La LGPD, Ley General de Protección de Datos de Brasil (Ley n.º 13.709/2018), se aplica a toda empresa que trate datos personales recolectados en Brasil, sin importar dónde esté su sede. Antes del primer día, su TI necesita un mapa de los datos personales que manejará la operación brasileña, control de acceso y registros, una forma de detectar incidentes y comunicarlos rápido, un mecanismo legal para enviar datos a la casa matriz y contratos que obliguen a los proveedores locales. Este artículo trata el lado de la TI; el lado jurídico debe conducirse con un abogado brasileño.
¿La LGPD se aplica a mi empresa?
En la mayoría de los casos, sí. La LGPD se aplica cuando los datos personales se tratan en Brasil, cuando el objetivo es ofrecer bienes o servicios a personas en Brasil o cuando los datos fueron recolectados en Brasil. Una empresa extranjera que abre oficina, fábrica o filial en Brasil tratará, como mínimo, datos de sus empleados brasileños, y normalmente también de clientes y proveedores.
El regulador es la ANPD (Autoridad Nacional de Protección de Datos), que publica reglamentos sobre temas como la comunicación de incidentes, el encargado de datos y las transferencias internacionales.
Lo que la TI necesita antes del primer día
1. Un mapa de los datos personales
Liste los datos personales que recopilará la operación brasileña (empleados, candidatos, clientes, proveedores, visitantes), para qué, dónde se almacenarán y quién puede acceder a ellos. La LGPD exige registrar las actividades de tratamiento, y este mapa es el punto de partida.
2. Control de acceso
- Cuentas individuales, sin usuarios compartidos.
- Autenticación de múltiples factores para el correo, el acceso remoto y las cuentas administrativas.
- Accesos otorgados por función y retirados el mismo día en que alguien se va.
3. Registros y monitoreo
Sin registros, no es posible saber qué pasó en un incidente ni comunicarlo correctamente. Centralice los registros de acceso a los sistemas que contienen datos personales y consérvelos durante un período definido.
4. Protección de la red
Firewall, segmentación entre usuarios, servidores y visitantes, y una VPN segura con la casa matriz. Son medidas técnicas básicas que la LGPD espera de cualquier empresa que trate datos personales.
5. Respuesta a incidentes
Los reglamentos de la ANPD exigen que los incidentes de seguridad que puedan causar riesgo o daño relevante a los titulares se comuniquen a la ANPD y a las personas afectadas en un plazo corto, contado en días hábiles. Defina de antemano quién detecta, quién decide, quién comunica y quién habla con la casa matriz, para que el plazo no se agote mientras se busca un procedimiento.
6. Transferencias a la casa matriz
Enviar datos de recursos humanos o de clientes desde Brasil a sistemas en el exterior es una transferencia internacional. La LGPD enumera los mecanismos que la permiten, y la ANPD publicó cláusulas contractuales estándar para este fin. Su equipo jurídico debe elegir el mecanismo. La TI necesita conocer qué flujos de datos existen para que ninguno quede afuera.
7. Contratos con proveedores
Los proveedores locales que tratan datos personales en su nombre (nómina, soporte de TI, nube, seguridad) deben tener contratos con cláusulas de protección de datos. Incluya requisitos de seguridad y la obligación de comunicar incidentes.
8. Encargado de datos
La LGPD prevé un encargado de protección de datos (en portugués, *encarregado*) como punto de contacto con los titulares y la ANPD. Consulte con su abogado si la operación brasileña debe nombrar uno o puede apoyarse en el del grupo.
9. Retención y eliminación
Defina cuánto tiempo se conserva cada tipo de dato y cómo se elimina, incluso en los respaldos.
Qué pasa si algo sale mal
La LGPD prevé advertencias, multas de hasta el 2 % de la facturación de la empresa en Brasil (con un límite de R$ 50 millones por infracción), la publicación de la infracción y el bloqueo o la eliminación de los datos involucrados. Para una operación nueva, el daño a la reputación de un incidente puede pesar tanto como la multa.
Preguntas frecuentes
¿La LGPD se aplica a una empresa extranjera con una oficina pequeña en Brasil?
Sí. La LGPD mira dónde se recolectan y tratan los datos, no dónde está la sede de la empresa. Incluso una oficina pequeña trata datos de sus empleados brasileños.
¿Podemos enviar datos de empleados de Brasil a la casa matriz?
Sí, pero es una transferencia internacional y debe apoyarse en uno de los mecanismos previstos por la LGPD, como las cláusulas contractuales estándar publicadas por la ANPD. Su equipo jurídico debe definirlo antes de que los datos empiecen a circular.
¿Cumplir la LGPD es un proyecto de TI o jurídico?
Las dos cosas. El área jurídica define las bases, los contratos y las políticas. La TI implementa los controles que los hacen reales: accesos, registros, segmentación, respaldo y respuesta a incidentes.
Cómo puedo ayudar
Monto la infraestructura de TI de nuevas operaciones en Brasil con los controles técnicos que espera la LGPD, trabajando junto a su equipo jurídico. Vea Implantación de TI en Brasil y Seguridad perimetral y LGPD, o lea el checklist de infraestructura de TI en Brasil.
*Este artículo es información general sobre TI y LGPD, no asesoría jurídica.*