LGPD: de Braziliaanse privacywet voor buitenlandse bedrijven

Ja, de LGPD geldt voor buitenlandse bedrijven. De Algemene Wet Gegevensbescherming van Brazilië (Wet 13.709/2018) geldt voor elk bedrijf dat persoonsgegevens van mensen in Brazilië verwerkt, hun goederen of diensten aanbiedt of in het land verzamelde gegevens verwerkt, ongeacht waar het bedrijf gevestigd is. In de praktijk: verkoopt uw website aan Brazilianen, verzamelt u e-mailadressen of plaatst u cookies bij bezoekers uit Brazilië, dan geldt de LGPD voor u.

Wanneer de LGPD geldt

Volgens artikel 3 van de wet geldt de LGPD wanneer:

• de verwerking van gegevens in Brazilië plaatsvindt; of
• de activiteit erop gericht is goederen of diensten aan te bieden aan mensen in Brazilië; of
• de gegevens in Brazilië zijn verzameld.

Er zijn uitzonderingen, zoals strikt persoonlijk, journalistiek, artistiek of academisch gebruik en openbare veiligheid.

LGPD en AVG: vergelijkbaar, niet gelijk

De LGPD is geïnspireerd op de Europese AVG (GDPR), dus bedrijven die al aan de AVG voldoen hebben veel werk al gedaan. Maar er zijn verschillen:

Onderwerp	LGPD (Brazilië)	AVG (EU)
Rechtsgronden	10 gronden, waaronder kredietbescherming	6 gronden
Functionaris voor gegevensbescherming	Algemene regel is er een aan te wijzen; kleine verwerkers krijgen ruimte	Verplicht in specifieke gevallen
Maximale boete	2% van de omzet in Brazilië, maximaal R$ 50 miljoen per overtreding	Tot 4% van de wereldwijde omzet of € 20 miljoen
Toezichthouder	ANPD	Nationale toezichthouders per land

De kernverplichtingen

1. Heb een rechtsgrond voor elk gebruik van gegevens

Elk doel heeft een rechtsgrond nodig: toestemming, uitvoering van een overeenkomst, een wettelijke verplichting, gerechtvaardigd belang, kredietbescherming en andere. E-mailmarketing steunt bijvoorbeeld meestal op toestemming of een goed gedocumenteerd gerechtvaardigd belang.

2. Respecteer de rechten van betrokkenen

Artikel 18 geeft betrokkenen onder meer het recht te weten of u hun gegevens verwerkt, ze in te zien, te corrigeren, anonimisering of verwijdering te vragen, overdraagbaarheid en informatie over delen. Zorg voor een duidelijk kanaal, in het Portugees, voor deze verzoeken.

3. Wijs een functionaris voor gegevensbescherming aan

De functionaris (encarregado, het equivalent van een DPO) is het aanspreekpunt tussen het bedrijf, de betrokkenen en de ANPD. Zijn identiteit en contactgegevens moeten openbaar zijn, bij voorkeur in het privacybeleid.

4. Een privacybeleid in het Portugees

Leg in eenvoudig Braziliaans Portugees uit welke gegevens u verzamelt, waarom, met wie u ze deelt, hoe lang u ze bewaart en hoe betrokkenen hun rechten uitoefenen. Met een beleid alleen in het Engels is transparantie moeilijk aan te tonen. Zie waarom taal telt in Braziliaans Portugees: waarom vertalen niet genoeg is.

5. Beveiliging en incidenten

Bedrijven moeten passende beveiligingsmaatregelen nemen. Incidenten die relevant risico of schade voor betrokkenen kunnen opleveren, moeten aan de ANPD en aan de betrokkenen worden gemeld, binnen de termijn die de regels van de ANPD stellen.

6. Internationale doorgifte van gegevens

Gaan gegevens van Brazilianen naar servers buiten Brazilië (zoals bij bijna elk buitenlands bedrijf), dan heeft de doorgifte een grondslag uit de wet nodig. De ANPD heeft daarvoor standaardcontractbepalingen goedgekeurd, in opzet vergelijkbaar met de Europese. Herzie uw contracten met cloud-, CRM- en e-mailleveranciers.

Boetes en sancties

De ANPD kan waarschuwingen geven, eenvoudige boetes tot 2% van de omzet van het bedrijf in Brazilië in het laatste boekjaar (maximaal R$ 50 miljoen per overtreding), dagboetes, openbaarmaking van de overtreding, blokkering of verwijdering van gegevens en opschorting van verwerkingsactiviteiten. Daarnaast kunnen betrokkenen procederen, en consumentenorganisaties (Procons) treden op in consumentenzaken.

Aandachtspunten voor online verkopers

• Cookies en tracking: de ANPD heeft richtlijnen over cookies gepubliceerd. Bied een banner met een echte optie om niet-essentiële cookies te weigeren.
• WhatsApp en contactlijsten: marketingberichten via WhatsApp gaan ook over persoonsgegevens en hebben een rechtsgrond nodig. Zie WhatsApp in het Braziliaanse zakenleven.
• CPF bij het afrekenen: de CPF is een persoonsgegeven. Verzamel hem alleen als het nodig is (facturatie, betaling, fraudepreventie) en bescherm hem.
• Influencers en partners: klantenlijsten delen met partners vraagt om een rechtsgrond en een contract.

Snelle checklist

1. Breng in kaart welke gegevens van Brazilianen u verzamelt en waarom.
2. Bepaal de rechtsgrond voor elk doel.
3. Publiceer het privacybeleid in het Portugees en het contact van de functionaris.
4. Richt een proces in voor verzoeken van betrokkenen.
5. Pas de cookiebanner aan.
6. Herzie de contracten voor internationale doorgifte.
7. Zorg voor een plan voor incidenten.

Samenvatting

De LGPD raakt buitenlandse bedrijven die aan Brazilië verkopen of er gegevens verzamelen. Naleving van de AVG is een stevige basis, maar u moet het beleid in het Portugees, de functionaris, de Braziliaanse rechtsgronden en de internationale doorgifte aanpassen. Voor een volledig plan voor markttoegang, zie ook als buitenlander een bedrijf oprichten in Brazilië. Wilt u hulp om de naleving samen met uw markttoegang te regelen? Neem contact op met BrazilDoor.