Ātrā atbilde: Brazīlijas Lei Geral de Proteção de Dados (LGPD) un ES Vispārīgā datu aizsardzības regula (GDPR) dalās kopīgā filozofiskā pamata, taču būtiski atšķiras juridiskajos pamatos, soda struktūrās, DPO prasībās un izpildes termiņos. Ikvienai organizācijai, kas darbojas Brazīlijā vai apkalpo Brazīlijas datu subjektus, ir jāizprot šīs atšķirības, lai izveidotu aizsargājamu atbilstības programmu; GDPR atbilstība vien nav pietiekama.
Galvenie secinājumi
- LGPD nodrošina 10 juridiskos pamatus datu apstrādei; GDPR nodrošina tikai 6, ar unikāliem LGPD pamatiem, kas attiecas uz kredītu aizsardzību un valsts pārvaldi.
- LGPD soda naudas ir ierobežotas līdz 2% no Brazīlijas ieņēmumiem par katru pārkāpumu, līdz R$50 miljoniem, salīdzinot ar GDPR 4% no globālajiem gada ieņēmumiem vai €20 miljoniem.
- Abas likumdošanas attiecas uz ārvalstu uzņēmumiem, kas apstrādā Brazīlijas iedzīvotāju datus, un tām ir jāievēro LGPD.
- LGPD datu pārkāpumu paziņošanas termiņš ir "saprātīgs laiks", nevis GDPR stingrais 72 stundu logs.
- LGPD piekrišana nepilngadīgajiem prasa vecāku apstiprinājumu līdz 18 gadu vecumam, salīdzinot ar GDPR vecuma slieksni 16 gadu (vai pat 13 gadu dažās ES dalībvalstīs).
- ANPD (Brazīlijas datu aizsardzības iestāde) uzsāka izpildi 2021. gada augustā un pakāpeniski palielināja sankciju aktivitāti.
- gadā ANPD vēl nav publicējusi oficiālas atbilstības sarakstus vai standarta līgumklauzulas starptautiskajām datu pārsūtīšanām.
- GDPR atbilstība nodrošina spēcīgu pamatu LGPD atbilstībai, taču pastāv nepilnības, kuras prasa apzinātu novēršanu.
Kas ir LGPD un kā tas darbojas Brazīlijā
Brazīlijas LGPD (Lei Geral de Proteção de Dados, Likums Nr. 13,709/2018) ir valsts visaptverošais federālais datu aizsardzības likums, kas daļēji balstīts uz GDPR, bet pielāgots Brazīlijas juridiskajai un ekonomiskajai situācijai. Tas regulē personisko datu vākšanu, apstrādi, uzglabāšanu un pārsūtīšanu, kas pieder indivīdiem, kas atrodas Brazīlijā, neatkarīgi no tā, kur atrodas apstrādes organizācija.
Likumu administrē ANPD (Autoridade Nacional de Proteção de Dados), kurai ir tiesības izdot vadlīnijas, veikt izmeklēšanas un piemērot sankcijas. Izpilde oficiāli sākās 2021. gada augustā, un ANPD pakāpeniski paplašināja savu regulējošo darbību kopš tā laika [3].
Kā tas darbojas praksē:
- Organizācijām jāidentificē likumīgs juridiskais pamats pirms jebkādas personisko datu apstrādes.
- Datu subjektiem jābūt informētiem par apstrādes aktivitātēm caur caurspīdīgām privātuma paziņojumiem.
- Datu aizsardzības speciālists (Encarregado) parasti jāieceļ un publiski jāidentificē.
- Gadījumi, kas saistīti ar personiskajiem datiem, jāziņo ANPD un attiecīgajām personām "saprātīgā laikā."
- Organizācijām, kas apstrādā augsta riska datus, jāveic Datu aizsardzības ietekmes novērtējumi (DPIA), ar specifiskiem kritērijiem, ko definēs ANPD [2].
Galvenās atšķirības starp LGPD un GDPR atbilstību
Navigējot Brazīlijas LGPD kopā ar GDPR, atklājas gan strukturālas līdzības, gan nozīmīgas atšķirības, kas tieši ietekmē atbilstības programmas. Visnozīmīgākās atšķirības ir piecās kategorijās: juridiskie pamati, soda aprēķins, pārkāpumu paziņošanas laiks, bērnu datu sliekšņi un regulējošo vadlīniju attīstība.
| Dimensija | LGPD (Brazīlija) | GDPR (ES) |
|---|---|---|
| Juridiskie pamati | 10 (ieskaitot kredītu aizsardzību, valsts politiku) | 6 |
| Maksimālā soda nauda | 2% no Brazīlijas ieņēmumiem, R$50M ierobežojums | 4% no globālajiem ieņēmumiem vai €20M |
| Pārkāpumu paziņošana | "Saprātīgs laiks" (ANPD definēs) | 72 stundas uz uzraudzības iestādi |
| Bērnu piekrišanas vecums | 18 (prasa vecāku piekrišanu) | 16 (dalībvalstis var samazināt līdz 13) |
| DPO prasība | Parasti obligāta (iespējamas izņēmumi) | Obligāta tikai konkrētiem kritērijiem |
| Atbilstības lēmumi | ANPD saraksts vēl nav publicēts (2026. gadā) | ES Komisijas saraksts publicēts |
| Izpildes sākums | 2021. gada augusts | 2018. gada maijs |
Avoti: [1][2][3]
LGPD 10 juridiskie pamati ietver noteikumus, kuriem nav ekvivalenta GDPR, piemēram, kredītu aizsardzību un valsts pārvaldes politiku izpildi. Organizācijas, kas paļaujas tikai uz GDPR juridiskajiem pamatiem, var atrast, ka viņu Brazīlijas apstrādes aktivitātes nav pietiekami pamatotas [1].
Vai uzņēmumiem ir jāievēro gan LGPD, gan GDPR
Jā, ja organizācija apstrādā personiskos datus gan ES, gan Brazīlijas iedzīvotājiem, tai jāievēro abas likumdošanas vienlaikus. Abām regulām ir pārklājošas, bet ne identiskas prasības, tādēļ dubultā atbilstība prasa apzinātu nepilnību analīzi, nevis pieņēmumu, ka viena apmierina otru.
LGPD attiecas uz jebkuru organizāciju, kas:
- Apstrādā personiskos datus Brazīlijā.
- Piedāvā preces vai pakalpojumus indivīdiem, kas atrodas Brazīlijā.
- Apstrādā datus, kas savākti Brazīlijā, neatkarīgi no tā, kur notiek apstrāde [2].
Eiropas uzņēmums ar Brazīlijas klientiem vai Brazīlijas uzņēmums ar ES lietotājiem ietilpst abās regulās. GDPR atbilstīgas organizācijas ir ieguvušas priekšrocības, taču specifiskas LGPD nepilnības, īpaši attiecībā uz juridiskajiem pamatiem, DPO publiskās atklāšanas prasībām un pārkāpumu paziņošanas valodu, prasa papildu darbu.
LGPD soda naudas un sodi par neatbilstību
LGPD soda naudas tiek aprēķinātas kā procentuāla daļa no organizācijas ieņēmumiem Brazīlijā (nevis globālajiem ieņēmumiem), ierobežotas līdz R$50 miljoniem par katru pārkāpumu. Šī ir strukturāli atšķirīga aprēķināšana no GDPR, kas atsaucas uz globālajiem gada ieņēmumiem [3].
Pieejamās sankcijas saskaņā ar LGPD ietver:
- Brīdinājumus ar noteiktu novēršanas periodu.
- Vienkāršas soda naudas līdz 2% no Brazīlijas ieņēmumiem, ierobežotas līdz R$50 miljoniem par katru pārkāpumu.
- Ikdienas soda naudas līdz pārkāpuma novēršanai.
- Pārkāpuma publicēšanu (reputācijas sankcija).
- Attiecīgo personisko datu bloķēšanu vai dzēšanu.
- Daļēju vai pilnīgu datu apstrādes aktivitāšu apturēšanu.
ANPD izpildes nostāja ir attīstījusies kopš 2021. gada, un organizācijām nevajadzētu pieņemt, ka Brazīlijas zemāka soda nauda nozīmē zemāku risku. Reputācijas sankcijas un operatīvās apturēšanas var radīt izmaksas, kas pārsniedz naudas sodus.
LGPD datu subjekta tiesības pret GDPR tiesībām
Abas likumdošanas piešķir salīdzināmas pamat tiesības, taču LGPD ietver skaidru tiesību normu, kurai nav tieša GDPR analoga: tiesības uz informāciju par to, ar kurām publiskām un privātām iestādēm datu pārvaldnieks ir dalījies ar datiem. Šī caurspīdīguma prasība rada lielāku dokumentācijas slogu pārvaldniekiem, kas pārvalda sarežģītas datu ekosistēmas [2].
Kopējās tiesības saskaņā ar LGPD un GDPR:
- Piekļuve personiskajiem datiem, ko glabā pārvaldnieks.
- Nepareizu vai nepilnīgu datu labošana.
- Datu dzēšana, kas apstrādāta bez derīga juridiska pamata.
- Datu pārnesamība (GDPR nosaka mašīnlasāmu formātu; LGPD šādu specifiku nesniedz).
- Iebildums pret apstrādi.
- Piekrīšanas atsaukšana.
LGPD specifiskā tiesība: Skaidra tiesība zināt, kuri trešie pušu, gan publiskie, gan privātie, ir saņēmuši datu subjekta personiskos datus. GDPR to risina netieši caur caurspīdīguma prasībām, taču neformulē to kā patstāvīgu uzskaitītu tiesību.
Vai LGPD ir stingrāks vai mīkstāks nekā GDPR
Neviens no likumiem nav kategoriski stingrāks visās dimensijās. GDPR ir stingrāks soda apmērā (globālo ieņēmumu pamats), pārkāpumu paziņošanas termiņos (72 stundas) un pieejamo vadlīniju specifikācijā organizācijām. LGPD ir stingrāks attiecībā uz bērnu datiem (vecums 18 pret 16) un tam ir plašāka DPO iecelšanas prasība [2][3].
ANPD relatīvā jaunība kā regulējošai iestādei nozīmē mazāk publicētu vadlīniju, kas rada atbilstības neskaidrību, nevis mīkstināšanu. Organizācijām jāuztver nenoteiktas LGPD prasības kā jomas, kas prasa konservatīvu interpretāciju, nevis kā regulējošas nepilnības, ko izmantot.
LGPD piekrišanas prasības personisko datu apstrādei
Piekrišana ir viens no 10 derīgajiem juridiskajiem pamatiem saskaņā ar LGPD, nevis noklusējuma vai vēlamais pamats. Tas atbilst GDPR pieejai, kur piekrišana ir piemērota tikai tad, ja citi pamati neattiecas. LGPD piekrišanai jābūt brīvai, informētai, nepārprotamai un specifiskai noteiktam mērķim [1].
Galvenie piekrišanas noteikumi saskaņā ar LGPD:
- Piekrišana jāiegūst atsevišķi no citiem līguma noteikumiem.
- Nepilngadīgo datu apstrāde (zem 18 gadiem) prasa pārbaudāmu vecāku vai aizbildņa piekrišanu.
- Piekrišanu var atsaukt jebkurā laikā, un pārvaldniekam jāatvieglo šis process.
- Piekrišana sensitīviem personiskajiem datiem (veselība, biometrija, rasu izcelsme utt.) prasa skaidru piekrišanu.
Organizācijas, kas izmanto piekrišanu kā visaptverošu juridisko pamatu, kas ir izplatīta kļūda, kas pārcelta no iepriekšējām GDPR praksēm, saskaras ar īpašu risku saskaņā ar abiem likumiem.
LGPD piemērojamība ārvalstu uzņēmumiem
Ārvalstu uzņēmumi ir pakļauti LGPD, ja tie apstrādā personiskos datus par indivīdiem, kas atrodas Brazīlijā, neatkarīgi no tā, kur uzņēmums ir reģistrēts vai kur dati tiek glabāti. Likuma ārvalstu piemērošanas joma ir skaidra un atbilst GDPR tirgus pieejai [2].
ASV e-komercijas platforma, kas pārdod Brazīlijas patērētājiem, Kanādas SaaS uzņēmums ar Brazīlijas uzņēmumu klientiem vai Āzijas ražotājs, kas vāc datus caur Brazīlijas tīmekļa vietni, visi ietilpst LGPD jurisdikcijā. ANPD ir tiesības izmeklēt un sodīt ārvalstu subjektus, lai gan izpilde pret nerezidentu organizācijām joprojām ir attīstības joma.
LGPD datu aizsardzības speciālista prasības
LGPD parasti prasa visiem datu pārvaldniekiem iecelt datu aizsardzības speciālistu (portugāļu valodā "Encarregado") un publiski atklāt šīs personas identitāti un kontaktinformāciju. Tas ir plašāk nekā GDPR, kas nosaka DPO iecelšanu tikai konkrētām organizāciju kategorijām (valsts iestādes, liela mēroga sistemātiska uzraudzība, liela mēroga sensitīvu datu apstrāde) [2].
ANPD var definēt izņēmumus no LGPD DPO prasības, īpaši maziem uzņēmumiem vai zema riska apstrādātājiem, taču 2026. gadā šie izņēmumi joprojām ir ierobežoti. Organizācijām jāizvēlas iecelt Encarregado, ja vien neattiecas konkrēts ANPD izņēmums.
Kā ieviest LGPD savam uzņēmumam Brazīlijā
LGPD ieviešana seko strukturētai secībai. Organizācijām ar esošām GDPR programmām jāveic nepilnību analīze, nevis jāsāk no nulles, koncentrējoties uz iepriekš minētajām specifiskajām atšķirībām.
Ieviešanas kontrolsaraksts:
- Datu kartēšana: Inventarizēt visus personisko datu plūsmus, tostarp datus, kas savākti Brazīlijā vai no Brazīlijas iedzīvotājiem.
- Juridiskā pamata piešķiršana: Kartēt katru apstrādes aktivitāti uz vienu no LGPD 10 juridiskajiem pamatiem, neizvēloties piekrišanu kā noklusējuma.
- Privātuma paziņojumi: Atjaunināt paziņojumus, lai iekļautu LGPD specifiskas atklāšanas, tostarp Encarregado identitāti.
- DPO iecelšana: Iecelt un publiski identificēt Encarregado; dokumentēt viņu kontaktinformāciju jūsu tīmekļa vietnē un privātuma politikā.
- Datu subjekta tiesību procedūras: Izveidot darba plūsmas LGPD specifiskiem pieprasījumiem, tostarp trešo pušu dalīšanas atklāšanas tiesībai.
- Pārkāpumu reaģēšanas plāns: Izveidot iekšējās eskalācijas procedūras, kas atbilst "saprātīga laika" paziņošanai, ar konservatīvu iekšēju mērķi (72 stundas ir aizsargājams standarts, gaidot ANPD vadlīnijas).
- Piekrišanas pārvaldība: Ieviest piekrišanas pārvaldības risinājumu tīmekļa īpašumiem. Biscotti CMP (www.biscotti-cmp.com) atbalsta piekrišanas vākšanu un pārvaldību organizācijām, kas pārvalda daudzvalstu atbilstības prasības.
- Starptautiskās pārsūtīšanas pārskats: Audits visām pāri robežām notiekošajām datu pārsūtīšanām un pieejamo aizsardzības pasākumu piemērošana (piekrišana, līgumklauzulas), ņemot vērā ANPD gaidāmo atbilstības ietvaru [3].
- DPIA process (datu aizsardzības ietekmes novērtējums): Izveidot risku novērtēšanas procesu augsta riska apstrādes aktivitātēm.
- Apmācība: Apmācīt darbiniekus ar datu piekļuvi par LGPD pienākumiem un incidentu reaģēšanu.
Biežāk pieļautās kļūdas uzņēmumiem, ievērojot LGPD atbilstību
Visbiežākās LGPD atbilstības neveiksmes rodas, uzskatot likumu par tiešu GDPR kopiju un izlaizot Brazīlijai specifiskas prasības.
Kļūdas, kuras jāizvairās:
- Pieņemot, ka GDPR atbilstība ir vienāda ar LGPD atbilstību. Atšķirīgie juridiskie pamati, DPO noteikumi un bērnu datu sliekšņi rada reālas nepilnības.
- Izmantojot piekrišanu kā noklusējuma juridisko pamatu. LGPD piedāvā 10 pamatus; piekrišana bieži nav vispiemērotākais un rada nevajadzīgu atsaukšanas risku.
- Nespējot publiski atklāt Encarregado. Atšķirībā no dažām GDPR īstenošanām, kur DPO detaļas ir iekšējas, LGPD prasa publisku identifikāciju.
- Noraidot trešo pušu dalīšanas atklāšanas tiesību. Šī tiesība prasa pārvaldniekiem uzturēt detalizētus ierakstus par datu dalīšanas attiecībām.
- Uzskatot nenoteiktas ANPD vadlīnijas par atļauju. Tur, kur ANPD vēl nav publicējusi konkrētus noteikumus, konservatīva interpretācija samazina nākotnes risku.
- Nepievēršot uzmanību bērnu datiem. 18 gadu vecuma slieksnis ir augstāks, nekā lielākā daļa organizāciju sagaida, un prasa aktīvu vecuma pārbaudi vai vecāku piekrišanas mehānismus.
LGPD salīdzinājumā ar citām Dienvidamerikas privātuma likumdošanām
Brazīlijas LGPD ir visaptverošākais un aktīvi īstenotais datu aizsardzības likums Dienvidamerikā 2026. gadā. Dažas kaimiņvalstis ir pieņēmušas vai izstrādā līdzīgas struktūras, taču neviena no tām nesasniedz LGPD apjomu vai izpildes infrastruktūru.
- Argentīna: Ir datu aizsardzības likums (Likums 25,326, 2000), kas ir vecāks par LGPD, bet ir mazāk visaptverošs. Argentīna ir ieguvusi ES atbilstības statusu, ko LGPD vēl nav sasniegusi.
- Čīle: Pieņēma atjauninātu datu aizsardzības likumu 2024. gadā, modernizējot savu 1999. gada struktūru ar GDPR ietekmētām normām, taču izpildes infrastruktūra joprojām attīstās.
- Kolumbija: Likums 1581 no 2012. gada regulē datu aizsardzību; tas ir ierobežotāks nekā LGPD.
- Peru: Ir datu aizsardzības likumdošana (Likums 29,733), taču ar ierobežotu izpildes spēju.
Organizācijas, kas darbojas visā Dienvidamerikā, nevar paļauties uz vienu reģionālu atbilstības struktūru. Brazīlijas LGPD prasa veltītu uzmanību, ņemot vērā tās izpildes attīstību un tirgus lielumu.
Biežāk uzdotie jautājumi
Ko nozīmē LGPD? LGPD nozīmē Lei Geral de Proteção de Dados, Brazīlijas Vispārīgā datu aizsardzības likums, pieņemts 2018. gadā un īstenots kopš 2021. gada augusta.
Kad sākās LGPD izpilde? LGPD administratīvo sankciju izpilde sākās 2021. gada augustā, kad ANPD ieguva tiesības piemērot sodus un citas sankcijas.
Vai LGPD attiecas uz uzņēmumiem ārpus Brazīlijas? Jā. Ikviena organizācija, kas apstrādā personiskos datus par indivīdiem, kas atrodas Brazīlijā, vai kas vāc datus Brazīlijā, ietilpst LGPD jurisdikcijā neatkarīgi no tā, kur uzņēmums ir reģistrēts [2].
Kāda ir maksimālā LGPD soda nauda? LGPD ierobežo soda naudas līdz 2% no organizācijas ieņēmumiem Brazīlijā par katru pārkāpumu, ar maksimālo R$50 miljonu par katru pārkāpumu [3].
Vai piekrišana vienmēr ir nepieciešama saskaņā ar LGPD? Nē. Piekrišana ir viens no 10 derīgajiem juridiskajiem pamatiem. Organizācijām jāidentificē vispiemērotākais juridiskais pamats katrai apstrādes aktivitātei, nevis jāizvēlas piekrišana kā noklusējuma [1].
Kāda ir LGPD datu pārkāpumu paziņošanas termiņš? LGPD prasa paziņot "saprātīgā laikā", ko ANPD gaidāms definēt precīzāk. Gaidot šo vadlīniju, 72 stundu iekšējais mērķis tiek plaši izmantots kā konservatīvs standarts [2].
Vai GDPR atbilstīga programma apmierina LGPD prasības? Ne pilnībā. GDPR atbilstība nodrošina spēcīgu pamatu, taču nepilnības juridiskajos pamatos, DPO publiskajā atklāšanā, bērnu datu sliekšņos un datu subjekta tiesībās prasa LGPD specifisku novēršanu.
Kas ir Encarregado saskaņā ar LGPD? Encarregado ir LGPD ekvivalents datu aizsardzības speciālistam. Atšķirībā no GDPR, LGPD parasti prasa visiem datu pārvaldniekiem iecelt vienu un publiski atklāt viņu identitāti un kontaktinformāciju [2].
Vai personiskie dati var tikt pārsūtīti starptautiski saskaņā ar LGPD? Jā, noteiktos apstākļos, tostarp pietiekamas aizsardzības, līgumisko aizsardzību vai specifiskas piekrišanas gadījumā. 2026. gadā ANPD vēl nav publicējusi oficiālu atbilstības sarakstu vai standarta līgumklauzulas [3].
Kāds vecums prasa vecāku piekrišanu saskaņā ar LGPD? LGPD prasa vecāku vai aizbildņa piekrišanu personisko datu apstrādei par indivīdiem, kas ir jaunāki par 18 gadiem, kas ir augstāks nekā GDPR slieksnis 16 gadu.
Secinājums
Navigācija Brazīlijas LGPD prasa vairāk nekā tikai GDPR kontroļu kartēšanu jaunā jurisdikcijā. Strukturālās atšķirības, 10 juridiskie pamati pret 6, plašāka DPO mandāta prasība, augstāks bērnu piekrišanas vecums un vēl joprojām attīstības stadijā esošā regulējošā struktūra prasa apzinātu, Brazīlijai specifisku atbilstības darbu.
Rīcības soļi organizācijām 2026. gadā:
- Veikt formālu LGPD nepilnību analīzi pret esošo GDPR programmu, koncentrējoties uz juridiskajiem pamatiem, DPO iecelšanu un datu subjekta tiesību procedūrām.
- Iecelt un publiski atklāt Encarregado, ja jūs apstrādājat Brazīlijas iedzīvotāju datus.
- Pārskatīt visas piekrišanas plūsmas atbilstībai LGPD piekrišanas standartiem, īpaši lietotājiem, kas ir jaunāki par 18 gadiem.
- Ieviest piekrišanas pārvaldības risinājumu jūsu tīmekļa īpašumiem, kas atbalsta LGPD prasības kopā ar citām piemērojamām privātuma likumdošanām.
- Izveidot datu pārkāpumu reaģēšanas procedūru ar iekšēju 72 stundu eskalācijas mērķi, gaidot ANPD vadlīnijas.
- Rūpīgi sekot ANPD publikācijām, atbilstības lēmumiem, standarta līgumklauzulām un DPIA kritērijiem, kas visi ir gaidāmi un tieši ietekmēs atbilstības pienākumus.
Organizācijas, kas uzskata LGPD atbilstību par GDPR darba atvasinājumu, atradīsies pakļautas tieši tajās dimensijās, kur divi likumi visvairāk atšķiras. Veltīta, dokumentēta LGPD programma ir vienīgā aizsargājamā nostāja, jo ANPD izpildes kapacitāte turpina pieaugt.
Atsauces
[1] Lgpd Vs Gdpr Diferencas Similaridades - https://confidata.com.br/blog/lgpd-vs-gdpr-diferencas-similaridades?utm_source=openai
[2] Lgpd Vs Gdpr - https://lgpdpro.com.br/lgpd-vs-gdpr/?utm_source=openai
[3] Brazil Lgpd Vs Gdpr Differences - https://www.cleolabs.co/en/blog/brazil-lgpd-vs-gdpr-differences?utm_source=openai