一般データ保護規則（GDPR）とブラジルのLei Geral de Proteção de Dados Pessoais（LGPD）は、個人データの収集、利用、保存、共有を規律する2つの主要なプライバシー法制です。 いずれの規制も、透明性、目的の制限、セキュリティ、アカウンタビリティ、本人の権利といった原則を基礎としています。しかし、GDPRとLGPDは、法的根拠、規制の構造、データ主体の権利、侵害通知の要件、国際的なデータ移転、子どものデータ、執行の仕組みにおいて異なります。 欧州とブラジルで事業を行う組織にとって、これらの違いを理解することは、コンプライアンスの取り組みを不必要に重複させることなく、両方の枠組みを満たすプライバシープログラムを構築するうえで欠かせません。
並列比較：GDPR 対 LGPD
| 項目 | 🇪🇺 GDPR | 🇧🇷 LGPD |
|---|---|---|
| 主要な法令 | Regulation (EU) 2016/679 | 法律第13,709/2018号 |
| 施行日 | 2018年5月25日 | 主要な規定は2020年8月から施行。行政上の制裁は2021年8月から |
| 規制当局 | EDPBを通じて連携するEU/EEAの監督機関 | Autoridade Nacional de Proteção de Dados（ANPD） |
| 規制対象となる主体 | 管理者 | 管理者 |
| 処理者 | 処理者 | オペレーター |
| 個人 | データ主体 | データ主体／Titular |
| 適法根拠 | 第6条の6つの根拠＋特別な種類のデータに関する第9条の条件 | 第7条に基づく複数の法的根拠に加え、第11条に基づくセンシティブな個人データに関する特別な規定 |
| 正当な利益 | 第6条第1項(f)で明示的に認められている | 第7条に基づくLGPDの法的根拠の一つとして認められている |
| DPO | 定められた状況において選任が必要 | Encarregadoの制度が適用され、小規模処理主体に関する規定を含むLGPDおよびANPDの規則に従う |
| センシティブデータ | 第9条に基づく特別な種類のデータ | 第5条および第11条に基づくセンシティブな個人データ |
| 子どものデータ | 特別な保護措置あり。第8条は同意に基づく一定の情報社会サービスを対象とする | 第14条に基づく特別な保護 |
| データポータビリティの権利 | あり | あり |
| 自動化された意思決定 | 第22条に基づく特別な権利 | 第20条に基づき、自動化された処理のみに基づく決定の見直しを求める権利 |
| 国際移転 | 十分性認定、SCCs、BCRsその他の第5章に基づく仕組み | ANPDの規則に基づく十分性認定、契約上の仕組みその他の第33条に基づく仕組み |
| 侵害通知 | 必要な場合、原則として72時間以内に監督機関へ通知 | 決議第15/2024号に基づき、該当するインシデントについて原則として3営業日以内にANPDおよび影響を受ける個人へ通知 |
| 行政上の制裁金の上限 | 特定の違反について、最大2,000万ユーロまたは全世界年間売上高の4% | 前会計年度のブラジル国内における収益の最大2%（違反1件につき5,000万レアルが上限） |
| 現地代理人 | 第27条により、EU域外の一定の組織にEU代理人の選任が求められる場合がある | GDPR第27条に直接相当する制度はない |
GDPRとは
一般データ保護規則（GDPR）は、EUの包括的なデータ保護の枠組みです。
管理者および処理者による個人データの処理を規律し、次の事項に関する要件を定めています。
- 適法性および公正性
- 透明性
- 目的の限定
- データの最小化
- 正確性
- 保存期間の制限
- セキュリティ
- アカウンタビリティ
- 個人の権利
- 国際データ移転
GDPRは、地理的適用範囲の要件を満たす場合、EU域外の組織にも適用されることがあります。
LGPDとは
ブラジルのLei Geral de Proteção de Dados Pessoais（LGPD）は、法律第13,709/2018号により制定され、公的機関および民間組織による個人データの処理を規律しています。
LGPDは、次の主体について義務を定めています。
- 管理者
- オペレーター
- データ保護責任者／Encarregado
- 個人データを処理する組織
- センシティブな個人データを処理する組織
Autoridade Nacional de Proteção de Dados（ANPD）は、ブラジルの国家データ保護機関です。ANPDは、Encarregado、セキュリティインシデントの通知、国際データ移転、制裁、小規模処理主体に関する規定などの分野について規則を定めています。
GDPRとLGPDの主な違い
1. 地理的適用範囲
GDPR
GDPRは、第3条の要件を満たす場合、EU域内に拠点を有するか否かを問わず組織に適用されることがあります。
これには、EU域外にある次のような組織が含まれる場合があります。
- EU域内の個人に商品またはサービスを提供している
- EU域内の個人の行動をモニタリングしている
- EU域内の拠点を通じて事業を行っている
LGPD
LGPDは、次の場合に適用されることがあります。
- 処理がブラジル国内で行われる場合
- 処理が、ブラジル国内に所在する個人への商品またはサービスの提供を目的としている場合
- 個人データがブラジル国内で収集された場合
国際移転に対するブラジルのデータ保護法の適用については、ANPDの国際移転に関する枠組みでも定められています。
主な違い： GDPRとLGPDはいずれも域外の組織に適用されることがありますが、法令上の判断基準は同一ではありません。
2. 管理者と管理者
GDPR
GDPRでは、個人データの処理の目的および手段を決定する組織を「管理者（Controller）」と呼びます。
GDPRの用語：
- 処理者
LGPD
LGPDも同様に、個人データの処理に関する決定について責任を負う主体を「管理者（Controlador）」と定義しています。
LGPDの用語：
- オペレーター
このように用語は比較的近いものの、権利、義務および規制の枠組みは異なります。処理者に相当する概念は、いずれも一般に他の組織に代わって個人データを処理する主体を指しますが、契約上および法令上の責任は、適用される法律に基づいて評価する必要があります。
3. 処理の法的根拠
これは、共通点と相違点の双方が見られる重要な分野です。
GDPR
GDPR第6条は、主に6つの法的根拠を定めています。
- 同意
- 契約
- 法的義務
- 生命に関する利益
- 公共の任務
- 正当な利益
特別な種類の個人データには、第9条に基づく追加の条件が適用されます。
LGPD
LGPD第7条は、通常の個人データについて、次のものを含む複数の法的根拠を定めています。
- 同意
- 法令上または規制上の義務の遵守
- 行政
- 研究
- 契約の履行
- 権利の行使
- 生命の保護
- 健康の保護
- 正当な利益
- 信用の保護
センシティブな個人データには、第11条に基づく追加の法的根拠が適用されます。
主な違い： いずれの枠組みも正当な利益を認めていますが、法的構造および詳細な要件は異なります。
4. 同意
GDPR
同意を法的根拠とする場合、その同意は次の要件を満たす必要があります。
- 自由に与えられたものであること
- 特定されていること
- 十分な情報に基づくものであること
- 明確であること
組織は、同意を得たことを証明でき、かつ実効的な撤回の手段を提供しなければなりません。
LGPD
LGPDも同意を非常に重視しています。
同意は法律で定められた条件に従って与えられる必要があり、データ主体はこれを撤回することができます。
組織は、次の事項を示す証拠を保持する必要があります。
- 伝達した内容
- 本人が同意した内容
- 同意を取得した日時
- 処理の目的
- 同意の撤回方法
実務上のポイント：共通の同意管理プラットフォームでGDPRとLGPDの双方に対応することは可能ですが、法的根拠および通知の要件はそれぞれ個別に評価する必要があります。
5. 正当な利益
この点について、2つの枠組みは多くの比較ページが示すよりも類似しています。
GDPR
第6条第1項(f)に基づく正当な利益は、管理者の正当な利益よりもデータ主体の利益または基本的な権利および自由が優先されない場合に、適法根拠となり得ます。
組織は、その根拠を適切に評価し、文書化する必要があります。
LGPD
正当な利益は、第7条においても法的根拠として明示的に認められています。
管理者は、基本的な権利および自由を尊重し、LGPDが求める保護措置を適用したうえで、管理者または第三者の正当な利益を考慮しなければなりません。
主な違い： いずれの枠組みも正当な利益を認めていますが、法的な判断基準、文書化に関する期待水準および規制当局の解釈は同一ではありません。
6. データ主体の権利
GDPR
GDPR上の権利には、次のものが含まれます。
- アクセス権
- 訂正権
- 消去権
- 処理の制限を求める権利
- データポータビリティの権利
- 異議を述べる権利
- 同意を撤回する権利
- 自動化された意思決定およびプロファイリングに関する権利
LGPD
LGPDは、次のものを含む権利を定めています。
- 処理の有無の確認
- 個人データへのアクセス
- 訂正
- 不要または過剰なデータの匿名化、ブロックまたは削除
- データポータビリティ
- 同意に基づいて処理された個人データの削除（法令上の例外あり）
- データの共有先である公的機関および民間主体に関する情報
- 同意を拒否できることに関する情報
- 同意の撤回
- 一定の自動化された決定の見直し
主な違い： 権利の内容は大きく重なっていますが、法文上の表現、範囲および実施の仕組みは異なります。
7. 自動化された意思決定
GDPR
第22条は、法的効果またはこれと同様の重大な影響を生じさせる、自動化された処理のみに基づく決定について、特別な保護を定めています。
個人は、GDPRに定める条件および例外に従い、こうした決定に関する権利を有する場合があります。
LGPD
第20条は、自動化された処理のみに基づいて行われ、自己の利益に影響を及ぼす決定について、その見直しを求める権利を個人に与えています。これには、個人、職業、消費者および信用に関するプロファイルの決定を目的とするものが含まれます。
したがって、AIまたは自動化された意思決定システムを利用する組織は、ブラジルとEUで事業を行う際、双方の枠組みを検討する必要があります。
8. センシティブな個人データ
GDPR
GDPRは、次のものを含む特別な種類の個人データを定めています。
- 人種的または民族的出自
- 政治的意見
- 宗教上または思想上の信条
- 労働組合への加入
- 遺伝データ
- 本人識別に用いられる生体データ
- 健康に関するデータ
- 性生活または性的指向
第9条は、これらの種類のデータの処理について、より厳格な条件を定めています。
LGPD
LGPDは、センシティブな個人データを別途定義しています。これには、次の事項に関する情報が含まれます。
- 人種的または民族的出自
- 宗教上の信条
- 政治的意見
- 労働組合または宗教的、思想的もしくは政治的な団体への加入
- 健康
- 性生活
- 遺伝データ
- 生体データ
センシティブデータの処理には、LGPD第11条に定める特別な法的根拠および保護措置が適用されます。
9. 子どものデータ
GDPR
GDPRは、子どもについて特別な保護を定めています。
第8条は、同意に基づく一定の情報社会サービスについて原則として16歳を基準年齢と定めていますが、EU加盟国はこれを13歳を下回らない範囲で引き下げることができます。
GDPRはまた、子ども特有の脆弱性および利益を考慮することを組織に求めています。
LGPD
LGPD第14条は、子どもおよび青少年の個人データの処理について特別な要件を定めています。
処理は、子どもおよび青少年の最善の利益のために行われなければなりません。
子どものデータについて、LGPDは、法令の枠組みに従い、親または法定後見人が関与する特別な同意要件を定めています。
重要：LGPDを、「12歳未満」の子どもについてのみ保護者の同意を求めるものと単純化すべきではありません。同法は子どもと青少年の双方を保護しており、具体的な要件は処理の状況によって異なります。
10. データ保護責任者／Encarregado
GDPR
データ保護責任者の選任が義務付けられるのは、GDPR第37条に定める場合に限られます。これには、次のような一定の場合が含まれます。
- 大規模なモニタリング活動
- 特別な種類のデータの大規模な処理
- 公的機関による処理活動
LGPD
LGPDは、Encarregado pelo tratamento de dados pessoais（個人データ処理の担当者）という役割を定めています。
Encarregadoは、次の三者間の重要な連絡窓口となります。
- データ主体
- 組織
- ANPD
ANPD決議第18/2024号は、Encarregadoの選任、責任および業務運営に関する追加の規則を定めています。
小規模処理主体に関する規定では特別な簡素化措置および免除も設けられているため、LGPDの対象となるすべての管理者にまったく同じDPO要件が課されると述べるのは正確ではありません。
11. 現地代理人
GDPR
EU域外の一定の組織は、第27条に基づきEU代理人の選任を求められる場合があります。
代理人は、個人および監督機関の連絡窓口となります。
LGPD
LGPDには、GDPR第27条に直接相当する制度はありません。
もっとも、国際的に事業を行う組織には、ブラジルにおける適切なプライバシーガバナンス、規制当局との連絡体制、および該当する場合にはEncarregadoが必要となることがあります。
重要：商業的な「ブラジル代理人」サービスを、GDPR第27条の代理人に相当する法定の制度として説明すべきではありません。
12. 侵害通知
GDPR
第33条に基づき、管理者は原則として、該当する個人データ侵害を認識した後、不当な遅滞なく、可能な場合には72時間以内に、所轄の監督機関に通知しなければなりません。
侵害が個人に高いリスクをもたらすおそれがある場合には、影響を受けるデータ主体への通知も必要となることがあります。
LGPD
ANPD決議第15/2024号は、該当するセキュリティインシデントの通知に関する規則を定めています。
セキュリティインシデントがデータ主体に相当のリスクまたは損害を生じさせるおそれがある場合、管理者は、適用される規則および例外に従い、3営業日以内にANPDおよび影響を受けるデータ主体に通知しなければなりません。
小規模処理主体には、ANPDの小規模主体向けの枠組みに基づき、異なる期限が適用される場合があります。
主な違い： GDPRは監督機関への72時間以内の通知を基本とするのに対し、LGPDはANPD決議第15/2024号に基づき、該当するインシデントについて3営業日以内の通知を基本としています。
13. 国際データ移転
この分野は、LGPDの下で大きく進展しています。
GDPR
GDPR第5章は、次のものを含む仕組みを定めています。
- 十分性認定
- 標準契約条項（SCCs）
- 拘束的企業準則（BCRs）
- 特定の例外
移転の仕組みによっては、補完的な保護措置や移転リスク評価も必要となる場合があります。
LGPD
ANPD決議第19/2024号は、国際データ移転に関するブラジルの枠組みを定めています。仕組みには、次のものが含まれます。
- ANPDによる十分性認定
- 標準契約条項
- 個別の契約条項
- グローバル企業準則
- LGPD第33条に定めるその他の仕組み
同規則は、国際移転の目的、保護措置および文書化に関する要件も定めています。
主な違い： 現在のLGPDには、一般的な契約によるアプローチに依拠するだけでなく、ANPDが所管する正式な国際移転の枠組みが整備されています。
14. データポータビリティ
GDPR
GDPR第20条は、定められた状況においてデータポータビリティの権利を認めています。
これは一般に、一定の個人データを、構造化され、一般的に利用され、機械可読性のある形式で受け取り、技術的に可能な場合には別の管理者へ移行させることを意味します。
LGPD
LGPD第18条も、適用される規制の枠組みおよび要件に従い、データポータビリティの権利を認めています。
重要な訂正：LGPDにポータビリティの権利がないと述べるのは正確ではありません。
15. 匿名化
GDPR
真に匿名であり、識別可能な個人と合理的に結び付けることができない情報は、GDPRにおける個人データの定義に該当しません。
LGPD
LGPDも匿名化されたデータを個人データと区別していますが、匿名化について独自の基準および取扱いを定めています。
したがって、組織は匿名化の手法を文書化し、データを個人と合理的に再び結び付けることができるかどうかを評価する必要があります。
16. データ保護影響評価
GDPR
データ保護影響評価（DPIA）は、処理が個人の権利および自由に高いリスクをもたらすおそれがある場合に必要となります。典型的な例として、次のものが挙げられます。
- 大規模なモニタリング
- センシティブデータの大規模な処理
- 一定のAIまたはプロファイリング活動
- 個人の体系的な評価
LGPD
LGPDは、Relatório de Impacto à Proteção de Dados Pessoais（RIPD、個人データ保護影響報告書）について定めています。
ANPDは、適用される規制の枠組みで定められた状況において、管理者にRIPDの作成および提出を求めることができます。
したがって、双方の法域で事業を行う組織は、一方のDPIA／RIPDが自動的に両方の制度の要件を満たすと考えるべきではありません。
17. 制裁
GDPR
特定の重大な違反について、GDPRの行政上の制裁金は、2,000万ユーロまたは前会計年度の全世界年間売上高の4%のいずれか高い方に達することがあります。
LGPD
LGPDの行政上の制裁には、次のものが含まれます。
- 警告
- 前会計年度のブラジル国内における収益の最大2%の罰金
- 違反1件につき5,000万レアルを上限とする罰金
- 日次の罰金（法定の上限あり）
- 違反の公表
- 個人データのブロック
- 個人データの削除
- データベースの部分的な停止
- 処理活動の停止
- 処理に関連する活動の一部または全部の禁止
適用される制裁は、違反の性質および状況によって異なります。
主な違い： GDPRの制裁金の上限は全世界の年間売上高を基準とするのに対し、LGPDの主たる行政上の罰金はブラジル国内の収益に連動し、法定の金額上限が設けられています。
GDPRとLGPD：どちらがより厳格か
一方の枠組みがあらゆる面でより厳格であると断定することは困難です。
GDPRは、特に次のような分野で詳細な規定を置いています。
- 6つの法的根拠
- 特別な種類のデータ
- データポータビリティ
- 自動化された意思決定
- 国際移転
- 管理者・処理者のアカウンタビリティ
- EU代理人に関する要件
LGPDは、次の事項について厳格な要件を定めています。
- データ主体の権利
- 同意
- センシティブな個人データ
- 子どものデータ
- Encarregadoによるガバナンス
- 国際移転
- セキュリティ
- アカウンタビリティ
したがって、国際的に事業を展開する企業にとっての適切なアプローチは、共通する管理策を特定したうえで、法域ごとの要件を実装することです。
GDPRへの対応はLGPDへの対応に役立つか
はい。
確立されたGDPRプログラムは、LGPDへの対応の強固な基盤となります。いずれの枠組みにも、次の事項に関する要件が含まれているためです。
- データインベントリ
- プライバシー通知
- 同意
- 個人の権利
- セキュリティ
- ベンダー管理
- 国際移転
- インシデント対応
- アカウンタビリティ
ただし、GDPRに対応していることが、そのままLGPDへの対応を意味するわけではありません。特に次の事項について、ブラジル固有の管理策を評価する必要があります。
- LGPDの法的根拠
- Encarregadoに関する要件
- ANPDの規制要件
- ブラジルにおけるデータ主体の権利
- インシデントの通知
- 国際移転の仕組み
- LGPDの制裁
- ブラジル向けのプライバシー通知およびガバナンス
GDPRとLGPDを統合したコンプライアンスプログラムの構築
双方の法域で事業を行う組織は、共通のプライバシー管理フレームワークを構築することで、重複を減らすことができます。
1. データマッピング
マッピングの対象：
- 個人データ
- 処理の目的
- データ主体
- 管理者
- 処理者／オペレーター
- 受領者
- 保存場所
- 保存期間
- 国際移転
2. 法的根拠の管理
次の事項を網羅した、法域別の法的根拠マトリクスを作成します。
- GDPR第6条
- GDPR第9条
- LGPD第7条
- LGPD第11条
3. プライバシー権の管理
次の事項について、統一されたワークフローを構築します。
- GDPRに基づくデータ主体からの請求
- LGPDに基づくデータ主体からの請求
- 本人確認
- 請求の追跡
- 回答期限
- 証拠および監査証跡
4. 同意管理
管理の対象：
- 同意の取得
- 同意の記録
- 撤回
- Cookieの設定
- マーケティングに関する設定
- 子どもに関する同意（該当する場合）
5. ベンダー管理
評価の対象：
- GDPR上の処理者
- LGPD上のオペレーター
- 復処理者
- クラウドプロバイダー
- アナリティクスプロバイダー
- 広告プラットフォーム
- 海外ベンダー
6. 侵害対応
法域ごとのエスカレーション経路を備えた、統一されたインシデント対応プロセスを維持します。
ワークフローでは、次の事項を特定する必要があります。
- 適用される法域
- リスクレベル
- 通知の基準
- 規制上の期限
- 個人への通知要件
- 証拠に関する要件
7. 国際移転の管理
次の事項を網羅した移転インベントリを維持します。
- データ輸出者
- データ輸入者
- 移転先の国
- 移転の仕組み
- 契約上の保護措置
- セキュリティ対策
- 移転評価
よくあるご質問
LGPDはGDPRのブラジル版ですか？
厳密にはそうではありません。LGPDは世界的なデータ保護の原則の影響を受けており、GDPRと多くの概念を共有していますが、独自の法的根拠、権利、規制の枠組みおよび執行の仕組みを備えた、独立したブラジルの法律です。
GDPRに対応していれば、自動的にLGPDにも対応していることになりますか？
いいえ。GDPRへの対応は強固な基盤となりますが、組織はLGPD固有の要件およびANPDの規則を評価しなければなりません。
LGPDにも、GDPRと同じく6つの法的根拠がありますか？
いいえ。LGPDは第7条でより幅広い法的根拠を定めており、センシティブな個人データについては第11条に別途の規定があります。
LGPDは正当な利益を認めていますか？
はい。正当な利益は、LGPD第7条に基づく法的根拠の一つです。ただし、その要件はGDPR第6条第1項(f)と同一ではありません。
LGPDではDPOの選任が必要ですか？
LGPDはEncarregadoという役割を定めており、詳細な要件はANPD決議第18/2024号に規定されています。具体的な義務は、組織の状況や、小規模処理主体に関する規定を含む適用されるANPDの規則によって異なる場合があります。
LGPDには72時間以内の侵害通知ルールがありますか？
いいえ。LGPDにおける該当するセキュリティインシデントの通知制度は、GDPRの72時間ルールではなく、ANPD決議第15/2024号に基づく3営業日の期限を採用しています。
LGPDではブラジル代理人が必要ですか？
GDPR第27条のEU代理人の要件に直接相当する制度はありません。組織は、これに代えて、Encarregado、ガバナンスおよび規制当局との連絡体制に関する要件を評価する必要があります。
LGPDにはデータポータビリティの権利がありますか？
はい。LGPD第18条は、適用される規制の枠組みに従い、データ主体の権利の一つとしてデータポータビリティを定めています。
LGPDは国際データ移転を規制していますか？
はい。ANPD決議第19/2024号は、十分性認定や契約上の仕組みを含め、国際移転に関する詳細な規制の枠組みを定めています。
GDPRおよびLGPDのコンプライアンス診断を検討すべきなのは、どのような企業ですか？
統合的な診断が特に有用なのは、SaaS企業、テクノロジー企業、Eコマース企業、グローバルに展開する小売企業、AI企業、広告・マーケティングプラットフォーム、医療機関、フィンテック企業、クラウドサービスプロバイダー、そしてEUおよびブラジルの顧客データを処理する組織です。
RegulatoryBridgeによるGDPR・LGPDへの対応
GDPRとLGPDをまったく別々のプロセスで管理すると、不要な重複が生じ、プライバシー管理策に一貫性がなくなるおそれがあります。
RegulatoryBridgeは、欧州、ブラジルその他の世界各地の法域にわたる、連携のとれたプライバシーコンプライアンスプログラムの構築を支援します。
当社の支援内容には、次のものが含まれます。
- GDPRコンプライアンス診断
- LGPDコンプライアンス診断
- データマッピングおよびインベントリ
- プライバシー通知のレビュー
- 法的根拠の評価
- 同意管理
- データ主体の権利に関するワークフロー
- Encarregadoに関する支援
- ベンダーおよび処理者／オペレーターの評価
- 国際移転の評価
- DPIAおよびRIPDに関する支援
- セキュリティおよび侵害対応の計画策定
- 規制モニタリング
- 越境プライバシー代理人サービス
- 継続的なプライバシーコンプライアンス管理
GDPRとLGPDを1つのプログラムでカバーしましょう。
コントロールを一度マッピングすれば、2つの規制に準拠できます。RegulatoryBridgeは、単一のDSARパイプライン、単一のDPO、単一の侵害対応ランブックを提供し、両方のフレームワークをカバーします。