Loading…
Если вы уже соблюдаете GDPR, вы прошли 80% пути к LGPD. Оба разделяют десять руководящих принципов, схожие права субъектов данных и режим уведомления о нарушениях в течение примерно 72 часов. Расхождение — в математике штрафов (LGPD ограничивает штрафы 2% выручки в Бразилии или 50 млн реалов за нарушение), исключении для малых контролёров, определённом Резолюцией ANPD CD/ANPD № 2/2022, и отсутствии права на переносимость или возражение против автоматизированных решений. Это руководство точно укажет вам, где можно повторно использовать наработки по GDPR, а где требуется дельта.
| Параметр | 🇪🇺 GDPR | 🇧🇷 LGPD |
|---|---|---|
| Правовой акт | Регламент (ЕС) 2016/679 | Закон № 13.709/2018 |
| Дата вступления в силу | 25 мая 2018 г. | Материальные положения: авг. 2020 г.; административные санкции: авг. 2021 г. |
| Территориальная сфера действия | ЕС + экстерриториально (ст. 3) | Обработка в Бразилии, или направленная на физических лиц в Бразилии, или когда данные были собраны в Бразилии (ст. 3) |
| Законные основания | Шесть (ст. 6) + условия особой категории (ст. 9) | Десять (ст. 7) — включая законные интересы, договор, юридическое обязательство, общественное здравоохранение, защиту кредитов |
| Принципы | Шесть (ст. 5) | Десять (ст. 6) — цель, адекватность, необходимость, свободный доступ, качество данных, прозрачность, безопасность, предотвращение, недискриминация, подотчётность |
| Сотрудник по защите данных | Обязателен в установленных случаях (ст. 37) | Обязателен для всех контролёров; исключение для малых контролёров согласно Рез. ANPD CD/ANPD № 2/2022 |
| Максимальный штраф | 20 млн евро или 4% мирового оборота (ст. 83(5)) | До 2% выручки в Бразилии за предыдущий финансовый год, с ограничением 50 млн реалов за нарушение |
| Штрафы за день | Не является стандартной структурой | Разрешены согласно ст. 52(III) — до 50 млн реалов за нарушение в день |
| Прочие санкции | Предупреждение, запрет на обработку (ст. 58) | Публичное уведомление о нарушении, блокировка данных, удаление данных, частичная/полная приостановка (ст. 52) |
| Уведомление о нарушении | 72 часа надзорному органу (ст. 33) | 3 рабочих дня в ANPD согласно Резолюции CD/ANPD № 15/2024 при обоснованном риске/ущербе |
| Регулятор | 27 DPA государств-членов ЕС + EDPB | Национальное управление по защите данных (ANPD) |
| DPO/Encarregado | Сотрудник по защите данных | Encarregado de Proteção de Dados |
| Местный представитель | Представитель ЕС по статье 27 обязателен | Формально не требуется, но ANPD ожидает наличия контактного пункта в Бразилии |
| Право на переносимость | Да (ст. 20) | Да (ст. 18, V) |
| Право возражать против автоматизированных решений | Да (ст. 22) | Право на пересмотр физическим лицом (ст. 20) |
| Право на информацию о передаче данных | Подразумевается (ст. 13–15) | Явно (ст. 18, VII) — список государственных/частных организаций, которым были переданы персональные данные |
| Трансграничная передача | SCC/BCR/адекватность (Глава V) | Механизмы, одобренные ANPD — Резолюция CD/ANPD № 19/2024 |
| Данные детей | Возраст согласия по умолчанию 16 лет (вариации между государствами-членами) | Конкретное согласие родителя/законного опекуна для лиц до 12 лет (ст. 14) |
| Анонимизация | Вне сферы действия при необратимости (Соображение 26) | Вне сферы действия (ст. 12) — но более строгий стандарт необратимости, чем в GDPR |
| Начало применения санкций | Май 2018 г. | Авг. 2021 г. (начались первые предупреждения ANPD и небольшие штрафы) |
Близко — та же цель, схожая структура, во многом та же терминология — но с 10 законными основаниями вместо 6, 10 принципами вместо 6 и иной математикой штрафов. Стиль правоприменения ANPD также всё ещё формируется.
В основном да. Разница в следующем: назначьте Encarregado de Proteção de Dados, подайте в ANPD уведомление о существенных нарушениях в течение 3 рабочих дней, обеспечьте, чтобы ваше уведомление о конфиденциальности отражало 10 принципов LGPD, и используйте одобренные ANPD механизмы (Res. 19/2024) для трансграничной передачи.
Максимальный административный штраф составляет 2% от выручки в Бразилии за каждое нарушение, но не более R$50 млн (~$10 млн USD). Ежедневные штрафы могут быстро накапливаться. ANPD также обладает полномочиями по вынесению предписаний (блокировка данных, приказ об удалении), которые могут быть более разрушительными, чем денежный штраф.
Да — статья 3(II) охватывает «деятельность по обработке, целью которой является предложение или предоставление товаров или услуг» физическим лицам в Бразилии, независимо от того, где вы зарегистрированы.
С 2023 года правоприменение усиливается. ANPD издало несколько резолюций, разъясняющих уведомление о нарушениях, «песочницы», исключения для малых контролеров. Уровни штрафов остаются скромными по сравнению с GDPR, но траектория явно направлена в сторону более активного правоприменения.
Строго по LGPD это не требуется, но целесообразно с операционной точки зрения. Encarregado должен предметно реагировать на запросы ANPD и субъектов данных; локальная контактная точка или служба представительства (например, RegulatoryBridge Brazil) закрывает эту потребность.
Сопоставьте средства контроля один раз, соответствуйте дважды. RegulatoryBridge предоставляет вам единый конвейер DSAR, единого DPO, единый план реагирования на нарушения — охватывающий обе системы.