Conformità LGPD: guida alla legge brasiliana sulla protezione dei dati

La LGPD (Lei Geral de Proteção de Dados Pessoais, Legge n. 13.709/2018) è la Legge generale sulla protezione dei dati del Brasile, la prima legge organica sulla privacy del Paese. È in vigore da settembre 2020, le sue sanzioni amministrative si applicano dal 1° agosto 2021 ed è applicata dall'ANPD, l'autorità nazionale brasiliana per la protezione dei dati. Qualsiasi azienda che tratta dati personali di persone in Brasile, compresi i siti web che installano cookie di tracciamento per i visitatori brasiliani, ha bisogno di un piano per la conformità alla LGPD.

Che cos'è la LGPD?

La LGPD stabilisce le regole per la raccolta, l'uso, la conservazione e la condivisione dei dati personali in Brasile. È ispirata in larga misura al GDPR dell'UE: definisce titolari e responsabili del trattamento, richiede una base giuridica per ogni attività di trattamento, riconosce alle persone ("titulares") diritti azionabili e consente all'autorità di imporre multe e altre sanzioni.

A chi si applica la LGPD?

L'articolo 3 conferisce alla LGPD una portata extraterritoriale. La legge si applica a qualsiasi trattamento effettuato da una persona fisica o da un'organizzazione pubblica o privata, ovunque abbia sede l'organizzazione o siano conservati i dati, quando:

1. Il trattamento avviene in Brasile;
2. Lo scopo è offrire o fornire beni o servizi a persone che si trovano in Brasile, oppure trattarne i dati; o
3. I dati personali sono stati raccolti in Brasile (i dati si considerano raccolti in Brasile se la persona si trovava in Brasile al momento della raccolta).

In pratica, un negozio online, un prodotto SaaS, un editore o un'app con sede fuori dal Brasile che si rivolge a utenti brasiliani o ne traccia il comportamento rientra nell'ambito di applicazione. La legge non si applica ai trattamenti a fini esclusivamente personali e non economici, né ai trattamenti effettuati unicamente per finalità giornalistiche, artistiche o accademiche, di pubblica sicurezza o di difesa nazionale (articolo 4).

Le 10 basi giuridiche del trattamento secondo la LGPD

L'articolo 7 elenca dieci basi giuridiche (hipóteses). Per ogni finalità ne serve almeno una:

1. Consenso dell'interessato
2. Adempimento di un obbligo legale o regolamentare
3. Attuazione di politiche pubbliche da parte della pubblica amministrazione
4. Studi condotti da enti di ricerca, con anonimizzazione ove possibile
5. Esecuzione di un contratto, o di misure precontrattuali, su richiesta dell'interessato
6. Esercizio regolare di diritti in procedimenti giudiziari, amministrativi o arbitrali
7. Tutela della vita o dell'incolumità fisica dell'interessato o di terzi
8. Tutela della salute, da parte di professionisti sanitari, servizi sanitari o autorità sanitarie
9. Legittimo interesse del titolare o di terzi, salvo che prevalgano i diritti fondamentali dell'interessato
10. Tutela del credito

Per i dati personali sensibili, come quelli relativi alla salute, biometrici, religiosi, politici o etnici, l'articolo 11 prevede un elenco più ristretto di basi giuridiche.

Requisiti di consenso LGPD e cookie

Come deve essere un consenso valido

La LGPD definisce il consenso come una manifestazione di volontà libera, informata e inequivocabile per una finalità determinata. L'articolo 8 aggiunge che:

• Il consenso deve riferirsi a finalità specifiche. Le autorizzazioni generiche sono nulle.
• Spetta al titolare l'onere di dimostrare che il consenso è stato ottenuto correttamente.
• Il consenso può essere revocato in qualsiasi momento, gratuitamente, tramite una procedura semplice.
• La condivisione dei dati con altri titolari sulla base del consenso richiede un consenso specifico per tale condivisione.

La LGPD richiede il consenso ai cookie?

I cookie che identificano o possono identificare una persona, come i cookie pubblicitari, di tracciamento e molti cookie analitici, costituiscono un trattamento di dati personali ai sensi della LGPD. Nell'ottobre 2022 l'ANPD ha pubblicato le sue linee guida su cookie e protezione dei dati personali (Guia Orientativo: Cookies e Proteção de Dados Pessoais). Secondo queste linee guida:

• I cookie strettamente necessari non richiedono il consenso; il legittimo interesse può essere una base adeguata.
• I cookie non necessari (pubblicità, profilazione e simili) dovrebbero di norma basarsi sul consenso. È improbabile che il legittimo interesse sia adeguato quando i dati dei cookie sono utilizzati per finalità pubblicitarie.
• I cookie analitici, come quelli per la misurazione dell'audience, possono in alcuni casi basarsi sul legittimo interesse, previa un'attenta valutazione.
• Una buona pratica è un pulsante ben visibile per rifiutare tutti i cookie non necessari, sia nel banner di primo livello sia nelle impostazioni di secondo livello.
• Le pratiche da evitare includono subordinare l'uso del sito all'accettazione di tutti i cookie e non offrire un modo semplice per revocare il consenso.

Per la maggior parte dei siti web, l'approccio più sicuro è un cookie banner in portoghese che blocca i cookie non essenziali finché il visitatore non dà il proprio consenso, offre "Accetta tutto" e "Rifiuta tutto" con la stessa evidenza e permette al visitatore di modificare la propria scelta in seguito.

Diritti degli interessati secondo la LGPD

L'articolo 18 riconosce alle persone il diritto a:

• Conferma che i loro dati sono oggetto di trattamento
• Accesso ai propri dati
• Rettifica di dati incompleti, inesatti o non aggiornati
• Anonimizzazione, blocco o cancellazione di dati non necessari, eccessivi o trattati illecitamente
• Portabilità verso un altro fornitore
• Cancellazione dei dati trattati sulla base del consenso
• Informazioni sugli enti pubblici e privati con cui i dati sono stati condivisi
• Informazioni sulla possibilità di negare il consenso e sulle relative conseguenze
• Revoca del consenso

Possono inoltre opporsi a un trattamento fondato su una base giuridica diversa dal consenso in caso di violazione della legge, e chiedere il riesame delle decisioni prese unicamente sulla base di un trattamento automatizzato (articolo 20).

Tempi di risposta: ai sensi dell'articolo 19, la conferma del trattamento o l'accesso devono essere forniti immediatamente in formato semplificato, oppure entro 15 giorni dalla richiesta tramite una dichiarazione chiara e completa. Le richieste devono essere gestite gratuitamente. Un flusso di gestione delle DSAR o un portale privacy self-service ti aiuta a rispettare queste scadenze e a tenere traccia di ogni richiesta.

Il DPO (encarregado) è obbligatorio secondo la LGPD?

L'articolo 41 impone ai titolari di nominare un encarregado, l'equivalente LGPD del Data Protection Officer (DPO). La sua identità e i suoi dati di contatto devono essere pubblicati, preferibilmente sul sito web del titolare. L'encarregado riceve i reclami degli interessati, gestisce le comunicazioni dell'ANPD e orienta il personale sulle pratiche di protezione dei dati.

L'ANPD ha alleggerito questo obbligo per le organizzazioni più piccole:

• La Resolution CD/ANPD n. 2/2022 esonera i piccoli agenti di trattamento (micro e piccole imprese, startup ed enti analoghi) dalla nomina di un encarregado, a condizione che offrano agli interessati un canale per contattarli. L'esenzione non si applica ai trattamenti ad alto rischio.
• La Resolution CD/ANPD n. 18/2024, il Regolamento sul DPO, conferma che la nomina è obbligatoria per gli altri titolari e facoltativa per i piccoli agenti di trattamento e per i responsabili, e richiede un atto di nomina formale e scritto.

Trasferimenti internazionali di dati

L'articolo 33 consente il trasferimento di dati personali fuori dal Brasile solo attraverso meccanismi specifici, come una decisione di adeguatezza, clausole contrattuali standard, clausole contrattuali specifiche, norme aziendali globali o un consenso specifico ed evidenziato.

La Resolution CD/ANPD n. 19/2024 (agosto 2024) ha approvato il Regolamento sui trasferimenti internazionali di dati e le clausole contrattuali standard (SCC) proprie del Brasile. Le organizzazioni avevano tempo fino al 23 agosto 2025 per inserire le clausole ANPD nei propri contratti. Da allora, i trasferimenti su base contrattuale sono validi solo con le SCC dell'ANPD o con clausole specifiche approvate dall'ANPD. Le SCC dell'UE da sole non bastano per i trasferimenti dal Brasile.

Notifica delle violazioni dei dati

L'articolo 48 impone ai titolari di notificare all'ANPD e alle persone interessate un incidente di sicurezza che possa comportare un rischio o un danno rilevante. La Resolution CD/ANPD n. 15/2024 (aprile 2024), il Regolamento sulla comunicazione degli incidenti di sicurezza, fissa il termine a 3 giorni lavorativi dal momento in cui il titolare viene a conoscenza che l'incidente ha riguardato dati personali. I piccoli agenti di trattamento dispongono del doppio del tempo. Tutti gli incidenti, compresi quelli non notificati, devono essere registrati e le registrazioni conservate per almeno cinque anni.

Sanzioni e multe LGPD

Ai sensi dell'articolo 52, l'ANPD può imporre:

• Un avvertimento, con un termine per adottare misure correttive
• Una multa semplice fino al 2% del fatturato della società, del gruppo o del conglomerato in Brasile nell'ultimo esercizio, al netto delle imposte, con un tetto di 50 milioni di R$ per infrazione
• Una multa giornaliera, soggetta allo stesso tetto
• La pubblicazione dell'infrazione
• Il blocco o la cancellazione dei dati personali interessati
• La sospensione parziale della banca dati, o la sospensione dell'attività di trattamento, per un massimo di sei mesi (prorogabile una volta)
• Il divieto parziale o totale delle attività di trattamento dei dati

Le sanzioni sono applicate al termine di un procedimento amministrativo, tenendo conto della gravità dell'infrazione, della buona fede, della collaborazione e delle misure adottate dall'organizzazione.

LGPD vs GDPR: differenze principali

Se sei già conforme al GDPR, hai una base solida, ma ti servono comunque informative in portoghese, le SCC brasiliane, un encarregado e processi adeguati alle scadenze più brevi della LGPD. Consulta la nostra panoramica sulle leggi sulla privacy nel mondo per un confronto con gli altri Paesi.

Checklist di conformità LGPD per siti web

1. Mappa i tuoi dati. Elenca i dati personali, i cookie e i tag di terze parti raccolti dai tuoi siti web e dalle tue app, con la finalità e la base giuridica di ciascuno.
2. Scansiona e classifica i cookie. Raggruppa i cookie nelle categorie necessari, analitici, funzionali e pubblicitari.
3. Implementa un banner di consenso in portoghese. Blocca i cookie non essenziali prima del consenso e dai a "Accetta tutto" e "Rifiuta tutto" la stessa evidenza.
4. Conserva la prova del consenso. Mantieni registri del consenso con data e ora, scelte effettuate e versione del banner, perché l'onere della prova spetta al titolare.
5. Rendi semplice la revoca. Offri un link sempre disponibile o un centro preferenze dove i visitatori possano modificare la propria scelta in qualsiasi momento.
6. Aggiorna l'informativa sulla privacy. Spiega finalità, basi giuridiche, condivisione dei dati, trasferimenti internazionali, conservazione, diritti e come contattare l'encarregado.
7. Nomina un encarregado (o verifica l'esenzione prevista per i piccoli agenti) e pubblicane i dati di contatto.
8. Predisponi un processo per le richieste degli interessati che rispetti il termine immediato e quello di 15 giorni.
9. Rivedi i contratti con fornitori e per i trasferimenti. Aggiungi le clausole contrattuali standard dell'ANPD per i dati in uscita dal Brasile.
10. Prepara un piano di risposta agli incidenti in grado di notificare l'ANPD e gli interessati entro 3 giorni lavorativi, e tieni un registro degli incidenti.

Come UniConsent ti aiuta a rispettare la LGPD

UniConsent è una piattaforma di gestione del consenso progettata per aiutare siti web e app a soddisfare rapidamente i requisiti della LGPD:

• Cookie banner in portoghese brasiliano, adattato automaticamente alla lingua del visitatore, con geotargeting per applicare le regole corrette ai visitatori in Brasile.
• Blocco preventivo di script e cookie finché il visitatore non dà il consenso, con scansione e classificazione automatica dei cookie.
• Opzioni "Accetta tutto" e "Rifiuta tutto" nel primo livello, in linea con le buone pratiche dell'ANPD.
• Registri del consenso che memorizzano le scelte di ogni visitatore, così puoi dimostrare all'ANPD di aver ottenuto un consenso valido.
• Centro preferenze dove i visitatori possono rivedere e revocare il consenso in qualsiasi momento.
• Portale privacy e gestione delle DSAR per ricevere, monitorare e rispondere alle richieste degli interessati entro le scadenze della LGPD.
• Supporto a Google Consent Mode v2 e IAB TCF, così i tuoi strumenti di analisi e pubblicità continuano a funzionare con i segnali di consenso.

Un unico tag copre la LGPD, il GDPR, le leggi statali statunitensi sulla privacy e oltre 40 altre normative. Inizia gratis e attiva in pochi minuti un cookie banner pronto per la LGPD.