Ouvrir l'espace

Guide · Loi brésilienne

La LGPD pour les sites avec annonces, simplement

La Loi générale de protection des données (LGPD) s'applique à tout site qui traite des données de personnes au Brésil, y compris les cookies et identifiants utilisés par les annonces. Ce guide montre ce que la loi demande, comment l'ANPD recommande d'utiliser les cookies, quelles sont les sanctions et ce qu'un éditeur doit avoir en ligne.

Auditer mon site maintenantLire le guide
  • ✓Basé sur le texte de la loi 13.709/2018 et sur le guide des cookies de l'ANPD
  • ✓Différences pratiques entre la LGPD et le GDPR
  • ✓Lecture du site sans rien modifier
10bases légales pour traiter des données personnelles
2%du chiffre d'affaires au Brésil, plafond de l'amende simple par infraction
50 M R$plafond de l'amende simple par infraction
2020année d'entrée en vigueur de la LGPD

Définition

La loi qui organise l'utilisation des données personnelles au Brésil

La LGPD est la loi n° 13.709 du 14 août 2018. Elle dit quand une entreprise peut collecter, utiliser, conserver et partager des données personnelles, et quels droits les personnes ont sur ces données. Elle s'applique aux entreprises, aux professionnels indépendants et aux organismes publics, dans le monde physique et sur internet.

Une donnée personnelle est toute information liée à une personne identifiée ou identifiable. Sur un site, cela comprend le nom et l'e-mail d'un formulaire, mais aussi l'adresse IP, les identifiants de cookies et l'historique de navigation utilisé pour afficher des annonces. La donnée personnelle sensible est une catégorie plus protégée : santé, religion, origine raciale, opinion politique, vie sexuelle, données génétiques et biométriques.

Le titulaire est la personne à qui appartiennent les données. Le responsable du traitement (controlador) décide à quoi servent les données, et c'est normalement le propriétaire du site. Le sous-traitant (operador) traite les données au nom du responsable, comme une plateforme d'e-mail. Le délégué (encarregado) est la personne ou l'entreprise qui fait le lien entre le responsable, les titulaires et l'autorité.

Le contrôle est assuré par l'ANPD. Créée sous le nom d'Autorité nationale de protection des données, elle s'appelle aujourd'hui Agence nationale de protection des données, avec le même sigle. C'est l'ANPD qui publie les règlements et les guides, reçoit les plaintes et applique les sanctions de la loi.

Checklist

Ce que vous devez respecter

Ce que la LGPD, l'ANPD et Google exigent d'un site avec des annonces qui reçoit des visiteurs du Brésil.

  1. Politique de confidentialité complète

    La loi garantit à la personne concernée un accès facile à la finalité, à la forme et à la durée de l'utilisation des données, à l'identité du responsable de traitement et à la façon de le contacter, au partage et aux droits de l'article 18. Google exige aussi que la politique précise que des tiers, comme Google, utilisent des cookies pour afficher des annonces.

    Exemple

    Nous utilisons des cookies propres et de tiers, y compris de Google, pour afficher des annonces selon vos visites sur ce site et sur d'autres.

  2. Cookies publicitaires seulement après le oui

    Le guide de l'ANPD indique le consentement pour les cookies non nécessaires et recommande de les laisser désactivés par défaut. Si vous utilisez des balises Google, le Consent Mode peut démarrer à l'état refusé seulement pour le Brésil et changer quand la personne accepte.

    gtag('consent', 'default', {
  'ad_storage': 'denied',
  'ad_user_data': 'denied',
  'ad_personalization': 'denied',
  'wait_for_update': 500,
  'region': ['BR']
});

  3. Bouton de refus bien visible

    Le guide de l'ANPD recommande un bouton pour refuser tous les cookies non nécessaires, bien visible. Il déconseille la bannière avec un seul bouton, sans option de gestion.

    Exemple

    Tout accepter | Refuser les non nécessaires | Configurer

  4. Rien de présélectionné

    Le guide de l'ANPD dit qu'il n'est pas recommandé d'utiliser une bannière avec des options d'autorisation déjà cochées. Chaque finalité démarre désactivée jusqu'à ce que la personne choisisse.

  5. Révoquer à tout moment

    La loi dit que le consentement peut être révoqué à tout moment, par une procédure gratuite et facilitée. Laissez un lien fixe pour que la personne change son choix.

    Exemple

    Lien en pied de page de toutes les pages : Préférences de cookies

  6. Contact du délégué publié

    L'identité et le contact du délégué (encarregado) doivent être divulgués de façon claire et objective, de préférence sur le site. Les petits agents dispensés de désigner un délégué doivent maintenir un canal avec la personne concernée.

    Exemple

    Délégué à la protection des données : Maria Silva. Contact : confidentialite@votresite.com.br

  7. Répondre aux demandes de la personne concernée

    La confirmation et l'accès aux données peuvent être donnés immédiatement, sous un format simplifié, ou dans une déclaration complète sous 15 jours à compter de la demande. Prévoyez un canal pour recevoir ces demandes.

  8. Attention aux enfants et aux données sensibles

    Les données d'enfants exigent le consentement d'au moins un des parents ou du responsable légal. Les données sensibles, comme la santé et la religion, exigent un consentement spécifique et mis en évidence, et Google n'accepte pas d'annonces personnalisées basées sur elles.

En pratique

Ce qui est correct et ce qui ne l'est pas

Outils officiels

CMP certifiées et liens officiels

Google n'exige pas de CMP certifiée ni n'a de message propre pour la LGPD, donc choisissez un outil qui suit le guide de l'ANPD, et n'utilisez une CMP certifiée que si le site reçoit aussi des visiteurs d'Europe.

À qui il s'applique

Trois situations placent votre site dans le champ de la LGPD

Une seule suffit. La taille du site n'a pas d'importance, ni l'emplacement des serveurs.

Traitement effectué au Brésil

Si la collecte ou l'utilisation des données a lieu sur le territoire national, la loi s'applique.

Offre à des personnes au Brésil

Si l'objectif est de proposer des produits ou services à des personnes qui se trouvent au Brésil, ou de traiter leurs données, la loi s'applique même aux entreprises étrangères.

Données collectées au Brésil

Si les données ont été collectées dans le pays, la LGPD s'applique à elles, même si elles sont ensuite traitées à l'étranger.

Les petits sites aussi

Les blogs et petites entreprises suivent la loi. L'ANPD a des règles plus légères pour les agents de petite taille, mais pas de dispense générale.

Bases légales

Les bases légales qui comptent le plus pour un site

L'article 7 prévoit 10 bases légales pour traiter des données personnelles. Pour un site de contenu avec annonces, voici celles qui apparaissent au quotidien.

Consentement

Manifestation libre, éclairée et non équivoque pour une finalité déterminée. C'est la base recommandée par l'ANPD pour les cookies non nécessaires, comme ceux de publicité.

Intérêt légitime

Intérêt réel du site, à condition qu'il ne passe pas outre les droits du titulaire. Peut servir pour les cookies strictement nécessaires et pour la mesure agrégée, selon l'ANPD.

Exécution d'un contrat

Données nécessaires pour exécuter un contrat avec la personne, comme un abonnement payant ou un achat.

Obligation légale ou réglementaire

Lorsqu'une loi oblige à conserver la donnée. Le Marco Civil da Internet (cadre civil de l'internet), par exemple, exige de conserver les journaux d'accès aux applications pendant une période.

Protection du crédit

Utilisée dans l'analyse de crédit et le fichier positif. Courante sur les sites financiers, rare sur les sites de contenu.

Autres bases

Les politiques publiques, la recherche, l'exercice de droits dans des procédures, la protection de la vie et la protection de la santé complètent la liste de l'article 7.

Cookies

Ce que dit le guide des cookies de l'ANPD

En octobre 2022, l'ANPD a publié le Guia Orientativo Cookies e Proteção de Dados Pessoais (guide d'orientation sur les cookies et la protection des données personnelles). Il classe les cookies en nécessaires et non nécessaires, propres et tiers, de session et persistants, et par finalité : analytiques, de fonctionnalité et de publicité.

Pour les cookies strictement nécessaires, comme ceux qui maintiennent la connexion ou le panier, le guide dit que le consentement n'est pas la base la plus appropriée. L'intérêt légitime peut être utilisé, à condition de respecter les exigences de la loi. Pour les cookies non nécessaires, comme ceux de publicité et ceux qui suivent le comportement de la personne, le consentement est la base la plus appropriée.

Le guide recommande une bannière avec un bouton pour rejeter tous les cookies non nécessaires, bien visible, et déconseille les bannières avec un seul bouton d'acceptation. Il ne recommande pas non plus les options présélectionnées et préconise de laisser désactivés par défaut les cookies qui dépendent d'un consentement.

Enfin, le guide demande une politique de cookies ou un document équivalent, qui peut être une section de l'avis de confidentialité ou une page séparée. Pour la publicité, le guide affirme que l'intérêt légitime sera difficilement la base la plus appropriée.

Droits des titulaires

Ce que le visiteur peut demander à votre site

L'article 18 liste les droits du titulaire. Le site doit avoir un canal pour recevoir ces demandes et y répondre.

Confirmation et accès

Savoir si le site traite ses données et voir lesquelles.

Correction

Corriger les données incomplètes, erronées ou périmées.

Anonymisation, blocage ou suppression

Demander que les données inutiles, excessives ou traitées en dehors de la loi soient anonymisées, bloquées ou supprimées.

Portabilité

Emporter les données chez un autre fournisseur de service ou de produit.

Information sur le partage

Savoir avec quelles entreprises et quels organismes les données ont été partagées, comme les réseaux publicitaires.

Révoquer le consentement

Retirer le consentement à tout moment, gratuitement et facilement, et être informé de la possibilité de ne pas consentir.

Que faire

Ce qu'un éditeur brésilien doit avoir en ligne

  1. Politique de confidentialité complèteExpliquez quelles données le site collecte, pourquoi, sur quelle base légale, avec qui il les partage (y compris Google et les réseaux publicitaires), combien de temps il les conserve et comment le titulaire exerce ses droits.
  2. Politique de cookiesListez les types de cookies, la finalité de chacun et s'ils sont propres ou tiers. Cela peut être une section de la politique de confidentialité.
  3. Bannière lorsqu'il y a des cookies non nécessairesSi le site utilise des cookies de publicité ou de suivi, affichez une bannière avec des boutons accepter et rejeter visibles et des options décochées.
  4. Chemin pour changer son choixLaissez un lien fixe, comme Préférences de cookies en pied de page, pour que le visiteur révoque ou ajuste son consentement à tout moment.
  5. Délégué ou canal de contactDésignez le délégué et publiez son contact sur le site. La résolution CD/ANPD n° 18, de juillet 2024, détaille ce rôle. Les agents de petite taille peuvent être dispensés de désigner un délégué, mais doivent maintenir un canal de communication avec le titulaire.
  6. Sécurité et incidentsProtégez les données par des mesures techniques et signalez à l'ANPD et aux titulaires les incidents de sécurité susceptibles de causer un risque ou un préjudice important.

Sanctions

Ce que l'ANPD peut appliquer

Les sanctions de l'article 52 s'appliquent depuis le 1er août 2021. L'ANPD fixe le montant de chaque cas selon son règlement de dosimétrie.

Avertissement

Avec un délai pour que le site adopte des mesures de correction.

Amende simple

Jusqu'à 2 % du chiffre d'affaires de l'entreprise, du groupe ou du conglomérat au Brésil lors du dernier exercice, hors impôts, limitée à 50 millions de R$ par infraction.

Amende journalière

Pour forcer la correction d'une irrégularité, dans le respect du même plafond total.

Publicisation

Rendre l'infraction publique après sa confirmation, ce qui affecte la réputation du site.

Blocage ou suppression

Bloquer ou effacer les données personnelles liées à l'infraction.

Suspension et interdiction

Suspendre la base de données ou l'activité de traitement, et même interdire totalement ou partiellement le traitement de données.

Chronologie

De l'adoption de la loi à l'agence de régulation

Les dates qui comptent le plus pour ceux qui ont un site au Brésil.

  1. 14 août 2018

    La LGPD est promulguée

    La loi n° 13.709 est publiée avec un délai d'adaptation avant son entrée en vigueur.

  2. 18 septembre 2020

    La loi entre en vigueur

    Les règles sur les bases légales, les droits et les obligations s'appliquent.

  3. 1er août 2021

    Les sanctions s'appliquent

    L'ANPD obtient le pouvoir d'appliquer les avertissements, amendes et autres sanctions de l'article 52.

  4. Octobre 2022

    Guide des cookies

    L'ANPD publie le Guia Orientativo Cookies e Proteção de Dados Pessoais.

  5. Février 2023

    Règlement de dosimétrie

    L'ANPD approuve les règles pour calculer et appliquer les sanctions administratives.

  6. Juillet 2024

    Règles du délégué

    La résolution CD/ANPD n° 18 détaille la désignation et les activités du délégué.

  7. 2026

    L'ANPD devient une agence

    L'ANPD est transformée en agence de régulation et s'appelle désormais Agência Nacional de Proteção de Dados (Agence nationale de protection des données).

LGPD et GDPR

Proches, mais pas identiques

La LGPD s'est inspirée du GDPR, mais il existe des différences qui changent la configuration du site.

LGPD (Brésil)

S'applique aux données traitées au Brésil ou concernant des personnes au Brésil.

  • 10 bases légales, dont la protection du crédit
  • Amende limitée à 50 millions de R$ par infraction
  • Guide des cookies de l'ANPD avec des recommandations pratiques
  • Google n'exige ni CMP certifiée ni Consent Mode pour le trafic du Brésil
  • Les règles sur les cookies figurent dans un guide d'orientation, pas dans une loi spécifique
  • La bannière reste nécessaire lorsqu'il y a des cookies non nécessaires

GDPR (Europe)

S'applique aux personnes dans l'EEE, avec des lois similaires au Royaume-Uni et en Suisse.

  • 6 bases légales
  • Règle sur les cookies dans une loi propre, la directive ePrivacy
  • Lignes directrices détaillées de l'EDPB sur le consentement
  • Amendes jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial
  • Google exige une CMP certifiée avec TCF pour les annonces personnalisées
  • Signaux du Consent Mode v2 exigés pour les fonctions publicitaires

En pratique

Ce qui est permis et ce qui ne l'est pas sur un site brésilien

Exemples basés sur la LGPD et sur les recommandations du guide des cookies de l'ANPD.

Autorisé

  • Charger les cookies nécessaires, comme la connexion et la sécurité, sans demander de consentement
  • Afficher une bannière avec Accepter et Rejeter au même niveau pour les cookies de publicité
  • Utiliser le message européen du TCF uniquement pour les visiteurs d'Europe et une bannière propre pour le Brésil
  • Publier la politique de confidentialité et celle des cookies en pied de toutes les pages
  • Indiquer un e-mail de contact du délégué ou un canal d'assistance au titulaire
  • Conserver les annonces normales de Google pour le public brésilien

Interdit

  • Bannière avec un seul bouton Accepter ou OK pour les cookies de publicité
  • Options de cookies déjà cochées pour le visiteur
  • Politique de confidentialité copiée d'un autre site, sans citer Google ni les partenaires
  • Dire que le site ne collecte pas de données alors qu'il y a des annonces et Analytics
  • Exiger l'acceptation totale des cookies pour donner accès au contenu
  • Refuser tous les signaux de consentement pour le Brésil sans nécessité

Dans ConsentMode

Ce que l'audit vérifie sur la LGPD sur votre site

  • Ouvre le site comme un visiteur du Brésil et montre sur une capture s'il y a une bannière, quels boutons elle a et si les options sont précochées.
  • Liste les cookies et les balises d'annonces et d'analyse qui se chargent avant et après le choix.
  • Vérifie si la politique de confidentialité existe, si elle est en pied de page et si elle cite Google, les cookies, les partenaires, les droits et le contact du délégué.
  • Vérifie si la configuration européenne déborde sur le Brésil, en refusant des annonces sans nécessité.
  • Fournit un plan de correction par ordre de priorité, sans remplacer l'avis juridique.
Lancer un auditVoir tout ce qui est vérifié

Questions fréquentes sur la LGPD

Tout site brésilien a-t-il besoin d'une bannière de cookies ?

La LGPD ne mentionne pas les bannières. Le guide de l'ANPD recommande de demander le consentement pour les cookies non nécessaires, comme ceux de publicité. Si le site n'utilise que des cookies nécessaires, la bannière de consentement n'est pas exigée, mais la transparence dans la politique reste requise.

Google exige-t-il le Consent Mode pour le trafic du Brésil ?

Non. La politique de consentement des utilisateurs de l'UE de Google s'applique à l'EEE, au Royaume-Uni et à la Suisse. Pour le Brésil, les règles de Google demandent une politique de confidentialité qui explique l'utilisation des cookies et des données par les annonces.

Dois-je nommer un délégué ?

Le responsable du traitement doit désigner un délégué. L'ANPD permet aux agents de petite taille de ne pas le faire, à condition de maintenir un canal de communication avec le titulaire. Vérifiez avec le service juridique si votre activité entre dans ce cas.

Puis-je utiliser l'intérêt légitime pour les annonces ?

Le guide de l'ANPD dit que, pour la publicité, l'intérêt légitime sera difficilement la base la plus appropriée. Pour les cookies de publicité, le consentement est la base recommandée.

Une configuration faite pour le GDPR convient-elle pour la LGPD ?

En grande partie, oui, car les principes sont proches. L'attention porte sur l'utilisation des régions : le message européen du TCF n'a pas besoin d'apparaître au Brésil, et la politique de confidentialité doit citer la LGPD et les droits de l'article 18.

ConsentMode donne-t-il un avis juridique ?

Non. L'audit montre ce que fait le site, avec des captures, et indique ce qui est généralement corrigé. La décision juridique revient à votre avocat ou délégué.

Bibliothèque

Sources officielles

Ce guide a été rédigé à partir de ces pages officielles. Lisez directement à la source :

Voyez votre site comme le voit un visiteur brésilien

L'audit vérifie la bannière, les cookies, la politique de confidentialité et les annonces, et fournit un plan de correction.

Lancer l'audit