El término frente a la ley
La LGPD (Lei Geral de Proteção de Dados, Ley nº 13.709/2018) es el estatuto general brasileño de protección de datos personales. Está vigente desde septiembre de 2020 y la aplica la autoridad nacional, la ANPD. La adecuación a la LGPD no es la ley en sí, sino la respuesta a ella: el trabajo organizado para que el tratamiento de datos personales de una organización quede dentro de los límites que fija la ley. Forma parte de la práctica más amplia de protección de datos.
La ley define obligaciones y la adecuación define el trabajo. Igual que el cumplimiento del RGPD o de la CCPA, el término describe un programa de inventarios, políticas, contratos y procedimientos. No es una auditoría puntual ni un certificado que se obtiene una sola vez.
- La ley
- un estatuto que define principios, bases legales, derechos de los titulares, obligaciones de cada agente de tratamiento y las sanciones que la ANPD puede imponer.
- La adecuación
- el programa del lado de la organización: inventario de datos, revisión de bases legales, asignación de roles, contratos con operadores, preparación ante incidentes y registros que demuestran que todo funciona.
Quién está en el alcance
La LGPD se aplica a todo tratamiento de datos personales realizado en Brasil. También se aplica al tratamiento en el extranjero cuando los datos se recopilan de personas que se encuentran en Brasil o cuando el tratamiento busca ofrecerles bienes o servicios. Una empresa sin oficina en Brasil queda cubierta si su sitio web registra usuarios en São Paulo. Las obligaciones siguen a los datos, no a la dirección de registro.
El alcance es deliberadamente amplio: incluye empresas privadas de cualquier tamaño y sector, organizaciones sin fines de lucro y entidades públicas, y tanto los responsables como los operadores tienen deberes propios. Los agentes de pequeña escala no están exentos: la ANPD publicó reglas simplificadas que ajustan sus obligaciones, pero no las eliminan.
Diagnóstico del punto de partida
La adecuación empieza con una imagen honesta del estado actual. El inventario de datos registra cada categoría de dato personal, su finalidad y origen, los sistemas donde reside, cuánto tiempo se conserva y quién lo recibe. Luego, la clasificación de datos indica cuáles de esas categorías son sensibles. El mapa de flujos amplía el inventario al movimiento: cómo circulan los datos entre sistemas, proveedores y canales como el correo electrónico, la nube y los medios extraíbles.
La evaluación compara esa imagen con las exigencias de la ley. Verifica si cada actividad tiene base legal, si los datos sensibles reciben el cuidado más estricto del Artículo 11, si los plazos de conservación están definidos, si existen contratos con operadores y si una solicitud de un titular podría atenderse realmente desde esos sistemas. El resultado es un informe de brechas y un plan de corrección con responsables y fechas. En tratamientos a gran escala o de alto riesgo, la ANPD también puede exigir el informe de impacto sobre la protección de datos (RIPD), mucho más fácil de redactar cuando el inventario ya existe.
La consola de Anexet incluye patrones predefinidos para identificadores, como cuentas bancarias y números de pasaporte, que sirven de punto de partida para decidir qué identificadores buscar.
El ciclo de la adecuación
La adecuación funciona como un ciclo y no como un proyecto único. Los procesos cambian, los proveedores cambian y la ANPD sigue emitiendo reglas, por eso los programas maduros repiten los mismos cinco pasos:
- 1
Inventariar los datos
Registra cada categoría de dato personal, su finalidad, su origen y dónde se almacena.
- 2
Mapear los flujos
Sigue cómo se mueven los datos entre sistemas, proveedores y canales.
- 3
Cerrar las brechas
Corrige las bases legales, reglas de conservación y contratos con operadores que falten, cada una con responsable y fecha.
- 4
Demostrar que funciona
Conserva registros que muestren que los controles operan, como logs y una pista de auditoría.
- 5
Repetir el ciclo
Vuelve a recorrer los mismos pasos cuando cambien los procesos, los proveedores o las reglas de la ANPD.
LGPD y RGPD, una comparación
La LGPD se redactó con el RGPD a la vista, así que ambos marcos se parecen. Comparten principios como la limitación de la finalidad y la minimización de datos, un catálogo de derechos de los titulares, un delegado de protección de datos y la notificación a la autoridad cuando ocurre una brecha de datos. Una organización que ya tiene un programa de RGPD reconocerá buena parte de un plan de adecuación.
Las diferencias están en los detalles, por eso un programa europeo no puede reetiquetarse sin más como brasileño:
| Aspecto | LGPD (Brasil) | RGPD (Europa) |
|---|---|---|
| Bases legales | 10 para datos comunes (Art. 7); lista más estrecha para sensibles (Art. 11) | 6 (Art. 6), con mucho peso del consentimiento en categorías especiales |
| Regulador | La ANPD, una única autoridad nacional | Una autoridad de control por país de la UE y el EEE, coordinadas por el CEPD |
| Delegado de protección de datos | Un encarregado designado por cada responsable | Exigido solo por encima de los umbrales del Artículo 37 |
| Notificación de brechas | A la ANPD en tres días hábiles desde la confirmación | A la autoridad de control en 72 horas |
| Sanción máxima | 2% de los ingresos en Brasil, con tope de R$ 50 millones por infracción, más multas diarias | Hasta 20 millones de euros o 4% de la facturación anual mundial |
Bases legales y los derechos que garantizan
Cada actividad de tratamiento debe apoyarse en al menos una de las diez bases legales que el Artículo 7 enumera para datos personales comunes: consentimiento, obligación legal, ejecución de un contrato, protección de la vida o la integridad física, estudios de investigación, interés legítimo del responsable y protección del crédito. Para los datos sensibles, como los de salud, biométricos o genéticos, el Artículo 11 restringe la lista. En general, eso significa un consentimiento específico y destacado, con alternativas estrechas para la atención de salud, la investigación y la protección de la vida.
El interés legítimo, la base más usada y la menos comprendida, exige que el responsable sopese su finalidad frente a los derechos y las expectativas de los titulares y que documente esa ponderación. El consentimiento debe vincularse a una finalidad concreta y puede revocarse en cualquier momento. La ley respalda estas bases con derechos exigibles: confirmación, acceso, rectificación, anonimización, bloqueo o supresión, portabilidad e información sobre con quién se compartieron los datos.
Los tres roles
La LGPD nombra a sus actores en portugués, y esos nombres aparecen en todo plan de adecuación porque cada rol tiene deberes distintos. La responsabilidad del operador es subsidiaria, pero real, y el nombramiento del encarregado debe hacerse público.
| Rol | Deber principal | Punto clave |
|---|---|---|
| Controlador (responsable)Dueño de las decisiones | Decide qué se trata y por qué | Responde primero cuando algo sale mal |
| Operador (encargado del tratamiento)Trata por instrucción | Trata los datos según las instrucciones del responsable, con deberes propios de seguridad | Responsabilidad subsidiaria, pero real |
| Encarregado (delegado de protección de datos)Canal con la ANPD | Conecta a la organización, los titulares y la ANPD, y recibe reclamaciones | Su nombramiento debe hacerse público |
Por dónde empezar
Empieza por los datos personales cuya filtración causaría más daño y luego mapea los canales por los que realmente circulan. Una adecuación planificada para todos los conjuntos de datos a la vez suele estancarse, así que una primera pasada por los flujos más riesgosos suele aportar el mayor valor.
Un trabajo similar se exige en el marco del cumplimiento de la CCPA en California, por lo que un inventario hecho para un régimen puede servir muchas veces al otro.
Lectura recomendada: Cómo usar Anexet Ultimate DLP para el cumplimiento del RGPD.
Una política dice qué debería pasar con los datos personales. Solo un inventario y una pista de auditoría muestran lo que realmente pasa.
Anexet Team