Conformité LGPD : la loi brésilienne sur la protection des données

Conformité LGPD : guide de la loi brésilienne sur la protection des données

La LGPD (Lei Geral de Proteção de Dados Pessoais, loi n° 13.709/2018) est la loi générale sur la protection des données du Brésil, première loi complète du pays en matière de vie privée. Elle est en vigueur depuis septembre 2020, ses sanctions administratives s'appliquent depuis le 1er août 2021, et elle est contrôlée par l'ANPD, l'autorité nationale brésilienne de protection des données. Toute entreprise qui traite des données personnelles de personnes situées au Brésil, y compris les sites web qui déposent des cookies de suivi chez les visiteurs brésiliens, doit se doter d'un plan de conformité LGPD.

Qu'est-ce que la LGPD ?

La LGPD fixe les règles de collecte, d'utilisation, de conservation et de partage des données personnelles au Brésil. Elle s'inspire étroitement du RGPD européen : elle définit les responsables de traitement et les sous-traitants, exige une base légale pour chaque traitement, confère aux personnes concernées (« titulares ») des droits opposables et permet à l'autorité de contrôle d'infliger des amendes et d'autres sanctions.

À qui s'applique la LGPD ?

L'article 3 donne à la LGPD une portée extraterritoriale. Elle s'applique à tout traitement effectué par une personne physique ou par un organisme public ou privé, quel que soit le pays de son siège ou le lieu de stockage des données, lorsque :

1. Le traitement est réalisé sur le territoire brésilien ;
2. Le traitement a pour objet l'offre ou la fourniture de biens ou de services à des personnes situées au Brésil, ou le traitement de leurs données ; ou
3. Les données personnelles ont été collectées au Brésil (les données sont considérées comme collectées au Brésil si la personne s'y trouvait au moment de la collecte).

En pratique, une boutique en ligne, un logiciel SaaS, un éditeur ou une application situé hors du Brésil qui cible ou suit des utilisateurs brésiliens entre dans le champ d'application. La loi ne s'applique pas aux traitements purement personnels et non économiques, ni aux traitements réalisés exclusivement à des fins journalistiques, artistiques ou académiques, de sécurité publique ou de défense nationale (article 4).

Les 10 bases légales de traitement de la LGPD

L'article 7 énumère dix bases légales (hipóteses). Il en faut au moins une pour chaque finalité :

1. Le consentement de la personne concernée
2. Le respect d'une obligation légale ou réglementaire
3. La mise en œuvre de politiques publiques par l'administration
4. Les études menées par des organismes de recherche, avec anonymisation lorsque c'est possible
5. L'exécution d'un contrat ou de mesures précontractuelles, à la demande de la personne concernée
6. L'exercice régulier de droits dans une procédure judiciaire, administrative ou arbitrale
7. La protection de la vie ou de l'intégrité physique de la personne concernée ou d'un tiers
8. La protection de la santé, par des professionnels de santé, des services de santé ou des autorités sanitaires
9. Les intérêts légitimes du responsable de traitement ou d'un tiers, sauf si les droits fondamentaux de la personne concernée prévalent
10. La protection du crédit

Les données personnelles sensibles, comme les données de santé, biométriques, religieuses, politiques ou ethniques, relèvent d'une liste de bases plus restreinte prévue à l'article 11.

Exigences de consentement et cookies sous la LGPD

À quoi ressemble un consentement valable

La LGPD définit le consentement comme une manifestation de volonté libre, éclairée et univoque pour une finalité déterminée. L'article 8 précise que :

• Le consentement doit porter sur des finalités déterminées. Les autorisations génériques sont nulles.
• La charge de la preuve que le consentement a été valablement obtenu incombe au responsable de traitement.
• Le consentement peut être retiré à tout moment, gratuitement, par une procédure simple.
• Le partage de données avec d'autres responsables de traitement sur la base du consentement nécessite un consentement spécifique à ce partage.

La LGPD exige-t-elle le consentement aux cookies ?

Les cookies qui identifient ou permettent d'identifier une personne, comme les cookies publicitaires, de suivi et de nombreux cookies analytiques, constituent un traitement de données personnelles au sens de la LGPD. En octobre 2022, l'ANPD a publié ses lignes directrices sur les cookies et la protection des données personnelles (Guia Orientativo: Cookies e Proteção de Dados Pessoais). Selon ce guide :

• Les cookies strictement nécessaires ne requièrent pas de consentement ; l'intérêt légitime peut constituer une base appropriée.
• Les cookies non nécessaires (publicité, profilage et similaires) doivent en général reposer sur le consentement. L'intérêt légitime est rarement approprié lorsque les données issues des cookies servent à la publicité.
• Les cookies analytiques, comme la mesure d'audience, peuvent dans certains cas reposer sur l'intérêt légitime, après une évaluation rigoureuse.
• La bonne pratique consiste à proposer un bouton bien visible pour refuser tous les cookies non nécessaires, à la fois dans le bandeau de premier niveau et dans les paramètres de second niveau.
• Les pratiques à éviter incluent le fait de conditionner l'accès au site à l'acceptation de tous les cookies et l'absence de moyen simple de retirer son consentement.

Pour la plupart des sites web, l'approche la plus sûre est un bandeau cookies en portugais qui bloque les cookies non essentiels jusqu'à ce que le visiteur les accepte, présente « Tout accepter » et « Tout refuser » avec la même visibilité, et permet au visiteur de modifier son choix ultérieurement.

Droits des personnes concernées sous la LGPD

L'article 18 confère aux personnes le droit d'obtenir :

• La confirmation que leurs données font l'objet d'un traitement
• L'accès à leurs données
• La rectification des données incomplètes, inexactes ou obsolètes
• L'anonymisation, le blocage ou la suppression des données inutiles, excessives ou traitées illicitement
• La portabilité vers un autre fournisseur
• La suppression des données traitées sur la base du consentement
• Des informations sur les entités publiques et privées avec lesquelles les données ont été partagées
• Des informations sur la possibilité de refuser le consentement et sur les conséquences de ce refus
• Le retrait du consentement

Elles peuvent également s'opposer à un traitement fondé sur une autre base légale que le consentement en cas de non-respect de la loi, et demander le réexamen des décisions prises uniquement sur la base d'un traitement automatisé (article 20).

Délais de réponse : selon l'article 19, la confirmation du traitement ou l'accès aux données doit être fourni immédiatement sous une forme simplifiée, ou dans un délai de 15 jours à compter de la demande sous la forme d'une déclaration claire et complète. Les demandes doivent être traitées gratuitement. Un processus de gestion des DSAR ou un portail de confidentialité en libre-service vous aide à respecter ces délais et à conserver une trace de chaque demande.

Un DPO (encarregado) est-il obligatoire sous la LGPD ?

L'article 41 impose aux responsables de traitement de désigner un encarregado, l'équivalent dans la LGPD du délégué à la protection des données (DPO). Son identité et ses coordonnées doivent être publiées, de préférence sur le site web du responsable de traitement. L'encarregado reçoit les réclamations des personnes concernées, gère les communications de l'ANPD et oriente le personnel sur les bonnes pratiques de protection des données.

L'ANPD a allégé cette obligation pour les petites structures :

• La Résolution CD/ANPD n° 2/2022 dispense les agents de traitement de petite taille (micro et petites entreprises, startups et entités similaires) de désigner un encarregado, à condition qu'ils mettent à disposition un canal de contact pour les personnes concernées. Cet allègement ne s'applique pas aux traitements à haut risque.
• La Résolution CD/ANPD n° 18/2024, le règlement sur le DPO, confirme que la désignation est obligatoire pour les autres responsables de traitement, facultative pour les agents de traitement de petite taille et les sous-traitants, et qu'elle doit faire l'objet d'un acte formel écrit.

Transferts internationaux de données

L'article 33 n'autorise le transfert de données personnelles hors du Brésil que selon des mécanismes précis, tels qu'une décision d'adéquation, des clauses contractuelles types, des clauses contractuelles spécifiques, des règles d'entreprise contraignantes, ou un consentement spécifique et mis en évidence.

La Résolution CD/ANPD n° 19/2024 (août 2024) a approuvé le règlement sur les transferts internationaux de données ainsi que les clauses contractuelles types (CCT) propres au Brésil. Les organisations avaient jusqu'au 23 août 2025 pour intégrer les clauses de l'ANPD dans leurs contrats. Depuis cette date, les transferts fondés sur des clauses contractuelles ne sont valables qu'avec les CCT de l'ANPD ou des clauses spécifiques approuvées par l'ANPD. Les CCT de l'UE ne suffisent pas à elles seules pour les transferts depuis le Brésil.

Notification des violations de données

L'article 48 oblige les responsables de traitement à notifier à l'ANPD et aux personnes concernées tout incident de sécurité susceptible d'entraîner un risque ou un dommage significatif. La Résolution CD/ANPD n° 15/2024 (avril 2024), le règlement sur la communication des incidents de sécurité, fixe le délai à 3 jours ouvrables à compter du moment où le responsable de traitement apprend que l'incident a affecté des données personnelles. Les agents de traitement de petite taille disposent d'un délai doublé. Tous les incidents, y compris ceux qui ne sont pas notifiés, doivent être consignés et les registres conservés pendant au moins cinq ans.

Sanctions et amendes de la LGPD

Selon l'article 52, l'ANPD peut prononcer :

• Un avertissement, assorti d'un délai pour adopter des mesures correctives
• Une amende simple pouvant atteindre 2 % du chiffre d'affaires de l'entreprise, du groupe ou du conglomérat au Brésil lors de son dernier exercice, hors taxes, plafonnée à 50 millions de R$ par infraction
• Une astreinte journalière, soumise au même plafond
• La publication de l'infraction
• Le blocage ou la suppression des données personnelles concernées
• La suspension partielle de la base de données, ou la suspension de l'activité de traitement, pendant six mois au maximum (renouvelable une fois)
• L'interdiction partielle ou totale des activités de traitement de données

Les sanctions sont appliquées à l'issue d'une procédure administrative, en tenant compte de la gravité de l'infraction, de la bonne foi, de la coopération et des mesures adoptées par l'organisation.

LGPD vs RGPD : principales différences

Si vous êtes déjà conforme au RGPD, vous disposez d'une base solide, mais il vous faut encore des mentions d'information en portugais, les CCT brésiliennes, un encarregado et des processus adaptés aux délais plus courts de la LGPD. Consultez notre panorama des lois mondiales sur la protection de la vie privée pour comparer avec d'autres pays.

Checklist de conformité LGPD pour les sites web

1. Cartographiez vos données. Recensez les données personnelles, les cookies et les balises tierces collectés par vos sites et applications, avec la finalité et la base légale de chacun.
2. Analysez et classez les cookies. Regroupez les cookies en catégories : nécessaires, analytiques, fonctionnels et publicitaires.
3. Déployez un bandeau de consentement en portugais. Bloquez les cookies non essentiels avant le consentement, et donnez la même visibilité à « Tout accepter » et « Tout refuser ».
4. Conservez la preuve du consentement. Enregistrez le consentement avec l'horodatage, les choix et la version du bandeau, car la charge de la preuve incombe au responsable de traitement.
5. Facilitez le retrait. Proposez un lien permanent ou un centre de préférences où les visiteurs peuvent modifier leur choix à tout moment.
6. Mettez à jour votre politique de confidentialité. Expliquez les finalités, les bases légales, le partage des données, les transferts internationaux, la durée de conservation, les droits et la manière de contacter l'encarregado.
7. Désignez un encarregado (ou confirmez votre exemption d'agent de petite taille) et publiez ses coordonnées.
8. Mettez en place un processus de gestion des demandes qui respecte les délais immédiat et de 15 jours.
9. Révisez les contrats fournisseurs et de transfert. Ajoutez les clauses contractuelles types de l'ANPD pour les données qui quittent le Brésil.
10. Préparez un plan de réponse aux incidents permettant de notifier l'ANPD et les personnes concernées dans un délai de 3 jours ouvrables, et tenez un registre des incidents.

Comment UniConsent vous aide à respecter la LGPD

UniConsent est une plateforme de gestion du consentement conçue pour aider les sites web et les applications à satisfaire rapidement aux exigences de la LGPD :

• Bandeau cookies en portugais du Brésil, adapté automatiquement à la langue du visiteur, avec un ciblage géographique pour appliquer les bonnes règles aux visiteurs situés au Brésil.
• Blocage préalable des scripts et des cookies jusqu'au consentement du visiteur, avec analyse et catégorisation automatiques des cookies.
• Options « Tout accepter » et « Tout refuser » dès le premier niveau, conformément aux bonnes pratiques de l'ANPD.
• Journaux de consentement qui enregistrent les choix de chaque visiteur, afin de pouvoir prouver à l'ANPD la validité du consentement.
• Centre de préférences où les visiteurs peuvent consulter et retirer leur consentement à tout moment.
• Portail de confidentialité et gestion des DSAR pour recevoir, suivre et traiter les demandes des personnes concernées dans les délais de la LGPD.
• Prise en charge de Google Consent Mode v2 et de l'IAB TCF, pour que vos outils d'analyse et de publicité continuent de fonctionner avec les signaux de consentement.

Une seule balise couvre la LGPD, le RGPD, les lois des États américains sur la vie privée et plus de 40 autres réglementations. Commencez gratuitement et lancez en quelques minutes un bandeau cookies conforme à la LGPD.