LGPD en Brasil: La Ley General de Protección de Datos Personales

Introducción

La Ley General de Protección de Datos Personales (LGPD), Ley n.º 13.709/2018, supone un hito normativo para la protección de la privacidad y la seguridad de los datos personales. Inspirada en el Reglamento General de Protección de Datos de la Unión Europea (RGPD), la LGPD en Brasil establece los fundamentos legales para el tratamiento de datos personales por parte de empresas y organismos públicos. Su objetivo es garantizar la transparencia, la seguridad y el control por parte de los titulares de los datos.

En este artículo, presentamos los principales conceptos de la LGPD, quién está obligado a cumplirla, sus efectos en los distintos sectores empresariales, las sanciones previstas por incumplimiento y las buenas prácticas que pueden ayudar a su empresa a cumplir esta legislación.

1. ¿Qué es la LGPD en Brasil?

La LGPD regula cómo las empresas y los organismos públicos deben recoger, almacenar, tratar y compartir datos personales. Además, se aplica a cualquier operación realizada en territorio brasileño o que afecte a datos de personas situadas en Brasil.

1.1 Principales objetivos de la LGPD

• Garantizar el derecho a la privacidad y a la protección de los datos personales.

• Fomentar la transparencia en el uso de los datos.

• Promover la seguridad jurídica e impulsar el desarrollo económico.

• Establecer reglas claras para el tratamiento de datos.

1.2 Ámbito de aplicación

La LGPD se aplica a cualquier empresa, con independencia de su tamaño, que trate datos personales con fines comerciales, incluidas las startups, los proveedores de servicios y las empresas públicas.

2. Conceptos clave de la LGPD

Para comprender la LGPD, es fundamental conocer algunos conceptos jurídicos y técnicos esenciales:

• Dato personal: Cualquier información relacionada con una persona física identificada o identificable (por ejemplo, nombre, CPF, correo electrónico).

• Dato sensible: Datos que revelan el origen racial, la opinión política o la convicción religiosa, así como datos genéticos, biométricos, de salud o relativos a la vida sexual.

• Titular: Persona física a la que se refieren los datos personales.

• Controlador: Persona (física o jurídica) responsable de tomar las decisiones sobre el tratamiento de los datos.

• Operador: Quien realiza el tratamiento de datos en nombre del controlador.

• Encargado (DPO): Responsable de la comunicación entre la empresa, los titulares de los datos y la ANPD.

3. Derechos de los titulares de los datos

La LGPD garantiza al titular una serie de derechos fundamentales:

• Confirmación de la existencia del tratamiento.

• Acceso a los datos.

• Rectificación de datos incompletos, inexactos o desactualizados.

• Anonimización, bloqueo o eliminación de datos innecesarios.

• Portabilidad de los datos.

• Revocación del consentimiento.

• Información sobre la comunicación a terceros.

Por consiguiente, estos derechos obligan a las empresas a adoptar sistemas y procesos que les permitan responder a las solicitudes de los titulares de forma ágil y transparente.

4. Bases legales para el tratamiento de datos

El tratamiento de datos personales solo está permitido si se basa en una de las bases legales previstas en la LGPD. Las principales son:

• Consentimiento del titular.

• Cumplimiento de una obligación legal o reglamentaria.

• Ejecución de un contrato o de procedimientos preliminares.

• Ejercicio regular de derechos en un proceso judicial.

• Interés legítimo del controlador, siempre que se respeten los derechos del titular.

• Protección de la vida o de la integridad física.

• Tutela de la salud, en procedimientos realizados por profesionales o servicios sanitarios.

Así, la elección de la base legal adecuada es uno de los puntos críticos para cumplir la LGPD.

5. Sanciones previstas en la LGPD

El incumplimiento de la LGPD puede conllevar sanciones severas:

• Advertencias y medidas correctoras.

• Multa simple de hasta el 2 % de la facturación de la empresa, con un límite de 50 millones de reales por infracción.

• Publicación de la infracción.

• Bloqueo o eliminación de los datos personales implicados en la infracción. Multa diaria, suspensión parcial del funcionamiento de la base de datos y suspensión o prohibición de las actividades de tratamiento, en los casos más graves.

La Autoridad Nacional de Protección de Datos (ANPD) es el organismo responsable de la supervisión, la imposición de sanciones y la elaboración de directrices complementarias.

6. La LGPD en la práctica empresarial

La LGPD tiene un impacto profundo en la forma en que las empresas tratan los datos en áreas como:

6.1 Recursos humanos

• Recepción de currículos.

• Incorporación y salida de empleados.

• Almacenamiento de reconocimientos médicos y registros de formación.

6.2 Marketing y ventas

• Envío de correos electrónicos promocionales.

• Uso de cookies y de datos de navegación.

• Registro de clientes y de leads.

6.3 Atención al cliente

• Grabación de llamadas.

• Registro del historial de atención.

• Datos de identificación de los clientes.

6.4 Subcontratación y proveedores de servicios

• Documentos de trabajadores subcontratados.

• Certificados de formación.

• Datos de equipos, informes técnicos (laudos) y datos fiscales.

7. Pasos para adecuarse a la LGPD

7.1 Diagnóstico y mapeo de datos

El primer paso es identificar qué datos recoge la empresa, cómo se almacenan y con quién se comparten.

7.2 Análisis de riesgos

A continuación, conviene evaluar las vulnerabilidades y los riesgos legales, reputacionales y operativos relacionados con el tratamiento de datos.

7.3 Revisión de las políticas internas y los contratos

Adaptar las políticas de privacidad y los contratos con empleados, proveedores y socios, con la inclusión de cláusulas de protección de datos.

7.4 Nombramiento de un encargado (DPO)

Nombrar a un responsable que actuará como punto de contacto entre la empresa, los titulares de los datos y la ANPD.

7.5 Adopción de medidas técnicas y administrativas

Por último, implantar controles de acceso, cifrado, registros de auditoría, formación de los equipos y revisión de procesos.

8. Buenas prácticas para el cumplimiento

• Consentimiento claro e informado para el uso de los datos.

• Minimización de datos, recogiendo solo lo necesario.

• Anonimización siempre que sea posible.

• Formación periódica sobre seguridad y privacidad.

• Auditorías internas y políticas de gobernanza.

• Canal de atención al titular de los datos disponible y accesible.

9. La LGPD y la transformación digital

Con la digitalización de los procesos, el uso de software de gestión, plataformas en la nube y aplicaciones móviles ha crecido de forma significativa. En consecuencia, se exige una mayor responsabilidad a las empresas en el tratamiento automatizado de datos.

9.1 Gestión de documentación digital

Por eso, las empresas que utilizan plataformas para gestionar documentos de empleados, terceros, proveedores y contratistas deben garantizar:

• Almacenamiento seguro.

• Control de accesos con autenticación.

• Copias de seguridad y recuperación de datos.

• Registro de consentimientos.

• Eliminación segura una vez cumplida la finalidad.

10. La LGPD y las plataformas de gestión de proveedores de servicios

Las empresas de ingeniería, construcción, mantenimiento industrial y otras áreas que recurren a proveedores de servicios necesitan gestionar un gran volumen de documentos, como:

• ASO y reconocimientos médicos.

• Certificados de formación (NR-10, NR-35, etc.).

• Contratos de prestación de servicios.

• Documentación fiscal.

• Datos de equipos.

En estos casos, es esencial garantizar que los datos se tratan de acuerdo con la LGPD, con:

• Bases legales claras (normalmente, el cumplimiento de una obligación legal o reglamentaria y la ejecución de un contrato; para datos sensibles, como los reconocimientos médicos, solo se aplican los supuestos del art. 11 de la LGPD).

• Transparencia ante los proveedores y los empleados.

• Plataformas con funcionalidades de cumplimiento (registros de auditoría, acceso controlado, cifrado).

11. Incidentes de seguridad: Qué hacer

Una fuga de datos, un acceso indebido o la pérdida de un equipo con documentos de trabajadores pueden constituir un incidente de seguridad. En esos casos, la LGPD exige que el controlador comunique a la ANPD y a los titulares los incidentes que puedan causar un riesgo o daño relevante.

El reglamento de la ANPD sobre comunicación de incidentes, aprobado en 2024, fija un plazo de tres días hábiles desde que se tiene conocimiento del incidente. Por ello, la empresa debe tener preparado un plan de respuesta, con responsables, modelos de comunicación y registro de todas las acciones realizadas.

12. LGPD y RGPD: Principales diferencias

Las empresas que operan en Brasil y en la Unión Europea deben cumplir ambas legislaciones. Aunque son similares, existen diferencias importantes:

Así, un programa de cumplimiento común puede servir de base, siempre que respete las normas específicas de cada país.

13. Ejemplo práctico: Datos de trabajadores subcontratados

Imagine una empresa de energía que recibe cada mes documentos de cientos de trabajadores subcontratados, incluidos ASO y certificados de NR-10. Antes de la adecuación, esos documentos circulaban por correo electrónico y se guardaban en carpetas sin control de accesos.

Con la adecuación a la LGPD, la empresa centraliza los documentos en una plataforma con acceso por perfil. Además, define plazos de conservación y elimina los documentos de los trabajadores que ya no prestan servicio, cuando no existe obligación de conservarlos. De este modo, reduce el riesgo de fugas de datos y puede responder rápidamente a las solicitudes de los titulares.

Preguntas frecuentes

¿Se aplica la LGPD a los datos de los trabajadores subcontratados?

Sí. Los datos de los trabajadores de los proveedores de servicios son datos personales y, en algunos casos, datos sensibles, como los reconocimientos médicos. Por ello, la empresa contratante debe tratarlos con una base legal adecuada y con medidas de seguridad.

¿Todas las empresas deben nombrar a un encargado?

Por regla general, sí. No obstante, la ANPD prevé reglas simplificadas para los agentes de tratamiento de pequeño tamaño, que pueden quedar exentos en determinadas situaciones.

Consideraciones finales

La LGPD no es solo una exigencia legal, sino un camino hacia relaciones más transparentes, seguras y éticas entre empresas, socios y clientes. Además, el cumplimiento de la legislación aporta ventajas competitivas, reduce riesgos y mejora la reputación corporativa.

Por ello, las empresas que se ocupan de la gestión documental, sobre todo las que trabajan con proveedores de servicios, deben invertir en:

• Herramientas digitales seguras.

• Procesos internos revisados.

• Formación y sensibilización de los empleados.

• Gobernanza y responsabilidad sobre los datos.

En resumen, la LGPD ha llegado para quedarse, y adaptarse a esta ley es un paso indispensable hacia la madurez digital y la sostenibilidad del negocio.

Lea también: El derecho a la protección de datos personales y El papel del delegado de protección de datos.

Para obtener orientación oficial sobre la LGPD, consulte la ANPD.