LGPD: la legge brasiliana sui dati per aziende straniere

Sì, la LGPD si applica alle aziende straniere. La Legge generale sulla protezione dei dati del Brasile (Legge 13.709/2018) vale per qualsiasi azienda che tratti dati personali di persone che si trovano in Brasile, offra loro beni o servizi o tratti dati raccolti nel paese, indipendentemente da dove abbia sede. In pratica, se il tuo sito vende ai brasiliani, raccoglie e-mail o usa cookie sui visitatori dal Brasile, la LGPD ti riguarda.

Quando si applica la LGPD

Secondo l'articolo 3 della legge, la LGPD si applica quando:

• il trattamento dei dati avviene in Brasile; oppure
• l'attività ha lo scopo di offrire o fornire beni o servizi a persone in Brasile; oppure
• i dati sono stati raccolti in Brasile.

Ci sono eccezioni, come l'uso strettamente personale, giornalistico, artistico o accademico, e la sicurezza pubblica.

LGPD e GDPR: simili, non identiche

La LGPD si ispira al GDPR europeo, quindi chi è già conforme al GDPR ha fatto buona parte del lavoro. Ma ci sono differenze:

Tema	LGPD (Brasile)	GDPR (UE)
Basi giuridiche	10, inclusa la tutela del credito	6
Responsabile (DPO)	La regola generale è nominarlo; semplificazioni per i piccoli titolari	Obbligatorio in casi specifici
Sanzione massima	2% del fatturato in Brasile, con tetto di R$ 50 milioni per infrazione	Fino al 4% del fatturato globale o 20 milioni di euro
Autorità	ANPD	Autorità nazionali di ciascun paese

Gli obblighi principali

1. Una base giuridica per ogni uso dei dati

Ogni finalità richiede una base giuridica: consenso, esecuzione di un contratto, obbligo di legge, legittimo interesse, tutela del credito, tra le altre. Il marketing via e-mail, ad esempio, si basa di solito sul consenso o su un legittimo interesse ben documentato.

2. Rispettare i diritti degli interessati

L'articolo 18 garantisce, tra l'altro, il diritto di sapere se tratti i suoi dati, accedervi, correggerli, chiederne l'anonimizzazione o la cancellazione, la portabilità e informazioni sulla condivisione. Prevedi un canale chiaro, in portoghese, per queste richieste.

3. Nominare un responsabile

Il responsabile (encarregado, equivalente al DPO) è il punto di contatto tra azienda, interessati e ANPD. Identità e contatti vanno pubblicati, preferibilmente nell'informativa privacy.

4. Informativa privacy in portoghese

Spiega, in linguaggio chiaro e in portoghese brasiliano, quali dati raccogli, per quale scopo, con chi li condividi, per quanto li conservi e come l'interessato esercita i suoi diritti. Un'informativa solo in inglese rende difficile dimostrare la trasparenza. Vedi perché la lingua conta in portoghese brasiliano: perché tradurre non basta.

5. Sicurezza e incidenti

L'azienda deve adottare misure di sicurezza adeguate. Gli incidenti che possono causare rischi o danni rilevanti agli interessati vanno comunicati all'ANPD e agli interessati, entro i termini fissati dalla regolamentazione dell'ANPD.

6. Trasferimento internazionale dei dati

Se i dati dei brasiliani finiscono su server fuori dal Brasile (il caso di quasi ogni azienda straniera), il trasferimento richiede un fondamento previsto dalla legge. L'ANPD ha approvato clausole contrattuali standard a questo scopo, con una logica simile a quelle europee. Rivedi i contratti con i fornitori di cloud, CRM ed e-mail.

Sanzioni

L'ANPD può applicare avvertimenti, sanzioni pecuniarie fino al 2% del fatturato dell'azienda in Brasile nell'ultimo esercizio (con tetto di R$ 50 milioni per infrazione), sanzioni giornaliere, pubblicazione dell'infrazione, blocco o cancellazione dei dati e sospensione dei trattamenti. Inoltre gli interessati possono agire in giudizio, e i Procon (tutela dei consumatori) intervengono sui temi di consumo.

Punti di attenzione per chi vende online

• Cookie e tracciamento: l'ANPD ha pubblicato linee guida sui cookie. Offri un banner con una reale possibilità di rifiutare i cookie non essenziali.
• WhatsApp e liste di contatti: anche i messaggi di marketing su WhatsApp coinvolgono dati personali e richiedono una base giuridica. Vedi WhatsApp per le aziende in Brasile.
• CPF al checkout: il CPF è un dato personale. Raccoglilo solo quando serve (fatturazione, pagamento, antifrode) e proteggilo.
• Influencer e partner: condividere liste di clienti con partner richiede base giuridica e contratto.

Checklist rapida

1. Mappa quali dati dei brasiliani raccogli e perché.
2. Definisci la base giuridica di ogni finalità.
3. Pubblica l'informativa in portoghese e i contatti del responsabile.
4. Crea un processo per gestire le richieste degli interessati.
5. Adegua il banner dei cookie.
6. Rivedi i contratti di trasferimento internazionale.
7. Prepara un piano di risposta agli incidenti.

In sintesi

La LGPD riguarda le aziende straniere che vendono o raccolgono dati in Brasile. La conformità al GDPR è una buona base, ma vanno adattati l'informativa in portoghese, il responsabile, le basi giuridiche brasiliane e i trasferimenti internazionali. Per un piano completo di ingresso nel paese, vedi anche come aprire una società in Brasile da straniero. Se vuoi aiuto per organizzare l'adeguamento insieme al tuo ingresso nel mercato, parla con BrazilDoor.