LGPD: la ley de datos de Brasil para empresas extranjeras

Sí, la LGPD se aplica a empresas extranjeras. La Ley General de Protección de Datos de Brasil (Ley 13.709/2018) vale para cualquier empresa que trate datos personales de personas que están en Brasil, les ofrezca productos o servicios o trate datos recolectados en el país, sin importar dónde esté la empresa. En la práctica, si tu sitio vende a brasileños, recoge correos o usa cookies de visitantes de Brasil, la LGPD te aplica.

Cuándo se aplica la LGPD

Según el artículo 3 de la ley, la LGPD se aplica cuando:

• el tratamiento de datos se realiza en Brasil; o
• la actividad tiene como objetivo ofrecer o suministrar bienes o servicios a personas en Brasil; o
• los datos fueron recolectados en Brasil.

Hay excepciones, como el uso estrictamente personal, periodístico, artístico o académico, y la seguridad pública.

LGPD y RGPD: parecidas, no iguales

La LGPD se inspiró en el RGPD europeo, así que quien ya se adecuó al RGPD tiene buena parte del trabajo hecho. Pero hay diferencias:

Tema	LGPD (Brasil)	RGPD (UE)
Bases legales	10 bases, incluida la protección del crédito	6 bases
Encargado (DPO)	La regla general es designar un encargado; hay flexibilización para agentes de pequeño porte	Obligatorio en casos específicos
Multa máxima	2% de la facturación en Brasil, con tope de R$ 50 millones por infracción	Hasta el 4% de la facturación global o 20 millones de euros
Autoridad	ANPD	Autoridades nacionales de cada país

Las obligaciones principales

1. Tener una base legal para cada uso de datos

Cada finalidad necesita una base legal: consentimiento, ejecución de contrato, cumplimiento de obligación legal, interés legítimo, protección del crédito, entre otras. El marketing por correo, por ejemplo, suele depender del consentimiento o de un interés legítimo bien documentado.

2. Respetar los derechos de los titulares

El artículo 18 garantiza al titular, entre otros, el derecho a confirmar si tratas sus datos, acceder a ellos, corregirlos, pedir anonimización o eliminación, portabilidad e información sobre el intercambio. Ten un canal claro, en portugués, para estas solicitudes.

3. Designar un encargado

El encargado (equivalente al DPO) es el canal entre la empresa, los titulares y la ANPD. Su identidad y contacto deben publicarse, preferentemente en la política de privacidad.

4. Política de privacidad en portugués

Explica, en lenguaje claro y en portugués de Brasil, qué datos recoges, para qué, con quién los compartes, cuánto tiempo los guardas y cómo el titular ejerce sus derechos. Una política solo en inglés dificulta probar la transparencia. Mira por qué el idioma importa en portugués de Brasil: por qué traducir no basta.

5. Seguridad e incidentes

La empresa debe adoptar medidas de seguridad adecuadas. Los incidentes que puedan causar riesgo o daño relevante a los titulares deben comunicarse a la ANPD y a los titulares, dentro del plazo definido por la reglamentación de la ANPD.

6. Transferencia internacional de datos

Si los datos de brasileños van a servidores fuera de Brasil (el caso de casi toda empresa extranjera), la transferencia necesita un fundamento previsto en la ley. La ANPD aprobó cláusulas contractuales tipo para esto, con una lógica parecida a las europeas. Revisa tus contratos con proveedores de nube, CRM y correo.

Multas y sanciones

La ANPD puede aplicar advertencias, multa simple de hasta el 2% de la facturación de la empresa en Brasil en el último ejercicio (con tope de R$ 50 millones por infracción), multa diaria, publicación de la infracción, bloqueo o eliminación de los datos y suspensión de actividades de tratamiento. Además, los titulares pueden acudir a la Justicia y los Procon actúan en temas de consumo.

Puntos de atención para quien vende online

• Cookies y rastreo: la ANPD publicó orientaciones sobre cookies. Ofrece un banner con una opción real de rechazar cookies no esenciales.
• WhatsApp y listas de contacto: los mensajes de marketing por WhatsApp también implican datos personales y necesitan base legal. Mira WhatsApp en los negocios en Brasil.
• CPF en el checkout: el CPF es un dato personal. Recógelo solo cuando sea necesario (facturación, pago, antifraude) y protégelo.
• Influencers y socios: compartir listas de clientes con socios exige base legal y contrato.

Checklist rápido

1. Mapea qué datos de brasileños recoges y para qué.
2. Define la base legal de cada finalidad.
3. Publica la política de privacidad en portugués y el contacto del encargado.
4. Crea un proceso para atender solicitudes de titulares.
5. Ajusta el banner de cookies.
6. Revisa los contratos de transferencia internacional.
7. Ten un plan de respuesta a incidentes.

Resumen

La LGPD alcanza a las empresas extranjeras que venden o recogen datos en Brasil. Quien cumple el RGPD tiene una base sólida, pero debe ajustar la política al portugués, el encargado, las bases legales brasileñas y las transferencias internacionales. Para un plan completo de entrada al país, mira también cómo abrir una empresa en Brasil siendo extranjero. Si quieres ayuda para organizar la adecuación junto con tu entrada al mercado, habla con BrazilDoor.