ANPD Brasil: Aplicación del LGPD en 2024
La autoridad brasileña de protección de datos, la ANPD, comenzó a aplicar activamente el LGPD en 2024. Impuso las primeras multas importantes bajo la Ley LGPD — Ley N.° 13.709/2018. Brasil tiene 215 millones de personas cubiertas por esta ley. También cuenta con 180 millones de usuarios de internet — la economía digital más grande de América Latina. El cumplimiento del LGPD es ahora una realidad concreta.
LGPD: La ley de privacidad de Brasil
El LGPD se basa en el RGPD pero tiene diferencias clave.
Multas máximas: Hasta el 2 % de los ingresos anuales en Brasil. El tope es de R$50 millones (≈€9 M) por infracción. El RGPD usa el 4 % de los ingresos globales. La base brasileña del LGPD implica sanciones máximas más bajas para las multinacionales. Pero crea un riesgo relativo mayor para las empresas exclusivamente brasileñas.
Categorías sensibles: La lista del LGPD es similar al artículo 9 del RGPD. Cubre raza, opiniones políticas, religión, datos de salud, datos genéticos, biometría y orientación sexual. Las directrices de 2024 de la ANPD extendieron estas normas al artículo 11.
Derechos de los titulares: Acceso, rectificación, eliminación y portabilidad. También información sobre el intercambio de datos. El LGPD añade un derecho que no existe en el RGPD: el derecho a saber si se usó inteligencia artificial en una decisión.
Inicio de la aplicación: La ANPD impuso las primeras sanciones en 2024. Principales objetivos: telecomunicaciones, servicios financieros y proveedores de salud. Las multinacionales que operan en Brasil son el foco de 2025.
Para una visión más amplia, consulte nuestra guía sobre cumplimiento global de IIP.
Identificadores de IIP brasileños
El sistema de identificación de Brasil es complejo. Es una república federal donde algunos documentos varían según el estado.
CPF: Un número de contribuyente de 11 dígitos (formato: XXX.XXX.XXX-XX). Dos dígitos de control con aritmética modular. El CPF es el identificador universal principal de Brasil para servicios bancarios, fiscales, sanitarios y gubernamentales. Los 215 millones de brasileños tienen uno.
CNPJ: Un número de registro de empresa de 14 dígitos (formato: XX.XXX.XXX/XXXX-XX). Dos dígitos de control. Aparece en documentos comerciales relacionados con los representantes de la empresa.
RG: Una cédula de identidad civil emitida por el estado. El formato varía según el estado. El RG de São Paulo difiere del de Río de Janeiro — y así sucesivamente en los 26 estados y el Distrito Federal. Una herramienta que solo reconoce el formato de un estado pasará por alto la mayoría de los números RG brasileños.
CNH: Un número de licencia de conducir de 11 dígitos con un dígito de control.
Título de Eleitor: Un identificador electoral de 12 dígitos. Codifica la zona de registro electoral.
PIS/PASEP: Un número de programa social de 11 dígitos. Aparece en registros de nómina y empleo.
Número SUS: Un identificador del sistema de salud de 15 dígitos. Cada brasileño tiene uno. Aparece en todos los documentos de salud.
Nuestra guía global de identificadores de IIP cubre el CPF junto al SSN, Aadhaar y otros documentos nacionales.
LGPD vs. RGPD: Diferencias clave
Ambos marcos protegen los datos personales, pero difieren en puntos importantes.
Bases legales: El LGPD tiene 10 bases legales; el RGPD tiene 6. El LGPD incluye la "protección del crédito" — una base vinculada a la cultura fintech de Brasil. No existe equivalente en el RGPD.
Sin decisión de adecuación de la UE para Brasil: La UE no ha concedido a Brasil una decisión de adecuación. Las transferencias UE–Brasil requieren cláusulas contractuales tipo o normas corporativas vinculantes — igual que para las transferencias a EE. UU.
Reglas de consentimiento: El consentimiento bajo LGPD debe ser específico, informado, libre y claro — similar al RGPD. Para categorías sensibles, el LGPD permite un consentimiento más amplio que el estándar por finalidad del RGPD, siempre que se indique el propósito.
Prioridades de aplicación de la ANPD en 2025
La ANPD ha publicado sus prioridades para 2025 basándose en los resultados de 2024.
Datos de salud
El artículo 11 exige consentimiento explícito — o una base legal clara — para procesar datos de salud. La ANPD encontró que muchas aplicaciones y proveedores de salud carecían de esta base para los números SUS y los expedientes médicos.
Servicios financieros
Los números CPF en expedientes de crédito, informes de solvencia y pólizas de seguro son los principales objetivos. La ANPD verifica si los períodos de retención coinciden con los propósitos declarados.
Cumplimiento de plataformas tecnológicas
Las plataformas de redes sociales, comercio electrónico y streaming en Brasil son el foco de 2025. La ANPD examina las prácticas de perfilado y las transferencias transfronterizas.
Qué hacer ahora
La base para el cumplimiento brasileño es la detección de CPF y CNPJ con validación de dígitos de control. Añada detección de RG con lógica de formato por estado. Incluya soporte para CNH, Título de Eleitor y número SUS para cobertura completa. Consulte nuestra guía de anonimización LGPD para más detalle.