Snelle Antwoord: De Lei Geral de Proteção de Dados (LGPD) van Brazilië en de Algemene Verordening Gegevensbescherming (GDPR) van de EU delen een gemeenschappelijke filosofische basis, maar wijken aanzienlijk af in juridische bases, boetestructuren, DPO-eisen en handhavingstijdlijnen. Elke organisatie die in Brazilië opereert of Braziliaanse gegevenssubjecten bedient, moet deze verschillen begrijpen om een verdedigbaar complianceprogramma op te bouwen; alleen GDPR-naleving is niet voldoende.
Belangrijkste Punten
- De LGPD biedt 10 juridische bases voor gegevensverwerking; de GDPR biedt er slechts 6, met unieke LGPD-bases die betrekking hebben op kredietbescherming en openbare administratie.
- LGPD-boetes zijn beperkt tot 2% van de Braziliaanse omzet per overtreding, tot R$50 miljoen, vergeleken met de 4% van de wereldwijde jaarlijkse omzet of €20 miljoen van de GDPR.
- Beide wetten zijn extraterritoriaal van toepassing; niet-Braziliaanse bedrijven die gegevens van Braziliaanse inwoners verwerken, moeten voldoen aan de LGPD.
- De tijdlijn voor meldingen van datalekken onder de LGPD is "redelijke tijd", niet het strikte 72-uursvenster van de GDPR.
- Toestemming onder de LGPD voor minderjarigen vereist ouderlijke goedkeuring tot 18 jaar, in tegenstelling tot de leeftijdsgrens van 16 jaar van de GDPR (of zo laag als 13 in sommige EU-lidstaten).
- De ANPD (Autoriteit Nationale Bescherming Gegevens) begon met handhaving in augustus 2021 en heeft sindsdien de sanctieactiviteit gestaag verhoogd.
- Vanaf 2026 heeft de ANPD nog geen officiële adequatielijsten of standaardcontractuele clausules voor internationale gegevensoverdrachten gepubliceerd.
- GDPR-naleving biedt een sterke basis voor LGPD-naleving, maar er zijn hiaten die opzettelijke remediering vereisen.
Wat Is de LGPD en Hoe Werkt Het in Brazilië
De LGPD van Brazilië (Lei Geral de Proteção de Dados, Wet nr. 13.709/2018) is de uitgebreide federale gegevensbeschermingswet van het land, gedeeltelijk gemodelleerd naar de GDPR maar aangepast aan de juridische en economische context van Brazilië. Het regelt de verzameling, verwerking, opslag en overdracht van persoonlijke gegevens van individuen die zich in Brazilië bevinden, ongeacht waar de verwerkende organisatie is gevestigd.
De wet wordt beheerd door de ANPD (Autoridade Nacional de Proteção de Dados), die de bevoegdheid heeft om richtlijnen uit te geven, onderzoeken uit te voeren en sancties op te leggen. De handhaving begon formeel in augustus 2021, en de ANPD heeft sindsdien haar regelgevende activiteit geleidelijk uitgebreid [3].
Hoe het in de praktijk werkt:
- Organisaties moeten een wettelijke basis identificeren voordat ze persoonlijke gegevens verwerken.
- Gegevenssubjecten moeten worden geïnformeerd over verwerkingsactiviteiten via transparante privacyverklaringen.
- Een Data Protection Officer (Encarregado) moet doorgaans worden aangesteld en openbaar worden geïdentificeerd.
- Incidenten met persoonlijke gegevens moeten binnen een "redelijke tijd" aan de ANPD en de betrokken individuen worden gemeld.
- Organisaties die risicovolle gegevens verwerken, moeten Data Protection Impact Assessments (DPIA's) uitvoeren, met specifieke criteria die door de ANPD moeten worden gedefinieerd [2].
Hoofdverschillen Tussen LGPD en GDPR Naleving
Navigeren door de LGPD van Brazilië naast de GDPR onthult zowel structurele overeenkomsten als betekenisvolle verschillen die de nalevingsprogramma's rechtstreeks beïnvloeden. De meest operationeel significante verschillen vallen in vijf categorieën: juridische bases, boeteberekening, timing van meldingen van datalekken, drempels voor gegevens van kinderen en de volwassenheid van regelgevende richtlijnen.
| Dimensie | LGPD (Brazilië) | GDPR (EU) |
|---|---|---|
| Juridische bases | 10 (incl. kredietbescherming, openbaar beleid) | 6 |
| Max. boete | 2% van de Braziliaanse omzet, R$50M cap | 4% van de wereldwijde omzet of €20M |
| Datalek melding | "Redelijke tijd" (ANPD moet definiëren) | 72 uur aan toezichthoudende autoriteit |
| Leeftijd voor toestemming van kinderen | 18 (ouderlijke toestemming vereist) | 16 (lidstaten kunnen verlagen tot 13) |
| DPO-eis | Over het algemeen verplicht (uitzonderingen mogelijk) | Alleen verplicht voor specifieke criteria |
| Adequaatheidsbeslissingen | ANPD-lijst nog niet gepubliceerd (vanaf 2026) | EU-commissie lijst gepubliceerd |
| Start handhaving | Augustus 2021 | Mei 2018 |
Bronnen: [1][2][3]
De 10 juridische bases van de LGPD omvatten bepalingen zonder GDPR-equivalent, zoals de bescherming van krediet en de uitvoering van openbare beleidsmaatregelen. Organisaties die uitsluitend op GDPR-juridische bases vertrouwen, kunnen ontdekken dat hun Braziliaanse verwerkingsactiviteiten onvoldoende zijn onderbouwd [1].
Moeten Bedrijven Zowel de LGPD als de GDPR Volgen
Ja, als een organisatie persoonlijke gegevens van zowel EU- als Braziliaanse inwoners verwerkt, moet deze gelijktijdig voldoen aan beide wetten. De twee regelgevingen hebben overlappende maar niet identieke vereisten, wat betekent dat dubbele naleving een opzettelijke hiatenanalyse vereist in plaats van aan te nemen dat de ene de andere vervangt.
De LGPD is van toepassing op elke organisatie die:
- Persoonlijke gegevens in Brazilië verwerkt.
- Goederen of diensten aanbiedt aan individuen die zich in Brazilië bevinden.
- Gegevens verwerkt die in Brazilië zijn verzameld, ongeacht waar de verwerking plaatsvindt [2].
Een Europees bedrijf met Braziliaanse klanten, of een Braziliaans bedrijf met EU-gebruikers, valt onder beide regimes. GDPR-conforme organisaties hebben een voorsprong, maar specifieke LGPD-hiaten, met name rond juridische bases, vereisten voor openbare bekendmaking van de DPO en de taal van meldingen van datalekken, vereisen extra werk.
LGPD Boetes en Sancties voor Niet-Naleving
LGPD-boetes worden berekend als een percentage van de omzet van de organisatie in Brazilië (niet de wereldwijde omzet), met een maximum van R$50 miljoen per overtreding. Dit is een structureel andere berekening dan de GDPR, die verwijst naar de wereldwijde jaarlijkse omzet [3].
Beschikbare sancties onder de LGPD zijn onder andere:
- Waarschuwingen met een gedefinieerde herstelperiode.
- Eenvoudige boetes tot 2% van de Braziliaanse omzet, met een maximum van R$50 miljoen per overtreding.
- Dagelijkse boetes totdat de overtreding is hersteld.
- Publicatie van de overtreding (reputatiesanctie).
- Blokkeren of verwijderen van de relevante persoonlijke gegevens.
- Gedeeltelijke of totale opschorting van gegevensverwerkingsactiviteiten.
De handhaving van de ANPD is sinds 2021 geëvolueerd, en organisaties moeten niet aannemen dat de lagere boetecap van Brazilië leidt tot een lager risico. Reputatiesancties en operationele opschortingen kunnen kosten met zich meebrengen die de geldboetes overschrijden.
Rechten van Gegevenssubjecten onder de LGPD vs GDPR
Beide wetten verlenen vergelijkbare kernrechten, maar de LGPD omvat een expliciet recht zonder directe GDPR-parallel: het recht op informatie over welke publieke en private entiteiten de gegevensbeheerder gegevens heeft gedeeld. Deze verplichting tot transparantie in delen legt een hogere documentatiebelasting op beheerders die complexe gegevensecosystemen beheren [2].
Gedeelde rechten onder zowel LGPD als GDPR:
- Toegang tot persoonlijke gegevens die door de beheerder worden gehouden.
- Correctie van onjuiste of onvolledige gegevens.
- Verwijdering van gegevens die zonder geldige juridische basis zijn verwerkt.
- Gegevensportabiliteit (GDPR specificeert machineleesbaar formaat; LGPD mist deze specificiteit).
- Bezwaar tegen verwerking.
- Intrekking van toestemming.
LGPD-specifiek recht: Expliciet recht om te weten welke derden, zowel publiek als privé, de persoonlijke gegevens van het gegevenssubject hebben ontvangen. De GDPR behandelt dit indirect via transparantie-eisen, maar kadert het niet als een afzonderlijk opgesomd recht.
Is de LGPD Strenger of Meer Genereus Dan de GDPR
Geen van beide wetten is categorisch strenger op alle dimensies. De GDPR is strenger op het gebied van boetemagnitude (wereldwijde omzetbasis), tijdlijnen voor meldingen van datalekken (72 uur) en de specificiteit van richtlijnen die beschikbaar zijn voor organisaties. De LGPD is strenger op het gebied van gegevens van kinderen (leeftijd 18 vs. 16) en heeft een bredere vereiste voor de aanstelling van een DPO [2][3].
De relatief jonge ANPD als regelgevende instantie betekent minder gepubliceerde richtlijnen, wat nalevingsambiguïteit creëert in plaats van soepelheid. Organisaties moeten ongedefinieerde LGPD-eisen beschouwen als gebieden die een conservatieve interpretatie vereisen, niet als regelgevende hiaten om te exploiteren.
LGPD Toestemmingseisen voor het Verwerken van Persoonlijke Gegevens
Toestemming is een van de 10 geldige juridische bases onder de LGPD, niet de standaard of voorkeurbasis. Dit weerspiegelt de benadering van de GDPR, waarbij toestemming alleen geschikt is wanneer andere bases niet van toepassing zijn. LGPD-toestemming moet vrij, geïnformeerd, ondubbelzinnig en specifiek zijn voor een gedefinieerd doel [1].
Belangrijke toestemmingsregels onder de LGPD:
- Toestemming moet afzonderlijk van andere contractuele voorwaarden worden verkregen.
- Het verwerken van gegevens van minderjarigen (onder de 18) vereist verifieerbare ouderlijke of voogdijtoestemming.
- Toestemming kan te allen tijde worden ingetrokken, en de beheerder moet dit gemakkelijk faciliteren.
- Toestemming voor gevoelige persoonlijke gegevens (gezondheid, biometrisch, raciale oorsprong, enz.) vereist expliciete opt-in.
Organisaties die toestemming als een vangnet juridische basis gebruiken, een veelgemaakte fout die is overgenomen van pre-GDPR-praktijken, lopen onder beide wetten bijzonder risico.
LGPD Toepasselijkheid voor Niet-Braziliaanse Bedrijven
Niet-Braziliaanse bedrijven zijn onderworpen aan de LGPD als zij persoonlijke gegevens van individuen die zich in Brazilië bevinden verwerken, ongeacht waar het bedrijf is opgericht of waar de gegevens zijn opgeslagen. De extraterritoriale reikwijdte van de wet is expliciet en weerspiegelt de marktgebaseerde benadering van de GDPR [2].
Een Amerikaans e-commerceplatform dat aan Braziliaanse consumenten verkoopt, een Canadees SaaS-bedrijf met Braziliaanse zakelijke klanten, of een Aziatische fabrikant die gegevens verzamelt via een Braziliaans gerichte website, valt allemaal onder de jurisdictie van de LGPD. De ANPD heeft de bevoegdheid om buitenlandse entiteiten te onderzoeken en te sanctioneren, hoewel handhaving tegen niet-residentiële organisaties een evoluerend gebied blijft.
Vereisten voor de Data Protection Officer onder de LGPD
De LGPD vereist over het algemeen dat alle gegevensbeheerders een Data Protection Officer (in het Portugees "Encarregado") aanstellen en de identiteit en contactinformatie van die persoon openbaar maken. Dit is breder dan de GDPR, die de aanstelling van een DPO alleen verplicht voor specifieke categorieën organisaties (publieke autoriteiten, grootschalige systematische monitoring, grootschalige verwerking van gevoelige gegevens) [2].
De ANPD kan uitzonderingen op de DPO-eis van de LGPD definiëren, met name voor kleine bedrijven of laag-risico verwerkers, maar vanaf 2026 blijven die uitzonderingen beperkt. Organisaties moeten standaard een Encarregado aanstellen, tenzij een specifieke uitzondering van de ANPD van toepassing is.
Hoe de LGPD voor Uw Bedrijf in Brazilië te Implementeren
De implementatie van de LGPD volgt een gestructureerde volgorde. Organisaties met bestaande GDPR-programma's moeten een hiatenanalyse uitvoeren in plaats van vanaf nul te beginnen, met de focus op de specifieke afwijkingen die hierboven zijn uiteengezet.
Implementatiechecklist:
- Gegevensmapping: Inventariseer alle persoonlijke gegevensstromen, inclusief gegevens verzameld in Brazilië of van Braziliaanse inwoners.
- Toewijzing van juridische basis: Koppel elke verwerkingsactiviteit aan een van de 10 juridische bases van de LGPD, ga niet standaard uit van toestemming.
- Privacyverklaringen: Werk verklaringen bij om LGPD-specifieke openbaarmakingen op te nemen, inclusief de identiteit van de Encarregado.
- DPO-aanstelling: Stel een Encarregado aan en identificeer deze openbaar; documenteer hun contactgegevens op uw website en privacybeleid.
- Procedures voor rechten van gegevenssubjecten: Bouw workflows voor LGPD-specifieke verzoeken, inclusief het recht op openbaarmaking van derden.
- Datalekresponsplan: Stel interne escalatieprocedures vast die zijn afgestemd op "redelijke tijd" melding, met een conservatieve interne doelstelling (72 uur is een verdedigbare benchmark in afwachting van richtlijnen van de ANPD).
- Toestemmingsbeheer: Implementeer een oplossing voor toestemmingsbeheer voor webproperties. Biscotti CMP (www.biscotti-cmp.com) ondersteunt het verzamelen en beheren van toestemming voor organisaties die voldoen aan multi-jurisdictie vereisten.
- Internationale overdracht beoordeling: Voer een audit uit van alle grensoverschrijdende gegevensoverdrachten en pas beschikbare waarborgen toe (toestemming, contractuele clausules) gezien het uitstaande adequaatheidsraamwerk van de ANPD [3].
- DPIA-proces: Stel een risicobeoordelingsproces in voor risicovolle verwerkingsactiviteiten.
- Training: Train personeel met toegang tot gegevens over LGPD-verplichtingen en incidentrespons.
Veelvoorkomende Fouten Die Bedrijven Maken Met LGPD Naleving
De meest voorkomende fouten bij de naleving van de LGPD komen voort uit het beschouwen van de wet als een directe kopie van de GDPR en het overslaan van Braziliaans-specifieke vereisten.
Fouten om te vermijden:
- Aannemen dat GDPR-naleving gelijkstaat aan LGPD-naleving. De verschillende juridische bases, DPO-regels en drempels voor gegevens van kinderen creëren echte hiaten.
- Toestemming als de standaard juridische basis gebruiken. De LGPD biedt 10 bases; toestemming is vaak niet de meest geschikte en creëert onnodig intrekkingsrisico.
- Het niet openbaar maken van de Encarregado. In tegenstelling tot sommige GDPR-implementaties waar DPO-gegevens intern zijn, vereist de LGPD openbare identificatie.
- Het negeren van het recht op openbaarmaking van derden. Dit recht vereist dat beheerders gedetailleerde gegevens bijhouden van gegevensdelingsrelaties.
- Ongedefinieerde richtlijnen van de ANPD beschouwen als toestemming. Waar de ANPD nog geen specifieke regels heeft gepubliceerd, vermindert een conservatieve interpretatie toekomstige blootstelling.
- Het negeren van gegevens van kinderen. De leeftijdsgrens van 18 jaar is hoger dan de meeste organisaties verwachten en vereist actieve leeftijdsverificatie of ouderlijke toestemmingsmechanismen.
LGPD vs Andere Zuid-Amerikaanse Privacywetten
De LGPD van Brazilië is de meest uitgebreide en actief gehandhaafde gegevensbeschermingswet in Zuid-Amerika vanaf 2026. Verschillende buurlanden hebben soortgelijke kaders aangenomen of zijn in ontwikkeling, maar geen enkele komt in de buurt van de reikwijdte of handhavingsinfrastructuur van de LGPD.
- Argentinië: Heeft een gegevensbeschermingswet (Wet 25.326, 2000) die voorafgaat aan de LGPD maar minder uitgebreid is. Argentinië heeft EU-adequatiestatus, die de LGPD nog niet heeft bereikt.
- Chili: Heeft in 2024 een bijgewerkte gegevensbeschermingswet aangenomen, die zijn kader van 1999 moderniseert met GDPR-geïnspireerde bepalingen, maar de handhavingsinfrastructuur is nog in ontwikkeling.
- Colombia: Wet 1581 van 2012 regelt gegevensbescherming; meer beperkt in reikwijdte dan de LGPD.
- Peru: Heeft wetgeving voor gegevensbescherming (Wet 29.733) maar met beperkte handhavingscapaciteit.
Organisaties die in heel Zuid-Amerika opereren, kunnen niet vertrouwen op een enkel regionaal nalevingskader. De LGPD van Brazilië vereist speciale aandacht gezien de volwassenheid van de handhaving en de marktomvang.
FAQ
Waar staat LGPD voor? LGPD staat voor Lei Geral de Proteção de Dados, de Algemene Gegevensbeschermingswet van Brazilië, aangenomen in 2018 en sinds augustus 2021 gehandhaafd.
Wanneer begon de handhaving van de LGPD? De handhaving van de administratieve sancties van de LGPD begon in augustus 2021, toen de ANPD de bevoegdheid kreeg om boetes en andere sancties op te leggen.
Is de LGPD van toepassing op bedrijven buiten Brazilië? Ja. Elke organisatie die persoonlijke gegevens van individuen die zich in Brazilië bevinden verwerkt, of die gegevens in Brazilië verzamelt, valt onder de jurisdictie van de LGPD, ongeacht waar het bedrijf is gevestigd [2].
Wat is de maximale boete onder de LGPD? De LGPD beperkt boetes tot 2% van de omzet van de organisatie in Brazilië per overtreding, met een maximum van R$50 miljoen per overtreding [3].
Is toestemming altijd vereist onder de LGPD? Nee. Toestemming is een van de 10 geldige juridische bases. Organisaties moeten de meest geschikte juridische basis voor elke verwerkingsactiviteit identificeren in plaats van standaard uit te gaan van toestemming [1].
Wat is de deadline voor melding van datalekken onder de LGPD? De LGPD vereist melding binnen een "redelijke tijd", die de ANPD naar verwachting nauwkeuriger zal definiëren. In afwachting van die richtlijnen wordt een interne benchmark van 72 uur veel gebruikt als een conservatieve standaard [2].
Voldoet een GDPR-conform programma aan de vereisten van de LGPD? Niet helemaal. GDPR-naleving biedt een sterke basis, maar hiaten in juridische bases, openbare bekendmaking van de DPO, drempels voor gegevens van kinderen en rechten van gegevenssubjecten vereisen LGPD-specifieke remediering.
Wat is de Encarregado onder de LGPD? De Encarregado is het equivalent van een Data Protection Officer onder de LGPD. In tegenstelling tot de GDPR vereist de LGPD over het algemeen dat alle gegevensbeheerders er een aanstellen en hun identiteit en contactinformatie openbaar maken [2].
Kunnen persoonlijke gegevens internationaal worden overgedragen onder de LGPD? Ja, onder bepaalde voorwaarden, waaronder adequate bescherming, contractuele waarborgen of specifieke toestemming. Vanaf 2026 heeft de ANPD nog geen officiële adequatheidslijst of standaardcontractuele clausules gepubliceerd [3].
Welke leeftijd vereist ouderlijke toestemming onder de LGPD? De LGPD vereist ouderlijke of voogdijtoestemming voor het verwerken van persoonlijke gegevens van individuen onder de 18, wat hoger is dan de leeftijdsgrens van 16 jaar van de GDPR.
Conclusie
Navigeren door de LGPD van Brazilië vereist meer dan alleen het in kaart brengen van GDPR-controles naar een nieuwe jurisdictie. De structurele verschillen, 10 juridische bases versus 6, een bredere DPO-mandaat, een hogere leeftijd voor toestemming van kinderen en een nog in ontwikkeling zijnde regelgevende structuur vereisen opzettelijk, Braziliaans-specifiek nalevingswerk.
Actiegerichte volgende stappen voor organisaties in 2026:
- Voer een formele LGPD-hiatenanalyse uit ten opzichte van uw bestaande GDPR-programma, met de focus op juridische bases, DPO-aanstelling en procedures voor rechten van gegevenssubjecten.
- Stel een Encarregado aan en maak deze openbaar als u gegevens van Braziliaanse inwoners verwerkt.
- Beoordeel alle toestemmingsstromen op naleving van de LGPD-toestemmingsnormen, met name voor gebruikers onder de 18.
- Implementeer een oplossing voor toestemmingsbeheer voor uw webproperties die voldoet aan de LGPD-vereisten naast andere toepasselijke privacywetten.
- Stel een procedure voor datalekrespons in met een interne escalatiedoelstelling van 72 uur in afwachting van richtlijnen van de ANPD.
- Volg de publicaties van de ANPD nauwlettend, adequaatheidsbeslissingen, standaardcontractuele clausules en DPIA-criteria zijn allemaal in afwachting en zullen de nalevingsverplichtingen rechtstreeks beïnvloeden.
Organisaties die LGPD-naleving beschouwen als een afgeleide van GDPR-werk, zullen zich blootgesteld vinden op precies de dimensies waar de twee wetten het meest van elkaar verschillen. Een toegewijd, gedocumenteerd LGPD-programma is de enige verdedigbare houding nu de handhavingscapaciteit van de ANPD blijft groeien.
Referenties
[1] Lgpd Vs Gdpr Diferencas Similaridades - https://confidata.com.br/blog/lgpd-vs-gdpr-diferencas-similaridades?utm_source=openai
[2] Lgpd Vs Gdpr - https://lgpdpro.com.br/lgpd-vs-gdpr/?utm_source=openai
[3] Brazil Lgpd Vs Gdpr Differences - https://www.cleolabs.co/en/blog/brazil-lgpd-vs-gdpr-differences?utm_source=openai