ANPD

L'Autoridade Nacional de Proteção de Dados (ANPD) est l'autorité fédérale brésilienne chargée de veiller au respect de la Lei Geral de Proteção de Dados (LGPD), la loi générale brésilienne sur la protection des données personnelles (loi n° 13.709/2018). Cette loi a créé l'ANPD, opérationnelle depuis 2020. Elle a ensuite obtenu le statut d'agence fédérale autonome spéciale (autarquia especial), rattachée au ministère de la Justice. Elle dispose de son propre budget et d'une indépendance administrative vis-à-vis des régulateurs sectoriels.

Son champ d'action est large. La LGPD s'applique à tout traitement de données personnelles effectué au Brésil ou visant des personnes qui s'y trouvent. L'ANPD supervise donc les entreprises, les organismes publics et les associations à but non lucratif de tous les secteurs, dont la santé, la finance, les télécommunications, l'éducation et l'administration publique. Les régulateurs sectoriels conservent leurs compétences et travaillent en parallèle avec elle.

L'ANPD cumule les rôles de législateur réglementaire, de conseiller et d'autorité de sanction. Ses principaux outils sont :

Les dossiers parviennent à l'ANPD par les plaintes des personnes concernées, les signalements de violations de données émanant des organisations, les saisines d'autres autorités ou la surveillance propre de l'autorité. Une fois l'enquête ouverte, le responsable du traitement peut être sommé de produire des documents et des explications. Le dossier peut se clore par un engagement correctif ou donner lieu à une procédure administrative formelle, dans laquelle les parties présentent leur défense.

Lorsqu'une sanction est envisagée, l'autorité pèse les facteurs prévus par la loi : la gravité et la nature de l'infraction, la nature des données concernées, y compris les données sensibles, la survenance d'un préjudice, la mauvaise foi, l'avantage économique obtenu, la récidive et la coopération avec l'enquête. Depuis 2023, ces critères figurent dans les règlements de l'ANPD. Les amendes importantes visent désormais les affaires qui font jurisprudence.

En vertu de l'article 52 de la LGPD, une infraction avérée peut donner lieu à un ensemble gradué de sanctions. Des amendes journalières peuvent être appliquées tant que l'infraction persiste. Les amendes sont calculées sur le chiffre d'affaires réalisé au Brésil au cours de l'exercice précédent, hors taxes, et plafonnées à 50 millions de reais par infraction.

La LGPD s'inspire fortement du RGPD européen. Au Brésil, l'ANPD occupe la place qu'ont les autorités nationales de contrôle dans l'UE : un régulateur indépendant qui fait appliquer la loi et en précise le sens pratique par la réglementation. Elle participe à des réseaux de coopération internationale, comme la Global Privacy Assembly. Les affaires transfrontalières donnent de plus en plus lieu à des procédures parallèles.

Pour les organisations multinationales, la protection des données au Brésil constitue un chantier distinct. Les règles, délais et sanctions de l'ANPD s'appliquent aux traitements qui touchent le Brésil, même lorsque l'établissement principal de l'entreprise et sa documentation RGPD se trouvent ailleurs.

Pour une organisation qui traite des données personnelles au Brésil, la relation avec l'autorité est surtout préventive et procédurale. Ces obligations s'intègrent en général dans une démarche de mise en conformité avec la LGPD :

Une entreprise qui traite des données personnelles au Brésil peut commencer par une liste courte : qui est le responsable du traitement, quelles catégories de données elle détient, qui répond aux demandes de l'ANPD et qui notifierait un incident dans les trois jours ouvrés. Des contrôles comme la prévention des pertes de données (DLP) aident à savoir où ces données circulent. Les groupes multinationaux doivent traiter le Brésil comme un chantier à part entière.

Pour aller plus loin : Utiliser le système DLP Anexet Ultimate pour la conformité au RGPD.