Privacidad global6 min de lectura
LGPD y consentimiento de cookies en Brasil: lo que necesitas saber
Cómo se aplica la LGPD de Brasil a las cookies: bases legales, cuándo hace falta consentimiento, qué espera la ANPD de los banners y en qué se diferencia de la UE.
La Ley General de Protección de Datos de Brasil (LGPD) se aplica a las cookies siempre que recojan datos personales, como identificadores vinculados a una persona o a un dispositivo. Brasil no tiene una ley de cookies específica, así que cada finalidad de una cookie necesita una base legal de la LGPD. Para las cookies de publicidad y la mayoría de las de analítica, esa base suele ser el consentimiento, que debe ser libre, informado, inequívoco y revocable en cualquier momento.
¿Qué es la LGPD y a quién se aplica?
La LGPD es la Ley 13.709/2018 de Brasil, la ley general de protección de datos del país, cuyo cumplimiento supervisa la autoridad nacional de protección de datos (ANPD). Reproduce fielmente los conceptos del RGPD: responsables y encargados del tratamiento, bases legales, derechos de los interesados y responsabilidad proactiva.
Su alcance es extraterritorial. La ley se aplica cuando el tratamiento se realiza en Brasil, cuando tiene por objeto ofrecer bienes o servicios a personas que están en Brasil o afecta a datos de personas que se encuentran allí, o cuando los datos personales se recogieron en Brasil. Una empresa europea o estadounidense con clientes o visitantes brasileños suele estar dentro de su ámbito.
¿Las cookies se consideran datos personales según la LGPD?
Muchas, sí. La LGPD define los datos personales como la información relativa a una persona física identificada o identificable, y los ID de cookies, las direcciones IP y los identificadores publicitarios pueden hacer identificable a una persona, sobre todo cuando se combinan con otros datos.
Los datos realmente anonimizados quedan fuera de la ley, pero el listón de la anonimización es alto. Trata las cookies de analítica y de publicidad como datos personales salvo que puedas demostrar lo contrario. Una auditoría de cookies exhaustiva te dice qué cookies recogen qué datos, y ese es el punto de partida para elegir una base legal.
¿Qué base legal se aplica a las cookies?
No hay una respuesta única: cada finalidad de una cookie necesita una de las bases legales de la LGPD, y el consentimiento es solo una de ellas. Esta es la mayor diferencia estructural con la UE, donde la Directiva ePrivacy exige consentimiento para las cookies no esenciales con independencia de qué base jurídica del RGPD cubra el tratamiento posterior.
En la práctica, la mayoría de las organizaciones llegan a un punto conocido:
- Las cookies estrictamente necesarias, como las de sesión, seguridad y balanceo de carga, normalmente pueden basarse en el interés legítimo o en la ejecución de un contrato que el usuario ha solicitado.
- Las cookies de analítica pueden a veces basarse en el interés legítimo tras una ponderación documentada, pero el consentimiento es la opción más segura, sobre todo cuando los datos llegan a terceros.
- Las cookies de publicidad y de seguimiento entre sitios suelen requerir consentimiento, dado lo intrusivas que son y lo difícil que resulta justificarlas con el interés legítimo.
El interés legítimo según la LGPD no es una carta blanca. El tratamiento debe respetar las expectativas legítimas y los derechos fundamentales de la persona y utilizar solo los datos estrictamente necesarios para la finalidad, y la ANPD puede solicitar un informe de impacto sobre la protección de datos personales cuando te basas en él. Nuestro artículo sobre el interés legítimo y las cookies explica cómo abordan la misma cuestión las autoridades europeas.
¿Qué hace que el consentimiento sea válido según la LGPD?
El consentimiento debe ser una manifestación de voluntad libre, informada e inequívoca para una finalidad específica. Las autorizaciones genéricas son nulas, y la carga de demostrar que el consentimiento se obtuvo correctamente recae en el responsable del tratamiento.
En los banners de cookies, eso se traduce en una lista de comprobación práctica:
- Explica cada finalidad de las cookies en un lenguaje claro, en portugués para el público brasileño, antes de pedir el consentimiento.
- No cargues cookies no necesarias hasta que la persona elija.
- Evita las casillas premarcadas y no trates el silencio ni el hecho de seguir navegando como conformidad.
- Ofrece una opción de rechazo tan fácil de encontrar y de usar como la de aceptar.
- Permite que las personas cambien o retiren su consentimiento más adelante mediante un procedimiento gratuito y sencillo, como un enlace permanente a la configuración.
- Registra cuándo, cómo y para qué finalidades se dio el consentimiento.
¿Qué espera la ANPD de los banners de cookies?
La ANPD ha publicado una guía sobre cookies y datos personales muy parecida a las recomendaciones de las autoridades europeas. Sus temas principales son la transparencia, la elección granular y la ausencia de manipulación.
La guía favorece la clasificación de las cookies por finalidad, una primera capa con opciones claras que incluyan rechazar las cookies no necesarias, una segunda capa o una política de cookies con más detalle, y diseños que no empujen a las personas a aceptar. Se trata de una guía y no de una ley, pero indica cómo interpreta la autoridad los principios de la LGPD en una investigación. Consulta cómo diseñar un banner de cookies conforme y fácil de usar para conocer patrones que satisfacen tanto las expectativas brasileñas como las europeas.
El arsenal sancionador es considerable. Las sanciones previstas en la LGPD incluyen apercibimientos, la publicación de la infracción, el bloqueo o la eliminación de los datos afectados y multas de hasta el 2 % de la facturación de la empresa en Brasil, con un tope de 50 millones de reales por infracción.
¿En qué se diferencia la LGPD de las normas de la UE sobre cookies?
Los dos regímenes suelen dar lugar a banners parecidos, pero se apoyan en fundamentos jurídicos distintos. Esta tabla resume las diferencias más importantes para las cookies.
| UE (RGPD y ePrivacy) | Brasil (LGPD) | |
|---|---|---|
| Norma específica sobre cookies | Sí, artículo 5, apartado 3, de la Directiva ePrivacy | No, solo la ley general de protección de datos |
| Base legal para las cookies no esenciales | Consentimiento | Cualquier base válida; el consentimiento es lo habitual para la publicidad |
| Estándar de consentimiento | Libre, específico, informado e inequívoco | Libre, informado e inequívoco, para finalidades específicas |
| Cubre el almacenamiento de datos no personales en el dispositivo | Sí | Solo cuando hay datos personales de por medio |
| Autoridad de control | Autoridades nacionales, coordinadas por el CEPD | ANPD |
| Multa máxima | 20 millones de euros o el 4 % del volumen de negocio anual global | 2 % de la facturación en Brasil, con un tope de 50 millones de reales por infracción |
Si ya tienes una configuración que cumple lo que exige el RGPD para el consentimiento de cookies, adaptarla a Brasil consiste sobre todo en ocuparte del idioma, documentar tu base legal para cada finalidad y mantener buenos registros.
En resumen
Trata la LGPD como un pariente cercano del RGPD. Carece de una norma específica sobre cookies, pero el consentimiento sigue siendo la opción práctica por defecto para las cookies publicitarias y la alternativa más segura para la mayor parte de la analítica dirigida a personas que están en Brasil. Documenta tu base legal para cada finalidad, ofrece a los visitantes una opción de rechazo clara y conserva registros de consentimiento que puedas presentar cuando te los pidan. Herramientas como Cookiesh pueden mostrar un banner de la LGPD segmentado geográficamente a los visitantes brasileños, junto con tus experiencias para el RGPD y la CCPA.
Este artículo ofrece información general y no constituye asesoramiento jurídico. Para tomar decisiones sobre tu situación concreta, consulta a un profesional cualificado en privacidad.
Preguntas frecuentes
¿Es obligatorio un banner de cookies en Brasil?
La LGPD no menciona expresamente los banners de cookies. En la práctica, si te basas en el consentimiento para las cookies de analítica o de publicidad, un banner o una interfaz similar es la forma más práctica de obtener y registrar ese consentimiento, y las orientaciones de la ANPD dan por hecho que existe.
¿Puedo usar el mismo banner de cookies para Brasil y para la UE?
Un banner de consentimiento previo (opt-in) al nivel exigido en la UE suele cumplir o superar lo que espera la LGPD, así que muchas empresas lo reutilizan para Brasil. Ofrece el texto en portugués y asegúrate de que tu política de cookies refleje cualquier base legal específica de Brasil en la que te apoyes.
¿Quién vela por el cumplimiento de la LGPD?
La Autoridade Nacional de Proteção de Dados (ANPD) es la autoridad nacional de protección de datos de Brasil. Dicta reglamentos y orientaciones, tramita reclamaciones, lleva a cabo investigaciones y puede imponer sanciones administrativas.
¿Exige la LGPD un delegado de protección de datos?
Por lo general, se espera que los responsables del tratamiento designen a una persona encargada del tratamiento de datos, conocida como encarregado, y publiquen sus datos de contacto. La ANPD ha aprobado normas que flexibilizan esta obligación para algunos agentes de tratamiento de pequeño tamaño, así que comprueba los requisitos vigentes.
Fuentes
Equipo editorial de Cookiesh
Ingenieros de privacidad y especialistas en cumplimiento normativo que escriben guías prácticas sobre consentimiento, cookies y protección de datos para equipos de producto.
