Qué es la ANPD
La Autoridade Nacional de Proteção de Dados (ANPD) es el organismo federal de Brasil que supervisa el cumplimiento de la Lei Geral de Proteção de Dados (LGPD), la ley general brasileña de protección de datos personales (Ley n.º 13.709/2018). La propia ley creó la ANPD, que comenzó a funcionar en 2020. Más tarde adquirió el estatus de agencia federal autónoma especial (autarquia especial) vinculada al Ministerio de Justicia. Tiene presupuesto propio e independencia administrativa frente a los reguladores sectoriales.
Su alcance es amplio. La LGPD se aplica a cualquier tratamiento de datos personales realizado en Brasil o dirigido a personas que se encuentren en el país. Por eso la ANPD supervisa empresas, organismos públicos y organizaciones sin fines de lucro de todos los sectores, incluidos salud, finanzas, telecomunicaciones, educación y administración pública. Los reguladores sectoriales conservan sus competencias y trabajan junto a ella.
Potestades e instrumentos regulatorios
La ANPD reúne los roles de creadora de normas, asesora y órgano sancionador. Sus principales herramientas son:
| Herramienta | Qué significa |
|---|---|
| Reglamentos | Normas vinculantes que desarrollan la LGPD, por ejemplo la notificación de incidentes |
| Orientación e interpretación | Pronunciamientos oficiales, guías técnicas y consultas públicas |
| Supervisión e inspección | Facultad para exigir información, auditar el tratamiento y requerir evidencias |
| Investigación y sanciones | Procedimientos administrativos que pueden terminar en apercibimientos, multas o restricciones |
| Cooperación | Coordinación con autoridades brasileñas y reguladores extranjeros de protección de datos |
Investigaciones y procedimientos
Los casos llegan a la ANPD por quejas de los titulares de datos, reportes de brechas de datos de las organizaciones, derivaciones de otras autoridades o del monitoreo propio del organismo. Una vez abierta la investigación, el responsable puede ser requerido para presentar documentos y explicaciones. El caso puede cerrarse con un compromiso correctivo o pasar a un procedimiento administrativo formal, en el que las partes presentan su defensa.
Al considerar una sanción, la autoridad pondera los factores que fija la ley. Entre ellos están la gravedad y la naturaleza de la infracción, la naturaleza de los datos afectados, incluidos los datos sensibles, si se produjo un daño, la mala fe, la ventaja económica obtenida, la reincidencia y la cooperación con la investigación. Desde 2023, estos criterios se detallan en los reglamentos de fiscalización y sanción de la ANPD. La aplicación pasó de documentos orientativos a multas considerables en casos que sientan precedente.
Sanciones que puede imponer la ANPD
Según el artículo 52 de la LGPD, una infracción confirmada puede acarrear un conjunto graduado de sanciones. Pueden aplicarse multas diarias mientras la infracción persista. Las multas se calculan sobre los ingresos en Brasil del ejercicio fiscal anterior, sin impuestos, y tienen un tope de 50 millones de reales por infracción.
| Sanción | En qué consiste | Aplica a |
|---|---|---|
| Apercibimiento | Plazo para aplicar medidas correctivas, generalmente en infracciones leves o primarias | Infracciones leves o primarias |
| Multas | Hasta el 2% de los ingresos en Brasil, con un tope de 50 millones de reales | Ingresos en Brasil del ejercicio fiscal anterior, sin impuestos |
| Publicidad de la infracción | Publicación de la decisión una vez concluido el procedimiento | La infracción confirmada |
| Bloqueo o eliminación de datos | Bloqueo de los datos involucrados hasta corregirlos, o orden de eliminarlos | Los datos involucrados |
| Suspensión y prohibición | Suspensión parcial de la base de datos por hasta seis meses, o prohibición del tratamiento | La actividad de tratamiento |
La ANPD en el panorama internacional
La LGPD estuvo fuertemente influida por el GDPR europeo. En Brasil, la ANPD ocupa la posición que tienen en la UE las autoridades nacionales de supervisión: un regulador independiente que aplica la ley y le da sentido práctico mediante normas. Participa en redes de cooperación internacional, como la Global Privacy Assembly. Los casos transfronterizos involucran cada vez más procedimientos paralelos ante la ANPD y las autoridades europeas.
Para las organizaciones multinacionales, la protección de datos en Brasil es un frente de trabajo aparte. Las reglas, plazos y sanciones de la ANPD se aplican al tratamiento que alcanza a Brasil, aunque el establecimiento principal de la empresa y su documentación del GDPR estén en otro lugar.
Cómo interactúan las organizaciones con la ANPD
Para una organización que trata datos personales en Brasil, la relación con la autoridad es sobre todo preventiva y de procedimiento. Estas obligaciones suelen formar parte de un programa de adecuación a la LGPD:
| Obligación | Qué significa |
|---|---|
| Encargado de protección de datosContacto con la ANPD | Designar una persona para atender solicitudes y el contacto con la ANPD; publicar sus datos |
| Notificación de incidentesReporte de incidente | Reportar los incidentes relevantes dentro de tres días hábiles desde que se tiene conocimiento |
| Solicitudes de informaciónDocumentación | Entregar la documentación del tratamiento dentro de los plazos fijados |
| Consulta previaTratamiento de alto riesgo | Consultar a la ANPD antes de tratar datos si el alto riesgo persiste |
| Transferencias internacionalesMecanismo de transferencia | Usar un mecanismo legal de transferencia, como las cláusulas contractuales tipo de la ANPD |
Por dónde empezar
Una empresa que trata datos personales en Brasil puede empezar con una lista corta: quién es el responsable del tratamiento, qué categorías de datos guarda, quién responde a las solicitudes de la ANPD y quién notificaría un incidente en tres días hábiles. Controles como la prevención de pérdida de datos (DLP) ayudan a ver hacia dónde viajan esos datos. Las multinacionales deben tratar a Brasil como un frente propio, no como una nota al pie de su programa de GDPR.
Lectura recomendada: Cómo usar Anexet Ultimate DLP para el cumplimiento del RGPD.
La primera pregunta de un regulador rara vez es sobre la brecha. Pregunta quién guarda los datos personales, para qué y quién responde por ellos.
Anexet Team