LGPD: закон Бразилии о защите данных для иностранных компаний

Да, LGPD применяется к иностранным компаниям. Общий закон о защите данных Бразилии (Закон 13.709/2018) действует для любой компании, которая обрабатывает персональные данные людей в Бразилии, предлагает им товары или услуги или обрабатывает данные, собранные в стране, независимо от того, где компания зарегистрирована. На практике: если ваш сайт продает бразильцам, собирает e-mail или ставит cookie посетителям из Бразилии, LGPD касается вас.

Когда применяется LGPD

Согласно статье 3 закона, LGPD применяется, когда:

• обработка данных происходит в Бразилии; или
• деятельность направлена на предложение или поставку товаров или услуг людям в Бразилии; или
• данные были собраны в Бразилии.

Есть исключения: строго личное, журналистское, художественное или академическое использование, а также общественная безопасность.

LGPD и GDPR: похожи, но не одинаковы

LGPD создан по образцу европейского GDPR, поэтому компании, уже соблюдающие GDPR, выполнили большую часть работы. Но есть различия:

Тема	LGPD (Бразилия)	GDPR (ЕС)
Правовые основания	10 оснований, включая защиту кредита	6 оснований
Ответственный за защиту данных	По общему правилу назначается; для малых операторов есть послабления	Обязателен в определенных случаях
Максимальный штраф	2% выручки в Бразилии, не более 50 млн реалов за нарушение	До 4% мировой выручки или 20 млн евро
Регулятор	ANPD	Национальные регуляторы в каждой стране

Ключевые обязанности

1. Правовое основание для каждого использования данных

Каждой цели нужно правовое основание: согласие, исполнение договора, выполнение законной обязанности, законный интерес, защита кредита и другие. E-mail-маркетинг, например, обычно опирается на согласие или хорошо задокументированный законный интерес.

2. Соблюдение прав субъектов данных

Статья 18 дает субъектам данных, в частности, право узнать, обрабатываете ли вы их данные, получить к ним доступ, исправить их, потребовать обезличивания или удаления, переносимости и информации о передаче. Создайте понятный канал на португальском для таких запросов.

3. Назначение ответственного за защиту данных

Ответственный (encarregado, аналог DPO) — связующее звено между компанией, субъектами данных и ANPD. Его имя и контакты должны быть опубликованы, желательно в политике конфиденциальности.

4. Политика конфиденциальности на португальском

Объясните простым бразильским португальским, какие данные вы собираете, зачем, с кем делитесь, как долго храните и как субъекты могут реализовать свои права. С политикой только на английском трудно доказать прозрачность. Почему язык важен — в статье бразильский португальский: почему перевода недостаточно.

5. Безопасность и инциденты

Компании должны принимать надлежащие меры безопасности. Об инцидентах, которые могут повлечь значимый риск или ущерб для субъектов данных, нужно сообщать в ANPD и субъектам в сроки, установленные правилами ANPD.

6. Трансграничная передача данных

Если данные бразильцев уходят на серверы за пределами Бразилии (как почти у каждой иностранной компании), для передачи нужно основание, предусмотренное законом. ANPD утвердило стандартные договорные условия, похожие по логике на европейские. Пересмотрите договоры с поставщиками облака, CRM и e-mail-сервисов.

Штрафы и санкции

ANPD может выносить предупреждения, назначать простые штрафы до 2% выручки компании в Бразилии за последний финансовый год (не более 50 млн реалов за нарушение), ежедневные штрафы, публиковать сведения о нарушении, блокировать или удалять данные и приостанавливать обработку. Кроме того, субъекты данных могут подавать иски, а органы защиты прав потребителей (Procon) действуют в потребительских делах.

На что обратить внимание онлайн-продавцам

• Cookie и трекинг: ANPD опубликовало рекомендации по cookie. Предложите баннер с реальной возможностью отказаться от необязательных cookie.
• WhatsApp и списки контактов: маркетинговые сообщения в WhatsApp тоже затрагивают персональные данные и требуют правового основания. См. WhatsApp в бразильском бизнесе.
• CPF при оформлении заказа: CPF — персональные данные. Собирайте его только при необходимости (счета, оплата, защита от мошенничества) и защищайте.
• Инфлюенсеры и партнеры: передача списков клиентов партнерам требует правового основания и договора.

Короткий чек-лист

1. Определите, какие данные бразильцев вы собираете и зачем.
2. Установите правовое основание для каждой цели.
3. Опубликуйте политику конфиденциальности на португальском и контакты ответственного.
4. Создайте процесс обработки запросов субъектов данных.
5. Настройте баннер cookie.
6. Пересмотрите договоры о трансграничной передаче.
7. Подготовьте план реагирования на инциденты.

Итог

LGPD распространяется на иностранные компании, которые продают в Бразилию или собирают там данные. Соответствие GDPR — хорошая основа, но нужно адаптировать политику на португальском, назначить ответственного, учесть бразильские правовые основания и трансграничную передачу. Для полного плана выхода на рынок см. также как иностранцу открыть компанию в Бразилии. Если хотите выстроить соответствие вместе с выходом на рынок, обращайтесь в BrazilDoor.