¿Qué es la LGPD?
La Lei Geral de Proteção de Dados Pessoais (Ley n.º 13.709/2018) es la principal ley de protección de datos personales de Brasil.
La LGPD entró en vigor en agosto de 2020 y las sanciones administrativas pasaron a ser aplicables en agosto de 2021. La Autoridade Nacional de Proteção de Dados (ANPD) es responsable de supervisar la ley y velar por su cumplimiento.
La LGPD establece principios y obligaciones que regulan la recogida, el uso, el almacenamiento, la comunicación, la seguridad y demás tratamientos de datos personales.
La ley es relevante para organizaciones de todos los sectores, entre ellos tecnología, comercio electrónico, servicios financieros, sanidad, SaaS, marketing y plataformas digitales.
¿Quién debe cumplir la LGPD?
La LGPD puede aplicarse a organizaciones de dentro y de fuera de Brasil en función de las circunstancias del tratamiento.
El ámbito territorial de la ley incluye situaciones que implican:
Tratamiento en Brasil
Las operaciones de tratamiento realizadas en territorio brasileño pueden quedar sujetas a la LGPD con independencia de dónde esté establecido el responsable del tratamiento.
Oferta de bienes o servicios en Brasil
Las organizaciones que tratan datos personales para ofrecer bienes o servicios a personas situadas en Brasil pueden estar sujetas a la LGPD.
Datos recogidos en Brasil
La LGPD puede aplicarse cuando los datos personales se recogen en territorio brasileño, con sujeción al ámbito y a las disposiciones aplicables de la ley.
Esto hace que la LGPD sea especialmente relevante para las organizaciones internacionales que entran en el mercado brasileño o le prestan servicio.
Servicios de cumplimiento de la LGPD
RegulatoryBridge ofrece un programa de cumplimiento de la LGPD basado en seis pilares, diseñado para ayudar a las organizaciones a abordar las obligaciones fundamentales de gobernanza de la privacidad y regulatorias.
Servicio de Encarregado / DPO
01El Encarregado de Proteção de Dados desempeña un papel importante en el programa de protección de datos de una organización y puede actuar como canal de comunicación con la ANPD y los titulares de los datos.
RegulatoryBridge ofrece servicios de Encarregado diseñados para prestar apoyo a las organizaciones en:
- Gobernanza del cumplimiento de la LGPD
- Comunicaciones con la ANPD
- Comunicaciones con los titulares de los datos
- Supervisión del programa de privacidad
- Coordinación del ROPA
- Apoyo en RIPD/DPIA
- Respuesta a incidentes
- Documentación de privacidad
- Soporte de cumplimiento continuo
Nuestro servicio puede ofrecer soporte en portugués e inglés a las organizaciones internacionales que operan en Brasil.
Registros de actividades de tratamiento (ROPA)
02El artículo 37 de la LGPD regula los registros de actividades de tratamiento.
Un Registro de Operações de Tratamento estructurado ayuda a las organizaciones a comprender y documentar cómo se tratan los datos personales en toda la empresa.
Un ROPA completo puede abarcar:
- Actividades de tratamiento
- Finalidades del tratamiento
- Categorías de datos personales
- Categorías de titulares de los datos
- Destinatarios de los datos
- Acuerdos de intercambio de datos
- Transferencias internacionales
- Plazos de conservación
- Medidas de seguridad
- Responsables y encargados del tratamiento
- Responsables de negocio a cargo del tratamiento
RegulatoryBridge ayuda a las organizaciones a mantener los registros de tratamiento en portugués y a coordinarlos con marcos de ROPA globales más amplios.
RIPD / DPIA
03Un Relatório de Impacto à Proteção de Dados Pessoais (RIPD) es una herramienta importante para evaluar los riesgos de privacidad asociados a determinadas actividades de tratamiento.
RegulatoryBridge presta apoyo a las organizaciones con evaluaciones de impacto en la privacidad para:
- Tratamiento de alto riesgo
- Nuevos productos y servicios
- Nuevas tecnologías
- Tratamiento de datos a gran escala
- Datos personales sensibles
- Tratamiento basado en IA
- Requerimientos regulatorios
Nuestro enfoque ayuda a las organizaciones a identificar los riesgos de privacidad, documentar los controles de mitigación y mantener evidencias de la gobernanza de la privacidad.
Interlocución con la ANPD y soporte regulatorio
04La Autoridade Nacional de Proteção de Dados (ANPD) es la autoridad de protección de datos de Brasil.
Las organizaciones pueden tener que comunicarse con la ANPD en relación con asuntos regulatorios, consultas, inspecciones, incidentes u otras cuestiones de cumplimiento.
RegulatoryBridge ofrece apoyo en la interlocución con la ANPD que abarca:
- Comunicaciones regulatorias
- Notificaciones
- Consultas
- Respuestas a inspecciones
- Consultas sobre cumplimiento
- Comunicaciones relacionadas con incidentes
- Documentación regulatoria
Nuestro equipo puede ayudar a las organizaciones a coordinar las comunicaciones con la ANPD y a mantener registros adecuados de las interacciones regulatorias.
Transferencias internacionales de datos
05Las organizaciones internacionales necesitan con frecuencia transferir datos personales entre Brasil y otros países.
La LGPD establece requisitos que regulan las transferencias internacionales, y las organizaciones deben utilizar un mecanismo jurídico aplicable y cumplir las garantías pertinentes.
RegulatoryBridge presta apoyo a las organizaciones con:
Mecanismos de adecuación
Evaluación de si un destino o un mecanismo de transferencia aplicable cumple los requisitos pertinentes.
Cláusulas contractuales
Apoyo en los mecanismos contractuales utilizados para las transferencias internacionales de datos.
Normas corporativas vinculantes
Apoyo a las organizaciones multinacionales que utilizan acuerdos de transferencia a escala de grupo, cuando proceda.
Gobernanza de las transferencias
Documentación y revisión de los acuerdos de transferencia internacional.
El programa actual de LGPD de RegulatoryBridge incorpora apoyo en transferencias internacionales alineado con la Resolución 19/2024 de la ANPD.
Respuesta a incidentes conforme a la LGPD
06Los incidentes relacionados con datos personales exigen una evaluación rápida y una actuación coordinada.
RegulatoryBridge presta apoyo a las organizaciones con un proceso estructurado de respuesta a incidentes conforme a la LGPD.
Detectar
- Identifique y clasifique el incidente.
Evaluar
- Determine la naturaleza y el alcance del incidente relacionado con datos personales y evalúe su posible impacto.
Contener
- Coordine las medidas técnicas, jurídicas, de privacidad y operativas adecuadas.
Notificar
- Evalúe las obligaciones de notificación aplicables a la ANPD y a las personas afectadas.
Documentar
- Mantenga registros adecuados del incidente y las evidencias de respaldo.
Remediar
- Identifique medidas correctivas y reduzca la probabilidad de que se repita.
El programa actual de RegulatoryBridge incluye apoyo en la notificación de incidentes a la ANPD alineado con la Resolución CD/ANPD n.º 15/2024.
Derechos de los titulares de los datos conforme a la LGPD
La LGPD otorga a las personas una serie de derechos sobre sus datos personales.
Entre ellos figuran los derechos relativos a:
- Confirmación del tratamiento
- Acceso a los datos personales
- Rectificación de datos incompletos o inexactos
- Anonimización, bloqueo o supresión de datos innecesarios o excesivos
- Portabilidad de los datos
- Supresión de los datos tratados con base en el consentimiento, con sujeción a las condiciones aplicables
- Información sobre las entidades públicas y privadas con las que se han compartido los datos
- Información sobre la posibilidad de no otorgar el consentimiento y sus consecuencias
- Revocación del consentimiento
Las organizaciones necesitan procesos para recibir, evaluar, autenticar, atender y documentar las solicitudes aplicables de los titulares de los datos.
Sanciones por incumplimiento de la LGPD
La ANPD dispone de potestades sancionadoras en virtud de la LGPD.
Para determinadas infracciones, las multas administrativas pueden alcanzar hasta el 2 % de los ingresos en Brasil, con un límite de 50 millones de reales por infracción. Otras sanciones pueden incluir multas diarias, la publicación de la infracción y el bloqueo de datos personales, con sujeción al marco jurídico y al procedimiento sancionador aplicables.
Las posibles consecuencias financieras y operativas hacen de una gobernanza de la privacidad estructurada una parte importante del programa de cumplimiento de una organización en Brasil.
Gestión de solicitudes de titulares de los datos conforme a la LGPD
RegulatoryBridge puede ayudar a las organizaciones a establecer un flujo de trabajo estructurado para tramitar las solicitudes de privacidad.
Un proceso estructurado de gestión de solicitudes puede ayudar a las organizaciones a gestionar las obligaciones de privacidad de forma coherente en Brasil y en otras jurisdicciones.
Principios de la LGPD
El artículo 6 establece los principios que las organizaciones deben tener en cuenta al tratar datos personales.
Entre ellos figuran:
Finalidad
Los datos personales deben tratarse con fines legítimos, específicos, explícitos e informados.
Adecuación
El tratamiento debe ser compatible con las finalidades comunicadas al titular de los datos.
Necesidad
El tratamiento debe limitarse a los datos pertinentes y necesarios para la finalidad prevista.
Libre acceso
Las personas deben tener acceso a la información relativa al tratamiento de sus datos personales.
Calidad de los datos
Los datos personales deben ser exactos, claros, pertinentes y mantenerse debidamente actualizados.
Transparencia
Las personas deben recibir información clara sobre cómo se tratan sus datos.
Seguridad
Las organizaciones deben adoptar medidas técnicas y administrativas para proteger los datos personales.
Prevención
Las organizaciones deben adoptar medidas destinadas a prevenir los daños derivados del tratamiento de datos.
No discriminación
Los datos personales no deben tratarse con fines ilícitos o discriminatorios.
Responsabilidad proactiva
Las organizaciones deben poder demostrar la adopción de medidas eficaces capaces de cumplir los requisitos de protección de datos.
La página actual de LGPD de RegulatoryBridge destaca los principios fundamentales del artículo 6 y los requisitos de responsabilidad proactiva relacionados.
Cumplimiento de la LGPD para distintos sectores
FinTech y servicios financieros
Las organizaciones financieras pueden enfrentarse a requisitos de privacidad, ciberseguridad y del sector financiero que se solapan. RegulatoryBridge puede ayudar a coordinar la LGPD con obligaciones regulatorias más amplias.
Comercio electrónico y minorista
Gestione los datos de clientes, las actividades de marketing, el consentimiento, los derechos de los titulares de los datos, la conservación y las transferencias internacionales de datos.
HealthTech
Las organizaciones sanitarias pueden tratar datos personales sensibles y necesitar procesos más sólidos de gobernanza de la privacidad y gestión de riesgos.
SaaS y tecnología
Las empresas tecnológicas internacionales que prestan servicio a clientes brasileños pueden tener que evaluar el ámbito territorial de la LGPD, las actividades de tratamiento, los contratos, las transferencias internacionales y los derechos de los titulares de los datos.
IA y aprendizaje automático
Los sistemas de IA que tratan datos personales pueden generar riesgos de privacidad adicionales en torno a la elaboración de perfiles, el tratamiento automatizado, la minimización de datos, la transparencia y la licitud del tratamiento.
La LGPD y el cumplimiento de privacidad global
Las organizaciones globales rara vez operan bajo una única normativa de privacidad.
Una organización que presta servicio a clientes brasileños puede tener que cumplir también normativas como:
- GDPR de la UE
- UK GDPR
- CCPA/CPRA
- DPDPA de la India
- PDPA de Singapur
- APPI de Japón
- Otros marcos de privacidad nacionales y sectoriales
RegulatoryBridge ofrece una cobertura de cumplimiento más amplia en más de 45 jurisdicciones, lo que permite a las organizaciones coordinar la LGPD con su programa de privacidad global.
LGPD frente a GDPR
La LGPD y el GDPR comparten varios conceptos, entre ellos:
- Derechos de los titulares de los datos
- Principios de protección de datos
- Responsabilidad proactiva
- Gobernanza de la privacidad
- Registros de tratamiento
- Evaluaciones de impacto
- Requisitos de transferencia internacional
- Obligaciones en materia de brechas e incidentes
Sin embargo, las dos normas no son idénticas.
Las organizaciones deben evaluar los requisitos específicos de cada jurisdicción en lugar de dar por sentado que cumplir el GDPR implica automáticamente cumplir la LGPD.
RegulatoryBridge puede ayudar a las organizaciones a coordinar la LGPD con el GDPR y otros marcos de privacidad globales.
¿Por qué elegir RegulatoryBridge para el cumplimiento de la LGPD?
Soporte de privacidad centrado en Brasil
Acceda a soporte dedicado de cumplimiento de la LGPD para organizaciones que operan en Brasil o le prestan servicio.
Servicios de Encarregado
Establezca un canal de comunicación de privacidad adecuado y reciba soporte continuo para la gobernanza de la LGPD.
Interlocución con la ANPD
Coordine las comunicaciones regulatorias, las notificaciones, las consultas y las respuestas a inspecciones.
Apoyo en transferencias internacionales
Gestione las transferencias de datos brasileños dentro de un marco de privacidad global más amplio.
Cobertura regulatoria global
Coordine la LGPD con el GDPR, el UK GDPR, la CCPA/CPRA, la DPDPA, la APPI, la PDPA y otros marcos de privacidad.
Conocimiento regulatorio continuo
La plataforma general de RegulatoryBridge supervisa las novedades regulatorias y de las autoridades en más de 45 jurisdicciones y proporciona inteligencia de cumplimiento pertinente.
Preguntas frecuentes
Cree un programa continuo de cumplimiento de la LGPD
El cumplimiento de la LGPD debe evolucionar junto con su organización.
Puede ser necesario reevaluar sus obligaciones de privacidad cuando usted:
- Lance nuevos productos
- Entre en el mercado brasileño
- Introduzca nuevas tecnologías
- Cambie de proveedores de servicios
- Trate nuevas categorías de datos personales
- Introduzca sistemas de IA
- Modifique los acuerdos de transferencia internacional
- Amplíe sus actividades de marketing
- Sufra un incidente de datos
RegulatoryBridge ayuda a las organizaciones a establecer un programa continuo que combina servicios de Encarregado, ROPA, RIPD/DPIA, interlocución con la ANPD, apoyo en transferencias internacionales, respuesta a incidentes y monitorización regulatoria.
Cree un programa de privacidad capaz de crecer con su empresa en Brasil.