La LGPD es la Ley General de Protección de Datos de Brasil (Lei Geral de Proteção de Dados Pessoais). Fue promulgada por el Congreso Nacional de Brasil el 14 de agosto de 2018 y entró en vigor en septiembre de 2020.
Al igual que otras leyes de protección de datos, la LGPD crea un marco legal para la gobernanza de la recopilación y el uso de datos personales. Sin embargo, no es simplemente una réplica del GDPR, sino que difiere en varios aspectos importantes.
A continuación, discutimos los conceptos básicos de la LGPD y las implicaciones para las empresas que operan dentro y fuera de Brasil.
¿Qué es la LGPD?
Anteriormente, Brasil contaba con más de 40 leyes federales que regulaban los datos personales. El objetivo principal de la LGPD era consolidar estas diversas leyes en un único marco jurídico general para la protección de datos.
Al hacerlo, los legisladores brasileños pretendían mejorar el control y los derechos de los ciudadanos brasileños sobre sus datos personales. Pero también, para simplificar la compleja red de estatutos anteriores, facilitando el entorno regulatorio para las empresas internacionales y nacionales.
Aquellos que ya cumplan con el GDPR también cumplirán con la LGPD. Sin embargo, hay diferencias clave. La LGPD está organizada en torno a nueve derechos clave, que definen colectivamente los datos personales y crean diez bases legales para el procesamiento legal de datos personales.
¿Cuáles son los nueve derechos de la LGPD?
Los Nueve Derechos se describen en el artículo 18 de la LGPD. Describe los derechos de los ciudadanos brasileños a:
- Confirmar la existencia del tratamiento de sus datos
- Acceder a sus datos
- Corregir datos incompletos, inexactos o desactualizados
- Anonimización, bloqueo o eliminación de datos innecesarios o excesivos o datos procesados en incumplimiento de las disposiciones de la LGPD
- Portabilidad de los datos a otro proveedor de servicios o proveedor de productos, a petición del interesado
- Eliminar sus datos personales
- Ser informado sobre las entidades públicas y privadas con las que el responsable del tratamiento ha compartido datos personales
- Ser informado sobre la posibilidad de denegar el consentimiento y las consecuencias.
- Revocar el consentimiento
Estos derechos son muy similares a los descritos en el RGPD.
¿A quién se aplica la LGPD?
El GDPR es notable por sus «efectos extraterritoriales», que obligan a cumplir por parte de todas las empresas a nivel mundial que atienden a los ciudadanos de la UE. Hay efectos similares en la LGPD.
En el artículo 3, la LGPD describe las organizaciones a las que se aplica la LGPD:
– Cualquier procesamiento de datos dentro del territorio de Brasil
– Procesamiento de datos de personas que se encuentran dentro del territorio de Brasil, independientemente del lugar del mundo en el que se encuentre el procesador de datos
– Procesamiento de datos recopilados en Brasil
Para aquellos familiarizados con el GDPR de la UE, existen algunas diferencias notables. Principalmente, la LGPD cubre no solo los datos personales de los ciudadanos brasileños, sino también a todas las personas ubicadas dentro del territorio brasileño.
Además, al igual que el GDPR, la LGPD tiene un alcance territorial más allá de las fronteras brasileñas. Cualquier organización que ofrezca el suministro de bienes o servicios a una persona ubicada en Brasil debe actuar de acuerdo con la LGPD.
¿Cuáles son las exenciones de la LGPD?
No todo el mundo está regulado por la LGPD. El reglamento no se aplica si:
– Los datos se procesan únicamente por motivos personales (se refiere exclusivamente a personas físicas)
– Los datos se procesan con fines periodísticos, artísticos, literarios o académicos
– Los datos se procesan para la seguridad nacional, la defensa nacional, la seguridad pública, las investigaciones penales o las actividades de castigo
¿Cuáles son las diez bases legales para el tratamiento legal de datos personales?
Como se ha comentado, en virtud del artículo 7 de la LGPD, existen diez bases jurídicas para el tratamiento legal de datos:
- Con el consentimiento del interesado
- Para el cumplimiento de una obligación legal o reglamentaria por parte del responsable del tratamiento
- Por parte de la administración pública, para el procesamiento y uso compartido de datos necesarios para la ejecución de las políticas públicas previstas en leyes o reglamentos, o sobre la base de contratos, acuerdos o instrumentos similares, sujeto al Capítulo IV de la LGPD
- Para la realización de estudios por parte de entidades de investigación, garantizando, siempre que sea posible, la anonimización de los datos personales
- Cuando sea necesario para la ejecución de un contrato o procedimientos preliminares relacionados con un contrato del que el interesado sea parte, a petición del interesado
- Para el ejercicio regular de derechos en procedimientos judiciales, administrativos o arbitrales, este último de conformidad con la Ley de Arbitraje de Brasil
- Para la protección de la vida o la integridad física del titular de los datos o de un tercero
- Para proteger la salud, exclusivamente, en un procedimiento realizado por profesionales de la salud, servicios de salud o autoridades sanitarias
- Cuando sea necesario para satisfacer los intereses legítimos del responsable del tratamiento o de un tercero, excepto cuando prevalezcan los derechos y libertades fundamentales del interesado que requieran la protección de datos personales
- Para la protección del crédito
En lugar de permitir el procesamiento amplio de datos personales en virtud de la regulación, las autoridades brasileñas solo permiten el procesamiento legal de datos personales en las circunstancias anteriores.
¿Cuáles son las sanciones por incumplimiento de la LGPD?
El incumplimiento de la letra de la LGPD puede resultar en una multa máxima de hasta 50 millones de reales (aproximadamente 8 millones de euros) o el 2% de los ingresos de una entidad en Brasil. Eso es sustancialmente más bajo que las sanciones bajo el GDPR, que pueden alcanzar los 20 millones de euros o el 4% de los ingresos globales anuales, lo que sea más alto.
Conclusión
Con más de 138 millones de usuarios de Internet en Brasil, es el cuarto mercado de Internet más grande del mundo. Por lo tanto, a menudo se exige el cumplimiento de la LGPD a las organizaciones con alcance internacional.
Afortunadamente, el gobierno brasileño siguió el GDPR, lo que significa que, para la mayoría de las organizaciones, el trabajo adicional es mínimo. Aun así, es fundamental conocer las diferencias clave entre estas regulaciones históricas. De lo contrario, puede enfrentarse a importantes multas a ambos lados del Atlántico.