¿La LGPD aplica a una empresa fuera de Brasil?

Sí, cuando el dato se trata en Brasil, cuando se recopila en Brasil, o cuando la empresa ofrece productos y servicios a personas que están en Brasil. Igual que el GDPR, la LGPD aplica por el lugar donde está la persona y donde se usa el dato, no por la sede de la empresa.

¿Cuál es la mayor diferencia práctica entre las dos?

En el día a día, el plazo de aviso de filtración y el valor de la multa. El GDPR exige avisar a la autoridad en 72 horas y sanciona con hasta el 4% de la facturación global; la LGPD da hasta 3 días hábiles y limita la multa al 2% de la facturación en Brasil, con un tope de 50 millones de reales. Para el cliente grande, el rigor del GDPR suele elevar el estándar del proyecto.

¿Necesito un encargado (DPO) en las dos leyes?

Las dos piden esta figura, en condiciones diferentes. El GDPR obliga al encargado en casos definidos, como el uso a gran escala de datos sensibles. La LGPD exige designar un encargado, y la ANPD exime a empresas de pequeño porte en ciertas situaciones. En la práctica, quien atiende a los dos países suele mantener un solo encargado, que responde por las dos leyes.

¿SOC 2 o ISO 27001 ya cubren la LGPD y el GDPR?

Ayudan, pero no sustituyen. SOC 2 e ISO 27001 se ocupan de la seguridad de la información, y buena parte de los controles que piden sirven como prueba para la LGPD y el GDPR. Pero las leyes de datos exigen cosas que la seguridad no cubre: registrar qué datos usas, tener un motivo válido, atender las solicitudes de las personas y designar al encargado. Una cosa complementa a la otra.

Protección de datos

GDPR vs LGPD

La LGPD brasileña se inspiró en el GDPR europeo, así que quien cumple una ya recorrió la mayor parte del camino de la otra. Los principios, los derechos de las personas y la lógica de cuándo puedes usar un dato son casi iguales. Las diferencias que pesan están en los detalles del día a día: cuánto cuesta la multa, en cuánto tiempo debes avisar sobre una filtración, cuántos motivos acepta la ley para usar un dato y qué organismo fiscaliza.

Ver adecuación y DPO Ir a la comparación

En resumen

Misma familia: principios, derechos de las personas y motivos para usar un dato son casi idénticos.
Las diferencias están en la práctica: valor de la multa, plazo de aviso, cantidad de bases legales y qué organismo fiscaliza.
Las dos aplican a empresas fuera del país cuando los datos son de personas que están dentro de él.
Quien atiende a los dos países no hace dos proyectos: hace uno solo y ajusta los puntos donde las leyes difieren.

Lado a lado

Las diferencias que cambian la operación

Qué comparar	GDPR	LGPD
De dónde viene	Reglamento (UE) 2016/679, en vigor desde 2018.	Ley n.º 13.709/2018, en vigor desde 2020, con multas desde 2021.
Quién fiscaliza	Una autoridad de protección de datos por país, unidas por un comité europeo.	La ANPD (Autoridad Nacional de Protección de Datos), una sola, para todo Brasil.
Multa	Hasta 20 millones de euros o el 4% de la facturación global, lo que sea mayor.	Hasta el 2% de la facturación en Brasil, con límite de 50 millones de reales por infracción.
Motivos para usar un dato	Seis motivos previstos en la ley.	Diez motivos, incluyendo el cuidado de la salud y la protección del crédito.
Aviso de filtración	Avisar a la autoridad en un plazo máximo de 72 horas tras descubrirla.	Avisar a la ANPD en un plazo máximo de 3 días hábiles (Resolución ANPD n.º 15/2024).
Encargado (DPO)	Obligatorio en los casos definidos por la ley.	Debes designar uno, y la ANPD exime a empresas de pequeño porte en ciertos casos.
Enviar datos a otro país	Depende de un país considerado seguro, de cláusulas estándar o de reglas internas del grupo.	Depende de un país considerado seguro o de cláusulas estándar aprobadas por la ANPD.
Cuándo aplica	Cuando ofreces productos y servicios a personas en Europa o monitoreas su comportamiento.	Cuando el dato se trata en Brasil, se recopila en Brasil, u ofreces algo a personas en Brasil.

Los derechos de las personas (acceder, corregir, eliminar, portar los datos a otro lugar y oponerse) son parecidos en las dos leyes, con pequeñas diferencias de nombre y de plazo de respuesta.

La ley europea

GDPR

Es la referencia mundial de protección de datos desde 2018, e inspiró buena parte de las leyes que vinieron después, incluida la LGPD. Tiene la multa más pesada, el plazo de aviso más corto (72 horas) y una red de autoridades nacionales que trabajan juntas. Aplica a cualquier empresa que ofrezca productos o servicios a personas en Europa, o que monitoree su comportamiento, incluso sin oficina allí.

Multa de hasta 20 millones de euros o el 4% de la facturación global
Aviso de filtración a la autoridad en 72 horas
Seis motivos previstos para usar un dato
Una autoridad por país, unidas por un comité europeo

La ley brasileña

LGPD

Trajo la misma lógica del GDPR a Brasil, con ajustes a la realidad local: más motivos para usar un dato, una autoridad única (la ANPD) y un límite de multa en reales. El plazo de aviso lo definió la ANPD en 2024. Para quien ya cumple el GDPR, el esfuerzo de la LGPD es menor, pero no es cero: hay diferencias de motivos, de envío de datos al exterior y de plazos que deben ajustarse.

Multa de hasta el 2% de la facturación en Brasil, con límite de 50 millones de reales
Aviso a la ANPD en un plazo máximo de 3 días hábiles
Diez motivos previstos para usar un dato
Una autoridad única, para todo el país (ANPD)

Cómo se relacionan

Un solo proyecto, dos marcos legales

Quien gestiona datos de personas en Europa y en Brasil no necesita dos proyectos de privacidad. La base es la misma: saber qué datos usas y por qué, atender las solicitudes de las personas, gestionar filtraciones, mantener la seguridad y tener un encargado. Lo que cambia es la capa de arriba: los plazos, los límites de multa, la forma de enviar datos al exterior y el organismo que fiscaliza. El trabajo inteligente es montar un proyecto único y anotar las diferencias de cada ley, en vez de repetir todo dos veces.

El mapa de los datos, los motivos de uso y los derechos de las personas sirven a las dos leyes
Los plazos de aviso y los límites de multa son propios de cada una
Enviar datos entre Brasil y Europa requiere atención en los dos sentidos

Cuál es tu caso

Qué priorizar

Atiendes a clientes o usuarios en Brasil

La LGPD es tu piso

Empieza anotando qué datos usas y por qué, y designando al encargado. Es lo primero que revisa la ANPD, y la base para todo lo demás.

Ofreces servicios a personas en Europa

El GDPR entra en escena

Incluso sin oficina allí. Ajusta el plazo de aviso a 72 horas y revisa cómo envías datos fuera del país.

Atiendes a los dos países

Un solo proyecto, con las diferencias anotadas

Monta la base común una vez y anota lo que cada ley pide de más. Sale más barato y evita la confusión de mantener dos proyectos separados.

Números que importan

€ 20 M / 4 %

tope de la multa del GDPR (el mayor de los dos)

R$ 50 M

límite de la multa de la LGPD, por infracción

72 h vs 3 días hábiles

plazo de aviso: GDPR vs LGPD

Cómo lo resuelve DM11

Adecuación a la LGPD y al GDPR, con DPO as a service de DM11

Montamos el proyecto de privacidad que sirve a los dos países: el mapa de los datos, los motivos de uso, la atención a las personas, el cuidado con las filtraciones y el encargado. Donde las leyes difieren, lo anotamos y ajustamos, para que no mantengas dos proyectos.

Un solo proyecto cubre Brasil y Europa: no montas ni pagas dos equipos
Asumimos el rol de encargado (DPO), y tu equipo queda libre para el negocio
Reduces el riesgo de multa y respondes a la fiscalización con la documentación lista
Se vuelve más fácil cerrar contratos: el cliente ve que sus datos están en buenas manos

Conocer IT GRC

Preguntas frecuentes

Lo que preguntan antes de decidir

Respuestas basadas en la Ley n.º 13.709/2018 y en el Reglamento (UE) 2016/679.

En gran parte, sí, pero no del todo. La base es la misma, así que el mapa de los datos, los motivos de uso, los derechos de las personas y el encargado ya van a estar en pie. Faltan los ajustes: la LGPD acepta diez motivos para usar un dato en vez de seis, el plazo de aviso es otro, el envío de datos al exterior pasa por la ANPD y el límite de multa está en reales. Es un ajuste, no un proyecto nuevo.

¿Más dudas? Habla con DM11

Monta un proyecto de privacidad que sirva a los dos países

Una conversación breve muestra tu situación en las dos leyes y el tamaño del camino. Sin compromiso.

Habla con un especialista Conocer IT GRC

GDPR vs LGPD

Qué comparar

GDPR

LGPD

De dónde viene

Reglamento (UE) 2016/679, en vigor desde 2018.

Ley n.º 13.709/2018, en vigor desde 2020, con multas desde 2021.

Quién fiscaliza

Una autoridad de protección de datos por país, unidas por un comité europeo.

La ANPD (Autoridad Nacional de Protección de Datos), una sola, para todo Brasil.

Multa

Hasta 20 millones de euros o el 4% de la facturación global, lo que sea mayor.

Hasta el 2% de la facturación en Brasil, con límite de 50 millones de reales por infracción.

Motivos para usar un dato

Seis motivos previstos en la ley.

Diez motivos, incluyendo el cuidado de la salud y la protección del crédito.

Aviso de filtración

Avisar a la autoridad en un plazo máximo de 72 horas tras descubrirla.

Avisar a la ANPD en un plazo máximo de 3 días hábiles (Resolución ANPD n.º 15/2024).

Encargado (DPO)

Obligatorio en los casos definidos por la ley.

Debes designar uno, y la ANPD exime a empresas de pequeño porte en ciertos casos.

Enviar datos a otro país

Depende de un país considerado seguro, de cláusulas estándar o de reglas internas del grupo.

Depende de un país considerado seguro o de cláusulas estándar aprobadas por la ANPD.

Cuándo aplica

Cuando ofreces productos y servicios a personas en Europa o monitoreas su comportamiento.

Cuando el dato se trata en Brasil, se recopila en Brasil, u ofreces algo a personas en Brasil.

GDPR

Multa de hasta 20 millones de euros o el 4% de la facturación global

Aviso de filtración a la autoridad en 72 horas

Seis motivos previstos para usar un dato

Una autoridad por país, unidas por un comité europeo

LGPD

Multa de hasta el 2% de la facturación en Brasil, con límite de 50 millones de reales

Aviso a la ANPD en un plazo máximo de 3 días hábiles

Diez motivos previstos para usar un dato

Una autoridad única, para todo el país (ANPD)

Un solo proyecto, dos marcos legales

El mapa de los datos, los motivos de uso y los derechos de las personas sirven a las dos leyes

Los plazos de aviso y los límites de multa son propios de cada una

Enviar datos entre Brasil y Europa requiere atención en los dos sentidos

Adecuación a la LGPD y al GDPR, con DPO as a service de DM11

Un solo proyecto cubre Brasil y Europa: no montas ni pagas dos equipos

Asumimos el rol de encargado (DPO), y tu equipo queda libre para el negocio

Reduces el riesgo de multa y respondes a la fiscalización con la documentación lista

Se vuelve más fácil cerrar contratos: el cliente ve que sus datos están en buenas manos