ANPD Бразилія: правозастосування LGPD 2024
Бразильський регулятор у сфері конфіденційності, ANPD, розпочав виписувати штрафи у 2024 році. Це перші значні штрафи за LGPD — Закон № 13 709/2018. Бразилія налічує 215 мільйонів людей, яких охоплює цей закон. Також у країні 180 мільйонів користувачів інтернету — найбільша цифрова економіка в Латинській Америці. Відповідність LGPD тепер реальна й активна.
LGPD: бразильський закон про конфіденційність
LGPD базується на GDPR, але має суттєві відмінності.
Максимальні штрафи: До 2% бразильського річного доходу. Граничний розмір — R$50 мільйонів (≈€9 млн) за одне порушення. GDPR використовує глобальний дохід і ставку 4%. Бразильська основа LGPD означає нижчі граничні суми для міжнародних корпорацій. Але для компаній, що працюють лише в Бразилії, відносний ризик вищий.
Особливі категорії: Перелік LGPD близький до Статті 9 GDPR. Він охоплює расу, політичні погляди, релігію, медичні записи, генетичні дані, біометрику та сексуальну орієнтацію. Роз'яснення ANPD 2024 року розширило застосування цих правил у рамках Статті 11.
Права суб'єктів даних: Люди можуть отримувати доступ до своїх даних, виправляти, видаляти та переносити їх. Вони також можуть запитувати інформацію про передачу даних. LGPD додає одне право, якого немає в GDPR: право знати, чи використовувався ШІ під час прийняття рішення щодо них.
Початок правозастосування: ANPD видав перші санкції у 2024 році. Основні об'єкти — телекомунікаційні компанії, фінансові установи та постачальники медичних послуг. Міжнародні корпорації в Бразилії є головним фокусом 2025 року.
Для ширшого контексту дивіться наш посібник із глобальної відповідності PII.
Бразильські ідентифікатори PII
Система ідентифікації в Бразилії складна. Це федеративна республіка. Деякі документи різняться залежно від штату.
CPF: 11-значний податковий номер (формат: XXX.XXX.XXX-XX). Має дві контрольні цифри, розраховані за модульною арифметикою. CPF — основний ідентифікатор Бразилії для банківської справи, податків, охорони здоров'я та державних послуг. Всі 215 мільйонів бразильців мають CPF.
CNPJ: 14-значний номер компанії (формат: XX.XXX.XXX/XXXX-XX). Має дві контрольні цифри. З'являється в ділових документах, пов'язаних із посадовими особами компанії.
RG: Цивільне посвідчення особи, видане штатом. Формат різниться залежно від штату. RG Сан-Паулу відрізняється від RG Ріо-де-Жанейро і так по всіх 26 штатах плюс Федеральний округ. Інструмент, що знає формат лише одного штату, пропустить більшість бразильських номерів RG.
CNH: 11-значний номер водійського посвідчення з однією контрольною цифрою.
Título de Eleitor: 12-значний ідентифікатор виборця. Містить зону реєстрації виборця.
PIS/PASEP: 11-значний номер соціальної програми. З'являється в документах щодо нарахування зарплати та зайнятості.
Номер SUS: 15-значний ідентифікатор системи охорони здоров'я. Є у кожного бразильця. Присутній у всіх медичних документах.
Наш глобальний посібник з ідентифікаторів PII розглядає CPF поряд із SSN, Aadhaar та іншими національними ідентифікаторами.
LGPD vs GDPR: ключові відмінності
Обидва закони захищають персональні записи, але між ними є важливі відмінності.
Правові підстави: LGPD має 10 правових підстав. GDPR — 6. LGPD включає «захист кредиту» — підставу, пов'язану з фінтех-культурою Бразилії. В GDPR аналогу немає.
Відсутність рішення ЄС про адекватність щодо Бразилії: ЄС не надав Бразилії рішення про адекватність. Передачі між ЄС і Бразилією потребують Стандартних договірних положень або Обов'язкових корпоративних правил — так само, як і для США.
Правила щодо згоди: Згода за LGPD має бути конкретною, усвідомленою, вільною і чіткою — як і за GDPR. Для чутливих записів LGPD допускає ширшу згоду, ніж стандарт GDPR «для кожної мети окремо», за умови зазначення мети.
Пріоритети правозастосування ANPD у 2025 році
ANPD оприлюднив свої пріоритети на 2025 рік на основі результатів справ 2024 року.
Медичні записи
Стаття 11 вимагає явної згоди — або чіткої правової підстави — для обробки медичних записів. ANPD виявив, що багато медичних додатків і постачальників послуг не мали такої підстави для номерів SUS і медичних файлів.
Фінансові послуги
Номери CPF у кредитних файлах, кредитних звітах та страхових полісах є головними об'єктами перевірки. ANPD перевіряє, чи відповідають терміни зберігання заявленим цілям.
Відповідність технологічних платформ
Соціальні мережі, електронна комерція та стримінгові платформи в Бразилії є фокусом 2025 року. ANPD перевіряє профілювання та транскордонні передачі.
Що робити зараз
Основа відповідності для Бразилії — виявлення CPF і CNPJ із перевіркою контрольних цифр. Додайте виявлення RG із логікою форматів для кожного штату. Включіть підтримку CNH, Título de Eleitor та номера SUS для повного охоплення. Покроковий опис дивіться в нашому посібнику з анонімізації LGPD.