Guía · Ley brasileña

LGPD para sitios con anuncios, de forma simple

La Ley General de Protección de Datos rige para cualquier sitio que trate datos de personas en Brasil, incluidas las cookies y los identificadores usados por los anuncios. Esta guía muestra lo que pide la ley, cómo orienta la ANPD el uso de cookies, cuáles son las sanciones y qué debe tener en línea un editor.

Auditar mi sitio ahora Leer la guía

✓Basado en el texto de la Ley 13.709/2018 y en la guía de cookies de la ANPD
✓Diferencias prácticas entre la LGPD y el GDPR
✓Lectura del sitio sin modificar nada

10supuestos legales para tratar datos personales

2%de la facturación en Brasil, tope de la multa simple por infracción

R$ 50 milloneslímite de la multa simple por infracción

2020año en que la LGPD entró en vigor

Qué es

La ley que organiza el uso de datos personales en Brasil

La LGPD es la Ley n.º 13.709, del 14 de agosto de 2018. Dice cuándo una empresa puede recopilar, usar, guardar y compartir datos personales, y qué derechos tienen las personas sobre esos datos. Rige para empresas, profesionales autónomos y organismos públicos, en el mundo físico y en internet.

Un dato personal es cualquier información vinculada a una persona identificada o identificable. En un sitio, esto incluye nombre y correo de un formulario, pero también la dirección IP, los identificadores de cookies y el historial de navegación usado para mostrar anuncios. El dato personal sensible es una categoría más protegida: salud, religión, origen racial, opinión política, vida sexual, datos genéticos y biométricos.

El titular es la persona dueña de los datos. El controlador decide para qué se usan los datos, y normalmente es el dueño del sitio. El operador trata los datos en nombre del controlador, como una plataforma de correo electrónico. El encargado es la persona o empresa que hace de puente entre el controlador, los titulares y la autoridad.

Quien fiscaliza es la ANPD. Creada como Autoridad Nacional de Protección de Datos, hoy se llama Agencia Nacional de Protección de Datos, con la misma sigla. La ANPD publica reglamentos y guías, recibe reclamaciones y aplica las sanciones de la ley.

Lista de verificación

Lo que debes cumplir

Lo que piden la LGPD, la ANPD y Google a un sitio con anuncios que recibe visitantes de Brasil.

Política de privacidad completa
La ley garantiza al titular acceso fácil a la finalidad, la forma y la duración del uso de los datos, a quién es el controlador y cómo contactarlo, al intercambio de datos y a los derechos del artículo 18. Google también exige que la política diga que terceros, como Google, usan cookies para mostrar anuncios.
Ejemplo
Usamos cookies propias y de terceros, incluso de Google, para mostrar anuncios según tus visitas a este y a otros sitios.
2
Cookies de publicidad solo después del sí
La guía de la ANPD indica el consentimiento para cookies no necesarias y recomienda dejarlas desactivadas por defecto. Si usas etiquetas de Google, el Consent Mode puede empezar denegado solo para Brasil y cambiar cuando la persona acepte.
```
gtag('consent', 'default', {
  'ad_storage': 'denied',
  'ad_user_data': 'denied',
  'ad_personalization': 'denied',
  'wait_for_update': 500,
  'region': ['BR']
});
```
Botón de rechazar fácil de ver
La guía de la ANPD recomienda un botón para rechazar todas las cookies no necesarias, de fácil visualización. Desaconseja el banner con un único botón, sin opción de gestionar.
Ejemplo
Aceptar todas | Rechazar las no necesarias | Configurar
Nada preseleccionado
La guía de la ANPD dice que no es recomendable usar un banner con opciones de autorización ya marcadas. Cada finalidad empieza desactivada hasta que la persona elija.
Revocar en cualquier momento
La ley dice que el consentimiento puede revocarse en cualquier momento, por un procedimiento gratuito y facilitado. Deja un enlace fijo para que la persona cambie su elección.
Ejemplo
Enlace en el pie de página de todas las páginas: Preferencias de cookies
Contacto del encargado publicado
La identidad y el contacto del encargado deben divulgarse de forma clara y objetiva, de preferencia en el sitio. Los agentes de pequeño tamaño exentos de designar un encargado tienen que mantener un canal con el titular.
Ejemplo
Encargado de datos: Maria Silva. Contacto: privacidad@tusitio.com.br
Responder a las solicitudes del titular
La confirmación y el acceso a los datos pueden darse en el acto, en formato simplificado, o en una declaración completa en un máximo de 15 días desde la solicitud. Ten un canal para recibir esas solicitudes.
Cuidado con los niños y los datos sensibles
Los datos de niños piden el consentimiento de al menos uno de los padres o del responsable. Los datos sensibles, como salud y religión, piden un consentimiento específico y destacado, y Google no acepta anuncios personalizados basados en ellos.

En la práctica

Lo correcto y lo incorrecto

IncorrectoEl banner solo tiene un botón de Aceptar u Ok.
CorrectoEl banner muestra Aceptar y Rechazar, ambos fáciles de ver.
IncorrectoLas opciones de publicidad ya vienen marcadas.
CorrectoLas opciones de publicidad empiezan sin marcar hasta que la persona elija.
IncorrectoLas cookies de publicidad se guardan antes de que la persona responda.
CorrectoLas etiquetas de anuncios personalizados esperan la elección del visitante.
IncorrectoLa política es genérica, copiada de otro sitio, y nadie encuentra el enlace.
CorrectoLa política menciona a Google, los socios, los derechos y el contacto del encargado, con enlace en el pie de página.

Herramientas oficiales

CMPs certificadas y enlaces oficiales

Google no exige una CMP certificada ni tiene un mensaje propio para la LGPD, así que elige una herramienta que siga la guía de la ANPD, y usa una CMP certificada solo si el sitio también recibe visitantes de Europa.

A quién se aplica

Tres situaciones colocan a tu sitio dentro de la LGPD

Basta con una de ellas. No importa el tamaño del sitio ni dónde estén los servidores.

Tratamiento realizado en Brasil

Si la recopilación o el uso de los datos ocurre en el territorio nacional, la ley se aplica.

Oferta a personas en Brasil

Si el objetivo es ofrecer productos o servicios a personas que están en Brasil, o tratar sus datos, la ley se aplica incluso a las empresas extranjeras.

Datos recopilados en Brasil

Si los datos se recopilaron en el país, la LGPD rige para ellos, aunque luego se procesen en el exterior.

También los sitios pequeños

Los blogs y las pequeñas empresas siguen la ley. La ANPD tiene reglas más ligeras para los agentes de pequeño porte, pero no una exención general.

Bases legales

Los supuestos legales que más importan para un sitio

El artículo 7 trae 10 supuestos para tratar datos personales. Para un sitio de contenido con anuncios, estos son los que aparecen en el día a día.

Consentimiento

Manifestación libre, informada e inequívoca para una finalidad determinada. Es la base indicada por la ANPD para las cookies no necesarias, como las de publicidad.

Interés legítimo

Un interés real del sitio, siempre que no pase por encima de los derechos del titular. Puede servir para cookies estrictamente necesarias y para medición agregada, según la ANPD.

Ejecución de contrato

Datos necesarios para cumplir un contrato con la persona, como una suscripción paga o una compra.

Obligación legal o regulatoria

Cuando una ley obliga a guardar el dato. El Marco Civil de Internet, por ejemplo, exige guardar registros de acceso a aplicaciones durante un período.

Protección del crédito

Se usa en el análisis de crédito y el registro positivo. Común en sitios financieros, rara en sitios de contenido.

Otros supuestos

Las políticas públicas, la investigación, el ejercicio de derechos en procesos, la protección de la vida y la tutela de la salud completan la lista del artículo 7.

Qué dice la guía de cookies de la ANPD

En octubre de 2022, la ANPD publicó la Guía Orientativa Cookies y Protección de Datos Personales. Separa las cookies en necesarias y no necesarias, propias y de terceros, de sesión y persistentes, y por finalidad: analíticas, de funcionalidad y de publicidad.

Para las cookies estrictamente necesarias, como las que mantienen el inicio de sesión o el carrito, la guía dice que el consentimiento no es la base más apropiada. El interés legítimo puede usarse, siempre que se cumplan los requisitos de la ley. Para las cookies no necesarias, como las de publicidad y las que siguen el comportamiento de la persona, el consentimiento es la base más apropiada.

La guía recomienda un banner con un botón para rechazar todas las cookies no necesarias, de fácil visualización, y desaconseja los banners con un solo botón de aceptar. Tampoco recomienda las opciones preseleccionadas y orienta a dejar desactivadas por defecto las cookies que dependen de consentimiento.

Por último, la guía pide una Política de Cookies o un documento equivalente, que puede ser una sección del aviso de privacidad o una página separada. Para la publicidad, la guía afirma que difícilmente el interés legítimo será el supuesto más apropiado.

Derechos de los titulares

Lo que el visitante puede pedir a tu sitio

El artículo 18 enumera los derechos del titular. El sitio necesita un canal para recibir esas solicitudes y responderlas.

Confirmación y acceso

Saber si el sitio trata sus datos y ver cuáles son.

Corrección

Corregir datos incompletos, erróneos o desactualizados.

Anonimización, bloqueo o eliminación

Pedir que los datos innecesarios, excesivos o tratados fuera de la ley se anonimicen, se bloqueen o se borren.

Portabilidad

Llevar los datos a otro proveedor de servicio o producto.

Información sobre el uso compartido

Saber con qué empresas y organismos se compartieron los datos, como las redes de anuncios.

Revocar el consentimiento

Retirar el consentimiento en cualquier momento, de forma gratuita y facilitada, y ser informada sobre la posibilidad de no consentir.

Qué hacer

Lo que debe tener en línea un editor brasileño

Política de privacidad completaExplica qué datos recopila el sitio, para qué, con qué base legal, con quién los comparte (incluido Google y las redes de anuncios), por cuánto tiempo los guarda y cómo ejerce el titular sus derechos.
Política de cookiesEnumera los tipos de cookies, la finalidad de cada una y si son propias o de terceros. Puede ser una sección de la política de privacidad.
Banner cuando haya cookies no necesariasSi el sitio usa cookies de publicidad o de rastreo, muestra un banner con botones de aceptar y rechazar visibles y las opciones desmarcadas.
Camino para cambiar la elecciónDeja un enlace fijo, como Preferencias de cookies en el pie de página, para que el visitante revoque o ajuste el consentimiento en cualquier momento.
Encargado o canal de contactoIndica al encargado y publica su contacto en el sitio. La Resolución CD/ANPD n.º 18, de julio de 2024, detalla ese papel. Los agentes de pequeño porte pueden quedar exentos de indicar un encargado, pero deben mantener un canal de comunicación con el titular.
Seguridad e incidentesProtege los datos con medidas técnicas y comunica a la ANPD y a los titulares los incidentes de seguridad que puedan causar un riesgo o un daño relevante.

Sanciones

Lo que puede aplicar la ANPD

Las sanciones del artículo 52 rigen desde el 1 de agosto de 2021. La ANPD define el valor de cada caso según su reglamento de dosimetría.

Advertencia

Con un plazo para que el sitio adopte medidas de corrección.

Multa simple

Hasta el 2% de la facturación de la empresa, grupo o conglomerado en Brasil en el último ejercicio, excluidos los impuestos, limitada a R$ 50 millones por infracción.

Multa diaria

Para forzar la corrección de una irregularidad, respetando el mismo límite total.

Publicización

Hacer pública la infracción una vez confirmada, lo que afecta la reputación del sitio.

Bloqueo o eliminación

Bloquear o borrar los datos personales vinculados a la infracción.

Suspensión y prohibición

Suspender la base de datos o la actividad de tratamiento, e incluso prohibir total o parcialmente el tratamiento de datos.

Cronología

De la aprobación de la ley a la agencia reguladora

Las fechas que más pesan para quienes tienen un sitio en Brasil.

14 de agosto de 2018
Se sanciona la LGPD
La Ley n.º 13.709 se publica con un plazo de adaptación antes de entrar en vigor.
18 de septiembre de 2020
La ley entra en vigor
Pasan a regir las reglas de bases legales, derechos y obligaciones.
1 de agosto de 2021
Las sanciones empiezan a regir
La ANPD gana el poder de aplicar advertencias, multas y las demás sanciones del artículo 52.
Octubre de 2022
Guía de cookies
La ANPD publica la Guía Orientativa Cookies y Protección de Datos Personales.
Febrero de 2023
Reglamento de dosimetría
La ANPD aprueba las reglas para calcular y aplicar las sanciones administrativas.
Julio de 2024
Reglas del encargado
La Resolución CD/ANPD n.º 18 detalla la designación y las actividades del encargado.
2026
La ANPD se convierte en agencia
La ANPD se transforma en agencia reguladora y pasa a llamarse Agencia Nacional de Protección de Datos.

LGPD y GDPR

Parecidas, pero no iguales

La LGPD se inspiró en el GDPR, pero hay diferencias que cambian la configuración del sitio.

LGPD (Brasil)

Rige para datos tratados en Brasil o de personas en Brasil.

10 supuestos legales, incluida la protección del crédito
Multa limitada a R$ 50 millones por infracción
Guía de cookies de la ANPD con recomendaciones prácticas
Google no exige una CMP certificada ni Consent Mode para el tráfico de Brasil
Las reglas de cookies están en una guía orientativa, no en una ley específica
El banner sigue siendo necesario cuando hay cookies no necesarias

GDPR (Europa)

Rige para personas en el EEE, y hay leyes parecidas en el Reino Unido y Suiza.

6 bases legales
Regla de cookies en una ley propia, la Directiva ePrivacy
Directrices detalladas del EDPB sobre el consentimiento
Multas de hasta 20 millones de euros o el 4% de la facturación mundial
Google exige una CMP certificada con TCF para los anuncios personalizados
Se exigen las señales de Consent Mode v2 para las funciones de anuncios

En la práctica

Qué se puede y qué no se puede en un sitio brasileño

Ejemplos basados en la LGPD y en las recomendaciones de la guía de cookies de la ANPD.

Sí se puede

Cargar cookies necesarias, como inicio de sesión y seguridad, sin pedir consentimiento
Mostrar un banner con Aceptar y Rechazar al mismo nivel para las cookies de publicidad
Usar el mensaje europeo del TCF solo para visitantes de Europa y un banner propio para Brasil
Publicar la política de privacidad y la de cookies en el pie de página de todas las páginas
Indicar un correo de contacto del encargado o un canal de atención al titular
Mantener los anuncios normales de Google para el público brasileño

No se puede

Banner con un único botón de Aceptar u Ok para las cookies de publicidad
Opciones de cookies ya marcadas para el visitante
Política de privacidad copiada de otro sitio, sin mencionar a Google ni a los socios
Decir que el sitio no recopila datos cuando hay anuncios y Analytics
Exigir la aceptación total de las cookies para liberar el contenido
Denegar todas las señales de consentimiento para Brasil sin necesidad

En ConsentMode

Qué revisa la auditoría sobre la LGPD en tu sitio

Abre el sitio como un visitante de Brasil y muestra en una captura si hay banner, qué botones tiene y si las opciones vienen marcadas.
Enumera las cookies y las etiquetas de anuncios y de análisis que cargan antes y después de la elección.
Comprueba si la política de privacidad existe, si está en el pie de página y si menciona a Google, las cookies, los socios, los derechos y el contacto del encargado.
Verifica si la configuración europea se está filtrando a Brasil, denegando anuncios sin necesidad.
Entrega un plan de corrección en orden de prioridad, sin sustituir la orientación jurídica.

Hacer una auditoría Ver todo lo que se revisa

Transparencia de la LGPD incompletaPrivacidad · visitante de Brasil

Moderado

✓política de privacidad en el pie de páginaok

✕contacto del encargado o canal del titularausente

!banner solo con botón Aceptarrevisar

✕la política menciona socios de anunciosausente

✓anuncios que se sirven con normalidad en Brasilok

Cómo corregirlo: incluye en la política a Google y a los socios de anuncios, publica el contacto del encargado y agrega el botón Rechazar en el banner.

Preguntas frecuentes sobre la LGPD

¿Todo sitio brasileño necesita un banner de cookies?

La LGPD no menciona los banners. La guía de la ANPD recomienda pedir consentimiento para las cookies no necesarias, como las de publicidad. Si el sitio usa solo cookies necesarias, el banner de consentimiento no se exige, pero la transparencia en la política sigue siendo necesaria.

¿Google exige Consent Mode para el tráfico de Brasil?

No. La política de consentimiento de usuarios de la UE de Google rige para el EEE, el Reino Unido y Suiza. Para Brasil, las políticas de Google piden una política de privacidad que explique el uso de cookies y datos por los anuncios.

¿Necesito nombrar a un encargado?

El controlador debe indicar a un encargado. La ANPD permite que los agentes de pequeño porte dejen de indicarlo, siempre que mantengan un canal de comunicación con el titular. Verifica con tu asesor jurídico si tu negocio encaja.

¿Puedo usar el interés legítimo para los anuncios?

La guía de la ANPD dice que, para la publicidad, difícilmente el interés legítimo será el supuesto más apropiado. Para las cookies de publicidad, el consentimiento es la base indicada.

¿Una configuración hecha para el GDPR sirve para la LGPD?

En buena parte, sí, porque los principios son parecidos. El cuidado está en usar regiones: el mensaje europeo del TCF no necesita aparecer en Brasil, y la política de privacidad debe citar la LGPD y los derechos del artículo 18.

¿ConsentMode da un dictamen jurídico?

No. La auditoría muestra lo que hace el sitio, con capturas, e indica lo que suele corregirse. La decisión jurídica queda con tu abogado o encargado.

Biblioteca

Fuentes oficiales

Esta guía se escribió a partir de estas páginas oficiales. Léelas directo en la fuente:

Mira tu sitio como lo ve un visitante brasileño

La auditoría revisa el banner, las cookies, la política de privacidad y los anuncios, y entrega un plan de corrección.

Comenzar la auditoría