Apri lo spazio

Guida · Legge brasiliana

LGPD per i siti con annunci, in modo semplice

La Legge generale sulla protezione dei dati vale per qualsiasi sito che tratta dati di persone in Brasile, compresi cookie e identificatori usati dagli annunci. Questa guida mostra cosa richiede la legge, come l'ANPD orienta l'uso dei cookie, quali sono le sanzioni e cosa deve avere online un editore.

Fai l'audit del mio sito oraLeggi la guida
  • ✓Basato sul testo della Legge 13.709/2018 e sulla guida ai cookie dell'ANPD
  • ✓Differenze pratiche tra LGPD e GDPR
  • ✓Lettura del sito senza modificare nulla
10ipotesi legali per trattare dati personali
2%del fatturato in Brasile, tetto della sanzione semplice per infrazione
50 mln R$limite della sanzione semplice per infrazione
2020anno in cui la LGPD è entrata in vigore

Che cos'è

La legge che organizza l'uso dei dati personali in Brasile

La LGPD è la Legge n. 13.709 del 14 agosto 2018. Stabilisce quando un'azienda può raccogliere, usare, conservare e condividere dati personali, e quali diritti hanno le persone su questi dati. Vale per aziende, liberi professionisti ed enti pubblici, nel mondo fisico e su internet.

Dato personale è qualsiasi informazione collegata a una persona identificata o identificabile. In un sito, include nome ed e-mail di un modulo, ma anche indirizzo IP, identificatori dei cookie e la cronologia di navigazione usata per mostrare annunci. Il dato personale sensibile è una categoria più protetta: salute, religione, origine razziale, opinioni politiche, vita sessuale, dati genetici e biometrici.

L'interessato è la persona a cui appartengono i dati. Il titolare decide per cosa vengono usati i dati, ed è normalmente il proprietario del sito. Il responsabile tratta i dati per conto del titolare, come una piattaforma di e-mail. L'incaricato (encarregado) è la persona o l'azienda che fa da ponte tra il titolare, gli interessati e l'autorità.

A far rispettare la legge è l'ANPD. Creata come Autorità nazionale per la protezione dei dati, oggi si chiama Agenzia nazionale per la protezione dei dati, con la stessa sigla. È l'ANPD che pubblica regolamenti e guide, riceve reclami e applica le sanzioni della legge.

Checklist

Cosa devi rispettare

Cosa richiedono la LGPD, l'ANPD e Google a un sito con annunci che riceve visitatori dal Brasile.

  1. Informativa sulla privacy completa

    La legge garantisce all'interessato un accesso facile alla finalità, alla forma e alla durata dell'uso dei dati, a chi è il titolare e come contattarlo, alla condivisione e ai diritti dell'articolo 18. Google richiede anche che l'informativa dica che terzi, come Google, usano i cookie per mostrare annunci.

    Esempio

    Usiamo cookie propri e di terzi, anche di Google, per mostrare annunci in base alle tue visite a questo e ad altri siti.

  2. Cookie pubblicitari solo dopo il sì

    La guida dell'ANPD indica il consenso per i cookie non necessari e raccomanda di lasciarli disattivati per impostazione predefinita. Se usi i tag di Google, il Consent Mode può partire negato solo per il Brasile e cambiare quando la persona accetta.

    gtag('consent', 'default', {
  'ad_storage': 'denied',
  'ad_user_data': 'denied',
  'ad_personalization': 'denied',
  'wait_for_update': 500,
  'region': ['BR']
});

  3. Pulsante per rifiutare ben visibile

    La guida dell'ANPD raccomanda un pulsante per rifiutare tutti i cookie non necessari, ben visibile. Sconsiglia il banner con un solo pulsante, senza opzione di gestione.

    Esempio

    Accetta tutti | Rifiuta quelli non necessari | Configura

  4. Niente preselezionato

    La guida dell'ANPD dice che non è consigliabile usare un banner con opzioni di autorizzazione già selezionate. Ogni finalità parte disattivata finché la persona non sceglie.

  5. Revocare in qualsiasi momento

    La legge dice che il consenso può essere revocato in qualsiasi momento, con una procedura gratuita e agevolata. Lascia un link fisso perché la persona possa cambiare la scelta.

    Esempio

    Link nel footer di tutte le pagine: Preferenze sui cookie

  6. Contatto del DPO pubblicato

    L'identità e il contatto del DPO (encarregado) devono essere resi noti in modo chiaro e oggettivo, preferibilmente sul sito. I piccoli operatori esonerati dal nominare un DPO devono mantenere un canale con l'interessato.

    Esempio

    DPO (encarregado) dei dati: Maria Silva. Contatto: privacidade@seusite.com.br

  7. Rispondere alle richieste dell'interessato

    La conferma e l'accesso ai dati possono essere dati subito, in formato semplificato, oppure con una dichiarazione completa entro 15 giorni dalla richiesta. Prevedi un canale per ricevere queste richieste.

  8. Attenzione a bambini e dati sensibili

    I dati dei bambini richiedono il consenso di almeno uno dei genitori o del tutore. I dati sensibili, come salute e religione, richiedono un consenso specifico e in evidenza, e Google non accetta annunci personalizzati basati su di essi.

In pratica

Giusto e sbagliato

Strumenti ufficiali

CMP certificate e link ufficiali

Google non richiede una CMP certificata né ha un messaggio dedicato per la LGPD, quindi scegli uno strumento che segua la guida dell'ANPD, e usa una CMP certificata solo se il sito riceve anche visitatori dall'Europa.

A chi si applica

Tre situazioni portano il tuo sito sotto la LGPD

Ne basta una. Non importa la dimensione del sito né dove si trovano i server.

Trattamento svolto in Brasile

Se la raccolta o l'uso dei dati avviene sul territorio nazionale, la legge si applica.

Offerta a persone in Brasile

Se l'obiettivo è offrire prodotti o servizi a persone che si trovano in Brasile, o trattare i loro dati, la legge si applica anche alle aziende straniere.

Dati raccolti in Brasile

Se i dati sono stati raccolti nel paese, la LGPD vale per essi, anche se poi vengono elaborati all'estero.

Anche i piccoli siti

Blog e piccole aziende rispettano la legge. L'ANPD ha regole più leggere per gli operatori di piccole dimensioni, ma non un'esenzione generale.

Basi giuridiche

Le ipotesi legali che contano di più per un sito

L'articolo 7 prevede 10 ipotesi per trattare dati personali. Per un sito di contenuti con annunci, queste sono quelle che compaiono nella pratica quotidiana.

Consenso

Manifestazione libera, informata e inequivocabile per una finalità determinata. È la base indicata dall'ANPD per i cookie non necessari, come quelli pubblicitari.

Legittimo interesse

Interesse reale del sito, purché non calpesti i diritti dell'interessato. Può servire per i cookie strettamente necessari e per la misurazione aggregata, secondo l'ANPD.

Esecuzione di un contratto

Dati necessari per adempiere a un contratto con la persona, come un abbonamento a pagamento o un acquisto.

Obbligo legale o regolamentare

Quando una legge obbliga a conservare il dato. Il Marco Civil da Internet, ad esempio, impone di conservare per un certo periodo i registri di accesso alle applicazioni.

Tutela del credito

Usata nell'analisi del credito e nel registro positivo. Comune nei siti finanziari, rara nei siti di contenuti.

Altre ipotesi

Politiche pubbliche, ricerca, esercizio di diritti nei procedimenti, tutela della vita e della salute completano l'elenco dell'articolo 7.

Cookie

Cosa dice la guida ai cookie dell'ANPD

A ottobre 2022, l'ANPD ha pubblicato la Guida orientativa Cookie e protezione dei dati personali. Distingue i cookie in necessari e non necessari, propri e di terze parti, di sessione e persistenti, e per finalità: analitici, di funzionalità e pubblicitari.

Per i cookie strettamente necessari, come quelli che mantengono il login o il carrello, la guida dice che il consenso non è la base più appropriata. Si può usare il legittimo interesse, purché siano rispettati i requisiti della legge. Per i cookie non necessari, come quelli pubblicitari e quelli che seguono il comportamento della persona, il consenso è la base più appropriata.

La guida raccomanda un banner con un pulsante per rifiutare tutti i cookie non necessari, ben visibile, e sconsiglia i banner con solo un pulsante di accettazione. Non raccomanda nemmeno le opzioni preselezionate e consiglia di lasciare disattivati per impostazione predefinita i cookie che dipendono dal consenso.

Infine, la guida richiede una Politica sui cookie o un documento equivalente, che può essere una sezione dell'informativa sulla privacy o una pagina separata. Per la pubblicità, la guida afferma che il legittimo interesse difficilmente sarà l'ipotesi più appropriata.

Diritti degli interessati

Cosa può chiedere il visitatore al tuo sito

L'articolo 18 elenca i diritti dell'interessato. Il sito deve avere un canale per ricevere queste richieste e rispondere.

Conferma e accesso

Sapere se il sito tratta i suoi dati e vedere quali sono.

Correzione

Correggere dati incompleti, errati o non aggiornati.

Anonimizzazione, blocco o eliminazione

Chiedere che i dati non necessari, eccessivi o trattati illecitamente siano anonimizzati, bloccati o cancellati.

Portabilità

Portare i dati a un altro fornitore di servizi o prodotti.

Informazioni sulla condivisione

Sapere con quali aziende ed enti i dati sono stati condivisi, come le reti pubblicitarie.

Revocare il consenso

Ritirare il consenso in qualsiasi momento, gratuitamente e con facilità, ed essere informata della possibilità di non acconsentire.

Cosa fare

Cosa deve avere online un editore brasiliano

  1. Informativa sulla privacy completaSpiega quali dati il sito raccoglie, per cosa, con quale base giuridica, con chi li condivide (compresi Google e le reti pubblicitarie), per quanto tempo li conserva e come l'interessato esercita i propri diritti.
  2. Politica sui cookieElenca i tipi di cookie, la finalità di ciascuno e se sono propri o di terze parti. Può essere una sezione dell'informativa sulla privacy.
  3. Banner quando ci sono cookie non necessariSe il sito usa cookie pubblicitari o di tracciamento, mostra un banner con pulsanti accetta e rifiuta visibili e le opzioni non spuntate.
  4. Percorso per cambiare la sceltaLascia un link fisso, come Preferenze cookie nel footer, perché il visitatore possa revocare o modificare il consenso in qualsiasi momento.
  5. Incaricato o canale di contattoIndica l'incaricato (encarregado) e pubblica il suo contatto nel sito. La Risoluzione CD/ANPD n. 18, di luglio 2024, ne dettaglia il ruolo. Gli operatori di piccole dimensioni possono essere dispensati dall'indicare l'incaricato, ma devono mantenere un canale di comunicazione con l'interessato.
  6. Sicurezza e incidentiProteggi i dati con misure tecniche e comunica all'ANPD e agli interessati gli incidenti di sicurezza che possono causare un rischio o un danno rilevante.

Sanzioni

Cosa può applicare l'ANPD

Le sanzioni dell'articolo 52 valgono dal 1° agosto 2021. L'ANPD definisce l'importo di ogni caso in base al proprio regolamento di dosimetria.

Avvertimento

Con un termine perché il sito adotti misure correttive.

Sanzione semplice

Fino al 2% del fatturato dell'azienda, gruppo o conglomerato in Brasile nell'ultimo esercizio, al netto delle imposte, limitata a 50 milioni di R$ per infrazione.

Sanzione giornaliera

Per forzare la correzione di un'irregolarità, nel rispetto dello stesso limite totale.

Pubblicizzazione

Rendere pubblica l'infrazione dopo l'accertamento, il che incide sulla reputazione del sito.

Blocco o eliminazione

Bloccare o cancellare i dati personali collegati all'infrazione.

Sospensione e divieto

Sospendere la banca dati o l'attività di trattamento, e persino vietare in tutto o in parte il trattamento dei dati.

Cronologia

Dall'approvazione della legge all'agenzia di regolazione

Le date che pesano di più per chi ha un sito in Brasile.

  1. 14 agosto 2018

    La LGPD viene promulgata

    La Legge n. 13.709 viene pubblicata con un periodo di adeguamento prima dell'entrata in vigore.

  2. 18 settembre 2020

    La legge entra in vigore

    Iniziano a valere le regole su basi giuridiche, diritti e obblighi.

  3. 1° agosto 2021

    Le sanzioni entrano in vigore

    L'ANPD ottiene il potere di applicare avvertimenti, sanzioni e le altre misure dell'articolo 52.

  4. Ottobre 2022

    Guida ai cookie

    L'ANPD pubblica la Guida orientativa Cookie e protezione dei dati personali.

  5. Febbraio 2023

    Regolamento di dosimetria

    L'ANPD approva le regole per calcolare e applicare le sanzioni amministrative.

  6. Luglio 2024

    Regole sull'incaricato

    La Risoluzione CD/ANPD n. 18 dettaglia la designazione e le attività dell'incaricato.

  7. 2026

    L'ANPD diventa agenzia

    L'ANPD viene trasformata in agenzia di regolazione e prende il nome di Agenzia nazionale per la protezione dei dati.

LGPD e GDPR

Simili, ma non uguali

La LGPD è stata ispirata al GDPR, ma ci sono differenze che cambiano la configurazione del sito.

LGPD (Brasile)

Vale per i dati trattati in Brasile o di persone in Brasile.

  • 10 ipotesi legali, compresa la tutela del credito
  • Sanzione limitata a 50 milioni di R$ per infrazione
  • Guida ai cookie dell'ANPD con raccomandazioni pratiche
  • Google non richiede una CMP certificata né Consent Mode per il traffico dal Brasile
  • Le regole sui cookie sono in una guida orientativa, non in una legge specifica
  • Il banner resta necessario quando ci sono cookie non necessari

GDPR (Europa)

Vale per le persone nel SEE, e ci sono leggi simili nel Regno Unito e in Svizzera.

  • 6 basi giuridiche
  • Regola sui cookie in una legge propria, la direttiva ePrivacy
  • Linee guida dettagliate dell'EDPB sul consenso
  • Sanzioni fino a 20 milioni di euro o al 4% del fatturato mondiale
  • Google richiede una CMP certificata con TCF per gli annunci personalizzati
  • Segnali di Consent Mode v2 richiesti per le funzioni degli annunci

In pratica

Cosa è consentito e cosa no in un sito brasiliano

Esempi basati sulla LGPD e sulle raccomandazioni della guida ai cookie dell'ANPD.

Consentito

  • Caricare i cookie necessari, come login e sicurezza, senza chiedere il consenso
  • Mostrare un banner con Accetta e Rifiuta sullo stesso livello per i cookie pubblicitari
  • Usare il messaggio europeo TCF solo per i visitatori dall'Europa e un banner proprio per il Brasile
  • Pubblicare l'informativa sulla privacy e quella sui cookie nel footer di tutte le pagine
  • Indicare un'e-mail di contatto dell'incaricato o un canale di assistenza all'interessato
  • Mantenere i normali annunci di Google per il pubblico brasiliano

Non consentito

  • Banner con un solo pulsante Accetta o Ok per i cookie pubblicitari
  • Opzioni dei cookie già spuntate per il visitatore
  • Informativa sulla privacy copiata da un altro sito, senza citare Google e i partner
  • Dire che il sito non raccoglie dati quando ci sono annunci e Analytics
  • Richiedere l'accettazione totale dei cookie per sbloccare il contenuto
  • Negare tutti i segnali di consenso per il Brasile senza necessità

In ConsentMode

Cosa controlla l'audit sulla LGPD nel tuo sito

  • Apre il sito come visitatore del Brasile e mostra in uno screenshot se c'è un banner, quali pulsanti ha e se le opzioni sono già spuntate.
  • Elenca i cookie e i tag pubblicitari e di analisi che si caricano prima e dopo la scelta.
  • Verifica se l'informativa sulla privacy esiste, se è nel footer e se cita Google, cookie, partner, diritti e contatto dell'incaricato.
  • Controlla se la configurazione europea si sta estendendo al Brasile, negando annunci senza necessità.
  • Consegna un piano di correzione in ordine di priorità, senza sostituire la consulenza legale.
Avvia un auditVedi tutto ciò che viene controllato

Domande frequenti sulla LGPD

Ogni sito brasiliano ha bisogno di un banner dei cookie?

La LGPD non cita i banner. La guida dell'ANPD raccomanda di chiedere il consenso per i cookie non necessari, come quelli pubblicitari. Se il sito usa solo cookie necessari, il banner di consenso non è richiesto, ma la trasparenza nell'informativa resta.

Google richiede Consent Mode per il traffico dal Brasile?

No. La norma di Google sul consenso degli utenti UE vale per SEE, Regno Unito e Svizzera. Per il Brasile, le norme di Google richiedono un'informativa sulla privacy che spieghi l'uso di cookie e dati da parte degli annunci.

Devo nominare un incaricato?

Il titolare deve indicare un incaricato. L'ANPD permette agli operatori di piccole dimensioni di non indicarlo, purché mantengano un canale di comunicazione con l'interessato. Verifica con il legale se la tua attività rientra.

Posso usare il legittimo interesse per gli annunci?

La guida dell'ANPD dice che, per la pubblicità, il legittimo interesse difficilmente sarà l'ipotesi più appropriata. Per i cookie pubblicitari, la base indicata è il consenso.

Una configurazione fatta per il GDPR va bene per la LGPD?

In buona parte sì, perché i principi sono simili. L'accortezza è usare le regioni: il messaggio europeo TCF non deve comparire in Brasile e l'informativa sulla privacy deve citare la LGPD e i diritti dell'articolo 18.

ConsentMode dà un parere legale?

No. L'audit mostra cosa fa il sito, con screenshot, e indica ciò che di solito viene corretto. La decisione legale spetta al tuo avvocato o incaricato.

Biblioteca

Fonti ufficiali

Questa guida è stata scritta a partire da queste pagine ufficiali. Leggi direttamente alla fonte:

Guarda il tuo sito come lo vede un visitatore brasiliano

L'audit controlla banner, cookie, informativa sulla privacy e annunci, e consegna un piano di correzione.

Avvia l'audit