簡潔な回答： ブラジルの一般データ保護法（LGPD）とEUの一般データ保護規則（GDPR）は共通の哲学的基盤を持っていますが、法的根拠、罰則構造、DPO要件、施行タイムラインにおいて大きく異なります。ブラジルで事業を行うか、ブラジルのデータ主体にサービスを提供する組織は、これらの違いを理解し、守るべきコンプライアンスプログラムを構築する必要があります。GDPRの遵守だけでは不十分です。
主なポイント
- LGPDはデータ処理のための10の法的根拠を提供していますが、GDPRは6つのみで、LGPDの独自の根拠には信用保護や公共行政が含まれます。
- LGPDの罰金は、違反ごとにブラジルの収益の2％、最大R$50百万に制限されていますが、GDPRは世界の年間売上の4％または€20百万です。
- 両法は域外適用され、ブラジルの居住者のデータを処理する非ブラジル企業はLGPDに従う必要があります。
- LGPDのデータ侵害通知のタイムラインは「合理的な時間」であり、GDPRの厳格な72時間のウィンドウではありません。
- 未成年者のLGPDの同意は18歳まで親の承認が必要ですが、GDPRは16歳（または一部のEU加盟国では13歳）です。
- ANPD（ブラジルのデータ保護当局）は2021年8月に施行を開始し、制裁活動を着実に増加させています。
- 2026年現在、ANPDは国際データ移転のための公式な適合リストや標準契約条項をまだ公開していません。
- GDPRの遵守はLGPDの遵守の強固な基盤を提供しますが、意図的な修正が必要なギャップが存在します。
LGPDとは何か、ブラジルでの機能
ブラジルのLGPD（一般データ保護法、法第13,709/2018）は、GDPRを部分的にモデルにした国の包括的な連邦データ保護法ですが、ブラジルの法的および経済的文脈に適応されています。これは、ブラジルに所在する個人の個人データの収集、処理、保存、転送を規制し、処理を行う組織の所在地に関係なく適用されます。
この法律はANPD（国家データ保護機関）によって管理されており、ガイダンスを発行し、調査を行い、制裁を課す権限を持っています。施行は2021年8月に正式に始まり、それ以来ANPDは規制活動を徐々に拡大しています [3]。
実際の運用方法：
- 組織は、個人データを処理する前に合法的な法的根拠を特定する必要があります。
- データ主体は、透明なプライバシー通知を通じて処理活動について知らされる必要があります。
- データ保護責任者（Encarregado）を一般的に任命し、公に特定する必要があります。
- 個人データに関するインシデントは、ANPDおよび影響を受けた個人に「合理的な時間」内に報告する必要があります。
- 高リスクデータを処理する組織は、ANPDによって定義される特定の基準に基づいてデータ保護影響評価（DPIA）を実施する必要があります [2]。
LGPDとGDPRの遵守の主な違い
ブラジルのLGPDとGDPRを並行して理解することで、コンプライアンスプログラムに直接影響を与える構造的類似点と重要な相違点が明らかになります。最も運用上重要な違いは、法的根拠、罰金計算、侵害通知のタイミング、子供のデータの閾値、規制ガイダンスの成熟度の5つのカテゴリーに分類されます。
| 次元 | LGPD（ブラジル） | GDPR（EU） |
|---|---|---|
| 法的根拠 | 10（信用保護、公共政策を含む） | 6 |
| 最大罰金 | ブラジルの収益の2％、R$50Mの上限 | 世界の売上の4％または€20M |
| 侵害通知 | 「合理的な時間」（ANPDが定義） | 監督当局への72時間 |
| 子供の同意年齢 | 18（親の同意が必要） | 16（加盟国は13に引き下げることができる） |
| DPO要件 | 一般的に義務（例外あり） | 特定の基準に対してのみ義務 |
| 適合決定 | ANPDリストはまだ公開されていない（2026年現在） | EU委員会リストが公開されている |
| 施行開始 | 2021年8月 | 2018年5月 |
出典: [1][2][3]
LGPDの10の法的根拠には、GDPRに相当する規定がないものが含まれており、信用保護や公共行政政策の実施が含まれます。GDPRの法的根拠のみに依存する組織は、ブラジルでの処理活動が不十分に根拠付けられる可能性があります [1]。
企業はLGPDとGDPRの両方に従う必要がありますか？
はい、組織がEUおよびブラジルの居住者の個人データを処理する場合、両方の法律に同時に従う必要があります。二つの規制は重複するが同一ではない要件を持っており、二重の遵守は一方が他方を満たすと仮定するのではなく、意図的なギャップ分析を必要とします。
LGPDは次のような組織に適用されます：
- ブラジルで個人データを処理する。
- ブラジルに所在する個人に商品やサービスを提供する。
- ブラジルで収集されたデータを処理する（処理が行われる場所に関係なく） [2]。
ブラジルの顧客を持つヨーロッパの企業や、EUのユーザーを持つブラジルの企業は、両方の制度に該当します。GDPRに準拠した組織は先行していますが、法的根拠、DPOの公的開示要件、侵害通知の言語に関する特定のLGPDのギャップには追加の作業が必要です。
LGPDの違反に対する罰則と罰金
LGPDの罰金は、組織のブラジルにおける収益の割合として計算され（世界の収益ではなく）、違反ごとに最大R$50百万に制限されています。これは、世界の年間売上を参照するGDPRとは構造的に異なる計算です [3]。
LGPDの下で利用可能な制裁には次のものが含まれます：
- 定義された修正期間を伴う警告。
- ブラジルの収益の最大2％の単純な罰金、違反ごとにR$50百万の上限。
- 違反が修正されるまでの毎日の罰金。
- 違反の公表（評判の制裁）。
- 関連する個人データのブロックまたは削除。
- データ処理活動の部分的または完全な停止。
ANPDの施行姿勢は2021年以降成熟しており、組織はブラジルの罰金上限がリスクの低下を意味するとは仮定すべきではありません。評判の制裁や運用の停止は、金銭的な罰金を超えるコストを伴う可能性があります。
LGPDのデータ主体の権利とGDPRの権利
両法は比較可能なコア権利を付与していますが、LGPDにはGDPRに直接の対応がない明示的な権利が含まれています：データ管理者がデータを共有した公的および私的な団体についての情報を知る権利。この共有に関する透明性の義務は、複雑なデータエコシステムを管理する管理者に対してより高い文書化の負担を課します [2]。
LGPDとGDPRの両方に共通する権利：
- 管理者が保持する個人データへのアクセス。
- 不正確または不完全なデータの修正。
- 有効な法的根拠なしに処理されたデータの削除。
- データの移植性（GDPRは機械可読形式を指定；LGPDはこの特異性を欠く）。
- 処理に対する異議。
- 同意の撤回。
LGPD特有の権利： データ主体の個人データを受け取った公的および私的な第三者を知る明示的な権利。GDPRは透明性要件を通じてこれに間接的に対処していますが、独立した列挙された権利としては位置付けていません。
LGPDはGDPRより厳しいか、緩やかか
どちらの法律もすべての次元で一概に厳しいわけではありません。GDPRは罰金の大きさ（世界の収益ベース）、侵害通知のタイムライン（72時間）、組織に提供されるガイダンスの特異性において厳格です。LGPDは子供のデータ（年齢18歳対16歳）に関して厳しく、DPOの任命要件が広範です [2][3]。
ANPDの相対的な若さは、発表されたガイダンスが少ないことを意味し、コンプライアンスのあいまいさを生むが、緩和を意味するものではありません。組織は、未定義のLGPD要件を保守的な解釈が必要な領域として扱うべきであり、規制のギャップを利用するものと見なすべきではありません。
LGPDにおける個人データ処理のための同意要件
同意はLGPDの10の有効な法的根拠の1つであり、デフォルトまたは優先される根拠ではありません。これは、GDPRのアプローチを反映しており、他の根拠が適用されない場合にのみ同意が適切です。LGPDの同意は自由で、情報に基づき、明確で、特定の目的に対して具体的でなければなりません [1]。
LGPDにおける主要な同意ルール：
- 同意は他の契約条件とは別に取得する必要があります。
- 未成年者（18歳未満）のデータ処理には、検証可能な親または保護者の同意が必要です。
- 同意はいつでも撤回でき、管理者はこれを容易にする必要があります。
- 敏感な個人データ（健康、バイオメトリクス、人種的出自など）に対する同意は明示的なオプトインが必要です。
同意をすべての法的根拠として使用する組織は、GDPR施行前の慣行から引き継がれた一般的な誤りにより、特にリスクにさらされます。
非ブラジル企業に対するLGPDの適用
非ブラジル企業は、ブラジルに所在する個人の個人データを処理する場合、LGPDの対象となります。これは、企業がどこに設立されているか、データがどこに保存されているかに関係なく適用されます。この法律の域外適用の範囲は明示的であり、GDPRの市場ベースのアプローチを反映しています [2]。
ブラジルの消費者に販売する米国のeコマースプラットフォーム、ブラジルの企業クライアントを持つカナダのSaaS企業、またはブラジル向けのウェブサイトを通じてデータを収集するアジアの製造業者は、すべてLGPDの管轄に含まれます。ANPDは外国の法人を調査し、制裁を課す権限を持っていますが、非居住組織に対する施行は進化している分野です。
LGPDのデータ保護責任者要件
LGPDは一般的にすべてのデータ管理者にデータ保護責任者（ポルトガル語で「Encarregado」と呼ばれる）を任命し、その人物の身元と連絡先情報を公に開示することを要求しています。これは、特定のカテゴリの組織（公的機関、大規模な体系的監視、大規模な敏感データ処理）のみにDPOの任命を義務付けるGDPRよりも広範です [2]。
ANPDは、特に小規模企業や低リスクの処理者に対してLGPDのDPO要件の例外を定義することができますが、2026年現在、その例外は限られています。組織は、特定のANPDの免除が適用されない限り、Encarregadoを任命することをデフォルトとすべきです。
ブラジルでのビジネスにLGPDを実装する方法
LGPDの実装は構造化された順序に従います。既存のGDPRプログラムを持つ組織は、上記の特定の相違点に焦点を当ててギャップ分析を行うべきであり、ゼロから始める必要はありません。
実装チェックリスト：
- データマッピング： ブラジルで収集されたデータやブラジルの居住者からのデータを含むすべての個人データフローをインベントリします。
- 法的根拠の割り当て： 各処理活動をLGPDの10の法的根拠の1つにマッピングし、同意をデフォルトにしないでください。
- プライバシー通知： LGPD特有の開示を含むように通知を更新し、Encarregadoの身元を含めます。
- DPOの任命： Encarregadoを任命し、公に特定します。彼らの連絡先情報をウェブサイトとプライバシーポリシーに文書化します。
- データ主体の権利手続き： 第三者共有開示権を含むLGPD特有のリクエストのためのワークフローを構築します。
- 侵害対応計画： 「合理的な時間」通知に沿った内部エスカレーション手順を確立し、保守的な内部目標を設定します（72時間はANPDのガイダンスを待つ間の防御的なベンチマークです）。
- 同意管理： ウェブプロパティのための同意管理ソリューションを実装します。Biscotti CMP (www.biscotti-cmp.com) は、複数の法域のコンプライアンス要件を管理する組織のための同意収集と管理をサポートします。
- 国際移転のレビュー： すべての国境を越えたデータ移転を監査し、ANPDの適合フレームワークが保留中であることを考慮して、利用可能な保護策（同意、契約条項）を適用します [3]。
- DPIAプロセス： 高リスクの処理活動のためのリスク評価プロセスを確立します。
- トレーニング： データアクセスを持つスタッフにLGPDの義務とインシデント対応についてトレーニングを行います。
LGPD遵守に関する企業の一般的な誤り
最も頻繁なLGPD遵守の失敗は、法律をGDPRの直接的なコピーとして扱い、ブラジル特有の要件をスキップすることから生じます。
避けるべき誤り：
- GDPRの遵守がLGPDの遵守と同じであると仮定すること。 法的根拠、DPOルール、子供のデータの閾値の違いが実際のギャップを生み出します。
- 同意をデフォルトの法的根拠として使用すること。 LGPDは10の根拠を提供しており、同意はしばしば最も適切なものではなく、不必要な撤回リスクを生じさせます。
- Encarregadoを公に開示しないこと。 一部のGDPR実施ではDPOの詳細が内部に留まるのに対し、LGPDは公的な特定を要求します。
- 第三者共有開示権を無視すること。 この権利は、管理者がデータ共有関係の詳細な記録を維持することを要求します。
- 未定義のANPDガイダンスを許可と見なすこと。 ANPDがまだ特定のルールを公開していない場合、保守的な解釈が将来のリスクを減少させます。
- 子供のデータを見落とすこと。 18歳の閾値はほとんどの組織が予想するよりも高く、年齢確認または親の同意メカニズムを積極的に必要とします。
LGPDと他の南米のプライバシー法
ブラジルのLGPDは、2026年現在、南米で最も包括的で積極的に施行されているデータ保護法です。いくつかの隣国は類似の枠組みを制定または開発していますが、LGPDの範囲や施行インフラに匹敵するものはありません。
- アルゼンチン： LGPDよりも前に制定されたデータ保護法（法25,326、2000年）があり、LGPDほど包括的ではありません。アルゼンチンはEUの適合ステータスを保持していますが、LGPDはまだ達成していません。
- チリ： 2024年に更新されたデータ保護法を通じて、1999年の枠組みをGDPRに影響を受けた規定で近代化しましたが、施行インフラはまだ発展中です。
- コロンビア： 法1581（2012年）がデータ保護を規制しており、LGPDよりも範囲が限られています。
- ペルー： データ保護法（法29,733）がありますが、施行能力は限られています。
南米全体で事業を行う組織は、単一の地域コンプライアンスフレームワークに依存することはできません。ブラジルのLGPDは、その施行の成熟度と市場規模を考慮すると、特別な注意を必要とします。
FAQ
LGPDは何の略ですか？ LGPDはLei Geral de Proteção de Dadosの略で、ブラジルの一般データ保護法であり、2018年に制定され、2021年8月から施行されています。
LGPDの施行はいつ始まりましたか？ LGPDの行政制裁の施行は2021年8月に始まり、ANPDが罰金やその他の制裁を発行する権限を得ました。
LGPDはブラジル以外の企業に適用されますか？ はい。ブラジルに所在する個人の個人データを処理する、またはブラジルでデータを収集する組織は、企業がどこに基づいているかに関係なくLGPDの管轄に含まれます [2]。
LGPDの最大罰金はいくらですか？ LGPDは、違反ごとに組織のブラジルにおける収益の2％、最大R$50百万に罰金を制限しています [3]。
LGPDの下で同意は常に必要ですか？ いいえ。同意は10の有効な法的根拠の1つです。組織は、同意をデフォルトにするのではなく、各処理活動に最も適切な法的根拠を特定する必要があります [1]。
LGPDのデータ侵害通知の期限は何ですか？ LGPDは「合理的な時間」内に通知を要求しており、ANPDがより正確に定義することが期待されています。そのガイダンスが待たれる間、72時間の内部ベンチマークが広く使用されています [2]。
GDPR準拠のプログラムを持っていることはLGPDの要件を満たしますか？ 完全にはそうではありません。GDPRの遵守は強固な基盤を提供しますが、法的根拠、DPOの公的開示、子供のデータの閾値、データ主体の権利に関するギャップはLGPD特有の修正を必要とします。
LGPDの下でのEncarregadoとは何ですか？ EncarregadoはLGPDのデータ保護責任者の相当物です。GDPRとは異なり、LGPDは一般的にすべてのデータ管理者に任命し、その身元と連絡先情報を公に開示することを要求しています [2]。
LGPDの下で個人データを国際的に移転できますか？ はい、適切な保護、契約上の保護策、または特定の同意を含む条件の下で可能です。2026年現在、ANPDはまだ公式な適合リストや標準契約条項を公開していません [3]。
LGPDの下で親の同意が必要な年齢は何歳ですか？ LGPDは、18歳未満の個人の個人データを処理するために親または保護者の同意を必要とし、これはGDPRの16歳の閾値よりも高いです。
結論
ブラジルのLGPDを理解するには、GDPRのコントロールを新しい法域にマッピングする以上のことが必要です。構造的な違い、10の法的根拠対6、広範なDPOの義務、より高い子供の同意年齢、そしてまだ成熟していない規制フレームワークは、意図的でブラジル特有のコンプライアンス作業を要求します。
2026年における組織のための実行可能な次のステップ：
- 既存のGDPRプログラムに対して正式なLGPDギャップ分析を実施し、法的根拠、DPOの任命、データ主体の権利手続きに焦点を当てます。
- ブラジルの居住者のデータを処理する場合は、Encarregadoを任命し、公に開示します。
- 18歳未満のユーザーに対するLGPDの同意基準に準拠するように、すべての同意フローを見直します。
- 他の適用されるプライバシー法とともにLGPD要件をサポートするウェブプロパティのための同意管理ソリューションを実装します。
- ANPDのガイダンスを待つ間、内部72時間のエスカレーション目標を持つデータ侵害対応手順を確立します。
- ANPDの発表を注意深く監視し、適合決定、標準契約条項、DPIA基準はすべて保留中であり、コンプライアンス義務に直接影響を与えます。
LGPDの遵守をGDPR作業の派生物として扱う組織は、二つの法律が最も異なる次元で露出することになるでしょう。ANPDの施行能力が成長し続ける中、専用で文書化されたLGPDプログラムが唯一の防御的な姿勢です。
参考文献
[1] Lgpd Vs Gdpr Diferencas Similaridades - https://confidata.com.br/blog/lgpd-vs-gdpr-diferencas-similaridades?utm_source=openai
[2] Lgpd Vs Gdpr - https://lgpdpro.com.br/lgpd-vs-gdpr/?utm_source=openai
[3] Brazil Lgpd Vs Gdpr Differences - https://www.cleolabs.co/en/blog/brazil-lgpd-vs-gdpr-differences?utm_source=openai