Общий регламент по защите данных (GDPR) и бразильский закон Lei Geral de Proteção de Dados Pessoais (LGPD) - два крупных нормативных режима в области конфиденциальности, которые регулируют сбор, использование, хранение и передачу персональных данных. Оба акта строятся на таких принципах, как прозрачность, ограничение цели, безопасность, подотчётность и права физических лиц. Однако GDPR и LGPD различаются по правовым основаниям, регуляторной структуре, правам субъектов данных, требованиям об уведомлении об утечках, международной передаче данных, данным детей и механизмам правоприменения. Организациям, работающим в Европе и Бразилии, необходимо понимать эти различия, чтобы выстроить программу конфиденциальности, которая отвечает требованиям обоих режимов без лишнего дублирования работы по обеспечению соответствия.
Сравнение: GDPR против LGPD
| Параметр | 🇪🇺 GDPR | 🇧🇷 LGPD |
|---|---|---|
| Основной закон | Регламент (ЕС) 2016/679 | Закон № 13.709/2018 |
| Дата вступления в силу | 25 мая 2018 года | Основные положения действуют с августа 2020 года; административные санкции - с августа 2021 года |
| Регулятор | Надзорные органы ЕС/ЕЭЗ, работу которых координирует EDPB | Autoridade Nacional de Proteção de Dados (ANPD) |
| Регулируемое лицо | Контролёр | Контролёр |
| Обработчик | Обработчик | Оператор |
| Физическое лицо | Субъект данных | Субъект данных / Titular |
| Правовые основания | Шесть оснований по статье 6 + условия статьи 9 для особых категорий | Несколько правовых оснований по статье 7, а также особые правила для чувствительных персональных данных по статье 11 |
| Законные интересы | Прямо признаны в статье 6(1)(f) | Признаны одним из правовых оснований LGPD по статье 7 |
| DPO | Обязателен в определённых случаях | Действует режим Encarregado с учётом норм LGPD и ANPD, включая правила для малых агентов обработки |
| Чувствительные данные | Особые категории по статье 9 | Чувствительные персональные данные по статьям 5 и 11 |
| Данные детей | Особые гарантии; статья 8 касается отдельных услуг информационного общества, оказываемых на основании согласия | Особые меры защиты по статье 14 |
| Право на переносимость | Да | Да |
| Автоматизированное принятие решений | Особые права по статье 22 | Право запросить пересмотр решений, принятых исключительно на основе автоматизированной обработки, по статье 20 |
| Международная передача данных | Решения об адекватности, SCCs, BCRs и другие механизмы главы V | Решения об адекватности, договорные механизмы и другие механизмы статьи 33 в соответствии с правилами ANPD |
| Уведомление об утечке данных | Как правило, в течение 72 часов в надзорный орган, если это требуется | ANPD и затронутым лицам - как правило, в течение 3 рабочих дней при инцидентах, подпадающих под Резолюцию № 15/2024 |
| Максимальный административный штраф | До 20 млн евро или 4% мирового годового оборота за отдельные нарушения | До 2% выручки в Бразилии за предыдущий финансовый год, но не более 50 млн реалов за одно нарушение |
| Местный представитель | Статья 27 может требовать назначения представителя в ЕС от некоторых организаций за пределами ЕС | Прямого аналога статьи 27 GDPR нет |
Что такое GDPR?
Общий регламент по защите данных (GDPR) - это комплексный нормативный режим Европейского союза в области защиты данных.
Он регулирует обработку персональных данных контролёрами и обработчиками и устанавливает требования в следующих областях:
- Законность и справедливость
- Прозрачность
- Ограничение целей
- Минимизация данных
- Точность
- Ограничение хранения
- Безопасность
- Подотчётность
- Права физических лиц
- Международная передача данных
GDPR может также применяться к организациям за пределами ЕС, если выполнены условия его территориальной сферы действия.
Что такое LGPD?
Бразильский закон Lei Geral de Proteção de Dados Pessoais (LGPD), принятый как Закон № 13.709/2018, регулирует обработку персональных данных государственными и частными организациями.
LGPD устанавливает обязанности для:
- Контролёров
- Операторов
- Инспекторов по защите данных / Encarregados
- Организаций, обрабатывающих персональные данные
- Организаций, обрабатывающих чувствительные персональные данные
Autoridade Nacional de Proteção de Dados (ANPD) - национальный орган Бразилии по защите данных. ANPD издал нормативные акты, которые охватывают, в частности, роль Encarregado, уведомление об инцидентах безопасности, международную передачу данных, санкции и правила для малых агентов обработки.
GDPR vs LGPD: ключевые различия
1. Территориальная сфера действия
GDPR
GDPR может применяться к организациям, учреждённым как в ЕС, так и за его пределами, если выполнены условия статьи 3.
Это могут быть отдельные организации за пределами ЕС, которые:
- Предлагают товары или услуги физическим лицам в ЕС
- Отслеживают поведение физических лиц в ЕС
- Действуют через подразделение в ЕС
LGPD
LGPD может применяться, если:
- Обработка осуществляется в Бразилии
- Обработка направлена на предложение или предоставление товаров или услуг физическим лицам, находящимся в Бразилии
- Персональные данные были собраны в Бразилии
Применение бразильского законодательства о защите данных к международной передаче данных также регулируется правилами ANPD о международной передаче.
Ключевое различие: И GDPR, и LGPD могут применяться к организациям за пределами соответствующих территорий, однако установленные законом критерии не совпадают.
2. Контролёр vs контролёр
GDPR
В GDPR термин «контролёр» (Controller) обозначает организацию, которая определяет цели и средства обработки персональных данных.
В GDPR используется:
- Обработчик
LGPD
LGPD аналогичным образом определяет контролёра (Controlador) как лицо, ответственное за решения, касающиеся обработки персональных данных.
В LGPD используется:
- Оператор
Таким образом, терминология достаточно близка, хотя права, обязанности и нормативный режим различаются. Оба понятия - обработчик и оператор - в целом относятся к лицам, которые обрабатывают персональные данные от имени другой организации, однако договорные и установленные законом обязанности следует оценивать по применимому праву.
3. Правовые основания обработки
Это важная область и сходств, и различий.
GDPR
Статья 6 GDPR предусматривает шесть основных правовых оснований:
- Согласие
- Договор
- Юридическая обязанность
- Жизненно важные интересы
- Задача в общественных интересах
- Законные интересы
К особым категориям персональных данных применяются дополнительные условия статьи 9.
LGPD
Статья 7 LGPD предусматривает несколько правовых оснований для обычных персональных данных, в том числе:
- Согласие
- Исполнение обязанностей, установленных законом или нормативными актами
- Государственное управление
- Исследования
- Исполнение договора
- Осуществление прав
- Защита жизни
- Охрана здоровья
- Законные интересы
- Защита кредита
К чувствительным персональным данным применяются дополнительные правовые основания статьи 11.
Ключевое различие: Оба режима признают законные интересы, но их правовая структура и детальные требования различаются.
4. Согласие
GDPR
Если правовым основанием служит согласие, оно должно быть:
- Добровольным
- Конкретным
- Информированным
- Недвусмысленным
Организации должны быть в состоянии подтвердить получение согласия и обеспечить действенный механизм его отзыва.
LGPD
LGPD также придаёт согласию большое значение.
Согласие должно быть дано на условиях, установленных законом, и может быть отозвано субъектом данных.
Организациям следует хранить доказательства того:
- Что было сообщено
- На что согласилось физическое лицо
- Когда было получено согласие
- Какова цель обработки
- Как можно отозвать согласие
Практический вывод: единая платформа управления согласиями может поддерживать и GDPR, и LGPD, но правовое основание и требования к уведомлениям всё равно нужно оценивать отдельно.
5. Законные интересы
В этом вопросе два режима ближе друг к другу, чем утверждается на многих страницах сравнения.
GDPR
Законные интересы по статье 6(1)(f) могут служить правовым основанием, если над законными интересами контролёра не преобладают интересы либо основные права и свободы субъекта данных.
Организациям следует надлежащим образом оценить и задокументировать это основание.
LGPD
Законные интересы также прямо признаны правовым основанием в статье 7.
Контролёр должен учитывать законные интересы контролёра или третьего лица, соблюдая основные права и свободы и применяя гарантии, предусмотренные LGPD.
Ключевое различие: Оба режима признают законные интересы, однако правовые критерии, ожидания в отношении документации и толкование регуляторов не совпадают.
6. Права субъектов данных
GDPR
Права по GDPR могут включать:
- Право на доступ
- Право на исправление
- Право на удаление
- Право на ограничение обработки
- Право на переносимость данных
- Право на возражение
- Право на отзыв согласия
- Права, связанные с автоматизированным принятием решений и профилированием
LGPD
LGPD предусматривает, в частности, следующие права:
- Подтверждение факта обработки
- Доступ к персональным данным
- Исправление
- Анонимизация, блокирование или удаление ненужных или избыточных данных
- Переносимость данных
- Удаление персональных данных, обрабатываемых на основании согласия, с учётом установленных законом исключений
- Информация о государственных и частных организациях, которым были переданы данные
- Информация о возможности отказать в согласии
- Отзыв согласия
- Пересмотр отдельных автоматизированных решений
Ключевое различие: Права во многом пересекаются, но их формулировки в законе, объём и механизмы реализации различаются.
7. Автоматизированное принятие решений
GDPR
Статья 22 предусматривает особые меры защиты в отношении решений, которые основаны исключительно на автоматизированной обработке и влекут юридические или аналогичные по значимости последствия.
Физические лица могут иметь права в отношении таких решений с учётом условий и исключений, установленных GDPR.
LGPD
Статья 20 даёт физическим лицам право запросить пересмотр решений, которые приняты исключительно на основе автоматизированной обработки и затрагивают их интересы, включая решения, направленные на формирование личного, профессионального, потребительского и кредитного профиля.
Поэтому организациям, использующим ИИ или системы автоматизированного принятия решений, следует оценивать оба режима, если они работают в Бразилии и ЕС.
8. Чувствительные персональные данные
GDPR
GDPR выделяет особые категории персональных данных, в том числе:
- Расовое или этническое происхождение
- Политические взгляды
- Религиозные или философские убеждения
- Членство в профсоюзах
- Генетические данные
- Биометрические данные, используемые для идентификации
- Данные о здоровье
- Половая жизнь или сексуальная ориентация
Статья 9 устанавливает усиленные условия обработки этих категорий.
LGPD
LGPD определяет чувствительные персональные данные отдельно. К ним относятся сведения о следующем:
- Расовое или этническое происхождение
- Религиозные убеждения
- Политические взгляды
- Членство в профсоюзе либо в организации религиозного, философского или политического характера
- Здоровье
- Половая жизнь
- Генетические данные
- Биометрические данные
Обработка чувствительных данных подчиняется особым правовым основаниям и гарантиям, установленным статьёй 11 LGPD.
9. Данные детей
GDPR
GDPR предусматривает особые меры защиты детей.
Статья 8 устанавливает по умолчанию возраст 16 лет для отдельных услуг информационного общества, оказываемых на основании согласия, хотя государства - члены ЕС могут снизить его, но не ниже 13 лет.
GDPR также требует от организаций учитывать особую уязвимость и интересы детей.
LGPD
Статья 14 LGPD устанавливает особые требования к обработке персональных данных детей и подростков.
Обработка должна осуществляться в их наилучших интересах.
Для данных детей LGPD устанавливает особые требования к согласию с участием родителя или законного представителя в рамках, определённых законом.
Важно: не следует упрощать LGPD до требования получать согласие родителей только в отношении детей «младше 12 лет». Закон защищает и детей, и подростков, а точные требования зависят от контекста обработки.
10. Инспектор по защите данных / Encarregado
GDPR
Назначение инспектора по защите данных (DPO) обязательно только в случаях, указанных в статье 37 GDPR. К ним относятся отдельные виды:
- Масштабного мониторинга
- Масштабной обработки особых категорий данных
- Обработки, осуществляемой органами публичной власти
LGPD
LGPD вводит роль Encarregado pelo tratamento de dados pessoais.
Encarregado служит важным каналом связи между:
- Субъектами данных
- Организацией
- ANPD
Резолюция ANPD № 18/2024 устанавливает дополнительные правила назначения, обязанностей и деятельности Encarregado.
Правила для малых агентов обработки также предусматривают отдельные упрощения и исключения, поэтому неверно утверждать, что требование о DPO одинаково для каждого контролёра, подпадающего под LGPD.
11. Местный представитель
GDPR
Некоторые организации за пределами ЕС могут быть обязаны назначить представителя в ЕС по статье 27.
Представитель может выступать контактным лицом для физических лиц и надзорных органов.
LGPD
LGPD не создаёт прямого аналога статьи 27 GDPR.
Тем не менее международным организациям могут потребоваться надлежащее управление конфиденциальностью в Бразилии, механизмы взаимодействия с регулятором и, где применимо, Encarregado.
Важно: коммерческую услугу «представитель в Бразилии» не следует описывать как установленный законом аналог представителя по статье 27 GDPR.
12. Уведомление об утечке данных
GDPR
Согласно статье 33, контролёр, как правило, обязан уведомить компетентный надзорный орган об утечке персональных данных, подпадающей под требования, без неоправданной задержки и, если это возможно, в течение 72 часов после того, как ему стало о ней известно.
Если утечка может повлечь высокий риск для физических лиц, может потребоваться уведомить и затронутых субъектов данных.
LGPD
Резолюция ANPD № 15/2024 устанавливает правила сообщения об инцидентах безопасности, подпадающих под требования.
Если инцидент безопасности может повлечь существенный риск или ущерб для субъектов данных, контролёр обязан уведомить ANPD и затронутых субъектов данных в течение трёх рабочих дней с учётом применимых правил и исключений.
Малые агенты обработки могут пользоваться особыми сроками, предусмотренными правилами ANPD для малых агентов.
Ключевое различие: GDPR предусматривает 72-часовой срок уведомления надзорного органа, а LGPD - срок в три рабочих дня согласно Резолюции ANPD № 15/2024 для инцидентов, подпадающих под требования.
13. Международная передача данных
Эта область существенно изменилась в рамках LGPD.
GDPR
Глава V GDPR предусматривает, в частности, следующие механизмы:
- Решения об адекватности
- Стандартные договорные условия
- Обязательные корпоративные правила
- Отдельные исключения
В зависимости от механизма передачи организациям также могут потребоваться дополнительные гарантии и оценка рисков передачи.
LGPD
Резолюция ANPD № 19/2024 устанавливает бразильский режим международной передачи данных. Механизмы могут включать:
- Решения ANPD об адекватности
- Стандартные договорные условия
- Специальные договорные условия
- Глобальные корпоративные правила
- Другие механизмы, предусмотренные статьёй 33 LGPD
Этот акт также устанавливает требования к целям, гарантиям и документированию международной передачи данных.
Ключевое различие: Теперь LGPD располагает формальным режимом международной передачи данных под управлением ANPD и больше не опирается только на общий договорный подход.
14. Переносимость данных
GDPR
Статья 20 GDPR предусматривает право на переносимость данных в определённых случаях.
Как правило, это означает получение определённых персональных данных в структурированном, общепринятом и машиночитаемом формате и, если это технически осуществимо, их передачу другому контролёру.
LGPD
Статья 18 LGPD также признаёт право на переносимость данных с учётом применимых нормативных правил и требований.
Важное уточнение: неверно утверждать, что в LGPD нет права на переносимость.
15. Анонимизация
GDPR
Информация, которая действительно анонимна и не может быть разумным образом связана с идентифицируемым лицом, не подпадает под определение персональных данных в GDPR.
LGPD
LGPD также отличает анонимизированные данные от персональных, устанавливая при этом собственные критерии и режим анонимизации.
Поэтому организациям следует документировать методику анонимизации и оценивать, можно ли разумным образом вновь связать данные с физическим лицом.
16. Оценка воздействия на защиту данных
GDPR
Оценка воздействия на защиту данных (DPIA) требуется, когда обработка может повлечь высокий риск для прав и свобод физических лиц. Типичные примеры:
- Масштабный мониторинг
- Масштабная обработка чувствительных данных
- Отдельные виды деятельности, связанные с ИИ или профилированием
- Систематическая оценка физических лиц
LGPD
LGPD предусматривает Relatório de Impacto à Proteção de Dados Pessoais (RIPD) - отчёт о воздействии на защиту персональных данных.
ANPD может потребовать от контролёров подготовить и представить RIPD в случаях, установленных применимыми нормативными правилами.
Поэтому организациям, работающим в обеих юрисдикциях, не стоит полагать, что одна DPIA/RIPD автоматически удовлетворяет обоим режимам.
17. Санкции
GDPR
За отдельные серьёзные нарушения административные штрафы по GDPR могут достигать 20 млн евро или 4% мирового годового оборота за предыдущий финансовый год - в зависимости от того, какая сумма больше.
LGPD
Административные санкции по LGPD могут включать:
- Предупреждение
- Штраф до 2% выручки в Бразилии за предыдущий финансовый год
- Штраф не более 50 млн реалов за одно нарушение
- Ежедневные штрафы в установленных законом пределах
- Публичное раскрытие информации о нарушении
- Блокирование персональных данных
- Удаление персональных данных
- Частичная приостановка работы базы данных
- Приостановка деятельности по обработке
- Частичный или полный запрет деятельности, связанной с обработкой
Применяемая санкция зависит от характера и обстоятельств нарушения.
Ключевое различие: Максимальный штраф по GDPR рассчитывается от мирового годового оборота, а основной административный штраф по LGPD привязан к выручке в Бразилии и ограничен установленной законом предельной суммой.
GDPR vs LGPD: что строже?
Трудно назвать один из режимов более строгим во всех отношениях.
GDPR особенно детально регулирует такие области, как:
- Шесть правовых оснований
- Данные особых категорий
- Переносимость данных
- Автоматизированное принятие решений
- Международная передача данных
- Подотчётность контролёров и обработчиков
- Требования о представителе в ЕС
LGPD предъявляет строгие требования в следующих областях:
- Права субъектов данных
- Согласие
- Чувствительные персональные данные
- Данные детей
- Режим Encarregado
- Международная передача данных
- Безопасность
- Подотчётность
Поэтому правильный подход для международных компаний - определить общие меры контроля, а затем внедрить требования, специфичные для каждой юрисдикции.
Помогает ли соответствие GDPR обеспечить соответствие LGPD?
Да.
Отлаженная программа соответствия GDPR может стать прочной основой для соответствия LGPD, поскольку оба режима содержат требования в следующих областях:
- Реестры данных
- Уведомления о конфиденциальности
- Согласие
- Права физических лиц
- Безопасность
- Управление поставщиками
- Международная передача данных
- Реагирование на инциденты
- Подотчётность
Однако соответствие GDPR не означает автоматического соответствия LGPD. Меры контроля, специфичные для Бразилии, нужно оценить отдельно, особенно в следующих областях:
- Правовые основания LGPD
- Требования к Encarregado
- Нормативные требования ANPD
- Права субъектов данных в Бразилии
- Уведомление об инцидентах
- Механизмы международной передачи данных
- Санкции по LGPD
- Уведомления о конфиденциальности и управление в Бразилии
Единая программа соответствия GDPR и LGPD
Организации, работающие в обеих юрисдикциях, могут избежать дублирования, создав общую систему управления конфиденциальностью.
1. Картирование данных
Составьте карту:
- Персональных данных
- Целей обработки
- Субъектов данных
- Контролёров
- Обработчиков/операторов
- Получателей
- Мест хранения
- Сроков хранения
- Международных передач данных
2. Управление правовыми основаниями
Создайте матрицу правовых оснований по юрисдикциям, охватывающую:
- Статью 6 GDPR
- Статью 9 GDPR
- Статью 7 LGPD
- Статью 11 LGPD
3. Управление правами в области конфиденциальности
Создайте единый рабочий процесс для следующего:
- Запросы субъектов данных по GDPR
- Запросы субъектов данных по LGPD
- Проверка личности
- Отслеживание запросов
- Сроки ответа
- Доказательства и аудиторские следы
4. Управление согласиями
Управляйте следующим:
- Получение согласий
- Записи о согласиях
- Отзыв согласия
- Настройки файлов cookie
- Маркетинговые предпочтения
- Согласие в отношении детей, где применимо
5. Управление поставщиками
Оцените:
- Обработчиков по GDPR
- Операторов по LGPD
- Субобработчиков
- Облачных провайдеров
- Поставщиков аналитики
- Рекламные платформы
- Международных поставщиков
6. Реагирование на утечки
Поддерживайте единый процесс реагирования на инциденты с порядком эскалации для каждой юрисдикции.
Рабочий процесс должен определять:
- Применимую юрисдикцию
- Уровень риска
- Порог уведомления
- Срок, установленный регулятором
- Требования к уведомлению физических лиц
- Требования к доказательствам
7. Управление международной передачей данных
Ведите реестр передач, включающий:
- Экспортёра данных
- Импортёра данных
- Страну назначения
- Механизм передачи
- Договорные гарантии
- Меры безопасности
- Оценки передачи
Часто задаваемые вопросы
Является ли LGPD бразильской версией GDPR?
Не совсем. LGPD сформировался под влиянием мировых принципов защиты данных и разделяет многие концепции GDPR, но это самостоятельный бразильский закон со своими правовыми основаниями, правами, нормативным режимом и механизмами правоприменения.
Если мы соблюдаем GDPR, соответствуем ли мы автоматически LGPD?
Нет. Соответствие GDPR даёт прочную основу, но организации должны оценить требования, специфичные для LGPD, и нормативные акты ANPD.
Предусматривает ли LGPD шесть правовых оснований, как GDPR?
Нет. LGPD содержит более широкий перечень правовых оснований в статье 7 и отдельные правила для чувствительных персональных данных в статье 11.
Признаёт ли LGPD законные интересы?
Да. Законные интересы - одно из правовых оснований по статье 7 LGPD. Однако требования не идентичны статье 6(1)(f) GDPR.
Требует ли LGPD назначения DPO?
LGPD вводит роль Encarregado, а подробные требования установлены Резолюцией ANPD № 18/2024. Конкретные обязанности могут различаться в зависимости от организации и применимых правил ANPD, включая правила для малых агентов обработки.
Действует ли в LGPD правило о 72-часовом уведомлении об утечке?
Нет. Для инцидентов безопасности, подпадающих под требования, LGPD устанавливает срок уведомления в три рабочих дня согласно Резолюции ANPD № 15/2024, а не 72 часа, как GDPR.
Требует ли LGPD назначения представителя в Бразилии?
Прямого аналога требования статьи 27 GDPR о представителе в ЕС нет. Вместо этого организациям следует оценить свои требования в отношении Encarregado, управления и взаимодействия с регулятором.
Есть ли в LGPD право на переносимость данных?
Да. Статья 18 LGPD относит переносимость данных к правам субъектов данных с учётом применимых нормативных правил.
Регулирует ли LGPD международную передачу данных?
Да. Резолюция ANPD № 19/2024 устанавливает подробный нормативный режим международной передачи данных, включая решения об адекватности и договорные механизмы.
Каким компаниям стоит рассмотреть оценку соответствия GDPR и LGPD?
Комплексная оценка особенно актуальна для SaaS-компаний, технологических компаний, компаний электронной коммерции, международных ритейлеров, компаний в сфере ИИ, рекламных и маркетинговых платформ, организаций здравоохранения, финтех-компаний, поставщиков облачных услуг и организаций, обрабатывающих данные клиентов из ЕС и Бразилии.
Соответствие GDPR и LGPD с RegulatoryBridge
Если управлять соответствием GDPR и LGPD через полностью раздельные процессы, возникают ненужное дублирование и несогласованность мер защиты конфиденциальности.
RegulatoryBridge помогает организациям выстраивать согласованные программы соответствия в области конфиденциальности в Европе, Бразилии и других юрисдикциях мира.
Наша поддержка может включать:
- Оценку соответствия GDPR
- Оценку соответствия LGPD
- Картирование и инвентаризацию данных
- Проверку уведомлений о конфиденциальности
- Оценку правовых оснований
- Управление согласиями
- Рабочие процессы по правам субъектов данных
- Поддержку Encarregado
- Оценку поставщиков и обработчиков/операторов
- Оценку международной передачи данных
- Поддержку при подготовке DPIA и RIPD
- Планирование мер безопасности и реагирования на утечки
- Регуляторный мониторинг
- Трансграничное представительство по вопросам конфиденциальности
- Постоянное управление соответствием в области конфиденциальности
Охватите GDPR и LGPD в рамках одной программы.
Сопоставьте средства контроля один раз, соответствуйте дважды. RegulatoryBridge предоставляет вам единый конвейер DSAR, единого DPO, единый план реагирования на нарушения - охватывающий обе системы.