Швидка відповідь: Загальний закон про захист даних Бразилії (LGPD) та Загальний регламент захисту даних ЄС (GDPR) мають спільну філософську основу, але значно відрізняються в правових підставах, структурах штрафів, вимогах до DPO та термінах виконання. Будь-яка організація, що працює в Бразилії або обслуговує бразильських суб'єктів даних, повинна розуміти ці відмінності, щоб створити захищену програму відповідності, оскільки відповідність лише GDPR недостатня.
Ключові висновки
- LGPD надає 10 правових підстав для обробки даних; GDPR надає лише 6, з унікальними підставами LGPD, що охоплюють захист кредиту та державне управління.
- Штрафи за LGPD обмежені 2% бразильського доходу за порушення, до R$50 мільйонів, у порівнянні зі штрафом GDPR у 4% від світового річного обороту або €20 мільйонів.
- Обидва закони застосовуються екстериторіально, не бразильські компанії, що обробляють дані бразильських резидентів, повинні дотримуватися LGPD.
- Термін повідомлення про витік даних за LGPD — "розумний термін", а не строгий 72-годинний термін GDPR.
- Згода LGPD для неповнолітніх вимагає батьківської схвалення до 18 років, у порівнянні з віковим порогом GDPR у 16 років (або навіть 13 років у деяких країнах-членах ЄС).
- ANPD (Національний орган захисту даних Бразилії) почав виконання в серпні 2021 року і поступово збільшує активність санкцій.
- Станом на 2026 рік ANPD ще не опублікував офіційні списки адекватності або стандартні контрактні положення для міжнародних передач даних.
- Відповідність GDPR забезпечує міцну основу для відповідності LGPD, але існують прогалини, які потребують свідомого усунення.
Що таке LGPD і як він працює в Бразилії
LGPD Бразилії (Загальний закон про захист даних, Закон № 13,709/2018) є всеосяжним федеральним законом про захист даних країни, частково змодельованим на основі GDPR, але адаптованим до юридичного та економічного контексту Бразилії. Він регулює збір, обробку, зберігання та передачу особистих даних, що належать особам, які знаходяться в Бразилії, незалежно від того, де базується організація, що обробляє дані.
Закон адмініструється ANPD (Національний орган захисту даних), який має повноваження видавати рекомендації, проводити розслідування та накладати санкції. Офіційне виконання розпочалося в серпні 2021 року, і ANPD поступово розширює свою регуляторну діяльність з того часу [3].
Як це працює на практиці:
- Організації повинні визначити законну правову підставу перед обробкою будь-яких особистих даних.
- Суб'єкти даних повинні бути проінформовані про діяльність з обробки через прозорі повідомлення про конфіденційність.
- Загалом, повинен бути призначений і публічно ідентифікований Офіцер з захисту даних (Encarregado).
- Інциденти, що стосуються особистих даних, повинні бути повідомлені ANPD та постраждалим особам протягом "розумного терміну".
- Організації, що обробляють дані високого ризику, повинні проводити оцінки впливу на захист даних (DPIA), з конкретними критеріями, які повинні бути визначені ANPD [2].
Основні відмінності між відповідністю LGPD та GDPR
Орієнтація в LGPD Бразилії разом із GDPR виявляє як структурні подібності, так і значні відмінності, які безпосередньо впливають на програми відповідності. Найбільш значущі відмінності за операційними аспектами поділяються на п'ять категорій: правові підстави, розрахунок штрафів, терміни повідомлення про порушення, пороги даних дітей та зрілість регуляторних рекомендацій.
| Вимірювання | LGPD (Бразилія) | GDPR (ЄС) |
|---|---|---|
| Правові підстави | 10 (включаючи захист кредиту, державну політику) | 6 |
| Максимальний штраф | 2% бразильського доходу, обмежений R$50M | 4% світового обороту або €20M |
| Повідомлення про порушення | "Розумний термін" (ANPD визначить) | 72 години до наглядового органу |
| Вік згоди дітей | 18 (вимагається згода батьків) | 16 (держави-члени можуть знизити до 13) |
| Вимога до DPO | Загалом обов'язкова (можливі винятки) | Обов'язкова лише для специфічних критеріїв |
| Рішення про адекватність | Список ANPD ще не опубліковано (станом на 2026 рік) | Список Комісії ЄС опубліковано |
| Початок виконання | Серпень 2021 року | Травень 2018 року |
Джерела: [1][2][3]
10 правових підстав LGPD включають положення, які не мають еквіваленту в GDPR, такі як захист кредиту та виконання політики державного управління. Організації, які покладаються лише на правові підстави GDPR, можуть виявити, що їхні бразильські діяльності з обробки недостатньо обґрунтовані [1].
Чи потрібно компаніям дотримуватись як LGPD, так і GDPR
Так, якщо організація обробляє особисті дані як резидентів ЄС, так і Бразилії, вона повинна дотримуватись обох законів одночасно. Два регламенти мають перекриваючі, але не ідентичні вимоги, що означає, що подвійна відповідність вимагає свідомого аналізу прогалин, а не припущення, що один задовольняє інший.
LGPD застосовується до будь-якої організації, яка:
- Обробляє особисті дані в Бразилії.
- Пропонує товари або послуги особам, які знаходяться в Бразилії.
- Обробляє дані, які були зібрані в Бразилії, незалежно від того, де відбувається обробка [2].
Європейська компанія з бразильськими клієнтами або бразильська компанія з користувачами з ЄС підпадають під обидва режими. Організації, що відповідають вимогам GDPR, мають перевагу, але специфічні прогалини LGPD, особливо щодо правових підстав, вимог до публічного розкриття DPO та мови повідомлення про порушення, потребують додаткової роботи.
Штрафи та санкції LGPD за невиконання
Штрафи LGPD розраховуються як відсоток доходу організації в Бразилії (не глобального доходу), обмеженого R$50 мільйонами за порушення. Це структурно відрізняється від розрахунку GDPR, який посилається на глобальний річний оборот [3].
Доступні санкції за LGPD включають:
- Попередження з визначеним терміном для виправлення.
- Простий штраф до 2% бразильського доходу, обмежений R$50 мільйонами за порушення.
- Щоденні штрафи до виправлення порушення.
- Публікація порушення (репутаційна санкція).
- Блокування або видалення відповідних особистих даних.
- Часткова або повна зупинка діяльності з обробки даних.
Позиція ANPD щодо виконання зріла з 2021 року, і організації не повинні припускати, що нижня межа штрафів у Бразилії означає нижчий ризик. Репутаційні санкції та зупинки діяльності можуть нести витрати, які перевищують грошові штрафи.
Права суб'єктів даних LGPD проти прав GDPR
Обидва закони надають порівнянні основні права, але LGPD включає явне право, яке не має прямого паралелю в GDPR: право на інформацію про те, з якими державними та приватними суб'єктами контролер даних поділився даними. Ця обов'язок прозорості в обміні накладає вищий обов'язок документації на контролерів, які управляють складними екосистемами даних [2].
Спільні права за LGPD та GDPR:
- Доступ до особистих даних, що зберігаються контролером.
- Виправлення неточних або неповних даних.
- Видалення даних, оброблених без дійсної правової підстави.
- Портативність даних (GDPR вказує на формат, зручний для машинного зчитування; LGPD не має цієї специфіки).
- Заперечення проти обробки.
- Відкликання згоди.
Специфічне право LGPD: Явне право знати, які треті сторони, як державні, так і приватні, отримали особисті дані суб'єкта даних. GDPR торкається цього непрямо через вимоги прозорості, але не формулює це як окреме перераховане право.
Чи є LGPD суворішим чи м'якшим за GDPR
Жоден з законів не є категорично суворішим у всіх вимірах. GDPR суворіший щодо величини штрафів (глобальна основа доходу), терміни повідомлення про порушення (72 години) та специфікації рекомендацій, доступних для організацій. LGPD суворіший щодо даних дітей (вік 18 років проти 16) і має ширші вимоги до призначення DPO [2][3].
Відносна молодість ANPD як регуляторного органу означає менше опублікованих рекомендацій, що створює невизначеність у відповідності, а не м'якість. Організації повинні розглядати невизначені вимоги LGPD як області, що потребують консервативного тлумачення, а не як регуляторні прогалини для експлуатації.
Вимоги LGPD до згоди на обробку особистих даних
Згода є однією з 10 дійсних правових підстав відповідно до LGPD, а не за замовчуванням або переважною підставою. Це відображає підхід GDPR, де згода є доречною лише тоді, коли інші підстави не застосовуються. Згода LGPD повинна бути вільною, поінформованою, недвозначною та специфічною для визначеної мети [1].
Ключові правила згоди за LGPD:
- Згода повинна бути отримана окремо від інших контрактних умов.
- Обробка даних неповнолітніх (до 18 років) вимагає перевіреної згоди батьків або опікунів.
- Згоду можна відкликати в будь-який час, і контролер повинен полегшити це.
- Згода на обробку чутливих особистих даних (здоров'я, біометричні дані, расове походження тощо) вимагає явного згоди.
Організації, які використовують згоду як універсальну правову підставу, що є поширеною помилкою, перенесеною з практики до GDPR, стикаються з особливими ризиками відповідно до обох законів.
Застосування LGPD для не бразильських компаній
Не бразильські компанії підпадають під дію LGPD, якщо вони обробляють особисті дані осіб, які знаходяться в Бразилії, незалежно від того, де компанія зареєстрована або де зберігаються дані. Екстериторіальний обсяг закону є явним і відображає ринковий підхід GDPR [2].
Платформа електронної комерції з США, що продає бразильським споживачам, канадська компанія SaaS з бразильськими корпоративними клієнтами або азіатський виробник, що збирає дані через веб-сайт, орієнтований на Бразилію, всі підпадають під юрисдикцію LGPD. ANPD має повноваження розслідувати та накладати санкції на іноземні суб'єкти, хоча виконання щодо нерезидентних організацій залишається еволюційною областю.
Вимоги до Офіцера з захисту даних LGPD
LGPD загалом вимагає, щоб усі контролери даних призначали Офіцера з захисту даних (в португальській мові "Encarregado") та публічно розкривали особу та контактну інформацію цієї особи. Це ширше, ніж у GDPR, який вимагає призначення DPO лише для специфічних категорій організацій (державні органи, систематичний моніторинг великого масштабу, обробка чутливих даних великого масштабу) [2].
ANPD може визначити винятки з вимоги LGPD щодо DPO, особливо для малих підприємств або обробників з низьким ризиком, але станом на 2026 рік ці винятки залишаються обмеженими. Організації повинні за замовчуванням призначати Encarregado, якщо не застосовується специфічне виключення ANPD.
Як впровадити LGPD для вашого бізнесу в Бразилії
Впровадження LGPD слідує структурованій послідовності. Організації з існуючими програмами GDPR повинні провести аналіз прогалин, а не починати з нуля, зосереджуючись на специфічних відмінностях, викладених вище.
Контрольний список впровадження:
- Картографування даних: Інвентаризація всіх потоків особистих даних, включаючи дані, зібрані в Бразилії або від бразильських резидентів.
- Призначення правової підстави: Прив'язати кожну діяльність з обробки до однієї з 10 правових підстав LGPD, не покладаючись на згоду.
- Повідомлення про конфіденційність: Оновити повідомлення, щоб включити специфічні для LGPD розкриття, включаючи особу Encarregado.
- Призначення DPO: Призначити та публічно ідентифікувати Encarregado; задокументувати їх контактні дані на вашому веб-сайті та в політиці конфіденційності.
- Процедури прав суб'єктів даних: Створити робочі процеси для запитів, специфічних для LGPD, включаючи право на розкриття інформації про обмін з третіми сторонами.
- План реагування на порушення: Встановити внутрішні процедури ескалації, узгоджені з повідомленням протягом "розумного терміну", з консервативною внутрішньою метою (72 години є захищеним еталоном до отримання рекомендацій ANPD).
- Управління згодою: Впровадити рішення для управління згодою для веб-властивостей. Biscotti CMP (www.biscotti-cmp.com) підтримує збір та управління згодою для організацій, що управляють вимогами багатоправового відповідності.
- Огляд міжнародних передач: Аудит всіх трансакцій даних через кордон та застосування доступних запобіжників (згода, контрактні положення) з огляду на очікувану рамку адекватності ANPD [3].
- Процес DPIA: Встановити процес оцінки ризиків для діяльності з обробки високого ризику.
- Навчання: Навчити персонал, що має доступ до даних, зобов'язанням LGPD та реагуванням на інциденти.
Загальні помилки, які роблять компанії з відповідністю LGPD
Найчастіші невдачі у відповідності LGPD виникають через спробу трактувати закон як прямий аналог GDPR і пропуск бразильських специфічних вимог.
Помилки, яких слід уникати:
- Припущення, що відповідність GDPR дорівнює відповідності LGPD. Різні правові підстави, правила DPO та пороги даних дітей створюють реальні прогалини.
- Використання згоди як правової підстави за замовчуванням. LGPD пропонує 10 підстав; згода часто не є найбільш доречною і створює ризик відкликання.
- Невиконання публічного розкриття Encarregado. На відміну від деяких реалізацій GDPR, де деталі DPO є внутрішніми, LGPD вимагає публічної ідентифікації.
- Ігнорування права на розкриття інформації про обмін з третіми сторонами. Це право вимагає від контролерів ведення детальних записів про відносини обміну даними.
- Трактування невизначених рекомендацій ANPD як дозволу. У випадках, коли ANPD ще не опублікував конкретні правила, консервативне тлумачення зменшує майбутні ризики.
- Недооцінка даних дітей. Вік 18 років є вищим, ніж більшість організацій очікує, і вимагає активних механізмів перевірки віку або згоди батьків.
LGPD проти інших законів про конфіденційність Південної Америки
LGPD Бразилії є найбільш всеосяжним і активно виконуваним законом про захист даних у Південній Америці станом на 2026 рік. Кілька сусідніх країн ухвалили або розробляють подібні рамки, але жоден не відповідає обсягу або інфраструктурі виконання LGPD.
- Аргентина: Має закон про захист даних (Закон 25,326, 2000), який передує LGPD, але є менш всеосяжним. Аргентина має статус адекватності ЄС, якого LGPD ще не досяг.
- Чилі: Прийняв оновлений закон про захист даних у 2024 році, модернізуючи свою рамку 1999 року положеннями, що вплинули на GDPR, але інфраструктура виконання все ще розвивається.
- Колумбія: Закон 1581 2012 року регулює захист даних; має більш обмежений обсяг, ніж LGPD.
- Перу: Має законодавство про захист даних (Закон 29,733), але з обмеженими можливостями виконання.
Організації, що працюють у Південній Америці, не можуть покладатися на єдину регіональну рамку відповідності. LGPD Бразилії вимагає присвяченої уваги, враховуючи його зрілість у виконанні та розмір ринку.
Питання та відповіді
Що таке LGPD? LGPD означає Lei Geral de Proteção de Dados, Загальний закон про захист даних Бразилії, ухвалений у 2018 році та виконуваний з серпня 2021 року.
Коли почалося виконання LGPD? Виконання адміністративних санкцій LGPD почалося в серпні 2021 року, коли ANPD отримав повноваження накладати штрафи та інші санкції.
Чи застосовується LGPD до компаній за межами Бразилії? Так. Будь-яка організація, яка обробляє особисті дані осіб, які знаходяться в Бразилії, або яка збирає дані в Бразилії, підпадає під юрисдикцію LGPD незалежно від того, де базується компанія [2].
Який максимальний штраф за LGPD? LGPD обмежує штрафи 2% доходу організації в Бразилії за порушення, з максимальним розміром R$50 мільйонів за інфракцію [3].
Чи завжди потрібна згода відповідно до LGPD? Ні. Згода є однією з 10 дійсних правових підстав. Організації повинні визначити найбільш відповідну правову підставу для кожної діяльності з обробки, а не покладатися на згоду [1].
Який термін повідомлення про витік даних за LGPD? LGPD вимагає повідомлення протягом "розумного терміну", який ANPD має визначити більш точно. У очікуванні цієї рекомендації, широко використовується внутрішній еталон у 72 години як консервативний стандарт [2].
Чи задовольняє програма, що відповідає GDPR, вимоги LGPD? Не зовсім. Відповідність GDPR забезпечує міцну основу, але прогалини в правових підставах, публічному розкритті DPO, порогах даних дітей та правах суб'єктів даних потребують специфічного усунення відповідно до LGPD.
Що таке Encarregado відповідно до LGPD? Encarregado — це еквівалент Офіцера з захисту даних за LGPD. На відміну від GDPR, LGPD загалом вимагає, щоб усі контролери даних призначали одного та публічно розкривали їхню особу та контактну інформацію [2].
Чи можна передавати особисті дані міжнародно відповідно до LGPD? Так, за певних умов, включаючи адекватний захист, контрактні запобіжники або специфічну згоду. Станом на 2026 рік ANPD ще не опублікував офіційний список адекватності або стандартні контрактні положення [3].
Який вік вимагає батьківської згоди відповідно до LGPD? LGPD вимагає батьківської або опікунської згоди для обробки особистих даних осіб до 18 років, що є вищим, ніж поріг GDPR у 16 років.
Висновок
Орієнтація в LGPD Бразилії вимагає більше, ніж просто перенесення контролів GDPR на нову юрисдикцію. Структурні відмінності, 10 правових підстав проти 6, ширша вимога до DPO, вищий вік згоди дітей та ще незріла регуляторна рамка вимагають свідомої, специфічної для Бразилії роботи з відповідності.
Дії, які слід вжити організаціям у 2026 році:
- Провести формальний аналіз прогалин LGPD у порівнянні з вашою існуючою програмою GDPR, зосередившись на правових підставах, призначенні DPO та процедурах прав суб'єктів даних.
- Призначити та публічно розкрити Encarregado, якщо ви обробляєте дані бразильських резидентів.
- Переглянути всі потоки згоди на відповідність стандартам згоди LGPD, особливо для користувачів до 18 років.
- Впровадити рішення для управління згодою для ваших веб-властивостей, яке підтримує вимоги LGPD поряд з іншими застосовними законами про конфіденційність.
- Встановити процедуру реагування на витік даних з внутрішньою метою ескалації у 72 години в очікуванні рекомендацій ANPD.
- Уважно стежити за публікаціями ANPD, рішеннями про адекватність, стандартними контрактними положеннями та критеріями DPIA, які всі очікують і безпосередньо вплинуть на зобов'язання щодо відповідності.
Організації, які розглядають відповідність LGPD як похідну від роботи GDPR, виявлять себе під загрозою саме в тих вимірах, де два закони найбільше розходяться. Присвячена, документована програма LGPD є єдиною захищеною позицією, оскільки можливості виконання ANPD продовжують зростати.
Посилання
[1] Lgpd Vs Gdpr Diferencas Similaridades - https://confidata.com.br/blog/lgpd-vs-gdpr-diferencas-similaridades?utm_source=openai
[2] Lgpd Vs Gdpr - https://lgpdpro.com.br/lgpd-vs-gdpr/?utm_source=openai
[3] Brazil Lgpd Vs Gdpr Differences - https://www.cleolabs.co/en/blog/brazil-lgpd-vs-gdpr-differences?utm_source=openai