El Reglamento General de Protección de Datos (GDPR) y la Lei Geral de Proteção de Dados Pessoais (LGPD) de Brasil son dos de los principales marcos de privacidad que regulan la recogida, el uso, la conservación y el intercambio de datos personales. Ambas normativas se articulan en torno a principios como la transparencia, la limitación de la finalidad, la seguridad, la responsabilidad proactiva y los derechos individuales. Sin embargo, el GDPR y la LGPD difieren en sus bases jurídicas, su estructura regulatoria, los derechos de los interesados, los requisitos de notificación de brechas, las transferencias internacionales de datos, los datos de menores y los mecanismos de aplicación. Para las organizaciones que operan en Europa y Brasil, comprender estas diferencias es esencial para construir un programa de privacidad capaz de satisfacer ambos marcos sin duplicar innecesariamente los esfuerzos de cumplimiento.
Comparativa: GDPR frente a LGPD
| Dimensión | 🇪🇺 GDPR | 🇧🇷 LGPD |
|---|---|---|
| Ley principal | Reglamento (UE) 2016/679 | Ley n.º 13.709/2018 |
| Fecha de entrada en vigor | 25 de mayo de 2018 | Disposiciones principales en vigor desde agosto de 2020; sanciones administrativas desde agosto de 2021 |
| Regulador | Autoridades de control de la UE/EEE coordinadas a través del EDPB | Autoridade Nacional de Proteção de Dados (ANPD) |
| Entidad regulada | Responsable del tratamiento | Responsable del tratamiento (controlador) |
| Encargado del tratamiento | Encargado del tratamiento | Operador |
| Persona física | Interesado | Interesado / Titular |
| Bases jurídicas | Seis bases del artículo 6 + condiciones del artículo 9 para las categorías especiales | Múltiples bases jurídicas conforme al artículo 7, además de normas específicas para los datos personales sensibles conforme al artículo 11 |
| Interés legítimo | Reconocido expresamente en el artículo 6, apartado 1, letra f) | Reconocido como una de las bases jurídicas de la LGPD conforme al artículo 7 |
| DPO | Obligatorio en circunstancias definidas | Se aplica el régimen del Encarregado, con sujeción a las normas de la LGPD y de la ANPD, incluidas las relativas a los agentes de tratamiento de pequeño porte |
| Datos sensibles | Categorías especiales conforme al artículo 9 | Datos personales sensibles conforme a los artículos 5 y 11 |
| Datos de menores | Garantías específicas; el artículo 8 se refiere a determinados servicios de la sociedad de la información basados en el consentimiento | Protecciones específicas conforme al artículo 14 |
| Derecho a la portabilidad | Sí | Sí |
| Decisiones automatizadas | Derechos específicos conforme al artículo 22 | Derecho a solicitar la revisión de las decisiones basadas únicamente en el tratamiento automatizado conforme al artículo 20 |
| Transferencias internacionales | Adecuación, SCCs, BCRs y otros mecanismos del capítulo V | Decisiones de adecuación, mecanismos contractuales y otros mecanismos del artículo 33 conforme a las normas de la ANPD |
| Notificación de brechas | Por lo general, en un plazo de 72 horas a la autoridad de control cuando sea obligatorio | A la ANPD y a las personas afectadas, por lo general en un plazo de 3 días hábiles para los incidentes que cumplan los requisitos de la Resolución n.º 15/2024 |
| Multa administrativa máxima | Hasta 20 millones de euros o el 4 % del volumen de negocios anual mundial para determinadas infracciones | Hasta el 2 % de los ingresos en Brasil del ejercicio fiscal anterior, con un límite de 50 millones de reales por infracción |
| Representante local | El artículo 27 puede exigir un representante en la UE a determinadas organizaciones de fuera de la UE | Sin equivalente directo al artículo 27 del GDPR |
¿Qué es el GDPR?
El Reglamento General de Protección de Datos (GDPR) es el marco integral de protección de datos de la Unión Europea.
Regula el tratamiento de datos personales por parte de responsables y encargados del tratamiento y establece requisitos que abarcan:
- Licitud y lealtad
- Transparencia
- Limitación de la finalidad
- Minimización de datos
- Exactitud
- Limitación del plazo de conservación
- Seguridad
- Responsabilidad proactiva
- Derechos de las personas
- Transferencias internacionales de datos
El GDPR también puede aplicarse a organizaciones de fuera de la UE cuando se cumplen los requisitos de su ámbito territorial.
¿Qué es la LGPD?
La Lei Geral de Proteção de Dados Pessoais (LGPD) de Brasil, establecida por la Ley n.º 13.709/2018, regula el tratamiento de datos personales por parte de organizaciones públicas y privadas.
La LGPD establece obligaciones para:
- Responsables del tratamiento (controladores)
- Operadores
- Delegados de protección de datos / Encarregados
- Organizaciones que tratan datos personales
- Organizaciones que tratan datos personales sensibles
La Autoridade Nacional de Proteção de Dados (ANPD) es la autoridad nacional de protección de datos de Brasil. La ANPD ha dictado normas que abarcan ámbitos como el Encarregado, la notificación de incidentes de seguridad, las transferencias internacionales de datos, las sanciones y las reglas para los agentes de tratamiento de pequeño porte.
GDPR vs. LGPD: diferencias clave
1. Ámbito territorial
GDPR
El GDPR puede aplicarse a organizaciones establecidas dentro o fuera de la UE cuando se cumplen los requisitos del artículo 3.
Esto puede incluir a determinadas organizaciones de fuera de la UE que:
- Ofrecen bienes o servicios a personas que se encuentran en la UE
- Hacen un seguimiento del comportamiento de personas que se encuentran en la UE
- Operan a través de un establecimiento en la UE
LGPD
La LGPD puede aplicarse cuando:
- El tratamiento se lleva a cabo en Brasil
- El tratamiento tiene por objeto ofrecer o suministrar bienes o servicios a personas ubicadas en Brasil
- Los datos personales se han recogido en Brasil
La aplicación de la legislación brasileña de protección de datos a las transferencias internacionales también se aborda en el marco de transferencias internacionales de la ANPD.
Diferencia clave: Tanto el GDPR como la LGPD pueden aplicarse a organizaciones situadas fuera de sus respectivos territorios, pero los criterios legales no son idénticos.
2. Responsable del tratamiento vs. controlador
GDPR
El GDPR utiliza el término «responsable del tratamiento» (Controller) para referirse a la organización que determina los fines y los medios del tratamiento de datos personales.
El GDPR utiliza:
- Encargado del tratamiento
LGPD
De forma similar, la LGPD define al responsable del tratamiento (Controlador) como la entidad a la que corresponden las decisiones relativas al tratamiento de datos personales.
La LGPD utiliza:
- Operador
Por tanto, la terminología es relativamente cercana, aunque los derechos, las obligaciones y el marco regulatorio difieren. Ambos conceptos de encargado se refieren, en general, a entidades que tratan datos personales por cuenta de otra organización, pero las responsabilidades contractuales y legales deben evaluarse conforme a la ley aplicable.
3. Bases jurídicas del tratamiento
Se trata de un ámbito importante de similitudes y diferencias.
GDPR
El artículo 6 del GDPR prevé seis bases jurídicas principales:
- Consentimiento
- Contrato
- Obligación legal
- Intereses vitales
- Misión de interés público
- Interés legítimo
Se aplican condiciones adicionales a las categorías especiales de datos personales conforme al artículo 9.
LGPD
El artículo 7 de la LGPD prevé múltiples bases jurídicas para los datos personales ordinarios, entre ellas:
- Consentimiento
- Cumplimiento de obligaciones legales o regulatorias
- Administración pública
- Investigación
- Ejecución de un contrato
- Ejercicio de derechos
- Protección de la vida
- Protección de la salud
- Interés legítimo
- Protección del crédito
Se aplican bases jurídicas adicionales a los datos personales sensibles conforme al artículo 11.
Diferencia clave: Ambos marcos reconocen el interés legítimo, pero sus estructuras jurídicas y sus requisitos detallados difieren.
4. Consentimiento
GDPR
Cuando el consentimiento se utiliza como base jurídica, debe ser:
- Libre
- Específico
- Informado
- Inequívoco
Las organizaciones deben poder demostrar el consentimiento y ofrecer un mecanismo eficaz para retirarlo.
LGPD
La LGPD también concede una gran importancia al consentimiento.
El consentimiento debe otorgarse en las condiciones establecidas por la ley y puede ser revocado por el titular de los datos.
Las organizaciones deben conservar pruebas que acrediten:
- Qué se comunicó
- Qué aceptó la persona
- Cuándo se obtuvo el consentimiento
- La finalidad del tratamiento
- Cómo puede retirarse el consentimiento
Conclusión práctica: una misma plataforma de gestión del consentimiento puede servir tanto para el GDPR como para la LGPD, pero la base jurídica y los requisitos de información deben seguir evaluándose por separado.
5. Interés legítimo
En este punto, los dos marcos se parecen más de lo que sugieren muchas páginas comparativas.
GDPR
El interés legítimo del artículo 6, apartado 1, letra f), puede constituir una base jurídica cuando sobre los intereses legítimos del responsable del tratamiento no prevalezcan los intereses o los derechos y libertades fundamentales del interesado.
Las organizaciones deben evaluar y documentar adecuadamente esta base.
LGPD
El interés legítimo también se reconoce expresamente como base jurídica en el artículo 7.
El responsable del tratamiento debe tener en cuenta sus propios intereses legítimos o los de un tercero, respetando los derechos y libertades fundamentales y aplicando las garantías exigidas por la LGPD.
Diferencia clave: Ambos marcos reconocen el interés legítimo, pero los criterios legales, las expectativas de documentación y las interpretaciones regulatorias no son idénticos.
6. Derechos de los interesados
GDPR
Los derechos del GDPR pueden incluir:
- Derecho de acceso
- Derecho de rectificación
- Derecho de supresión
- Derecho a la limitación del tratamiento
- Derecho a la portabilidad de los datos
- Derecho de oposición
- Derecho a retirar el consentimiento
- Derechos relativos a las decisiones automatizadas y la elaboración de perfiles
LGPD
La LGPD reconoce, entre otros, los siguientes derechos:
- Confirmación de la existencia del tratamiento
- Acceso a los datos personales
- Corrección
- Anonimización, bloqueo o eliminación de datos innecesarios o excesivos
- Portabilidad de los datos
- Eliminación de los datos personales tratados sobre la base del consentimiento, con sujeción a las excepciones legales
- Información sobre las entidades públicas y privadas con las que se han compartido los datos
- Información sobre la posibilidad de negar el consentimiento
- Retirada del consentimiento
- Revisión de determinadas decisiones automatizadas
Diferencia clave: Los derechos coinciden en gran medida, pero su redacción legal, su alcance y sus mecanismos de aplicación difieren.
7. Decisiones automatizadas
GDPR
El artículo 22 establece protecciones específicas en relación con las decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos o efectos significativos similares.
Las personas pueden tener derechos respecto de tales decisiones, con sujeción a las condiciones y excepciones previstas en el GDPR.
LGPD
El artículo 20 reconoce a las personas el derecho a solicitar la revisión de las decisiones adoptadas únicamente sobre la base del tratamiento automatizado que afecten a sus intereses, incluidas las decisiones destinadas a definir perfiles personales, profesionales, de consumo y de crédito.
Por ello, las organizaciones que utilizan IA o sistemas de decisión automatizada deben evaluar ambos marcos cuando operan en Brasil y en la UE.
8. Datos personales sensibles
GDPR
El GDPR identifica categorías especiales de datos personales, entre ellas:
- Origen racial o étnico
- Opiniones políticas
- Convicciones religiosas o filosóficas
- Afiliación sindical
- Datos genéticos
- Datos biométricos utilizados para la identificación
- Datos de salud
- Vida sexual u orientación sexual
El artículo 9 establece condiciones reforzadas para el tratamiento de estas categorías.
LGPD
La LGPD define los datos personales sensibles por separado. Esto incluye la información relativa a:
- Origen racial o étnico
- Convicciones religiosas
- Opiniones políticas
- Afiliación a sindicatos o a organizaciones de carácter religioso, filosófico o político
- Salud
- Vida sexual
- Datos genéticos
- Datos biométricos
El tratamiento de datos sensibles está sujeto a las bases jurídicas y garantías específicas establecidas en el artículo 11 de la LGPD.
9. Datos de menores
GDPR
El GDPR prevé protecciones específicas para los menores.
El artículo 8 establece una edad por defecto de 16 años para determinados servicios de la sociedad de la información basados en el consentimiento, aunque los Estados miembros de la UE pueden reducirla hasta un mínimo de 13 años.
El GDPR también exige a las organizaciones que tengan en cuenta las vulnerabilidades e intereses específicos de los menores.
LGPD
El artículo 14 de la LGPD establece requisitos específicos para el tratamiento de los datos personales de niños y adolescentes.
El tratamiento debe llevarse a cabo atendiendo a su interés superior.
En el caso de los datos de niños, la LGPD establece requisitos específicos de consentimiento que implican a uno de los progenitores o al tutor legal, con sujeción al marco legal.
Importante: no debe simplificarse la LGPD afirmando que exige el consentimiento parental únicamente para los niños «menores de 12 años». La ley protege tanto a niños como a adolescentes, y los requisitos exactos dependen del contexto del tratamiento.
10. Delegado de protección de datos / Encarregado
GDPR
El delegado de protección de datos (DPO) solo es obligatorio en las circunstancias previstas en el artículo 37 del GDPR. Entre ellas figuran determinadas:
- Actividades de seguimiento a gran escala
- Actividades de tratamiento a gran escala de categorías especiales de datos
- Actividades de tratamiento de autoridades públicas
LGPD
La LGPD establece la figura del Encarregado pelo tratamento de dados pessoais.
El Encarregado actúa como un importante canal de comunicación entre:
- Los titulares de los datos
- La organización
- La ANPD
La Resolución n.º 18/2024 de la ANPD establece normas adicionales sobre la designación, las responsabilidades y el funcionamiento del Encarregado.
Las reglas para los agentes de tratamiento de pequeño porte también prevén simplificaciones y exenciones específicas, por lo que es inexacto afirmar que todos los responsables del tratamiento sujetos a la LGPD tienen exactamente la misma obligación en materia de DPO.
11. Representante local
GDPR
Determinadas organizaciones de fuera de la UE pueden estar obligadas a designar un representante en la UE conforme al artículo 27.
El representante puede actuar como punto de contacto para las personas y las autoridades de control.
LGPD
La LGPD no crea un equivalente directo del artículo 27 del GDPR.
No obstante, las organizaciones internacionales pueden necesitar una gobernanza de privacidad adecuada en Brasil, mecanismos de contacto con el regulador y, cuando proceda, un Encarregado.
Importante: un servicio comercial de «representante en Brasil» no debe describirse como un equivalente legal del representante del artículo 27 del GDPR.
12. Notificación de brechas
GDPR
Conforme al artículo 33, el responsable del tratamiento debe, por lo general, notificar a la autoridad de control competente toda violación de la seguridad de los datos personales que cumpla los requisitos sin dilación indebida y, de ser posible, en un plazo de 72 horas desde que haya tenido constancia de ella.
Cuando sea probable que la brecha entrañe un alto riesgo para las personas, también puede ser necesario notificarla a los interesados afectados.
LGPD
La Resolución n.º 15/2024 de la ANPD establece las normas para la comunicación de los incidentes de seguridad que cumplan los requisitos.
Cuando un incidente de seguridad pueda ocasionar un riesgo o daño relevante a los titulares de los datos, el responsable del tratamiento debe notificarlo a la ANPD y a los titulares afectados en un plazo de tres días hábiles, con sujeción a las normas y excepciones aplicables.
Los agentes de tratamiento de pequeño porte pueden beneficiarse de plazos diferenciados conforme al régimen de la ANPD para pequeños agentes.
Diferencia clave: El GDPR utiliza un régimen de 72 horas para la notificación a la autoridad de control, mientras que la LGPD utiliza un régimen de tres días hábiles conforme a la Resolución n.º 15/2024 de la ANPD para los incidentes que cumplan los requisitos.
13. Transferencias internacionales de datos
Este ámbito ha evolucionado considerablemente en el marco de la LGPD.
GDPR
El capítulo V del GDPR prevé mecanismos como:
- Decisiones de adecuación
- Cláusulas contractuales tipo
- Normas corporativas vinculantes
- Excepciones específicas
Las organizaciones también pueden necesitar garantías complementarias y evaluaciones del riesgo de la transferencia en función del mecanismo de transferencia.
LGPD
La Resolución n.º 19/2024 de la ANPD establece el marco brasileño para las transferencias internacionales de datos. Los mecanismos pueden incluir:
- Decisiones de adecuación de la ANPD
- Cláusulas contractuales tipo
- Cláusulas contractuales específicas
- Normas corporativas globales
- Otros mecanismos previstos en el artículo 33 de la LGPD
La resolución también establece requisitos relativos a las finalidades, las garantías y la documentación de las transferencias internacionales.
Diferencia clave: La LGPD cuenta ahora con un marco formal de transferencias internacionales administrado por la ANPD, en lugar de basarse simplemente en un enfoque contractual general.
14. Portabilidad de los datos
GDPR
El artículo 20 del GDPR reconoce el derecho a la portabilidad de los datos en determinadas circunstancias.
Por lo general, esto implica recibir determinados datos personales en un formato estructurado, de uso común y lectura mecánica y, cuando sea técnicamente posible, transmitirlos a otro responsable del tratamiento.
LGPD
El artículo 18 de la LGPD también reconoce el derecho a la portabilidad de los datos, con sujeción al marco regulatorio y a los requisitos aplicables.
Corrección clave: es inexacto afirmar que la LGPD no contempla el derecho a la portabilidad.
15. Anonimización
GDPR
La información que es verdaderamente anónima y que no puede vincularse razonablemente a una persona identificable queda fuera de la definición de datos personales del GDPR.
LGPD
La LGPD también distingue los datos anonimizados de los datos personales, al tiempo que establece sus propios criterios y su propio tratamiento de la anonimización.
Por ello, las organizaciones deben documentar la metodología de anonimización y evaluar si los datos pueden volver a asociarse razonablemente a una persona.
16. Evaluaciones de impacto relativas a la protección de datos
GDPR
Se exige una evaluación de impacto relativa a la protección de datos (DPIA) cuando es probable que el tratamiento entrañe un alto riesgo para los derechos y libertades de las personas. Algunos ejemplos típicos son:
- Seguimiento a gran escala
- Tratamiento a gran escala de datos sensibles
- Determinadas actividades de IA o de elaboración de perfiles
- Evaluación sistemática de personas
LGPD
La LGPD prevé un Relatório de Impacto à Proteção de Dados Pessoais (RIPD).
La ANPD puede exigir a los responsables del tratamiento que elaboren y presenten un RIPD en las circunstancias establecidas por el marco regulatorio aplicable.
Por ello, las organizaciones que operan en ambas jurisdicciones deben evitar dar por sentado que una única DPIA/RIPD satisface automáticamente ambos regímenes.
17. Sanciones
GDPR
Para determinadas infracciones graves, las multas administrativas del GDPR pueden alcanzar los 20 millones de euros o el 4 % del volumen de negocios anual mundial del ejercicio financiero anterior, si esta cuantía es superior.
LGPD
Las sanciones administrativas de la LGPD pueden incluir:
- Advertencia
- Multa de hasta el 2 % de los ingresos en Brasil del ejercicio fiscal anterior
- Multa limitada a 50 millones de reales por infracción
- Multas diarias, con sujeción a los límites legales
- Divulgación pública de la infracción
- Bloqueo de los datos personales
- Eliminación de los datos personales
- Suspensión parcial de la base de datos
- Suspensión de las actividades de tratamiento
- Prohibición parcial o total de las actividades relacionadas con el tratamiento
La sanción aplicable depende de la naturaleza y las circunstancias de la infracción.
Diferencia clave: La multa más destacada del GDPR se basa en el volumen de negocios anual mundial, mientras que la principal multa administrativa de la LGPD está vinculada a los ingresos en Brasil y sujeta a un límite monetario legal.
GDPR vs. LGPD: ¿cuál es más estricto?
Es difícil señalar uno de los marcos como universalmente más estricto.
El GDPR es especialmente detallado en ámbitos como:
- Seis bases jurídicas
- Categorías especiales de datos
- Portabilidad de los datos
- Decisiones automatizadas
- Transferencias internacionales
- Responsabilidad de responsables y encargados del tratamiento
- Requisitos del representante en la UE
La LGPD establece requisitos exigentes en torno a:
- Derechos de los titulares de los datos
- Consentimiento
- Datos personales sensibles
- Datos de menores
- Gobernanza del Encarregado
- Transferencias internacionales
- Seguridad
- Responsabilidad proactiva
Por tanto, el enfoque correcto para las empresas internacionales consiste en identificar los controles comunes y, a continuación, implementar los requisitos específicos de cada jurisdicción.
¿Puede el cumplimiento del GDPR ayudar con el cumplimiento de la LGPD?
Sí.
Un programa de GDPR consolidado puede ofrecer una base sólida para el cumplimiento de la LGPD, ya que ambos marcos incluyen requisitos en torno a:
- Inventarios de datos
- Avisos de privacidad
- Consentimiento
- Derechos de las personas
- Seguridad
- Gestión de proveedores
- Transferencias internacionales
- Respuesta a incidentes
- Responsabilidad proactiva
Sin embargo, cumplir el GDPR no implica automáticamente cumplir la LGPD. Deben evaluarse los controles específicos de Brasil, en particular en torno a:
- Bases jurídicas de la LGPD
- Requisitos del Encarregado
- Requisitos regulatorios de la ANPD
- Derechos de los titulares de los datos en Brasil
- Notificación de incidentes
- Mecanismos de transferencia internacional
- Sanciones de la LGPD
- Avisos de privacidad y gobernanza en Brasil
Cómo crear un único programa de cumplimiento del GDPR y la LGPD
Las organizaciones que operan en ambas jurisdicciones pueden reducir duplicidades estableciendo un marco común de gestión de la privacidad.
1. Mapeo de datos
Identifique:
- Datos personales
- Finalidades del tratamiento
- Interesados
- Responsables del tratamiento
- Encargados del tratamiento/operadores
- Destinatarios
- Ubicaciones de almacenamiento
- Plazos de conservación
- Transferencias internacionales
2. Gestión de las bases jurídicas
Elabore una matriz de bases jurídicas por jurisdicción que abarque:
- Artículo 6 del GDPR
- Artículo 9 del GDPR
- Artículo 7 de la LGPD
- Artículo 11 de la LGPD
3. Gestión de los derechos de privacidad
Cree un flujo de trabajo unificado para:
- Solicitudes de los interesados conforme al GDPR
- Solicitudes de los titulares de los datos conforme a la LGPD
- Verificación de la identidad
- Seguimiento de las solicitudes
- Plazos de respuesta
- Evidencias y registros de auditoría
4. Gestión del consentimiento
Gestione:
- Recogida del consentimiento
- Registros del consentimiento
- Retirada
- Preferencias de cookies
- Preferencias de marketing
- Consentimiento de menores, cuando proceda
5. Gestión de proveedores
Evalúe:
- Encargados del tratamiento conforme al GDPR
- Operadores conforme a la LGPD
- Subencargados del tratamiento
- Proveedores de servicios en la nube
- Proveedores de analítica
- Plataformas publicitarias
- Proveedores internacionales
6. Respuesta a brechas
Mantenga un proceso unificado de respuesta a incidentes con vías de escalado específicas para cada jurisdicción.
El flujo de trabajo debe identificar:
- Jurisdicción aplicable
- Nivel de riesgo
- Umbral de notificación
- Plazo regulatorio
- Requisitos de notificación a las personas
- Requisitos de evidencia
7. Gestión de las transferencias internacionales
Mantenga un inventario de transferencias que incluya:
- Exportador de datos
- Importador de datos
- País de destino
- Mecanismo de transferencia
- Garantías contractuales
- Medidas de seguridad
- Evaluaciones de las transferencias
Preguntas frecuentes
¿Es la LGPD la versión brasileña del GDPR?
No exactamente. La LGPD se inspiró en los principios globales de protección de datos y comparte muchos conceptos con el GDPR, pero es una ley brasileña independiente, con sus propias bases jurídicas, derechos, marco regulatorio y mecanismos de aplicación.
Si cumplimos el GDPR, ¿cumplimos automáticamente la LGPD?
No. El cumplimiento del GDPR ofrece una base sólida, pero las organizaciones deben evaluar los requisitos específicos de la LGPD y las normas de la ANPD.
¿Tiene la LGPD seis bases jurídicas como el GDPR?
No. La LGPD prevé una lista más amplia de bases jurídicas en el artículo 7, con normas separadas para los datos personales sensibles en el artículo 11.
¿Reconoce la LGPD el interés legítimo?
Sí. El interés legítimo es una de las bases jurídicas del artículo 7 de la LGPD. Sin embargo, los requisitos no son idénticos a los del artículo 6, apartado 1, letra f), del GDPR.
¿Exige la LGPD un DPO?
La LGPD establece la figura del Encarregado, con requisitos detallados en la Resolución n.º 18/2024 de la ANPD. Las obligaciones exactas pueden variar en función de la organización y de las normas aplicables de la ANPD, incluidas las relativas a los agentes de tratamiento de pequeño porte.
¿Tiene la LGPD una regla de notificación de brechas en 72 horas?
No. El régimen de notificación de incidentes de seguridad de la LGPD utiliza un plazo de tres días hábiles conforme a la Resolución n.º 15/2024 de la ANPD, en lugar de la regla de 72 horas del GDPR.
¿Exige la LGPD un representante en Brasil?
No existe un equivalente directo a la obligación de designar un representante en la UE del artículo 27 del GDPR. En su lugar, las organizaciones deben evaluar sus requisitos en materia de Encarregado, gobernanza y contacto con el regulador.
¿Reconoce la LGPD el derecho a la portabilidad de los datos?
Sí. El artículo 18 de la LGPD incluye la portabilidad de los datos entre los derechos de los titulares, con sujeción al marco regulatorio aplicable.
¿Regula la LGPD las transferencias internacionales de datos?
Sí. La Resolución n.º 19/2024 de la ANPD establece un marco regulatorio detallado para las transferencias internacionales, que incluye decisiones de adecuación y mecanismos contractuales.
¿Qué empresas deberían plantearse una evaluación de cumplimiento del GDPR y la LGPD?
Una evaluación combinada resulta especialmente pertinente para empresas de SaaS, empresas tecnológicas, empresas de comercio electrónico, minoristas globales, empresas de IA, plataformas de publicidad y marketing, organizaciones sanitarias, empresas de tecnología financiera, proveedores de servicios en la nube y organizaciones que tratan datos de clientes de la UE y de Brasil.
Cumplimiento del GDPR y la LGPD con RegulatoryBridge
Gestionar el GDPR y la LGPD mediante procesos completamente separados puede generar duplicidades innecesarias y controles de privacidad incoherentes.
RegulatoryBridge ayuda a las organizaciones a crear programas coordinados de cumplimiento en materia de privacidad en Europa, Brasil y otras jurisdicciones de todo el mundo.
Nuestro apoyo puede incluir:
- Evaluaciones de cumplimiento del GDPR
- Evaluaciones de cumplimiento de la LGPD
- Mapeo e inventario de datos
- Revisión de avisos de privacidad
- Evaluaciones de las bases jurídicas
- Gestión del consentimiento
- Flujos de trabajo para los derechos de los interesados
- Apoyo al Encarregado
- Evaluaciones de proveedores y de encargados del tratamiento/operadores
- Evaluaciones de transferencias internacionales
- Apoyo en DPIA y RIPD
- Planificación de la seguridad y de la respuesta a brechas
- Monitorización regulatoria
- Representación de privacidad transfronteriza
- Gestión continua del cumplimiento en materia de privacidad
Cubre GDPR y LGPD con un solo programa.
Mapea los controles una vez y cumple dos veces. RegulatoryBridge te ofrece un único flujo de DSAR, un único DPO y un único manual de respuesta ante brechas, abarcando ambos marcos.