LGPD：海外企業のためのブラジル個人データ保護法

はい、LGPD は海外企業にも適用されます。ブラジルの個人データ保護一般法（法律第 13.709/2018 号）は、ブラジルにいる人の個人データを扱う企業、その人々に物品やサービスを提供する企業、またはブラジルで集めたデータを扱う企業に、所在地を問わず適用されます。実際には、あなたのサイトがブラジル向けに販売している、メールアドレスを集めている、ブラジルからの訪問者に cookie を設定しているなら、LGPD の対象です。

LGPD が適用されるとき

法律第 3 条によると、次の場合に LGPD が適用されます。

• データの処理がブラジルで行われる；または
• ブラジルにいる人に物品やサービスを提供することを目的とした活動である；または
• データがブラジルで収集された。

純粋に私的な利用、報道、芸術、学術目的、公共の安全などの例外があります。

LGPD と GDPR：似ているが同じではない

LGPD は欧州の GDPR を参考に作られたため、GDPR に対応済みの企業は作業の多くが終わっています。ただし違いもあります。

項目	LGPD（ブラジル）	GDPR（EU）
法的根拠	信用保護を含む 10 項目	6 項目
データ保護担当者	原則として任命。小規模な処理者には柔軟な扱い	特定の場合に義務
最大の制裁金	ブラジルでの売上の 2%、違反 1 件あたり上限 5,000 万レアル	全世界売上の 4% または 2,000 万ユーロ
監督機関	ANPD	各国の監督機関

主な義務

1. データの利用ごとに法的根拠を持つ

目的ごとに法的根拠が必要です。同意、契約の履行、法的義務の遵守、正当な利益、信用保護などです。例えばメールマーケティングは、通常、同意か十分に記録された正当な利益に基づきます。

2. データ主体の権利を尊重する

第 18 条はデータ主体に、データを処理しているかの確認、アクセス、訂正、匿名化や削除の要求、データポータビリティ、共有先の情報などの権利を与えています。こうした請求のために、ポルトガル語のわかりやすい窓口を用意しましょう。

3. データ保護担当者を任命する

担当者（encarregado、DPO に相当）は、企業、データ主体、ANPD をつなぐ窓口です。氏名と連絡先を公開する必要があり、プライバシーポリシーに記載するのが望ましいです。

4. ポルトガル語のプライバシーポリシー

どのデータを、なぜ集め、誰と共有し、どれだけ保存し、データ主体がどう権利を行使できるかを、わかりやすいブラジルポルトガル語で説明します。英語だけのポリシーでは透明性を示すのが難しくなります。言語が重要な理由はブラジルポルトガル語：翻訳だけでは足りない理由をご覧ください。

5. 安全管理と事故

企業は適切な安全対策を講じなければなりません。データ主体に重大なリスクや損害を与えるおそれのある事故は、ANPD の規則が定める期限内に ANPD とデータ主体に報告する必要があります。

6. データの国外移転

ブラジル人のデータがブラジル国外のサーバーに送られる場合（ほぼすべての海外企業がそうです）、移転には法律が定める根拠が必要です。ANPD は欧州と同じ考え方の標準契約条項を承認しています。クラウド、CRM、メールサービスの提供者との契約を見直しましょう。

制裁金と処分

ANPD は、警告、前会計年度のブラジルでの売上の最大 2%（違反 1 件あたり上限 5,000 万レアル）の制裁金、日額の制裁金、違反の公表、データの封鎖や削除、処理活動の停止を科すことができます。さらに、データ主体は訴訟を起こすことができ、消費者保護機関（Procon）も消費者問題に対応します。

オンライン販売者の注意点

• cookie とトラッキング： ANPD は cookie に関するガイドを公表しています。不要な cookie を本当に拒否できるバナーを用意しましょう。
• WhatsApp と連絡先リスト： WhatsApp でのマーケティングメッセージも個人データを扱うため、法的根拠が必要です。ブラジルのビジネスと WhatsApp をご覧ください。
• 決済時の CPF： CPF は個人データです。必要な場合（請求書、支払い、不正防止）だけ集め、保護しましょう。
• インフルエンサーとパートナー： 顧客リストをパートナーと共有するには、法的根拠と契約が必要です。

かんたんチェックリスト

1. ブラジルの人々のどのデータを、なぜ集めているかを洗い出す。
2. 目的ごとに法的根拠を決める。
3. ポルトガル語のプライバシーポリシーと担当者の連絡先を公開する。
4. データ主体からの請求に対応する手順を作る。
5. cookie バナーを調整する。
6. 国外移転の契約を見直す。
7. 事故対応計画を用意する。

まとめ

LGPD は、ブラジル向けに販売する、またはブラジルでデータを集める海外企業に及びます。GDPR への対応は良い土台ですが、ポルトガル語のポリシー、担当者、ブラジルの法的根拠、国外移転を調整する必要があります。市場参入の全体計画は外国人がブラジルで会社を設立する方法もご覧ください。市場参入とあわせて法令対応を整えたい場合は、BrazilDoor にご相談ください。