Kısa Cevap: Brezilya'nın Lei Geral de Proteção de Dados (LGPD) ve AB'nin Genel Veri Koruma Yönetmeliği (GDPR) ortak bir felsefi temele sahipken, yasal temeller, ceza yapıları, DPO gereklilikleri ve uygulama zamanlamaları açısından önemli farklılıklar göstermektedir. Brezilya'da faaliyet gösteren veya Brezilyalı veri sahiplerine hizmet veren herhangi bir kuruluş, savunulabilir bir uyum programı oluşturmak için bu farklılıkları anlamalıdır; yalnızca GDPR uyumu yeterli değildir.
Temel Çıkarımlar
- LGPD, veri işleme için 10 yasal temel sağlar; GDPR yalnızca 6 sağlar ve benzersiz LGPD temelleri kredi koruması ve kamu yönetimini kapsar.
- LGPD cezaları, ihlal başına Brezilya gelirinin %2'si ile sınırlıdır ve maksimum R$50 milyon, GDPR'nın ise küresel yıllık cirosunun %4'ü veya €20 milyon'dur.
- Her iki yasa da yurtdışında geçerlidir; Brezilyalı sakinlerin verilerini işleyen yabancı şirketler LGPD'ye uymalıdır.
- LGPD'nin veri ihlali bildirim zamanlaması "makul süre"dir, GDPR'nın katı 72 saatlik penceresi değildir.
- LGPD'de reşit olmayanlar için onay, 18 yaşına kadar ebeveyn onayı gerektirirken, GDPR'nın yaş eşiği 16'dır (bazı AB üye devletlerinde 13'e kadar düşebilir).
- ANPD (Brezilya'nın veri koruma otoritesi) uygulamaya Ağustos 2021'de başladı ve o zamandan beri yaptırım faaliyetlerini sürekli artırmaktadır.
- 2026 itibarıyla ANPD, uluslararası veri transferleri için resmi yeterlilik listeleri veya standart sözleşme maddeleri yayınlamamıştır.
- GDPR uyumu, LGPD uyumu için güçlü bir temel sağlar, ancak kasıtlı düzeltme gerektiren boşluklar vardır.
LGPD Nedir ve Brezilya'da Nasıl Çalışır
Brezilya'nın LGPD'si (Lei Geral de Proteção de Dados, Kanun No. 13,709/2018), ülkenin kapsamlı federal veri koruma yasasıdır ve kısmen GDPR'den esinlenmiştir, ancak Brezilya'nın yasal ve ekonomik bağlamına uyarlanmıştır. Bu yasa, Brezilya'da bulunan bireylere ait kişisel verilerin toplanmasını, işlenmesini, saklanmasını ve aktarılmasını düzenler; işleme kuruluşunun nerede bulunduğuna bakılmaksızın.
Yasa, rehberlik verme, soruşturmalar yapma ve yaptırımlar uygulama yetkisine sahip olan ANPD (Autoridade Nacional de Proteção de Dados) tarafından yönetilmektedir. Uygulama resmi olarak Ağustos 2021'de başlamış ve o zamandan beri ANPD düzenleyici faaliyetlerini kademeli olarak genişletmiştir [3].
Pratikte nasıl çalışır:
- Kuruluşlar, herhangi bir kişisel veriyi işlemeye başlamadan önce yasal bir temel belirlemelidir.
- Veri sahipleri, işleme faaliyetleri hakkında şeffaf gizlilik bildirimleri aracılığıyla bilgilendirilmelidir.
- Genel olarak bir Veri Koruma Görevlisi (Encarregado) atanmalı ve kamuya açık bir şekilde tanıtılmalıdır.
- Kişisel verilerle ilgili olaylar, ANPD'ye ve etkilenen bireylere "makul süre" içinde bildirilmelidir.
- Yüksek riskli verileri işleyen kuruluşlar, ANPD tarafından tanımlanacak belirli kriterlerle Veri Koruma Etki Değerlendirmeleri (DPIA) gerçekleştirmelidir [2].
LGPD ve GDPR Uyumundaki Ana Farklar
Brezilya'nın LGPD'sini GDPR ile birlikte incelemek, uyum programlarını doğrudan etkileyen hem yapısal benzerlikler hem de anlamlı farklılıklar ortaya koymaktadır. En operasyonel olarak önemli farklılıklar beş kategoriye ayrılmaktadır: yasal temeller, ceza hesaplaması, ihlal bildirim zamanlaması, çocuk verileri eşikleri ve düzenleyici rehberliğin olgunluğu.
| Boyut | LGPD (Brezilya) | GDPR (AB) |
|---|---|---|
| Yasal temeller | 10 (kredi koruması, kamu politikası dahil) | 6 |
| Maksimum ceza | Brezilya gelirinin %2'si, R$50M sınırı | Küresel cironun %4'ü veya €20M |
| İhlal bildirimi | "Makul süre" (ANPD tanımlayacak) | Denetim otoritesine 72 saat |
| Çocukların onay yaşı | 18 (ebeveyn onayı gerekli) | 16 (üye devletler 13'e düşürebilir) |
| DPO gerekliliği | Genel olarak zorunlu (istisnalar mümkün) | Sadece belirli kriterler için zorunlu |
| Yeterlilik kararları | ANPD listesi henüz yayınlanmadı (2026 itibarıyla) | AB Komisyonu listesi yayınlandı |
| Uygulama başlangıcı | Ağustos 2021 | Mayıs 2018 |
Kaynaklar: [1][2][3]
LGPD'nin 10 yasal temeli, kredi koruması ve kamu yönetimi politikalarının uygulanması gibi GDPR ile eşdeğeri olmayan hükümleri içermektedir. Sadece GDPR yasal temellerine dayanan kuruluşlar, Brezilya'daki işleme faaliyetlerinin yetersiz bir temele sahip olduğunu görebilirler [1].
Şirketlerin Hem LGPD Hem de GDPR'ye Uyması Gerekir mi?
Evet, bir kuruluş hem AB hem de Brezilya sakinlerinin kişisel verilerini işliyorsa, her iki yasaya da aynı anda uymalıdır. İki düzenleme, örtüşen ancak özdeş olmayan gerekliliklere sahiptir; bu da çift uyumun, birinin diğerini karşıladığını varsaymak yerine kasıtlı bir boşluk analizi gerektirdiği anlamına gelir.
LGPD, herhangi bir kuruluş için geçerlidir:
- Brezilya'da kişisel verileri işleyen.
- Brezilya'da bulunan bireylere mal veya hizmet sunan.
- Brezilya'da toplanan verileri işleyen, işleme nerede gerçekleşirse gerçekleşsin [2].
Brezilyalı müşterilere sahip bir Avrupa şirketi veya AB kullanıcılarına sahip bir Brezilyalı şirket, her iki düzenlemenin kapsamına girmektedir. GDPR uyumlu kuruluşlar bir avantaj elde eder, ancak yasal temeller, DPO kamuya açıklama gereklilikleri ve ihlal bildirim dili gibi belirli LGPD boşlukları ek çalışma gerektirmektedir.
LGPD Uymama Durumunda Cezalar ve Para Cezaları
LGPD cezaları, kuruluşun Brezilya'daki gelirinin bir yüzdesi olarak hesaplanır (küresel gelir değil) ve ihlal başına maksimum R$50 milyon ile sınırlıdır. Bu, küresel yıllık ciroya atıfta bulunan GDPR'dan yapısal olarak farklı bir hesaplamadır [3].
LGPD kapsamındaki mevcut yaptırımlar şunlardır:
- Belirli bir düzeltme süresi ile uyarılar.
- Brezilya gelirinin %2'sine kadar basit cezalar, ihlal başına maksimum R$50 milyon.
- İhlal düzeltilene kadar günlük cezalar.
- İhlalin yayınlanması (itibar yaptırımı).
- İlgili kişisel verilerin engellenmesi veya silinmesi.
- Veri işleme faaliyetlerinin kısmi veya tam olarak askıya alınması.
ANPD'nin yaptırım duruşu 2021'den bu yana olgunlaşmıştır ve kuruluşlar, Brezilya'nın daha düşük ceza sınırının daha düşük risk anlamına geldiğini varsaymamalıdır. İtibar yaptırımları ve operasyonel askıya alma, para cezalarını aşan maliyetler taşıyabilir.
LGPD Veri Sahibi Hakları ve GDPR Hakları
Her iki yasa da karşılaştırılabilir temel haklar tanımaktadır, ancak LGPD, veri denetleyicisinin verileri paylaştığı kamu ve özel kuruluşlar hakkında bilgi alma hakkını açıkça içermektedir; bu, doğrudan GDPR'de karşılığı olmayan bir haktır. Bu paylaşımda şeffaflık yükümlülüğü, karmaşık veri ekosistemlerini yöneten denetleyiciler üzerinde daha yüksek bir belge yükü oluşturmaktadır [2].
LGPD ve GDPR altında paylaşılan haklar:
- Denetleyici tarafından tutulan kişisel verilere erişim.
- Hatalı veya eksik verilerin düzeltilmesi.
- Geçerli bir yasal temel olmadan işlenen verilerin silinmesi.
- Veri taşınabilirliği (GDPR makine okunabilir formatı belirtirken; LGPD bu kesinliği sağlamaz).
- İşlemeye itiraz.
- Onayın geri alınması.
LGPD'ye özgü hak: Veri sahibinin kişisel verilerinin hangi üçüncü taraflar, hem kamu hem de özel, tarafından alındığını bilme hakkı. GDPR, bunu dolaylı olarak şeffaflık gereklilikleri aracılığıyla ele alır, ancak bunu bağımsız bir sıralı hak olarak çerçevelemez.
LGPD, GDPR'den Daha Sert mi Yoksa Daha Esnek mi?
Hiçbir yasa, tüm boyutlarda kategorik olarak daha sert değildir. GDPR, ceza büyüklüğü (küresel gelir temeli), ihlal bildirim zamanlamaları (72 saat) ve kuruluşlara sunulan rehberliğin kesinliği açısından daha serttir. LGPD, çocuk verileri konusunda (18 yaş vs. 16 yaş) daha serttir ve daha geniş bir DPO atama gerekliliğine sahiptir [2][3].
ANPD'nin bir düzenleyici organ olarak göreceli gençliği, daha az yayınlanmış rehberlik anlamına gelir; bu da uyum belirsizliği yaratır, esneklik değil. Kuruluşlar, tanımsız LGPD gerekliliklerini istismar edilecek düzenleyici boşluklar olarak değil, muhafazakar bir yorum gerektiren alanlar olarak değerlendirmelidir.
LGPD Kişisel Verilerin İşlenmesi için Onay Gereksinimleri
Onay, LGPD altında 10 geçerli yasal temelden biridir, varsayılan veya tercih edilen temel değildir. Bu, GDPR'nın yaklaşımını yansıtır; burada onay, diğer temellerin geçerli olmadığı durumlarda uygundur. LGPD onayı serbest, bilgilendirilmiş, belirsiz olmayan ve belirli bir amaca özgü olmalıdır [1].
LGPD altında ana onay kuralları:
- Onay, diğer sözleşmesel şartlardan ayrı olarak alınmalıdır.
- Reşit olmayanların verilerini işlemek (18 yaş altı) doğrulanabilir ebeveyn veya vasinin onayını gerektirir.
- Onay her zaman geri alınabilir ve denetleyici bunu kolaylaştırmalıdır.
- Hassas kişisel veriler (sağlık, biyometrik, ırksal köken vb.) için onay açık bir şekilde alınmalıdır.
Onayı, önceden GDPR uygulamalarından devralınan yaygın bir hata olarak bir "yakalama" yasal temeli olarak kullanan kuruluşlar, her iki yasada da belirli bir maruz kalma ile karşılaşmaktadır.
Yabancı Şirketler için LGPD Uygulanabilirliği
Yabancı şirketler, Brezilya'da bulunan bireylerin kişisel verilerini işliyorlarsa, şirketin nerede kurulduğuna veya verilerin nerede saklandığına bakılmaksızın LGPD'ye tabidir. Yasanın yurtdışındaki kapsamı açıktır ve GDPR'nın piyasa temelli yaklaşımını yansıtır [2].
Brezilyalı tüketicilere satış yapan bir ABD e-ticaret platformu, Brezilyalı kurumsal müşterilere sahip bir Kanadalı SaaS şirketi veya Brezilya'ya yönelik bir web sitesi aracılığıyla veri toplayan bir Asyalı üretici, LGPD yargı yetkisi kapsamına girmektedir. ANPD, yabancı varlıkları araştırma ve yaptırım uygulama yetkisine sahiptir, ancak ikamet etmeyen kuruluşlara karşı uygulama, gelişen bir alan olmaya devam etmektedir.
LGPD Veri Koruma Görevlisi Gereksinimleri
LGPD, genel olarak tüm veri denetleyicilerinin bir Veri Koruma Görevlisi (Portekizce'de "Encarregado" olarak adlandırılır) atamasını ve bu kişinin kimliğini ve iletişim bilgilerini kamuya açıklamasını gerektirir. Bu, GDPR'den daha geniştir; çünkü GDPR, DPO atamasını yalnızca belirli kuruluş kategorileri (kamu otoriteleri, büyük ölçekli sistematik izleme, büyük ölçekli hassas veri işleme) için zorunlu kılmaktadır [2].
ANPD, özellikle küçük işletmeler veya düşük riskli işleyiciler için LGPD'nin DPO gerekliliğine istisnalar tanımlayabilir, ancak 2026 itibarıyla bu istisnalar sınırlı kalmaktadır. Kuruluşlar, belirli bir ANPD istisnası uygulanmadıkça bir Encarregado atamayı varsayılan olarak kabul etmelidir.
Brezilya'daki İşletmeniz için LGPD'yi Nasıl Uygulamalısınız
LGPD uygulaması yapılandırılmış bir sırayı takip eder. Mevcut GDPR programlarına sahip kuruluşlar, yukarıda belirtilen belirli farklılıklara odaklanarak bir boşluk analizi gerçekleştirmelidir.
Uygulama kontrol listesi:
- Veri haritalama: Brezilya'da veya Brezilyalı sakinlerden toplanan tüm kişisel veri akışlarını envanterleyin.
- Yasal temel ataması: Her işleme faaliyetini LGPD'nin 10 yasal temelinden birine eşleyin, onaya varsayılan olarak geçmeyin.
- Gizlilik bildirimleri: LGPD'ye özgü açıklamaları içerecek şekilde bildirimleri güncelleyin, Encarregado'ın kimliğini de dahil edin.
- DPO ataması: Bir Encarregado atayın ve kamuya açık bir şekilde tanıtın; iletişim bilgilerini web sitenizde ve gizlilik politikanızda belgeleyin.
- Veri sahibi hakları prosedürleri: LGPD'ye özgü talepler için iş akışları oluşturun, üçüncü taraf paylaşım açıklama hakkını da dahil edin.
- İhlal yanıt planı: "Makul süre" bildirimine uygun iç yükseltme prosedürleri oluşturun, muhafazakar bir iç hedef belirleyin (72 saat, ANPD rehberliği beklenirken savunulabilir bir ölçüttür).
- Onay yönetimi: Web mülkleriniz için LGPD gerekliliklerini destekleyen bir onay yönetim çözümü uygulayın. Biscotti CMP (www.biscotti-cmp.com), çoklu yargı uyum gereksinimlerini yöneten kuruluşlar için onay toplama ve yönetim desteği sunar.
- Uluslararası transfer incelemesi: Tüm sınır ötesi veri transferlerini denetleyin ve ANPD'nin bekleyen yeterlilik çerçevesi göz önünde bulundurularak mevcut koruma önlemlerini (onay, sözleşmesel maddeler) uygulayın [3].
- DPIA süreci: Yüksek riskli işleme faaliyetleri için bir risk değerlendirme süreci oluşturun.
- Eğitim: Veri erişimi olan personeli LGPD yükümlülükleri ve olay yanıtı konusunda eğitin.
Şirketlerin LGPD Uyumunda Yaptığı Yaygın Hatalar
En sık karşılaşılan LGPD uyum hataları, yasayı GDPR'nın doğrudan bir kopyası olarak ele almak ve Brezilya'ya özgü gereklilikleri atlamakla ilgilidir.
Kaçınılması gereken hatalar:
- GDPR uyumunun LGPD uyumuna eşit olduğunu varsaymak. Farklı yasal temeller, DPO kuralları ve çocuk verileri eşikleri gerçek boşluklar yaratmaktadır.
- Onayı varsayılan yasal temel olarak kullanmak. LGPD 10 temel sunar; onay genellikle en uygun olanı değildir ve gereksiz bir geri alma riski yaratır.
- Encarregado'ı kamuya açıklamayı ihmal etmek. Bazı GDPR uygulamalarında DPO detayları içselken, LGPD kamuya açık tanıtım gerektirir.
- Üçüncü taraf paylaşım açıklama hakkını göz ardı etmek. Bu hak, denetleyicilerin veri paylaşım ilişkilerinin ayrıntılı kayıtlarını tutmasını gerektirir.
- Tanımsız ANPD rehberliğini izin olarak görmek. ANPD henüz belirli kurallar yayınlamadığında, muhafazakar yorum gelecekteki maruziyeti azaltır.
- Çocuk verilerini göz ardı etmek. 18 yaş eşiği, çoğu kuruluşun beklediğinden daha yüksektir ve aktif yaş doğrulama veya ebeveyn onayı mekanizmaları gerektirir.
LGPD ve Diğer Güney Amerika Gizlilik Yasaları
Brezilya'nın LGPD'si, 2026 itibarıyla Güney Amerika'daki en kapsamlı ve etkin bir şekilde uygulanan veri koruma yasasıdır. Birçok komşu ülke benzer çerçeveler geliştirmiştir, ancak hiçbiri LGPD'nin kapsamı veya uygulama altyapısıyla karşılaştırılamaz.
- Arjantin: LGPD'den önceki bir veri koruma yasasına (Kanun 25,326, 2000) sahiptir, ancak daha az kapsamlıdır. Arjantin, AB yeterlilik statüsüne sahiptir; bu, LGPD'nin henüz elde edemediği bir durumdur.
- Şili: 2024'te güncellenmiş bir veri koruma yasası geçirmiştir, 1999 çerçevesini GDPR etkisi altındaki hükümlerle modernize etmiştir, ancak uygulama altyapısı hala gelişmektedir.
- Kolombiya: 2012 tarihli Kanun 1581, veri korumasını düzenlemektedir; LGPD'den daha sınırlıdır.
- Peru: Veri koruma yasası (Kanun 29,733) vardır, ancak sınırlı uygulama kapasitesine sahiptir.
Güney Amerika genelinde faaliyet gösteren kuruluşlar, tek bir bölgesel uyum çerçevesine güvenemez. Brezilya'nın LGPD'si, uygulama olgunluğu ve pazar büyüklüğü nedeniyle özel bir dikkat gerektirmektedir.
SSS
LGPD ne anlama geliyor? LGPD, Brezilya'nın Genel Veri Koruma Yasası olan Lei Geral de Proteção de Dados'ın kısaltmasıdır; 2018'de yürürlüğe girmiştir ve Ağustos 2021'den beri uygulanmaktadır.
LGPD uygulaması ne zaman başladı? LGPD'nin idari yaptırımlarının uygulanması, Ağustos 2021'de başlamış ve ANPD, ceza ve diğer yaptırımlar verme yetkisini kazanmıştır.
LGPD, Brezilya dışındaki şirketlere uygulanır mı? Evet. Brezilya'da bulunan bireylerin kişisel verilerini işleyen veya Brezilya'da veri toplayan herhangi bir kuruluş, LGPD yargı yetkisi kapsamına girmektedir [2].
LGPD'nin maksimum cezası nedir? LGPD, ihlal başına kuruluşun Brezilya'daki gelirinin %2'si ile sınırlı ceza uygulamakta ve maksimum R$50 milyon belirlemektedir [3].
LGPD altında onay her zaman gerekli midir? Hayır. Onay, 10 geçerli yasal temelden biridir. Kuruluşlar, her işleme faaliyeti için en uygun yasal temeli belirlemeli ve onaya varsayılan olarak geçmemelidir [1].
LGPD'nin veri ihlali bildirim süresi nedir? LGPD, "makul süre" içinde bildirim gerektirir; ANPD'nin bunu daha kesin bir şekilde tanımlaması beklenmektedir. O rehberlik beklenirken, 72 saatlik bir iç ölçüt yaygın olarak muhafazakar bir standart olarak kullanılmaktadır [2].
GDPR uyumlu bir program, LGPD gerekliliklerini karşılar mı? Tam olarak değil. GDPR uyumu güçlü bir temel sağlar, ancak yasal temeller, DPO kamuya açıklama, çocuk verileri eşikleri ve veri sahibi hakları gibi alanlarda LGPD'ye özgü düzeltmeler gerekmektedir.
LGPD'deki Encarregado nedir? Encarregado, LGPD'nin Veri Koruma Görevlisi ile eşdeğeridir. GDPR'den farklı olarak, LGPD genel olarak tüm veri denetleyicilerinin bir tane atamasını ve kimliğini ve iletişim bilgilerini kamuya açıklamasını gerektirir [2].
LGPD altında kişisel veriler uluslararası olarak transfer edilebilir mi? Evet, belirli koşullar altında yeterli koruma, sözleşmesel güvenlik önlemleri veya belirli onay dahilinde. 2026 itibarıyla ANPD henüz resmi bir yeterlilik listesi veya standart sözleşme maddeleri yayınlamamıştır [3].
LGPD altında ebeveyn onayı gerektiren yaş nedir? LGPD, 18 yaş altındaki bireylerin kişisel verilerinin işlenmesi için ebeveyn veya vasinin onayını gerektirir; bu, GDPR'nın 16 yaş eşiğinden daha yüksektir.
Sonuç
Brezilya'nın LGPD'sini anlamak, GDPR kontrollerini yeni bir yargı alanına aktarmaktan daha fazlasını gerektirir. Yapısal farklılıklar, 10 yasal temel ile 6, daha geniş bir DPO mandası, daha yüksek çocuk onay yaşı ve hala olgunlaşmakta olan bir düzenleyici çerçeve, kasıtlı, Brezilya'ya özgü uyum çalışmaları gerektirmektedir.
2026'da kuruluşlar için uygulanabilir sonraki adımlar:
- Mevcut GDPR programınıza karşı resmi bir LGPD boşluk analizi gerçekleştirin; yasal temeller, DPO ataması ve veri sahibi hakları prosedürlerine odaklanın.
- Brezilyalı sakinlerin verilerini işliyorsanız, bir Encarregado atayın ve kamuya açık bir şekilde tanıtın.
- 18 yaş altındaki kullanıcılar için LGPD onay standartlarına uyum açısından tüm onay akışlarını gözden geçirin.
- Web mülkleriniz için LGPD gerekliliklerini destekleyen bir onay yönetim çözümü uygulayın; diğer geçerli gizlilik yasaları ile birlikte.
- ANPD rehberliği beklenirken, iç 72 saatlik bir yükseltme hedefi ile bir veri ihlali yanıt prosedürü oluşturun.
- ANPD yayınlarını dikkatle izleyin; yeterlilik kararları, standart sözleşme maddeleri ve DPIA kriterleri beklenmektedir ve doğrudan uyum yükümlülüklerini etkileyecektir.
LGPD uyumunu GDPR çalışmalarının bir türevi olarak ele alan kuruluşlar, iki yasanın en çok ayrıştığı boyutlarda maruz kalma riski ile karşılaşacaklardır. Kapsamlı, belgelenmiş bir LGPD programı, ANPD'nin yaptırım kapasitesi büyümeye devam ederken tek savunulabilir tutumdur.
Referanslar
[1] Lgpd Vs Gdpr Diferencas Similaridades - https://confidata.com.br/blog/lgpd-vs-gdpr-diferencas-similaridades?utm_source=openai
[2] Lgpd Vs Gdpr - https://lgpdpro.com.br/lgpd-vs-gdpr/?utm_source=openai
[3] Brazil Lgpd Vs Gdpr Differences - https://www.cleolabs.co/en/blog/brazil-lgpd-vs-gdpr-differences?utm_source=openai