LGPD : la loi brésilienne sur les données pour les étrangers

Oui, la LGPD s'applique aux entreprises étrangères. La loi générale de protection des données du Brésil (loi 13.709/2018) s'applique à toute entreprise qui traite des données personnelles de personnes se trouvant au Brésil, leur propose des produits ou services ou traite des données collectées dans le pays, quel que soit son lieu d'établissement. En pratique, si votre site vend aux Brésiliens, collecte des e-mails ou dépose des cookies chez des visiteurs du Brésil, la LGPD vous concerne.

Quand la LGPD s'applique

Selon l'article 3 de la loi, la LGPD s'applique lorsque :

• le traitement des données a lieu au Brésil ; ou
• l'activité vise à proposer ou fournir des biens ou services à des personnes au Brésil ; ou
• les données ont été collectées au Brésil.

Il existe des exceptions, comme les usages strictement personnels, journalistiques, artistiques ou académiques, et la sécurité publique.

LGPD et RGPD : proches, mais pas identiques

La LGPD s'inspire du RGPD européen ; les entreprises déjà conformes au RGPD ont donc fait une bonne partie du travail. Mais il existe des différences :

Thème	LGPD (Brésil)	RGPD (UE)
Bases légales	10 bases, dont la protection du crédit	6 bases
Délégué (DPO)	La règle générale est d'en désigner un ; assouplissements pour les petits responsables de traitement	Obligatoire dans des cas précis
Amende maximale	2 % du chiffre d'affaires au Brésil, plafonnée à R$ 50 millions par infraction	Jusqu'à 4 % du chiffre d'affaires mondial ou 20 millions d'euros
Autorité	ANPD	Autorités nationales de chaque pays

Les principales obligations

1. Disposer d'une base légale pour chaque usage des données

Chaque finalité exige une base légale : consentement, exécution d'un contrat, obligation légale, intérêt légitime, protection du crédit, etc. Le marketing par e-mail, par exemple, repose généralement sur le consentement ou sur un intérêt légitime bien documenté.

2. Respecter les droits des personnes

L'article 18 garantit notamment le droit de savoir si vous traitez ses données, d'y accéder, de les rectifier, de demander l'anonymisation ou la suppression, la portabilité et des informations sur le partage. Prévoyez un canal clair, en portugais, pour ces demandes.

3. Désigner un délégué

Le délégué (encarregado, équivalent du DPO) est l'interlocuteur entre l'entreprise, les personnes concernées et l'ANPD. Son identité et ses coordonnées doivent être publiées, de préférence dans la politique de confidentialité.

4. Une politique de confidentialité en portugais

Expliquez, en langage clair et en portugais du Brésil, quelles données vous collectez, pourquoi, avec qui vous les partagez, combien de temps vous les conservez et comment exercer ses droits. Une politique uniquement en anglais rend la transparence difficile à démontrer. Voir pourquoi la langue compte dans portugais du Brésil : pourquoi traduire ne suffit pas.

5. Sécurité et incidents

L'entreprise doit adopter des mesures de sécurité adaptées. Les incidents susceptibles de causer un risque ou un dommage significatif doivent être notifiés à l'ANPD et aux personnes concernées, dans le délai fixé par la réglementation de l'ANPD.

6. Transferts internationaux de données

Si les données de Brésiliens partent vers des serveurs hors du Brésil (c'est le cas de presque toutes les entreprises étrangères), le transfert doit reposer sur un fondement prévu par la loi. L'ANPD a approuvé des clauses contractuelles types à cet effet, selon une logique proche des clauses européennes. Revoyez vos contrats avec vos fournisseurs de cloud, de CRM et d'e-mailing.

Amendes et sanctions

L'ANPD peut prononcer des avertissements, une amende simple allant jusqu'à 2 % du chiffre d'affaires de l'entreprise au Brésil lors du dernier exercice (plafonnée à R$ 50 millions par infraction), des astreintes journalières, la publication de l'infraction, le blocage ou la suppression des données et la suspension des traitements. Les personnes concernées peuvent aussi saisir la justice, et les Procon (protection des consommateurs) interviennent sur les questions de consommation.

Points d'attention pour la vente en ligne

• Cookies et traçage : l'ANPD a publié des lignes directrices sur les cookies. Proposez un bandeau offrant une vraie possibilité de refuser les cookies non essentiels.
• WhatsApp et listes de contacts : les messages marketing sur WhatsApp impliquent aussi des données personnelles et exigent une base légale. Voir WhatsApp pour les entreprises au Brésil.
• CPF au paiement : le CPF est une donnée personnelle. Ne le collectez que si nécessaire (facturation, paiement, antifraude) et protégez-le.
• Influenceurs et partenaires : partager des listes de clients avec des partenaires exige une base légale et un contrat.

Check-list rapide

1. Cartographiez les données de Brésiliens que vous collectez et pourquoi.
2. Définissez la base légale de chaque finalité.
3. Publiez la politique de confidentialité en portugais et les coordonnées du délégué.
4. Mettez en place un processus de traitement des demandes.
5. Ajustez le bandeau cookies.
6. Revoyez les contrats de transfert international.
7. Prévoyez un plan de réponse aux incidents.

En résumé

La LGPD concerne les entreprises étrangères qui vendent ou collectent des données au Brésil. La conformité RGPD est une bonne base, mais il faut adapter la politique en portugais, le délégué, les bases légales brésiliennes et les transferts internationaux. Pour un plan complet d'entrée sur le marché, voir aussi créer une entreprise au Brésil quand on est étranger. Si vous voulez de l'aide pour organiser la mise en conformité avec votre arrivée sur le marché, parlez-en à BrazilDoor.