Краткий ответ: Общий закон о защите данных Бразилии (LGPD) и Общий регламент по защите данных ЕС (GDPR) имеют общую философскую основу, но значительно различаются в юридических основаниях, структурах штрафов, требованиях к DPO и сроках исполнения. Любая организация, работающая в Бразилии или обслуживающая бразильских субъектов данных, должна понимать эти различия, чтобы создать защищенную программу соблюдения, соблюдение только GDPR недостаточно.
Ключевые выводы
- LGPD предоставляет 10 юридических оснований для обработки данных; GDPR предоставляет только 6, при этом уникальные основания LGPD охватывают защиту кредита и государственное управление.
- Штрафы по LGPD ограничены 2% от бразильского дохода за нарушение, до 50 миллионов реалов, в то время как штрафы по GDPR составляют 4% от глобального годового оборота или 20 миллионов евро.
- Оба закона применяются экстерриториально, не бразильские компании, обрабатывающие данные бразильских резидентов, должны соблюдать LGPD.
- Срок уведомления о нарушении данных по LGPD — «разумное время», а не строгие 72 часа по GDPR.
- Согласие LGPD для несовершеннолетних требует родительского одобрения до 18 лет, в то время как порог возраста по GDPR составляет 16 лет (или даже 13 в некоторых странах ЕС).
- ANPD (Национальный орган по защите данных Бразилии) начала принудительное исполнение в августе 2021 года и постепенно увеличивает активность санкций.
- На 2026 год ANPD еще не опубликовала официальные списки адекватности или стандартные договорные условия для международных передач данных.
- Соблюдение GDPR предоставляет прочную основу для соблюдения LGPD, но существуют пробелы, которые требуют целенаправленного устранения.
Что такое LGPD и как он работает в Бразилии
LGPD Бразилии (Общий закон о защите данных, Закон № 13.709/2018) — это всеобъемлющий федеральный закон о защите данных страны, частично основанный на GDPR, но адаптированный к юридическому и экономическому контексту Бразилии. Он регулирует сбор, обработку, хранение и передачу личных данных, принадлежащих лицам, находящимся в Бразилии, независимо от того, где находится организация, осуществляющая обработку.
Закон администрируется ANPD (Национальный орган по защите данных), который имеет полномочия выдавать рекомендации, проводить расследования и налагать санкции. Принудительное исполнение официально началось в августе 2021 года, и с тех пор ANPD постепенно расширяет свою регулирующую деятельность [3].
Как это работает на практике:
- Организации должны определить законное юридическое основание перед обработкой любых личных данных.
- Субъекты данных должны быть информированы о действиях по обработке через прозрачные уведомления о конфиденциальности.
- Должен быть назначен и публично идентифицирован Офицер по защите данных (Encarregado).
- Инциденты, связанные с личными данными, должны быть сообщены ANPD и затронутым лицам в «разумные сроки».
- Организации, обрабатывающие данные с высоким уровнем риска, должны проводить Оценки воздействия на защиту данных (DPIA), с конкретными критериями, которые будут определены ANPD [2].
Основные различия между соблюдением LGPD и GDPR
Навигация по LGPD Бразилии вместе с GDPR выявляет как структурные сходства, так и значительные различия, которые напрямую влияют на программы соблюдения. Наиболее значительные различия по операциям делятся на пять категорий: юридические основания, расчет штрафов, сроки уведомления о нарушениях, пороги данных для детей и зрелость регулирующих рекомендаций.
| Размерность | LGPD (Бразилия) | GDPR (ЕС) |
|---|---|---|
| Юридические основания | 10 (включая защиту кредита, государственную политику) | 6 |
| Максимальный штраф | 2% от бразильского дохода, лимит 50 млн реалов | 4% от глобального оборота или 20 млн евро |
| Уведомление о нарушении | «Разумное время» (ANPD определит) | 72 часа до надзорного органа |
| Возраст согласия детей | 18 (требуется согласие родителей) | 16 (государства-члены могут снизить до 13) |
| Требование к DPO | Обычно обязательно (возможны исключения) | Обязательно только для определенных критериев |
| Решения о соответствии | Список ANPD еще не опубликован (на 2026 год) | Список Комиссии ЕС опубликован |
| Начало принудительного исполнения | Август 2021 | Май 2018 |
Источники: [1][2][3]
10 юридических оснований LGPD включают положения, не имеющие эквивалентов в GDPR, такие как защита кредита и выполнение государственных административных политик. Организации, которые полагаются исключительно на юридические основания GDPR, могут обнаружить, что их бразильская деятельность по обработке данных недостаточно обоснована [1].
Должны ли компании соблюдать как LGPD, так и GDPR
Да, если организация обрабатывает личные данные как резидентов ЕС, так и Бразилии, она должна одновременно соблюдать оба закона. Эти два регламента имеют пересекающиеся, но не идентичные требования, что означает, что двойное соблюдение требует целенаправленного анализа пробелов, а не предположения, что одно удовлетворяет другое.
LGPD применяется к любой организации, которая:
- Обрабатывает личные данные в Бразилии.
- Предлагает товары или услуги лицам, находящимся в Бразилии.
- Обрабатывает данные, собранные в Бразилии, независимо от того, где происходит обработка [2].
Европейская компания с бразильскими клиентами или бразильская компания с пользователями из ЕС подпадают под оба режима. Организации, соблюдающие GDPR, имеют преимущество, но конкретные пробелы LGPD, особенно в отношении юридических оснований, требований к публичному раскрытию DPO и языка уведомления о нарушениях, требуют дополнительной работы.
Штрафы и санкции LGPD за несоблюдение
Штрафы по LGPD рассчитываются как процент от дохода организации в Бразилии (не от глобального дохода), ограниченный 50 миллионами реалов за нарушение. Это структурно отличается от расчета по GDPR, который ссылается на глобальный годовой оборот [3].
Доступные санкции по LGPD включают:
- Предупреждения с определенным сроком для устранения.
- Простые штрафы до 2% от бразильского дохода, ограниченные 50 миллионами реалов за нарушение.
- Ежедневные штрафы до устранения нарушения.
- Публикация нарушения (репутационная санкция).
- Блокировка или удаление соответствующих личных данных.
- Частичное или полное приостановление деятельности по обработке данных.
Позиция ANPD по принудительному исполнению развивалась с 2021 года, и организации не должны предполагать, что более низкий лимит штрафов в Бразилии означает меньший риск. Репутационные санкции и операционные приостановления могут нести затраты, превышающие денежные штрафы.
Права субъектов данных LGPD против прав GDPR
Оба закона предоставляют сопоставимые основные права, но LGPD включает явное право, не имеющее прямого параллеля в GDPR: право на информацию о том, с какими государственными и частными организациями контролер данных делился данными. Эта обязанность по прозрачности в обмене накладывает более высокую нагрузку на документацию на контролеров, управляющих сложными экосистемами данных [2].
Общие права по LGPD и GDPR:
- Доступ к личным данным, хранящимся у контролера.
- Исправление неточных или неполных данных.
- Удаление данных, обработанных без действительного юридического основания.
- Портативность данных (GDPR указывает на машиночитаемый формат; LGPD не имеет этой специфики).
- Возражение против обработки.
- Отзыв согласия.
Специфическое право LGPD: Явное право знать, какие третьи стороны, как государственные, так и частные, получили личные данные субъекта данных. GDPR касается этого косвенно через требования к прозрачности, но не формулирует это как отдельное перечисленное право.
Является ли LGPD более строгим или более мягким, чем GDPR
Ни один из законов не является категорически более строгим по всем параметрам. GDPR строже в отношении величины штрафов (на основе глобального дохода), сроков уведомления о нарушениях (72 часа) и специфики доступных рекомендаций для организаций. LGPD строже в отношении данных о детях (возраст 18 лет против 16) и имеет более широкие требования к назначению DPO [2][3].
Относительная молодость ANPD как регулирующего органа означает меньше опубликованных рекомендаций, что создает неопределенность в соблюдении, а не мягкость. Организации должны рассматривать неопределенные требования LGPD как области, требующие консервативной интерпретации, а не как регуляторные пробелы для эксплуатации.
Требования к согласию LGPD для обработки личных данных
Согласие является одним из 10 действительных юридических оснований по LGPD, а не стандартным или предпочтительным основанием. Это отражает подход GDPR, где согласие уместно только тогда, когда другие основания не применимы. Согласие по LGPD должно быть свободным, информированным, недвусмысленным и специфичным для определенной цели [1].
Ключевые правила согласия по LGPD:
- Согласие должно быть получено отдельно от других договорных условий.
- Обработка данных несовершеннолетних (до 18 лет) требует проверяемого согласия родителей или опекунов.
- Согласие может быть отозвано в любое время, и контролер должен облегчить этот процесс.
- Согласие на обработку чувствительных личных данных (здоровье, биометрические данные, расовая принадлежность и т. д.) требует явного согласия.
Организации, использующие согласие как универсальное юридическое основание, что является распространенной ошибкой, перенесенной из практики до GDPR, сталкиваются с особым риском по обоим законам.
Применимость LGPD для не бразильских компаний
Не бразильские компании подлежат LGPD, если они обрабатывают личные данные лиц, находящихся в Бразилии, независимо от того, где зарегистрирована компания или где хранятся данные. Экстерриториальный охват закона явный и отражает рыночный подход GDPR [2].
Платформа электронной коммерции из США, продающая бразильским потребителям, канадская компания SaaS с бразильскими корпоративными клиентами или азиатский производитель, собирающий данные через веб-сайт, ориентированный на Бразилию, все подпадают под юрисдикцию LGPD. ANPD имеет полномочия расследовать и налагать санкции на иностранные организации, хотя принудительное исполнение в отношении нерезидентов остается развивающейся областью.
Требования к Офицеру по защите данных LGPD
LGPD обычно требует от всех контролеров данных назначить Офицера по защите данных (называемого "Encarregado" на португальском) и публично раскрыть личность и контактную информацию этого человека. Это шире, чем в GDPR, который требует назначения DPO только для определенных категорий организаций (государственные органы, систематический мониторинг в крупном масштабе, обработка чувствительных данных в крупном масштабе) [2].
ANPD может определить исключения из требования LGPD о DPO, особенно для малых предприятий или низкорисковых обработчиков, но на 2026 год эти исключения остаются ограниченными. Организации должны по умолчанию назначать Encarregado, если не применяется конкретное исключение ANPD.
Как внедрить LGPD для вашего бизнеса в Бразилии
Внедрение LGPD следует структурированной последовательности. Организации с существующими программами GDPR должны провести анализ пробелов, а не начинать с нуля, сосредоточив внимание на конкретных различиях, изложенных выше.
Контрольный список внедрения:
- Картирование данных: Инвентаризация всех потоков личных данных, включая данные, собранные в Бразилии или от бразильских резидентов.
- Назначение юридического основания: Соотнесите каждую деятельность по обработке с одним из 10 юридических оснований LGPD, не полагаясь на согласие.
- Уведомления о конфиденциальности: Обновите уведомления, чтобы включить раскрытия, специфичные для LGPD, включая личность Encarregado.
- Назначение DPO: Назначьте и публично идентифицируйте Encarregado; задокументируйте их контактные данные на вашем веб-сайте и в политике конфиденциальности.
- Процедуры прав субъектов данных: Создайте рабочие процессы для запросов, специфичных для LGPD, включая право на раскрытие информации о третьих лицах.
- План реагирования на нарушения: Установите внутренние процедуры эскалации, соответствующие уведомлению в «разумные сроки», с консервативной внутренней целью (72 часа — это защищенный ориентир в ожидании рекомендаций ANPD).
- Управление согласием: Реализуйте решение для управления согласием для веб-сайтов. Biscotti CMP (www.biscotti-cmp.com) поддерживает сбор и управление согласием для организаций, управляющих многоюрисдикционными требованиями соблюдения.
- Обзор международных передач: Проведите аудит всех трансграничных передач данных и примените доступные меры предосторожности (согласие, договорные условия), учитывая ожидаемую рамочную структуру адекватности ANPD [3].
- Процесс DPIA: Установите процесс оценки рисков для высокорисковых видов деятельности по обработке.
- Обучение: Обучите сотрудников с доступом к данным о обязательствах LGPD и реагировании на инциденты.
Распространенные ошибки компаний при соблюдении LGPD
Наиболее частые ошибки соблюдения LGPD возникают из-за того, что закон рассматривается как прямая копия GDPR, и пропускаются специфические для Бразилии требования.
Ошибки, которых следует избегать:
- Предположение, что соблюдение GDPR равно соблюдению LGPD. Разные юридические основания, правила DPO и пороги данных для детей создают реальные пробелы.
- Использование согласия как стандартного юридического основания. LGPD предлагает 10 оснований; согласие часто не является наиболее подходящим и создает ненужный риск отзыва.
- Неопубликование информации о Encarregado. В отличие от некоторых реализаций GDPR, где детали DPO являются внутренними, LGPD требует публичной идентификации.
- Игнорирование права на раскрытие информации о третьих лицах. Это право требует от контролеров ведения подробных записей о взаимоотношениях по обмену данными.
- Рассмотрение неопределенных рекомендаций ANPD как разрешения. Там, где ANPD еще не опубликовала конкретные правила, консервативная интерпретация снижает будущие риски.
- Игнорирование данных о детях. Порог в 18 лет выше, чем ожидают большинство организаций, и требует активной проверки возраста или механизмов согласия родителей.
LGPD против других законов о конфиденциальности в Южной Америке
LGPD Бразилии является самым всеобъемлющим и активно исполняемым законом о защите данных в Южной Америке на 2026 год. Несколько соседних стран приняли или разрабатывают аналогичные рамки, но ни одна из них не соответствует масштабу или инфраструктуре исполнения LGPD.
- Аргентина: Имеет закон о защите данных (Закон 25.326, 2000), который предшествует LGPD, но менее всеобъемлющий. Аргентина имеет статус адекватности ЕС, который LGPD еще не достигла.
- Чили: Приняла обновленный закон о защите данных в 2024 году, модернизировав свою структуру 1999 года с положениями, вдохновленными GDPR, но инфраструктура исполнения все еще развивается.
- Колумбия: Закон 1581 2012 года регулирует защиту данных; более ограничен по сравнению с LGPD.
- Перу: Имеет законодательство о защите данных (Закон 29.733), но с ограниченной возможностью исполнения.
Организации, работающие по всей Южной Америке, не могут полагаться на единую региональную рамку соблюдения. LGPD Бразилии требует особого внимания, учитывая его зрелость в исполнении и размер рынка.
ЧАВО
Что означает LGPD? LGPD означает Общий закон о защите данных, общий закон Бразилии о защите данных, принятый в 2018 году и исполняемый с августа 2021 года.
Когда началось исполнение LGPD? Исполнение административных санкций LGPD началось в августе 2021 года, когда ANPD получила полномочия налагать штрафы и другие санкции.
Применяется ли LGPD к компаниям за пределами Бразилии? Да. Любая организация, которая обрабатывает личные данные лиц, находящихся в Бразилии, или собирает данные в Бразилии, подпадает под юрисдикцию LGPD независимо от того, где зарегистрирована компания [2].
Какой максимальный штраф по LGPD? LGPD ограничивает штрафы 2% от дохода организации в Бразилии за нарушение, с максимальным лимитом в 50 миллионов реалов за нарушение [3].
Всегда ли требуется согласие по LGPD? Нет. Согласие является одним из 10 действительных юридических оснований. Организации должны определить наиболее подходящее юридическое основание для каждой деятельности по обработке, а не полагаться на согласие [1].
Каков срок уведомления о нарушении данных по LGPD? LGPD требует уведомления в «разумные сроки», которые ANPD ожидается определить более точно. В ожидании этой рекомендации внутренний ориентир в 72 часа широко используется как консервативный стандарт [2].
Обеспечивает ли соблюдение GDPR выполнение требований LGPD? Не совсем. Соблюдение GDPR предоставляет прочную основу, но пробелы в юридических основаниях, публичном раскрытии DPO, порогах данных для детей и правах субъектов данных требуют специфического устранения в соответствии с LGPD.
Что такое Encarregado по LGPD? Encarregado — это эквивалент Офицера по защите данных в LGPD. В отличие от GDPR, LGPD обычно требует от всех контролеров данных назначить одного и публично раскрыть их личность и контактную информацию [2].
Можно ли передавать личные данные за границу по LGPD? Да, при определенных условиях, включая адекватную защиту, договорные меры предосторожности или конкретное согласие. На 2026 год ANPD еще не опубликовала официальный список адекватности или стандартные договорные условия [3].
Какой возраст требует согласия родителей по LGPD? LGPD требует согласия родителей или опекунов для обработки личных данных лиц младше 18 лет, что выше, чем порог GDPR в 16 лет.
Заключение
Навигация по LGPD Бразилии требует большего, чем просто сопоставление контролей GDPR с новой юрисдикцией. Структурные различия, 10 юридических оснований против 6, более широкий мандат DPO, более высокий возраст согласия для детей и все еще развивающаяся регулирующая структура требуют целенаправленной работы по соблюдению, специфичной для Бразилии.
Действия для организаций в 2026 году:
- Проведите формальный анализ пробелов LGPD по сравнению с вашей существующей программой GDPR, сосредоточив внимание на юридических основаниях, назначении DPO и процедурах прав субъектов данных.
- Назначьте и публично раскройте Encarregado, если вы обрабатываете данные бразильских резидентов.
- Проверьте все потоки согласия на соответствие стандартам согласия LGPD, особенно для пользователей младше 18 лет.
- Реализуйте решение для управления согласием для ваших веб-сайтов, которое поддерживает требования LGPD наряду с другими применимыми законами о конфиденциальности.
- Установите процедуру реагирования на нарушения данных с внутренней целью эскалации в 72 часа в ожидании рекомендаций ANPD.
- Внимательно следите за публикациями ANPD, решениями о соответствии, стандартными договорными условиями и критериями DPIA, которые все ожидаются и будут напрямую влиять на обязательства по соблюдению.
Организации, рассматривающие соблюдение LGPD как производное от работы по GDPR, окажутся подвержены рискам именно в тех областях, где два закона наиболее различаются. Посвященная, документированная программа LGPD — это единственная защищенная позиция, поскольку возможности принудительного исполнения ANPD продолжают расти.
Ссылки
[1] Lgpd Vs Gdpr Diferencas Similaridades - https://confidata.com.br/blog/lgpd-vs-gdpr-diferencas-similaridades?utm_source=openai
[2] Lgpd Vs Gdpr - https://lgpdpro.com.br/lgpd-vs-gdpr/?utm_source=openai
[3] Brazil Lgpd Vs Gdpr Differences - https://www.cleolabs.co/en/blog/brazil-lgpd-vs-gdpr-differences?utm_source=openai