ANPDブラジル：LGPD執行状況 2024年
ブラジルの個人情報保護機関であるANPD（Autoridade Nacional de Proteção de Dados）は、2024年に積極的な法執行フェーズへと移行しました。LGPD（Lei Geral de Proteção de Dados — 法律第13,709/2018号）に基づく最初の大型罰金を科しました。ブラジルには2億1,500万人がこの法律の適用対象となっています。インターネット利用者は1億8,000万人を擁し、ラテンアメリカ最大のデジタル経済圏です。LGPDへの準拠は、将来の課題ではなく、現在進行中の義務です。
LGPD：ブラジルのプライバシー法
LGPDはGDPRを手本に作られていますが、重要な違いがあります。
最大罰金額： ブラジル国内年間収益の2%以内。上限は違反1件あたりR$5,000万（約900万ユーロ）です。GDPRはグローバル収益の4%を上限とします。LGPDのブラジル国内収益ベースは、多国籍企業にとっては最大罰金額が低くなります。一方、ブラジル国内専業企業にとっては相対的なリスクが高くなります。
センシティブカテゴリー： LGPDの一覧はGDPR第9条に近い内容です。人種、政治的意見、宗教、健康記録、遺伝データ、生体情報、性的指向が対象です。ANPDの2024年ガイダンスでは、これらの保護規定が第11条に拡張されました。
データ主体の権利： アクセス、訂正、削除、データポータビリティ。データ共有に関する情報を受け取る権利も含みます。GDPRにはないLGPD独自の権利として、意思決定にAIが使用されたかどうかを知る権利があります。
執行開始： ANPDは2024年に最初の制裁を下しました。主な対象は通信、金融サービス、医療機関です。ブラジルで事業を展開する多国籍企業が2025年の重点対象です。
より幅広い視点については、グローバルPII準拠ガイドをご参照ください。
ブラジルのPII識別子
ブラジルの国民識別システムは複雑です。連邦共和国であるため、州によって異なる書類が存在します。
CPF： 11桁の納税者番号（フォーマット：XXX.XXX.XXX-XX）。モジュラー演算による2つのチェックディジットがあります。CPFは銀行、税務、医療、行政サービスで使用されるブラジルの主要な共通IDです。2億1,500万人の全ブラジル人が保有します。
CNPJ： 14桁の法人登録番号（フォーマット：XX.XXX.XXX/XXXX-XX）。2つのチェックディジットがあります。企業代表者に関連するビジネス文書に記載されます。
RG： 州発行の市民識別証明書。フォーマットは州によって異なります。 サンパウロのRGはリオデジャネイロと異なり、以降26州と連邦区すべてで異なります。1つの州のフォーマットしか認識できないツールは、他の州のブラジルのRG番号の大部分を検出できません。
CNH： チェックディジット付きの11桁の運転免許証番号。
Título de Eleitor： 12桁の選挙人登録番号。有権者の登録区域情報を符号化します。
PIS/PASEP： 11桁の社会統合プログラム番号。給与計算や雇用記録に記載されます。
SUSカード番号： 15桁の統一医療システムID。すべてのブラジル人が保有します。すべての医療文書に記載されます。
私たちのグローバルPII識別子ガイドでは、CPFをSSN、Aadhaarなどの国家IDと合わせて解説しています。
LGPD対GDPR：主な違い
両フレームワークとも個人情報を保護しますが、重要な点で異なります。
法的根拠： LGPDには10の法的根拠があり、GDPRの6つを上回ります。LGPDには「信用保護」という根拠があり、これはブラジルのフィンテック文化を反映したもので、GDPRには相当するものがありません。
ブラジルに対するEU十分性決定なし： EUはブラジルに十分性決定を付与していません。EU–ブラジル間のデータ転送には標準契約条項または拘束的企業準則が必要で、米国向け転送と同様の仕組みです。
同意の規則： LGPDの同意は特定、十分な情報に基づく、自由意思による、明確なものでなければなりません — GDPRに類似しています。センシティブカテゴリーについては、目的が明記されていれば、LGPDはGDPRの目的別明示的同意より広い同意を認めます。
ANPDの2025年執行重点分野
ANPDは2024年の調査結果に基づいた2025年の優先事項を公表しています。
医療記録
第11条は健康記録の処理に明示的な同意または明確な法的根拠を求めます。ANPDは、多くの医療アプリや医療機関がSUSカード番号や医療記録の処理に十分な根拠を持っていないことを確認しました。
金融サービス
ローン申請書、信用報告書、保険証券に含まれるCPF番号が主な対象です。ANPDは金融機関の保存期間が記載目的と一致しているかを監査しています。
テックプラットフォームの準拠
ブラジルで事業展開するSNS、eコマース、動画配信サービスが2025年の重点対象です。ANPDはプロファイリング手法と国境を越えたデータ転送を調査しています。
今すぐすべきこと
ブラジル準拠の基本はチェックディジット検証付きのCPFおよびCNPJ検出です。州別フォーマットに対応したRG検出を追加します。CNH、Título de Eleitor、SUSカード番号のサポートを加えれば完全なカバレッジになります。実装の詳細についてはLGPD匿名化ガイドをご参照ください。