International6 min de lecture
LGPD et cookies au Brésil : ce que les sites doivent savoir
Comment la LGPD brésilienne s'applique aux cookies : bases légales, cas où le consentement est requis, attentes de l'ANPD et différences avec les règles de l'UE.
La loi générale brésilienne sur la protection des données (LGPD) s’applique aux cookies dès lors qu’ils collectent des données personnelles, comme des identifiants rattachés à une personne ou à un appareil. Le Brésil n’a pas de loi spécifique aux cookies : chaque finalité de cookie doit donc reposer sur une base légale de la LGPD. Pour les cookies publicitaires et la plupart des cookies de mesure d’audience, cette base est généralement le consentement, qui doit être libre, éclairé, univoque et révocable à tout moment.
Qu’est-ce que la LGPD et à qui s’applique-t-elle ?
La LGPD est la loi brésilienne n° 13.709/2018, la loi générale du pays sur la protection des données, dont le respect est contrôlé par l’autorité nationale de protection des données (ANPD). Elle reprend de près les notions du RGPD : responsables de traitement et sous-traitants, bases légales, droits des personnes concernées et responsabilité (accountability).
Sa portée est extraterritoriale. La loi s’applique lorsque le traitement a lieu au Brésil, lorsqu’il vise à proposer des biens ou des services à des personnes au Brésil ou porte sur des données de personnes qui s’y trouvent, ou lorsque les données personnelles ont été collectées au Brésil. Une entreprise européenne ou américaine qui a des clients ou des visiteurs brésiliens entre généralement dans son champ d’application.
Les cookies sont-ils des données personnelles au sens de la LGPD ?
Beaucoup le sont. La LGPD définit les données personnelles comme toute information relative à une personne physique identifiée ou identifiable, et les identifiants de cookies, les adresses IP et les identifiants publicitaires peuvent rendre une personne identifiable, en particulier lorsqu’ils sont combinés à d’autres données.
Les données véritablement anonymisées échappent à la loi, mais le niveau d’exigence en matière d’anonymisation est élevé. Considérez les cookies de mesure d’audience et de publicité comme des données personnelles, sauf si vous pouvez démontrer le contraire. Un audit des cookies approfondi vous indique quels cookies collectent quoi, ce qui constitue le point de départ du choix d’une base légale.
Quelle base légale s’applique aux cookies ?
Il n’y a pas de réponse unique : chaque finalité de cookie doit reposer sur l’une des bases légales de la LGPD, et le consentement n’en est qu’une parmi d’autres. C’est la principale différence structurelle avec l’UE, où la directive ePrivacy exige un consentement pour les cookies non essentiels, quelle que soit la base légale du RGPD qui couvre le traitement ultérieur.
En pratique, la plupart des organisations aboutissent à un schéma familier :
- Les cookies strictement nécessaires, comme les cookies de session, de sécurité et de répartition de charge, peuvent généralement reposer sur l’intérêt légitime ou sur l’exécution d’un contrat demandé par l’utilisateur.
- Les cookies de mesure d’audience peuvent parfois reposer sur l’intérêt légitime après une mise en balance documentée, mais le consentement est l’option la plus sûre, en particulier lorsque les données sont transmises à des tiers.
- Les cookies publicitaires et de suivi intersites appellent généralement le consentement, compte tenu de leur caractère intrusif et de la difficulté à les justifier par l’intérêt légitime.
L’intérêt légitime au sens de la LGPD n’est pas un blanc-seing. Le traitement doit respecter les attentes légitimes et les droits fondamentaux de la personne et n’utiliser que les données strictement nécessaires à la finalité, et l’ANPD peut exiger un rapport d’impact sur la protection des données lorsque vous invoquez cette base. Notre article sur l’intérêt légitime et les cookies explique comment les autorités européennes abordent la même question.
Qu’est-ce qui rend le consentement valable au sens de la LGPD ?
Le consentement doit être une manifestation de volonté libre, éclairée et univoque, donnée pour une finalité déterminée. Les autorisations génériques sont nulles, et c’est au responsable de traitement qu’il incombe de prouver que le consentement a été obtenu correctement.
Pour les bandeaux cookies, cela se traduit par une checklist pratique :
- Expliquez chaque finalité de cookie en langage clair, en portugais pour le public brésilien, avant de demander le consentement.
- Ne chargez aucun cookie non nécessaire avant que la personne ait fait un choix.
- Évitez les cases pré-cochées et ne considérez pas le silence ou la poursuite de la navigation comme un accord.
- Proposez une option de refus aussi facile à trouver et à utiliser que l’option d’acceptation.
- Permettez aux personnes de modifier ou de retirer leur consentement par la suite, au moyen d’une procédure gratuite et simple, comme un lien permanent vers les paramètres.
- Enregistrez quand, comment et pour quelles finalités le consentement a été donné.
Qu’attend l’ANPD des bandeaux cookies ?
L’ANPD a publié des recommandations sur les cookies et les données personnelles qui ressemblent beaucoup à celles des autorités européennes. Leurs grands axes sont la transparence, la granularité des choix et l’absence de manipulation.
Ces recommandations privilégient une classification des cookies par finalité, un premier niveau proposant des options claires, dont le refus des cookies non nécessaires, un second niveau ou une politique cookies plus détaillés, et un design qui ne pousse pas les internautes à accepter. Il s’agit de recommandations et non d’un texte de loi, mais elles indiquent comment l’autorité interprète les principes de la LGPD lors d’une enquête. Consultez comment concevoir un bandeau cookies conforme et agréable à utiliser pour des modèles qui répondent à la fois aux attentes brésiliennes et européennes.
L’arsenal de sanctions est conséquent. Les sanctions prévues par la LGPD comprennent l’avertissement, la publication de l’infraction, le blocage ou la suppression des données concernées, ainsi que des amendes pouvant atteindre 2 % du chiffre d’affaires de l’entreprise au Brésil, plafonnées à 50 millions de reais (R$) par infraction.
Comment la LGPD se compare-t-elle aux règles européennes sur les cookies ?
Les deux régimes aboutissent souvent à des bandeaux similaires, mais reposent sur des fondements juridiques différents. Ce tableau résume les différences les plus importantes pour les cookies.
| UE (RGPD et ePrivacy) | Brésil (LGPD) | |
|---|---|---|
| Règle spécifique aux cookies | Oui, article 5(3) de la directive ePrivacy | Non, uniquement la loi générale sur la protection des données |
| Base légale des cookies non essentiels | Consentement | Toute base valable ; le consentement est la norme pour la publicité |
| Critères du consentement | Libre, spécifique, éclairé, univoque | Libre, éclairé, univoque, pour des finalités déterminées |
| Couvre le stockage de données non personnelles sur l’appareil | Oui | Uniquement en présence de données personnelles |
| Autorité de contrôle | Autorités nationales, coordonnées par le CEPD | ANPD |
| Amende maximale | 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial | 2 % du chiffre d’affaires au Brésil, plafonnés à 50 millions de R$ par infraction |
Si vous disposez déjà d’un dispositif conforme aux règles du RGPD sur le consentement aux cookies, l’adapter au Brésil consiste surtout à traduire les textes, à documenter votre base légale pour chaque finalité et à conserver des enregistrements rigoureux.
En résumé
Considérez la LGPD comme une proche cousine du RGPD. Elle ne comporte pas de règle spécifique aux cookies, mais le consentement reste l’option par défaut en pratique pour les cookies publicitaires et l’option la plus sûre pour la plupart des outils de mesure d’audience visant des personnes au Brésil. Documentez votre base légale pour chaque finalité, offrez aux visiteurs une option de refus claire et conservez des preuves de consentement que vous pouvez produire sur demande. Des outils comme Cookiesh peuvent afficher un bandeau LGPD géociblé aux visiteurs brésiliens, en parallèle de vos parcours RGPD et CCPA.
Cet article est fourni à titre d’information générale et ne constitue pas un avis juridique. Pour toute décision concernant votre situation, consultez un professionnel qualifié de la protection des données.
Questions fréquentes
Un bandeau cookies est-il obligatoire au Brésil ?
La LGPD ne mentionne pas expressément les bandeaux cookies. En pratique, si vous vous appuyez sur le consentement pour les cookies de mesure d'audience ou de publicité, un bandeau ou une interface similaire est le moyen le plus pratique de recueillir et d'enregistrer ce consentement, et les recommandations de l'ANPD partent du principe qu'il en existe un.
Puis-je utiliser le même bandeau cookies pour le Brésil et l'UE ?
Un bandeau de consentement préalable (opt-in) conforme aux exigences européennes satisfait généralement aux attentes de la LGPD, voire les dépasse : de nombreuses entreprises le réutilisent donc pour le Brésil. Proposez le texte en portugais et assurez-vous que votre politique cookies reflète les éventuelles bases légales propres au Brésil sur lesquelles vous vous appuyez.
Qui fait respecter la LGPD ?
L'Autoridade Nacional de Proteção de Dados (ANPD) est l'autorité nationale brésilienne de protection des données. Elle publie des règlements et des recommandations, traite les plaintes, mène des enquêtes et peut infliger des sanctions administratives.
La LGPD impose-t-elle de désigner un délégué à la protection des données ?
Les responsables de traitement sont en principe tenus de désigner une personne chargée du traitement des données, appelée encarregado, et de publier ses coordonnées. L'ANPD a adopté des règles qui assouplissent cette obligation pour certains petits agents de traitement : vérifiez donc les exigences actuelles.
Sources
Équipe éditoriale Cookiesh
Ingénieurs vie privée et spécialistes de la conformité, nous rédigeons des guides pratiques sur le consentement, les cookies et la protection des données pour les équipes produit.
