako se ne primjenjuje specifično izuzeće ANPD-a.
Kako implementirati LGPD za vaše poslovanje u Brazilu
Implementacija LGPD-a slijedi strukturirani slijed. Organizacije s postojećim GDPR programima trebale bi provesti analizu praznina umjesto da počinju ispočetka, fokusirajući se na gore navedene specifične razlike.
Kontrolni popis za implementaciju:
- Mapiranje podataka: Popišite sve tokove osobnih podataka, uključujući podatke prikupljene u Brazilu ili od brazilskih stanovnika.
- Dodjela pravne osnove: Svaku aktivnost obrade povežite s jednom od 10 pravnih osnova LGPD-a, nemojte zadano koristiti pristanak.
- Obavijesti o privatnosti: Ažurirajte obavijesti kako biste uključili LGPD-specifične objave, uključujući identitet Encarregadoa.
- Imenovanje DPO-a: Imenujte i javno identificirajte Encarregadoa; dokumentirajte njihove kontakt podatke na svojoj web stranici i u politici privatnosti.
- Procedure za prava ispitanika: Izgradite radne tokove za LGPD-specifične zahtjeve, uključujući pravo na objavu dijeljenja s trećim stranama.
- Plan odgovora na povredu: Uspostavite interne procedure eskalacije usklađene s obavijesti o "razumnom vremenu", s konzervativnim internim ciljem (72 sata je obranjiv standard dok se ne dobiju smjernice ANPD-a).
- Upravljanje pristankom: Implementirajte rješenje za upravljanje pristankom za web svojstva. Biscotti CMP (www.biscotti-cmp.com) podržava prikupljanje i upravljanje pristankom za organizacije koje upravljaju zahtjevima usklađenosti u više jurisdikcija.
- Pregled međunarodnih prijenosa: Revidirajte sve prekogranične prijenose podataka i primijenite dostupne zaštitne mjere (pristanak, ugovorne klauzule) s obzirom na okvir adekvatnosti ANPD-a koji je u tijeku [3].
- DPIA proces: Uspostavite proces procjene rizika za aktivnosti obrade visokog rizika.
- Obuka: Obučite osoblje s pristupom podacima o obvezama LGPD-a i odgovoru na incidente.
Uobičajene pogreške koje tvrtke čine pri usklađivanju s LGPD-om
Najčešći propusti u usklađivanju s LGPD-om proizlaze iz tretiranja zakona kao izravne kopije GDPR-a i preskakanja zahtjeva specifičnih za Brazil.
Pogreške koje treba izbjegavati:
- Pretpostavka da je usklađenost s GDPR-om jednaka usklađenosti s LGPD-om. Različite pravne osnove, pravila DPO-a i pragovi za podatke djece stvaraju stvarne praznine.
- Korištenje pristanka kao zadane pravne osnove. LGPD nudi 10 osnova; pristanak često nije najprikladniji i stvara nepotreban rizik od povlačenja.
- Propust javnog objavljivanja Encarregadoa. Za razliku od nekih implementacija GDPR-a gdje su podaci DPO-a interni, LGPD zahtijeva javnu identifikaciju.
- Ignoriranje prava na objavu dijeljenja s trećim stranama. Ovo pravo zahtijeva od voditelja obrade da održavaju detaljne zapise o odnosima dijeljenja podataka.
- Tretiranje nedefiniranih smjernica ANPD-a kao dopuštenja. Tamo gdje ANPD još nije objavio specifična pravila, konzervativno tumačenje smanjuje buduću izloženost.
- Previđanje podataka djece. Prag od 18 godina viši je nego što većina organizacija očekuje i zahtijeva aktivnu provjeru dobi ili mehanizme roditeljskog pristanka.
LGPD u odnosu na druge južnoameričke zakone o privatnosti
Brazilski LGPD je najsveobuhvatniji i najaktivnije proveden zakon o zaštiti podataka u Južnoj Americi od 2026. Nekoliko susjednih zemalja donijelo je ili razvija slične okvire, ali nijedan ne odgovara opsegu ili infrastrukturi provedbe LGPD-a.
- Argentina: Ima zakon o zaštiti podataka (Zakon 25.326, 2000.) koji prethodi LGPD-u, ali je manje sveobuhvatan. Argentina ima status adekvatnosti EU-a, što LGPD još nije postigao.
- Čile: Donio je ažurirani zakon o zaštiti podataka 2024., modernizirajući svoj okvir iz 1999. s odredbama pod utjecajem GDPR-a, ali infrastruktura provedbe još se razvija.
- Kolumbija: Zakon 1581 iz 2012. regulira zaštitu podataka; opseg je ograničeniji od LGPD-a.
- Peru: Ima zakonodavstvo o zaštiti podataka (Zakon 29.733), ali s ograničenim kapacitetom provedbe.
Organizacije koje posluju diljem Južne Amerike ne mogu se osloniti na jedinstveni regionalni okvir usklađenosti. Brazilski LGPD zahtijeva posebnu pozornost s obzirom na zrelost provedbe i veličinu tržišta.
Često postavljana pitanja
Što znači LGPD? LGPD znači Lei Geral de Proteção de Dados, brazilski Opći zakon o zaštiti podataka, donesen 2018. i proveden od kolovoza 2021.
Kada je započela provedba LGPD-a? Provedba administrativnih sankcija LGPD-a započela je u kolovozu 2021., kada je ANPD dobio ovlasti za izricanje novčanih kazni i drugih sankcija.
Primjenjuje li se LGPD na tvrtke izvan Brazila? Da. Svaka organizacija koja obrađuje osobne podatke pojedinaca koji se nalaze u Brazilu, ili koja prikuplja podatke u Brazilu, potpada pod nadležnost LGPD-a bez obzira na to gdje je tvrtka smještena [2].
Koja je maksimalna kazna prema LGPD-u? LGPD ograničava kazne na 2% prihoda organizacije u Brazilu po prekršaju, s maksimalno 50 milijuna R$ po prekršaju [3].
Je li pristanak uvijek potreban prema LGPD-u? Ne. Pristanak je jedna od 10 valjanih pravnih osnova. Organizacije bi trebale identificirati najprikladniju pravnu osnovu za svaku aktivnost obrade, a ne zadano koristiti pristanak [1].
Koji je rok za obavještavanje o povredi podataka prema LGPD-u? LGPD zahtijeva obavještavanje u "razumnom roku", što se očekuje da će ANPD preciznije definirati. Dok se ne dobiju te smjernice, interni standard od 72 sata široko se koristi kao konzervativni standard [2].
Zadovoljava li program usklađen s GDPR-om zahtjeve LGPD-a? Ne u potpunosti. Usklađenost s GDPR-om pruža snažan temelj, ali praznine u pravnim osnovama, javnom objavljivanju DPO-a, pragovima za podatke djece i pravima ispitanika zahtijevaju LGPD-specifično otklanjanje.
Što je Encarregado prema LGPD-u? Encarregado je LGPD-ov ekvivalent službenika za zaštitu podataka. Za razliku od GDPR-a, LGPD općenito zahtijeva od svih voditelja obrade podataka da ga imenuju i javno objave njegov identitet i kontakt podatke [2].
Mogu li se osobni podaci prenositi međunarodno prema LGPD-u? Da, pod određenim uvjetima, uključujući adekvatnu zaštitu, ugovorne zaštitne mjere ili specifičan pristanak. Od 2026. godine, ANPD još nije objavio službeni popis adekvatnosti ili standardne ugovorne klauzule [3].
Koja dob zahtijeva roditeljski pristanak prema LGPD-u? LGPD zahtijeva pristanak roditelja ili skrbnika za obradu osobnih podataka pojedinaca mlađih od 18 godina, što je više od praga GDPR-a od 16 godina.
Zaključak
Snalaženje u brazilskom LGPD-u zahtijeva više od mapiranja kontrola GDPR-a na novu jurisdikciju. Strukturne razlike, 10 pravnih osnova naspram 6, širi mandat DPO-a, viša dob za pristanak djece i još uvijek sazrijevajući regulatorni okvir, zahtijevaju namjeran, Brazil-specifičan rad na usklađenosti.
Akcijski sljedeći koraci za organizacije u 2026.:
- Provedite formalnu analizu praznina LGPD-a u odnosu na vaš postojeći GDPR program, fokusirajući se na pravne osnove, imenovanje DPO-a i procedure za prava ispitanika.
- Imenujte i javno objavite Encarregadoa ako obrađujete podatke brazilskih stanovnika.
- Pregledajte sve tokove pristanka radi usklađenosti sa standardima pristanka LGPD-a, posebno za korisnike mlađe od 18 godina.
- Implementirajte rješenje za upravljanje pristankom za svoja web svojstva koje podržava zahtjeve LGPD-a uz druge primjenjive zakone o privatnosti.
- Uspostavite proceduru odgovora na povredu podataka s internim ciljem eskalacije od 72 sata dok se ne dobiju smjernice ANPD-a.
- Pažljivo pratite publikacije ANPD-a; odluke o adekvatnosti, standardne ugovorne klauzule i kriteriji DPIA-e su u tijeku i izravno će utjecati na obveze usklađenosti.
Organizacije koje usklađenost s LGPD-om tretiraju kao izvedenicu rada s GDPR-om naći će se izložene upravo u dimenzijama u kojima se dva zakona najviše razlikuju. Namjenski, dokumentirani LGPD program jedini je obranjiv stav jer kapacitet provedbe ANPD-a nastavlja rasti.
Reference
[1] Lgpd Vs Gdpr Diferencas Similaridades - https://confidata.com.br/blog/lgpd-vs-gdpr-diferencas-similaridades?utm_source=openai
[2] Lgpd Vs Gdpr - https://lgpdpro.com.br/lgpd-vs-gdpr/?utm_source=openai
[3] Brazil Lgpd Vs Gdpr Differences - https://www.cleolabs.co/en/blog/brazil-lgpd-vs-gdpr-differences?utm_source=openai