Loi générale sur la protection des données personnelles (LGPD)

Introduction

La loi générale sur la protection des données personnelles, ou loi LGPD (Lei Geral de Proteção de Dados Pessoais, loi n° 13.709/2018), constitue un cadre réglementaire majeur pour la protection de la vie privée et la sécurité des données personnelles au Brésil. Inspirée du Règlement général sur la protection des données de l’Union européenne (RGPD), la LGPD établit les fondements juridiques du traitement des données personnelles par les entreprises et les organismes publics. Son objectif est de garantir la transparence, la sécurité et le contrôle par les personnes concernées.

Dans cet article, nous présentons les principaux concepts de la LGPD, les acteurs tenus de la respecter, ses effets sur les différents secteurs d’activité, les sanctions prévues en cas de manquement et les bonnes pratiques qui peuvent aider votre entreprise à se conformer à cette législation.

1. Qu’est-ce que la loi LGPD ?

La loi LGPD encadre la manière dont les entreprises et les organismes publics doivent collecter, conserver, traiter et partager les données personnelles. En outre, elle s’applique à toute opération réalisée sur le territoire brésilien ou portant sur des données de personnes situées au Brésil.

1.1 Principaux objectifs de la LGPD

• Garantir le droit à la vie privée et à la protection des données personnelles.

• Encourager la transparence dans l’utilisation des données.

• Promouvoir la sécurité juridique et favoriser le développement économique.

• Établir des règles claires pour le traitement des données.

1.2 Champ d’application

La loi LGPD s’applique à toute entreprise, quelle que soit sa taille, qui traite des données personnelles à des fins commerciales, y compris les start-up, les prestataires de services et les entreprises publiques.

2. Concepts clés de la LGPD

Pour comprendre la LGPD, il est essentiel de connaître quelques concepts juridiques et techniques :

• Donnée personnelle : Toute information relative à une personne physique identifiée ou identifiable (par exemple, nom, CPF, e-mail).

• Donnée sensible : Données qui révèlent l’origine raciale, les opinions politiques ou les convictions religieuses, ainsi que les données génétiques, biométriques, de santé ou relatives à la vie sexuelle.

• Personne concernée : Personne physique à laquelle se rapportent les données personnelles.

• Responsable du traitement (controlador) : Personne (physique ou morale) qui prend les décisions relatives au traitement des données.

• Sous-traitant (operador) : Personne qui traite les données pour le compte du responsable du traitement.

• Délégué (DPO) : Personne chargée de la communication entre l’entreprise, les personnes concernées et l’ANPD.

3. Droits des personnes concernées

La loi LGPD garantit à la personne concernée une série de droits fondamentaux :

• Confirmation de l’existence d’un traitement.

• Accès aux données.

• Correction des données incomplètes, inexactes ou obsolètes.

• Anonymisation, blocage ou suppression des données inutiles.

• Portabilité des données.

• Retrait du consentement.

• Information sur le partage avec des tiers.

Par conséquent, ces droits obligent les entreprises à adopter des systèmes et des processus qui leur permettent de répondre aux demandes des personnes concernées de manière rapide et transparente.

4. Bases légales du traitement des données

Le traitement des données personnelles n’est autorisé que s’il repose sur l’une des bases légales prévues par la LGPD. Voici les principales :

• Consentement de la personne concernée.

• Respect d’une obligation légale ou réglementaire.

• Exécution d’un contrat ou de mesures précontractuelles.

• Exercice régulier de droits dans le cadre d’une procédure judiciaire.

• Intérêt légitime du responsable du traitement, dans le respect des droits de la personne concernée.

• Protection de la vie ou de l’intégrité physique.

• Protection de la santé, dans le cadre de procédures réalisées par des professionnels ou des services de santé.

Ainsi, le choix de la base légale adéquate est l’un des points critiques de la conformité à la LGPD.

5. Sanctions prévues par la LGPD

Le non-respect de la loi LGPD peut entraîner de lourdes sanctions :

• Avertissements et mesures correctives.

• Amende simple pouvant atteindre 2 % du chiffre d’affaires de l’entreprise, dans la limite de 50 millions de R$ par infraction.

• Publication de l’infraction.

• Blocage ou suppression des données personnelles concernées par l’infraction. Dans les cas les plus graves, amende journalière, suspension partielle du fonctionnement de la base de données et suspension ou interdiction des activités de traitement.

L’Autorité nationale de protection des données (ANPD) est l’organisme chargé du contrôle, de l’application des sanctions et de l’élaboration de lignes directrices complémentaires.

6. La loi LGPD dans la pratique des entreprises

La loi LGPD a un impact profond sur la manière dont les entreprises gèrent les données dans des domaines tels que :

6.1 Ressources humaines

• Collecte de CV.

• Embauche et départ des collaborateurs.

• Conservation des examens médicaux et des registres de formation.

6.2 Marketing et ventes

• Envoi d’e-mails promotionnels.

• Utilisation de cookies et de données de navigation.

• Enregistrement des clients et des prospects.

6.3 Service client

• Enregistrement des appels.

• Historique des échanges avec les clients.

• Données d’identification des clients.

6.4 Sous-traitance et prestataires de services

• Documents des travailleurs sous-traitants.

• Certificats de formation.

• Données sur les équipements, rapports techniques (laudos) et informations fiscales.

7. Étapes de mise en conformité avec la LGPD

7.1 Diagnostic et cartographie des données

La première étape consiste à identifier les données que l’entreprise collecte, l’endroit où elle les conserve et les destinataires avec qui elle les partage.

7.2 Analyse des risques

Ensuite, il convient d’évaluer les vulnérabilités et les risques juridiques, réputationnels et opérationnels liés au traitement des données.

7.3 Révision des politiques internes et des contrats

Adapter les politiques de confidentialité et les contrats conclus avec les collaborateurs, les prestataires et les partenaires, en y intégrant des clauses de protection des données.

7.4 Désignation d’un délégué (DPO)

Désigner un responsable qui servira de point de contact entre l’entreprise, les personnes concernées et l’ANPD.

7.5 Adoption de mesures techniques et administratives

Enfin, mettre en place des contrôles d’accès, le chiffrement, des journaux d’audit, la formation des équipes et la révision des processus.

8. Bonnes pratiques de conformité

• Consentement clair et éclairé pour l’utilisation des données.

• Minimisation des données, en ne collectant que le nécessaire.

• Anonymisation dès que possible.

• Formations périodiques sur la sécurité et la vie privée.

• Audits internes et politiques de gouvernance.

• Canal d’assistance aux personnes concernées disponible et accessible.

9. La LGPD et la transformation numérique

Avec la numérisation des processus, l’utilisation de logiciels de gestion, de plateformes cloud et d’applications mobiles a fortement augmenté. Par conséquent, les entreprises doivent faire preuve d’une plus grande responsabilité dans le traitement automatisé des données.

9.1 Gestion de la documentation numérique

C’est pourquoi les entreprises qui utilisent des plateformes de gestion des documents des collaborateurs, des tiers, des fournisseurs et des prestataires doivent garantir :

• Stockage sécurisé.

• Contrôle des accès avec authentification.

• Sauvegardes et restauration des données.

• Registre des consentements.

• Suppression sécurisée une fois la finalité atteinte.

10. La loi LGPD et les plateformes de gestion des prestataires de services

Les entreprises d’ingénierie, de construction, de maintenance industrielle et d’autres secteurs qui font appel à des prestataires de services doivent gérer un grand volume de documents, tels que :

• ASO et examens médicaux.

• Certificats de formation (NR-10, NR-35, etc.).

• Contrats de prestation de services.

• Documentation fiscale.

• Données sur les équipements.

Dans ces cas, il est essentiel de traiter les données conformément à la LGPD, avec :

• Des bases légales claires (en règle générale, le respect d’une obligation légale ou réglementaire et l’exécution d’un contrat ; pour les données sensibles, comme les examens médicaux, seules les hypothèses de l’art. 11 de la LGPD s’appliquent).

• Transparence envers les prestataires et les collaborateurs.

• Plateformes dotées de fonctionnalités de conformité (journaux d’audit, accès contrôlé, chiffrement).

11. Incidents de sécurité : Que faire

Une fuite de données, un accès non autorisé ou la perte d’un équipement contenant des documents de travailleurs peuvent constituer un incident de sécurité. Dans ces cas, la loi LGPD exige que le responsable du traitement signale à l’ANPD et aux personnes concernées les incidents susceptibles d’entraîner un risque ou un dommage important.

Le règlement de l’ANPD sur la notification des incidents, approuvé en 2024, fixe un délai de trois jours ouvrables à compter de la connaissance de l’incident. C’est pourquoi l’entreprise doit disposer d’un plan de réponse prêt, avec des responsables, des modèles de communication et un registre de toutes les actions menées.

12. LGPD et RGPD : Principales différences

Les entreprises qui opèrent au Brésil et dans l’Union européenne doivent respecter les deux législations. Bien qu’elles soient similaires, il existe des différences importantes :

Ainsi, un programme de conformité commun peut servir de base, à condition de respecter les règles propres à chaque pays.

13. Exemple pratique : Données des travailleurs sous-traitants

Imaginez une entreprise du secteur de l’énergie qui reçoit chaque mois les documents de centaines de travailleurs sous-traitants, dont les ASO et les certificats NR-10. Avant la mise en conformité, ces documents circulaient par e-mail et restaient stockés dans des dossiers sans contrôle des accès.

Avec la mise en conformité à la LGPD, l’entreprise centralise les documents sur une plateforme avec un accès par profil. En outre, elle définit des durées de conservation et supprime les documents des travailleurs qui n’interviennent plus, lorsqu’aucune obligation de conservation ne s’applique. Ainsi, elle réduit le risque de fuite de données et répond rapidement aux demandes des personnes concernées.

Questions fréquentes

La LGPD s’applique-t-elle aux données des travailleurs sous-traitants ?

Oui. Les données des travailleurs des prestataires de services sont des données personnelles et, dans certains cas, des données sensibles, comme les examens médicaux. C’est pourquoi l’entreprise donneuse d’ordre doit les traiter sur une base légale adéquate et avec des mesures de sécurité.

Toutes les entreprises doivent-elles désigner un délégué ?

En règle générale, oui. Cependant, l’ANPD prévoit des règles simplifiées pour les agents de traitement de petite taille, qui peuvent, dans certaines situations, échapper à cette obligation.

Considérations finales

La loi LGPD n’est pas seulement une exigence légale : c’est aussi une voie vers des relations plus transparentes, sûres et éthiques entre les entreprises, leurs partenaires et leurs clients. En outre, la conformité à la législation apporte des avantages concurrentiels, réduit les risques et améliore la réputation de l’entreprise.

C’est pourquoi les entreprises qui pratiquent la gestion documentaire, en particulier celles qui travaillent avec des prestataires de services, doivent investir dans :

• Des outils numériques sécurisés.

• Des processus internes révisés.

• La formation et la sensibilisation des collaborateurs.

• La gouvernance et la responsabilité en matière de données.

En somme, la loi LGPD est là pour durer, et s’y adapter est une étape indispensable vers la maturité numérique et la pérennité de l’entreprise.

À lire également : Le droit à la protection des données personnelles et Le rôle du délégué à la protection des données.

Pour consulter les orientations officielles sur la LGPD, rendez-vous sur le site de l’ANPD.