Cumplimiento de la LGPD: guía de la ley de protección de datos de Brasil

La LGPD (Lei Geral de Proteção de Dados Pessoais, Ley n.º 13.709/2018) es la Ley General de Protección de Datos de Brasil y la primera ley integral de privacidad del país. Está en vigor desde septiembre de 2020, sus sanciones administrativas se aplican desde el 1 de agosto de 2021 y la hace cumplir la ANPD, la autoridad nacional de protección de datos de Brasil. Cualquier empresa que trate datos personales de personas en Brasil, incluidos los sitios web que instalan cookies de seguimiento a visitantes brasileños, necesita un plan de cumplimiento de la LGPD.

¿Qué es la LGPD?

La LGPD establece las reglas para recopilar, usar, almacenar y compartir datos personales en Brasil. Sigue de cerca el modelo del RGPD de la UE: define responsables y encargados del tratamiento, exige una base legal para cada actividad de tratamiento, otorga a las personas ("titulares") derechos exigibles y permite al regulador imponer multas y otras sanciones.

¿A quién se aplica la LGPD?

El artículo 3 otorga a la LGPD alcance extraterritorial. Se aplica a cualquier tratamiento realizado por una persona física o por una organización pública o privada, con independencia de dónde tenga su sede la organización o dónde se almacenen los datos, cuando:

1. El tratamiento se realiza en Brasil;
2. La finalidad es ofrecer o suministrar bienes o servicios a personas ubicadas en Brasil, o tratar sus datos; o
3. Los datos personales se recopilaron en Brasil (se consideran recopilados en Brasil si la persona se encontraba en Brasil en el momento de la recogida).

En la práctica, una tienda online, un producto SaaS, un editor o una app fuera de Brasil que se dirija a usuarios brasileños o los rastree entra en el ámbito de aplicación. La ley no se aplica al tratamiento puramente personal y no económico, ni al tratamiento realizado exclusivamente con fines periodísticos, artísticos o académicos, de seguridad pública o de defensa nacional (artículo 4).

Las 10 bases legales para el tratamiento según la LGPD

El artículo 7 enumera diez bases legales (hipóteses). Necesita al menos una para cada finalidad:

1. Consentimiento del titular de los datos
2. Cumplimiento de una obligación legal o regulatoria
3. Ejecución de políticas públicas por parte de la administración pública
4. Estudios realizados por organismos de investigación, con anonimización siempre que sea posible
5. Ejecución de un contrato, o de trámites preliminares a un contrato, a petición del titular
6. Ejercicio regular de derechos en procesos judiciales, administrativos o arbitrales
7. Protección de la vida o de la integridad física del titular o de un tercero
8. Tutela de la salud, por profesionales de la salud, servicios de salud o autoridades sanitarias
9. Intereses legítimos del responsable o de un tercero, salvo que prevalezcan los derechos fundamentales del titular
10. Protección del crédito

Los datos personales sensibles, como los datos de salud, biométricos, religiosos, políticos o étnicos, tienen una lista de bases más restringida en el artículo 11.

Requisitos de consentimiento de la LGPD y cookies

Cómo es un consentimiento válido

La LGPD define el consentimiento como una manifestación libre, informada e inequívoca de voluntad para una finalidad determinada. El artículo 8 añade que:

• El consentimiento debe referirse a finalidades determinadas. Las autorizaciones genéricas son nulas.
• La carga de la prueba de que el consentimiento se obtuvo correctamente recae en el responsable.
• El consentimiento puede revocarse en cualquier momento, de forma gratuita y mediante un procedimiento sencillo.
• Compartir datos con otros responsables sobre la base del consentimiento requiere un consentimiento específico para esa comunicación.

¿Exige la LGPD consentimiento para las cookies?

Las cookies que identifican o pueden identificar a una persona, como las cookies publicitarias, de seguimiento y muchas cookies analíticas, constituyen un tratamiento de datos personales según la LGPD. En octubre de 2022, la ANPD publicó su guía sobre cookies y protección de datos personales (Guia Orientativo: Cookies e Proteção de Dados Pessoais). Según esa guía:

• Las cookies estrictamente necesarias no requieren consentimiento; el interés legítimo puede ser una base adecuada.
• Las cookies no necesarias (publicidad, elaboración de perfiles y similares) deben basarse, por lo general, en el consentimiento. Es poco probable que el interés legítimo sea adecuado cuando los datos de las cookies se usan con fines publicitarios.
• Las cookies analíticas, como la medición de audiencia, pueden basarse en algunos casos en el interés legítimo, tras una evaluación cuidadosa.
• Una buena práctica es incluir un botón claramente visible para rechazar todas las cookies no necesarias, tanto en el banner de primer nivel como en la configuración de segundo nivel.
• Prácticas que deben evitarse son condicionar el uso del sitio a la aceptación de todas las cookies y no ofrecer una forma sencilla de revocar el consentimiento.

Para la mayoría de los sitios web, el enfoque más seguro es un banner de cookies en portugués que bloquee las cookies no esenciales hasta que el visitante dé su consentimiento, ofrezca "Aceptar todo" y "Rechazar todo" con la misma relevancia y permita al visitante cambiar su elección más adelante.

Derechos de los titulares según la LGPD

El artículo 18 otorga a las personas el derecho a:

• Confirmar que sus datos están siendo tratados
• Acceder a sus datos
• Corregir datos incompletos, inexactos o desactualizados
• Anonimizar, bloquear o eliminar datos innecesarios, excesivos o tratados de forma ilícita
• La portabilidad a otro proveedor
• La eliminación de los datos tratados sobre la base del consentimiento
• Recibir información sobre las entidades públicas y privadas con las que se compartieron los datos
• Recibir información sobre la posibilidad de no dar el consentimiento y sus consecuencias
• Revocar el consentimiento

También pueden oponerse al tratamiento basado en una base legal distinta del consentimiento si se incumple la ley, y solicitar la revisión de decisiones tomadas únicamente mediante tratamiento automatizado (artículo 20).

Plazos de respuesta: según el artículo 19, la confirmación del tratamiento o el acceso deben facilitarse de inmediato en formato simplificado, o en un plazo de 15 días desde la solicitud mediante una declaración clara y completa. Las solicitudes deben atenderse de forma gratuita. Un flujo de gestión de DSAR o un portal de privacidad de autoservicio le ayuda a cumplir estos plazos y a conservar un registro de cada solicitud.

¿Es obligatorio un DPO (encarregado) según la LGPD?

El artículo 41 exige a los responsables designar un encarregado, el equivalente en la LGPD al Delegado de Protección de Datos (DPO). Su identidad y datos de contacto deben publicarse, preferentemente en el sitio web del responsable. El encarregado recibe las reclamaciones de los titulares, gestiona las comunicaciones de la ANPD y orienta al personal sobre las prácticas de protección de datos.

La ANPD ha flexibilizado esta obligación para las organizaciones más pequeñas:

• La Resolución CD/ANPD n.º 2/2022 exime a los agentes de tratamiento de pequeño porte (microempresas, pequeñas empresas, startups y entidades similares) de designar un encarregado, siempre que ofrezcan un canal de comunicación con los titulares. Esta exención no se aplica al tratamiento de alto riesgo.
• La Resolución CD/ANPD n.º 18/2024, el Reglamento del encarregado, confirma que la designación es obligatoria para los demás responsables, opcional para los agentes de pequeño porte y los encargados del tratamiento, y exige un acto formal de designación por escrito.

Transferencias internacionales de datos

El artículo 33 solo permite que los datos personales salgan de Brasil mediante mecanismos específicos, como una decisión de adecuación, cláusulas contractuales tipo, cláusulas contractuales específicas, normas corporativas globales o un consentimiento específico y destacado.

La Resolución CD/ANPD n.º 19/2024 (agosto de 2024) aprobó el Reglamento de Transferencia Internacional de Datos y las cláusulas contractuales tipo (SCC) propias de Brasil. Las organizaciones tuvieron hasta el 23 de agosto de 2025 para incorporar las cláusulas de la ANPD a sus contratos. Desde entonces, las transferencias basadas en contratos solo son válidas con las SCC de la ANPD o con cláusulas específicas aprobadas por la ANPD. Las SCC de la UE por sí solas no bastan para transferir datos fuera de Brasil.

Notificación de brechas de datos

El artículo 48 exige a los responsables notificar a la ANPD y a las personas afectadas cualquier incidente de seguridad que pueda generar un riesgo o daño relevante. La Resolución CD/ANPD n.º 15/2024 (abril de 2024), el Reglamento de Comunicación de Incidentes de Seguridad, fija el plazo en 3 días hábiles desde que el responsable tiene conocimiento de que el incidente afectó a datos personales. Los agentes de tratamiento de pequeño porte disponen del doble de tiempo. Todos los incidentes, incluidos los no notificados, deben registrarse y los registros deben conservarse durante al menos cinco años.

Sanciones y multas de la LGPD

Según el artículo 52, la ANPD puede imponer:

• Una advertencia, con un plazo para adoptar medidas correctivas
• Una multa simple de hasta el 2 % de la facturación de la empresa, grupo o conglomerado en Brasil en su último ejercicio, excluidos los impuestos, con un límite de 50 millones de reales por infracción
• Una multa diaria, sujeta al mismo límite
• La publicación de la infracción
• El bloqueo o la eliminación de los datos personales afectados
• La suspensión parcial de la base de datos, o la suspensión de la actividad de tratamiento, durante un máximo de seis meses (prorrogable una vez)
• La prohibición parcial o total de las actividades de tratamiento de datos

Las sanciones se aplican tras un procedimiento administrativo, teniendo en cuenta la gravedad de la infracción, la buena fe, la cooperación y las medidas que había adoptado la organización.

LGPD vs RGPD: diferencias clave

Si ya cumple el RGPD, tiene una base sólida, pero sigue necesitando avisos en portugués, las SCC brasileñas, un encarregado y procesos adaptados a los plazos más cortos de la LGPD. Consulte nuestra visión general de las leyes de privacidad globales para comparar con otros países.

Checklist de cumplimiento de la LGPD para sitios web

1. Mapee sus datos. Enumere los datos personales, las cookies y las etiquetas de terceros que recopilan su sitio web y sus apps, con la finalidad y la base legal de cada uno.
2. Escanee y clasifique las cookies. Agrupe las cookies en las categorías de necesarias, analíticas, funcionales y publicitarias.
3. Implemente un banner de consentimiento en portugués. Bloquee las cookies no esenciales antes del consentimiento y dé a "Aceptar todo" y "Rechazar todo" la misma relevancia.
4. Conserve la prueba del consentimiento. Guarde registros de consentimiento con la fecha y hora, las elecciones y la versión del banner, porque la carga de la prueba recae en el responsable.
5. Facilite la revocación. Ofrezca un enlace permanente o un centro de preferencias donde los visitantes puedan cambiar su elección en cualquier momento.
6. Actualice su aviso de privacidad. Explique las finalidades, las bases legales, las comunicaciones de datos, las transferencias internacionales, la conservación, los derechos y cómo contactar con el encarregado.
7. Designe un encarregado (o confirme su exención como agente de pequeño porte) y publique sus datos de contacto.
8. Establezca un proceso para las solicitudes de derechos que cumpla los plazos inmediato y de 15 días.
9. Revise los contratos con proveedores y de transferencia. Añada las cláusulas contractuales tipo de la ANPD para los datos que salen de Brasil.
10. Prepare un plan de respuesta a incidentes que permita notificar a la ANPD y a los titulares en 3 días hábiles, y lleve un registro de incidentes.

Cómo le ayuda UniConsent a cumplir la LGPD

UniConsent es una plataforma de gestión del consentimiento diseñada para ayudar a sitios web y apps a cumplir rápidamente los requisitos de la LGPD:

• Banner de cookies en portugués de Brasil, adaptado automáticamente al idioma del visitante, con geolocalización para aplicar las reglas adecuadas a los visitantes en Brasil.
• Bloqueo previo de scripts y cookies hasta que el visitante da su consentimiento, con escaneo y clasificación automáticos de cookies.
• Opciones "Aceptar todo" y "Rechazar todo" en el primer nivel, en línea con las buenas prácticas de la ANPD.
• Registros de consentimiento que guardan las elecciones de cada visitante, para que pueda demostrar a la ANPD que el consentimiento es válido.
• Centro de preferencias donde los visitantes pueden revisar y revocar su consentimiento en cualquier momento.
• Portal de privacidad y gestión de DSAR para recibir, seguir y responder las solicitudes de los titulares dentro de los plazos de la LGPD.
• Compatibilidad con Google Consent Mode v2 e IAB TCF, para que su analítica y su publicidad sigan funcionando con señales de consentimiento.

Una sola etiqueta cubre la LGPD, el RGPD, las leyes de privacidad de los estados de EE. UU. y más de 40 normativas adicionales. Empiece gratis y lance en minutos un banner de cookies preparado para la LGPD.