Le Règlement général sur la protection des données (GDPR) et la Lei Geral de Proteção de Dados Pessoais (LGPD) brésilienne sont deux cadres majeurs régissant la collecte, l'utilisation, la conservation et le partage des données à caractère personnel. Les deux textes reposent sur des principes tels que la transparence, la limitation des finalités, la sécurité, la responsabilité et les droits des personnes. Toutefois, le GDPR et la LGPD diffèrent par leurs bases juridiques, leur structure réglementaire, les droits des personnes concernées, les exigences de notification des violations, les transferts internationaux de données, les données des enfants et les mécanismes de contrôle. Pour les organisations présentes en Europe et au Brésil, il est essentiel de comprendre ces différences afin de bâtir un programme de protection des données capable de satisfaire aux deux cadres sans dupliquer inutilement les efforts de conformité.
Côte à côte : GDPR vs LGPD
| Dimension | 🇪🇺 GDPR | 🇧🇷 LGPD |
|---|---|---|
| Loi principale | Règlement (UE) 2016/679 | Loi n° 13.709/2018 |
| Date d'entrée en vigueur | 25 mai 2018 | Principales dispositions en vigueur depuis août 2020 ; sanctions administratives depuis août 2021 |
| Autorité de contrôle | Autorités de contrôle de l'UE/EEE coordonnées par l'EDPB | Autoridade Nacional de Proteção de Dados (ANPD) |
| Entité réglementée | Responsable du traitement | Responsable du traitement |
| Sous-traitant | Sous-traitant | Opérateur |
| Personne physique | Personne concernée | Personne concernée / Titular |
| Bases juridiques | Six bases de l'article 6 + conditions de l'article 9 pour les catégories particulières | Plusieurs bases juridiques au titre de l'article 7, ainsi que des règles spécifiques pour les données personnelles sensibles au titre de l'article 11 |
| Intérêts légitimes | Expressément reconnus à l'article 6, paragraphe 1, point f) | Reconnus comme l'une des bases juridiques de la LGPD au titre de l'article 7 |
| DPO | Obligatoire dans des circonstances définies | Le cadre de l'Encarregado s'applique, sous réserve de la LGPD et des règles de l'ANPD, y compris les règles applicables aux agents de traitement de petite taille |
| Données sensibles | Catégories particulières au titre de l'article 9 | Données personnelles sensibles au titre des articles 5 et 11 |
| Données des enfants | Garanties spécifiques ; l'article 8 concerne certains services de la société de l'information fondés sur le consentement | Protections spécifiques au titre de l'article 14 |
| Droit à la portabilité | Oui | Oui |
| Prise de décision automatisée | Droits spécifiques au titre de l'article 22 | Droit de demander le réexamen des décisions fondées exclusivement sur un traitement automatisé au titre de l'article 20 |
| Transferts internationaux | Adéquation, SCCs, BCRs et autres mécanismes du chapitre V | Décisions d'adéquation, mécanismes contractuels et autres mécanismes de l'article 33 selon les règles de l'ANPD |
| Notification de violation de données | En règle générale, dans les 72 heures auprès de l'autorité de contrôle lorsque cela est requis | ANPD et personnes concernées, en règle générale dans un délai de 3 jours ouvrables pour les incidents éligibles, conformément à la résolution n° 15/2024 |
| Amende administrative maximale | Jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial pour certaines infractions | Jusqu'à 2 % du chiffre d'affaires réalisé au Brésil au cours de l'exercice précédent, dans la limite de 50 millions de réaux par infraction |
| Représentant local | L'article 27 peut imposer la désignation d'un représentant dans l'UE à certaines organisations établies hors de l'UE | Aucun équivalent direct de l'article 27 du GDPR |
Qu'est-ce que le GDPR ?
Le règlement général sur la protection des données (GDPR) est le cadre global de protection des données de l'Union européenne.
Il encadre le traitement des données à caractère personnel par les responsables du traitement et les sous-traitants, et fixe des exigences portant sur :
- Licéité et loyauté
- Transparence
- Limitation des finalités
- Minimisation des données
- Exactitude
- Limitation de la conservation
- Sécurité
- Responsabilité
- Droits des personnes
- Transferts internationaux de données
Le GDPR peut également s'appliquer aux organisations établies hors de l'UE lorsque les conditions de son champ d'application territorial sont remplies.
Qu'est-ce que la LGPD ?
La Lei Geral de Proteção de Dados Pessoais (LGPD) du Brésil, instituée par la loi n° 13.709/2018, encadre le traitement des données à caractère personnel par les organisations publiques et privées.
La LGPD établit des obligations pour :
- Les responsables du traitement
- Les opérateurs
- Les délégués à la protection des données / Encarregados
- Les organisations qui traitent des données à caractère personnel
- Les organisations qui traitent des données personnelles sensibles
L'Autoridade Nacional de Proteção de Dados (ANPD) est l'autorité nationale brésilienne de protection des données. L'ANPD a adopté des règlements portant notamment sur l'Encarregado, la notification des incidents de sécurité, les transferts internationaux de données, les sanctions et les règles applicables aux agents de traitement de petite taille.
GDPR et LGPD : les principales différences
1. Champ d'application territorial
GDPR
Le GDPR peut s'appliquer aux organisations établies dans l'UE ou en dehors de celle-ci lorsque les conditions de l'article 3 sont remplies.
Cela peut inclure certaines organisations établies hors de l'UE qui :
- Proposent des biens ou des services à des personnes se trouvant dans l'UE
- Suivent le comportement de personnes se trouvant dans l'UE
- Exercent leurs activités par l'intermédiaire d'un établissement dans l'UE
LGPD
La LGPD peut s'appliquer lorsque :
- Le traitement est effectué au Brésil
- Le traitement vise à proposer ou à fournir des biens ou des services à des personnes situées au Brésil
- Les données à caractère personnel ont été collectées au Brésil
L'application du droit brésilien de la protection des données aux transferts internationaux est également traitée dans le cadre de l'ANPD relatif aux transferts internationaux.
Différence clé : Le GDPR comme la LGPD peuvent s'appliquer à des organisations établies hors de leurs territoires respectifs, mais les critères légaux ne sont pas identiques.
2. Responsable du traitement et Controlador
GDPR
Le GDPR emploie le terme « responsable du traitement » pour désigner l'organisation qui détermine les finalités et les moyens du traitement des données à caractère personnel.
Le GDPR emploie :
- Sous-traitant
LGPD
De manière similaire, la LGPD définit le responsable du traitement (Controlador) comme l'entité à qui reviennent les décisions relatives au traitement des données à caractère personnel.
La LGPD emploie :
- Opérateur
La terminologie est donc relativement proche, même si les droits, les obligations et le cadre réglementaire diffèrent. Les deux notions de sous-traitant visent généralement des entités qui traitent des données à caractère personnel pour le compte d'une autre organisation, mais les responsabilités contractuelles et légales doivent être évaluées au regard du droit applicable.
3. Bases juridiques du traitement
Il s'agit d'un domaine important de similitudes et de différences.
GDPR
L'article 6 du GDPR prévoit six bases juridiques principales :
- Consentement
- Contrat
- Obligation légale
- Intérêts vitaux
- Mission d'intérêt public
- Intérêts légitimes
Des conditions supplémentaires s'appliquent aux catégories particulières de données à caractère personnel au titre de l'article 9.
LGPD
L'article 7 de la LGPD prévoit plusieurs bases juridiques pour les données à caractère personnel ordinaires, notamment :
- Consentement
- Respect d'obligations légales ou réglementaires
- Administration publique
- Recherche
- Exécution d'un contrat
- Exercice de droits
- Protection de la vie
- Protection de la santé
- Intérêts légitimes
- Protection du crédit
Des bases juridiques supplémentaires s'appliquent aux données personnelles sensibles au titre de l'article 11.
Différence clé : Les deux cadres reconnaissent les intérêts légitimes, mais leurs structures juridiques et leurs exigences détaillées diffèrent.
4. Consentement
GDPR
Lorsque le consentement sert de base juridique, il doit être :
- Libre
- Spécifique
- Éclairé
- Univoque
Les organisations doivent être en mesure de démontrer le consentement et de proposer un mécanisme de retrait efficace.
LGPD
La LGPD accorde elle aussi une grande importance au consentement.
Le consentement doit être donné dans les conditions fixées par la loi et peut être révoqué par la personne concernée.
Les organisations doivent conserver des preuves établissant :
- Ce qui a été communiqué
- Ce à quoi la personne a consenti
- La date à laquelle le consentement a été obtenu
- La finalité du traitement
- La manière dont le consentement peut être retiré
À retenir en pratique : une plateforme commune de gestion du consentement peut répondre à la fois au GDPR et à la LGPD, mais la base juridique et les exigences d'information doivent tout de même être évaluées séparément.
5. Intérêts légitimes
Sur ce point, les deux cadres sont plus proches que ne le laissent entendre de nombreuses pages de comparaison.
GDPR
Les intérêts légitimes visés à l'article 6, paragraphe 1, point f), peuvent constituer une base juridique lorsque les intérêts légitimes du responsable du traitement ne sont pas supplantés par les intérêts ou les libertés et droits fondamentaux de la personne concernée.
Les organisations doivent évaluer et documenter cette base de manière appropriée.
LGPD
Les intérêts légitimes sont également expressément reconnus comme base juridique à l'article 7.
Le responsable du traitement doit prendre en considération ses intérêts légitimes ou ceux d'un tiers, tout en respectant les libertés et droits fondamentaux et en appliquant les garanties exigées par la LGPD.
Différence clé : Les deux cadres reconnaissent les intérêts légitimes, mais les critères juridiques, les attentes en matière de documentation et les interprétations des autorités ne sont pas identiques.
6. Droits des personnes concernées
GDPR
Les droits prévus par le GDPR peuvent comprendre :
- Droit d'accès
- Droit de rectification
- Droit à l'effacement
- Droit à la limitation du traitement
- Droit à la portabilité des données
- Droit d'opposition
- Droit de retirer son consentement
- Droits relatifs à la prise de décision automatisée et au profilage
LGPD
La LGPD prévoit notamment les droits suivants :
- Confirmation de l'existence du traitement
- Accès aux données à caractère personnel
- Correction
- Anonymisation, blocage ou suppression des données inutiles ou excessives
- Portabilité des données
- Suppression des données à caractère personnel traitées sur la base du consentement, sous réserve des exceptions légales
- Information sur les entités publiques et privées avec lesquelles les données ont été partagées
- Information sur la possibilité de refuser le consentement
- Retrait du consentement
- Réexamen de certaines décisions automatisées
Différence clé : Ces droits se recoupent largement, mais leur formulation juridique, leur portée et leurs modalités de mise en œuvre diffèrent.
7. Prise de décision automatisée
GDPR
L'article 22 prévoit des protections spécifiques concernant les décisions fondées exclusivement sur un traitement automatisé qui produisent des effets juridiques ou des effets significatifs similaires.
Les personnes peuvent disposer de droits à l'égard de ces décisions, sous réserve des conditions et exceptions prévues par le GDPR.
LGPD
L'article 20 confère aux personnes le droit de demander le réexamen des décisions prises exclusivement sur la base d'un traitement automatisé et qui affectent leurs intérêts, y compris les décisions visant à définir leur profil personnel, professionnel, de consommation et de crédit.
Les organisations qui utilisent l'IA ou des systèmes de décision automatisée doivent donc évaluer les deux cadres lorsqu'elles exercent leurs activités au Brésil et dans l'UE.
8. Données personnelles sensibles
GDPR
Le GDPR identifie des catégories particulières de données à caractère personnel, notamment :
- Origine raciale ou ethnique
- Opinions politiques
- Convictions religieuses ou philosophiques
- Appartenance syndicale
- Données génétiques
- Données biométriques utilisées à des fins d'identification
- Données de santé
- Vie sexuelle ou orientation sexuelle
L'article 9 fixe des conditions renforcées pour le traitement de ces catégories.
LGPD
La LGPD définit séparément les données personnelles sensibles. Il s'agit des informations relatives à :
- Origine raciale ou ethnique
- Convictions religieuses
- Opinions politiques
- Appartenance à un syndicat ou à une organisation à caractère religieux, philosophique ou politique
- Santé
- Vie sexuelle
- Données génétiques
- Données biométriques
Le traitement des données sensibles est soumis aux bases juridiques et aux garanties spécifiques prévues à l'article 11 de la LGPD.
9. Données des enfants
GDPR
Le GDPR prévoit des protections spécifiques pour les enfants.
L'article 8 fixe un âge par défaut de 16 ans pour certains services de la société de l'information fondés sur le consentement, les États membres de l'UE pouvant toutefois abaisser cet âge, sans descendre en dessous de 13 ans.
Le GDPR impose également aux organisations de tenir compte des vulnérabilités et des intérêts propres aux enfants.
LGPD
L'article 14 de la LGPD fixe des exigences spécifiques pour le traitement des données à caractère personnel des enfants et des adolescents.
Le traitement doit être effectué dans leur intérêt supérieur.
Pour les données des enfants, la LGPD établit des exigences spécifiques en matière de consentement faisant intervenir un parent ou un représentant légal, dans les conditions prévues par la loi.
Important : il ne faut pas réduire la LGPD à une exigence de consentement parental pour les seuls enfants de « moins de 12 ans ». La loi protège à la fois les enfants et les adolescents, et les exigences précises dépendent du contexte du traitement.
10. Délégué à la protection des données / Encarregado
GDPR
La désignation d'un délégué à la protection des données n'est obligatoire que dans les cas prévus à l'article 37 du GDPR. Il s'agit notamment de certaines :
- Activités de suivi à grande échelle
- Activités de traitement à grande échelle de catégories particulières de données
- Activités de traitement menées par des autorités publiques
LGPD
La LGPD institue la fonction d'Encarregado pelo tratamento de dados pessoais.
L'Encarregado constitue un canal de communication important entre :
- Les personnes concernées
- L'organisation
- L'ANPD
La résolution n° 18/2024 de l'ANPD prévoit des règles complémentaires concernant la désignation, les responsabilités et le fonctionnement de l'Encarregado.
Les règles applicables aux agents de traitement de petite taille prévoient également des simplifications et des dispenses spécifiques ; il est donc inexact d'affirmer que tous les responsables du traitement soumis à la LGPD ont exactement la même obligation en matière de DPO.
11. Représentant local
GDPR
Certaines organisations établies hors de l'UE peuvent être tenues de désigner un représentant dans l'UE au titre de l'article 27.
Le représentant peut servir de point de contact pour les personnes concernées et les autorités de contrôle.
LGPD
La LGPD ne crée pas d'équivalent direct de l'article 27 du GDPR.
Les organisations internationales peuvent néanmoins avoir besoin d'une gouvernance adaptée de la protection des données au Brésil, de dispositifs de contact avec l'autorité et, le cas échéant, d'un Encarregado.
Important : un service commercial de « représentant au Brésil » ne doit pas être présenté comme l'équivalent légal du représentant prévu à l'article 27 du GDPR.
12. Notification de violation de données
GDPR
En vertu de l'article 33, le responsable du traitement doit en règle générale notifier à l'autorité de contrôle compétente toute violation de données à caractère personnel éligible dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance.
Lorsque la violation est susceptible d'engendrer un risque élevé pour les personnes, il peut également être nécessaire d'en informer les personnes concernées.
LGPD
La résolution n° 15/2024 de l'ANPD fixe les règles de communication des incidents de sécurité éligibles.
Lorsqu'un incident de sécurité est susceptible d'entraîner un risque ou un dommage significatif pour les personnes concernées, le responsable du traitement doit en informer l'ANPD et les personnes concernées dans un délai de trois jours ouvrables, sous réserve des règles et exceptions applicables.
Les agents de traitement de petite taille peuvent bénéficier de délais différenciés dans le cadre du régime de l'ANPD qui leur est applicable.
Différence clé : Le GDPR repose sur un délai de 72 heures auprès de l'autorité de contrôle, tandis que la LGPD prévoit un délai de trois jours ouvrables en vertu de la résolution n° 15/2024 de l'ANPD pour les incidents éligibles.
13. Transferts internationaux de données
Ce domaine a considérablement évolué sous le régime de la LGPD.
GDPR
Le chapitre V du GDPR prévoit notamment les mécanismes suivants :
- Décisions d'adéquation
- Clauses contractuelles types
- Règles d'entreprise contraignantes
- Dérogations spécifiques
Selon le mécanisme de transfert retenu, les organisations peuvent également devoir mettre en place des garanties supplémentaires et réaliser des évaluations des risques liés au transfert.
LGPD
La résolution n° 19/2024 de l'ANPD établit le cadre brésilien des transferts internationaux de données. Les mécanismes peuvent comprendre :
- Décisions d'adéquation de l'ANPD
- Clauses contractuelles types
- Clauses contractuelles spécifiques
- Règles d'entreprise mondiales
- Autres mécanismes prévus à l'article 33 de la LGPD
Ce règlement fixe également des exigences relatives aux finalités, aux garanties et à la documentation des transferts internationaux.
Différence clé : La LGPD dispose désormais d'un cadre formel pour les transferts internationaux, administré par l'ANPD, et ne repose plus simplement sur une approche contractuelle générale.
14. Portabilité des données
GDPR
L'article 20 du GDPR prévoit un droit à la portabilité des données dans des circonstances déterminées.
Il s'agit généralement de recevoir certaines données à caractère personnel dans un format structuré, couramment utilisé et lisible par machine et, lorsque cela est techniquement possible, de les transmettre à un autre responsable du traitement.
LGPD
L'article 18 de la LGPD reconnaît également un droit à la portabilité des données, sous réserve du cadre réglementaire et des exigences applicables.
Rectification importante : il est inexact d'affirmer que la LGPD ne prévoit aucun droit à la portabilité.
15. Anonymisation
GDPR
Les informations réellement anonymes, qui ne peuvent raisonnablement être rattachées à une personne identifiable, ne relèvent pas de la définition des données à caractère personnel donnée par le GDPR.
LGPD
La LGPD distingue elle aussi les données anonymisées des données à caractère personnel, tout en fixant ses propres critères et son propre régime de l'anonymisation.
Les organisations doivent donc documenter la méthode d'anonymisation et évaluer si les données peuvent raisonnablement être réassociées à une personne.
16. Analyses d'impact relatives à la protection des données
GDPR
Une analyse d'impact relative à la protection des données (DPIA) est requise lorsque le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. Parmi les exemples courants figurent :
- Suivi à grande échelle
- Traitement à grande échelle de données sensibles
- Certaines activités d'IA ou de profilage
- Évaluation systématique des personnes
LGPD
La LGPD prévoit un Relatório de Impacto à Proteção de Dados Pessoais (RIPD).
L'ANPD peut exiger des responsables du traitement qu'ils établissent et fournissent un RIPD dans les circonstances prévues par le cadre réglementaire applicable.
Les organisations présentes dans les deux juridictions doivent donc éviter de présumer qu'une seule DPIA/RIPD satisfait automatiquement aux deux régimes.
17. Sanctions
GDPR
Pour certaines infractions graves, les amendes administratives prévues par le GDPR peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial de l'exercice précédent, le montant le plus élevé étant retenu.
LGPD
Les sanctions administratives prévues par la LGPD peuvent comprendre :
- Avertissement
- Amende pouvant atteindre 2 % du chiffre d'affaires réalisé au Brésil au cours de l'exercice précédent
- Amende plafonnée à 50 millions de réaux par infraction
- Amendes journalières, dans les limites fixées par la loi
- Publication de l'infraction
- Blocage des données à caractère personnel
- Suppression des données à caractère personnel
- Suspension partielle de la base de données
- Suspension des activités de traitement
- Interdiction partielle ou totale des activités liées au traitement
La sanction applicable dépend de la nature et des circonstances de la violation.
Différence clé : L'amende maximale du GDPR est calculée sur le chiffre d'affaires annuel mondial, tandis que la principale amende administrative de la LGPD est liée au chiffre d'affaires réalisé au Brésil et soumise à un plafond légal.
GDPR ou LGPD : lequel est le plus strict ?
Il est difficile de désigner l'un des deux cadres comme étant systématiquement le plus strict.
Le GDPR est particulièrement détaillé dans des domaines tels que :
- Six bases juridiques
- Catégories particulières de données
- Portabilité des données
- Prise de décision automatisée
- Transferts internationaux
- Responsabilité du responsable du traitement et du sous-traitant
- Exigences relatives au représentant dans l'UE
La LGPD impose des exigences fortes en matière de :
- Droits des personnes concernées
- Consentement
- Données personnelles sensibles
- Données des enfants
- Gouvernance de l'Encarregado
- Transferts internationaux
- Sécurité
- Responsabilité
Pour les entreprises internationales, la bonne approche consiste donc à identifier les contrôles communs, puis à mettre en œuvre les exigences propres à chaque juridiction.
La conformité au GDPR facilite-t-elle la conformité à la LGPD ?
Oui.
Un programme GDPR bien établi peut constituer une base solide pour la conformité à la LGPD, car les deux cadres comportent des exigences relatives aux éléments suivants :
- Inventaires des données
- Mentions d'information
- Consentement
- Droits des personnes
- Sécurité
- Gestion des fournisseurs
- Transferts internationaux
- Réponse aux incidents
- Responsabilité
Toutefois, la conformité au GDPR n'emporte pas automatiquement la conformité à la LGPD. Les contrôles propres au Brésil doivent être évalués, notamment en ce qui concerne :
- Les bases juridiques de la LGPD
- Les exigences relatives à l'Encarregado
- Les exigences réglementaires de l'ANPD
- Les droits des personnes concernées au Brésil
- La notification des incidents
- Les mécanismes de transfert international
- Les sanctions prévues par la LGPD
- Les mentions d'information et la gouvernance au Brésil
Bâtir un programme de conformité unique GDPR et LGPD
Les organisations présentes dans les deux juridictions peuvent limiter les doublons en mettant en place un cadre commun de gestion de la protection des données.
1. Cartographie des données
Cartographiez :
- Les données à caractère personnel
- Les finalités du traitement
- Les personnes concernées
- Les responsables du traitement
- Les sous-traitants / opérateurs
- Les destinataires
- Les lieux de stockage
- Les durées de conservation
- Les transferts internationaux
2. Gestion des bases juridiques
Établissez une matrice des bases juridiques par juridiction couvrant :
- Article 6 du GDPR
- Article 9 du GDPR
- Article 7 de la LGPD
- Article 11 de la LGPD
3. Gestion des droits des personnes
Créez un processus unifié pour :
- Les demandes des personnes concernées au titre du GDPR
- Les demandes des personnes concernées au titre de la LGPD
- La vérification d'identité
- Le suivi des demandes
- Les délais de réponse
- Les preuves et les pistes d'audit
4. Gestion du consentement
Gérez :
- Le recueil du consentement
- Les registres de consentement
- Le retrait
- Les préférences en matière de cookies
- Les préférences marketing
- Le consentement des enfants, le cas échéant
5. Gestion des fournisseurs
Évaluez :
- Les sous-traitants au sens du GDPR
- Les opérateurs au sens de la LGPD
- Les sous-traitants ultérieurs
- Les fournisseurs de cloud
- Les fournisseurs de solutions d'analyse
- Les plateformes publicitaires
- Les fournisseurs internationaux
6. Réponse aux violations de données
Maintenez un processus unifié de réponse aux incidents, assorti de circuits d'escalade propres à chaque juridiction.
Le processus doit identifier :
- La juridiction applicable
- Le niveau de risque
- Le seuil de notification
- Le délai réglementaire
- Les exigences de notification aux personnes
- Les exigences en matière de preuve
7. Gestion des transferts internationaux
Tenez un inventaire des transferts couvrant :
- L'exportateur de données
- L'importateur de données
- Le pays de destination
- Le mécanisme de transfert
- Les garanties contractuelles
- Les mesures de sécurité
- Les évaluations des transferts
Questions fréquentes
La LGPD est-elle la version brésilienne du GDPR ?
Pas exactement. La LGPD s'inspire des principes internationaux de protection des données et partage de nombreux concepts avec le GDPR, mais il s'agit d'une loi brésilienne autonome, dotée de ses propres bases juridiques, droits, cadre réglementaire et mécanismes de contrôle.
Si nous sommes conformes au GDPR, sommes-nous automatiquement conformes à la LGPD ?
Non. La conformité au GDPR constitue une base solide, mais les organisations doivent évaluer les exigences propres à la LGPD et les règlements de l'ANPD.
La LGPD prévoit-elle six bases juridiques, comme le GDPR ?
Non. La LGPD prévoit une liste plus étendue de bases juridiques à l'article 7, avec des règles distinctes pour les données personnelles sensibles à l'article 11.
La LGPD reconnaît-elle les intérêts légitimes ?
Oui. Les intérêts légitimes font partie des bases juridiques prévues à l'article 7 de la LGPD. Toutefois, les exigences ne sont pas identiques à celles de l'article 6, paragraphe 1, point f), du GDPR.
La LGPD impose-t-elle un DPO ?
La LGPD institue la fonction d'Encarregado, dont les exigences détaillées figurent dans la résolution n° 18/2024 de l'ANPD. Les obligations précises peuvent varier selon l'organisation et les règles de l'ANPD applicables, y compris celles relatives aux agents de traitement de petite taille.
La LGPD prévoit-elle un délai de 72 heures pour la notification de violation de données ?
Non. Le régime de notification des incidents de sécurité éligibles prévu par la LGPD repose sur un délai de trois jours ouvrables, en vertu de la résolution n° 15/2024 de l'ANPD, et non sur la règle des 72 heures du GDPR.
La LGPD impose-t-elle un représentant au Brésil ?
Il n'existe pas d'équivalent direct de l'obligation de désigner un représentant dans l'UE prévue à l'article 27 du GDPR. Les organisations doivent plutôt évaluer leurs obligations en matière d'Encarregado, de gouvernance et de contact avec l'autorité.
La LGPD prévoit-elle un droit à la portabilité des données ?
Oui. L'article 18 de la LGPD inclut la portabilité des données parmi les droits des personnes concernées, sous réserve du cadre réglementaire applicable.
La LGPD encadre-t-elle les transferts internationaux de données ?
Oui. La résolution n° 19/2024 de l'ANPD établit un cadre réglementaire détaillé pour les transferts internationaux, comprenant notamment les décisions d'adéquation et les mécanismes contractuels.
Quelles entreprises devraient envisager une évaluation de conformité au GDPR et à la LGPD ?
Une évaluation combinée est particulièrement pertinente pour les éditeurs SaaS, les entreprises technologiques, les sociétés d'e-commerce, les distributeurs internationaux, les entreprises d'IA, les plateformes de publicité et de marketing, les organisations du secteur de la santé, les sociétés de technologie financière, les fournisseurs de services cloud et les organisations qui traitent des données de clients européens et brésiliens.
Conformité GDPR et LGPD avec RegulatoryBridge
Gérer le GDPR et la LGPD au moyen de processus entièrement distincts peut entraîner des doublons inutiles et des contrôles de protection des données incohérents.
RegulatoryBridge aide les organisations à bâtir des programmes coordonnés de conformité en matière de protection des données en Europe, au Brésil et dans d'autres juridictions du monde.
Notre accompagnement peut comprendre :
- Évaluations de conformité au GDPR
- Évaluations de conformité à la LGPD
- Cartographie et inventaire des données
- Revue des mentions d'information
- Évaluations des bases juridiques
- Gestion du consentement
- Processus de gestion des droits des personnes concernées
- Accompagnement de l'Encarregado
- Évaluations des fournisseurs et des sous-traitants / opérateurs
- Évaluations des transferts internationaux
- Accompagnement DPIA et RIPD
- Planification de la sécurité et de la réponse aux violations de données
- Veille réglementaire
- Représentation transfrontalière en matière de protection des données
- Gestion continue de la conformité en matière de protection des données
Couvrez GDPR et LGPD au sein d'un seul programme.
Cartographiez les contrôles une fois, conformez-vous deux fois. RegulatoryBridge vous offre un pipeline DSAR unique, un DPO unique, un guide d'intervention en cas de violation unique - couvrant les deux cadres réglementaires.