LGPD e consenso ai cookie in Brasile: cosa devono sapere i siti web

La legge generale brasiliana sulla protezione dei dati (LGPD) si applica ai cookie ogni volta che raccolgono dati personali, come identificativi collegati a una persona o a un dispositivo. In Brasile non esiste una legge specifica sui cookie, quindi ogni finalità dei cookie richiede una base giuridica prevista dalla LGPD. Per i cookie pubblicitari e per la maggior parte di quelli di analisi questa base è di solito il consenso, che deve essere libero, informato, inequivocabile e revocabile in qualsiasi momento.

Cos’è la LGPD e a chi si applica?

La LGPD è la Legge brasiliana n. 13.709/2018, la legge generale del Paese sulla protezione dei dati, fatta rispettare dall’autorità nazionale per la protezione dei dati (ANPD). Riprende da vicino i concetti del Regolamento generale sulla protezione dei dati (GDPR): titolari e responsabili del trattamento, basi giuridiche, diritti degli interessati e principio di responsabilizzazione.

Ha una portata extraterritoriale. La legge si applica quando il trattamento avviene in Brasile, quando il trattamento mira a offrire beni o servizi a persone in Brasile o riguarda dati di persone che vi si trovano, oppure quando i dati personali sono stati raccolti in Brasile. Un’azienda europea o statunitense con clienti o visitatori brasiliani rientra di norma nel suo ambito di applicazione.

Per la LGPD i cookie sono dati personali?

Molti sì. La LGPD definisce i dati personali come informazioni relative a una persona fisica identificata o identificabile, e ID dei cookie, indirizzi IP e identificativi pubblicitari possono rendere identificabile una persona, soprattutto se combinati con altri dati.

I dati realmente anonimizzati non rientrano nella legge, ma l’asticella per l’anonimizzazione è alta. Tratta i cookie di analisi e pubblicitari come dati personali, a meno che tu non possa dimostrare il contrario. Un audit dei cookie accurato ti dice quali cookie raccolgono cosa, ed è il punto di partenza per scegliere una base giuridica.

Quale base giuridica si applica ai cookie?

Non c’è una risposta unica: ogni finalità dei cookie richiede una delle basi giuridiche della LGPD, e il consenso è solo una di queste. È questa la principale differenza strutturale rispetto all’UE, dove la direttiva ePrivacy richiede il consenso per i cookie non essenziali indipendentemente dalla base giuridica del GDPR che copre il trattamento successivo.

In pratica, la maggior parte delle organizzazioni arriva a conclusioni familiari:

• I cookie strettamente necessari, come quelli di sessione, di sicurezza e di bilanciamento del carico, di solito possono basarsi sul legittimo interesse o sull’esecuzione di un contratto richiesto dall’utente.
• I cookie di analisi possono talvolta basarsi sul legittimo interesse dopo un test di bilanciamento documentato, ma il consenso è la scelta più sicura, soprattutto quando i dati vengono trasmessi a terze parti.
• I cookie pubblicitari e di tracciamento cross-site in genere richiedono il consenso, dato quanto sono invasivi e quanto è difficile giustificarli sulla base del legittimo interesse.

Il legittimo interesse previsto dalla LGPD non è un lasciapassare. Il trattamento deve rispettare le legittime aspettative e i diritti fondamentali della persona e usare solo i dati strettamente necessari per la finalità, e quando ti basi su questo presupposto l’ANPD può richiedere un rapporto di impatto sulla protezione dei dati. Il nostro articolo su legittimo interesse e cookie spiega come le autorità europee affrontano la stessa questione.

Cosa rende valido il consenso secondo la LGPD?

Il consenso deve essere una manifestazione di volontà libera, informata e inequivocabile per una finalità specifica. Le autorizzazioni generiche sono nulle, e l’onere di dimostrare che il consenso è stato ottenuto correttamente ricade sul titolare del trattamento.

Per i banner dei cookie, questo si traduce in una checklist pratica:

1. Spiega ogni finalità dei cookie in un linguaggio chiaro, in portoghese per il pubblico brasiliano, prima di chiedere il consenso.
2. Non caricare cookie non necessari finché la persona non ha fatto una scelta.
3. Evita le caselle preselezionate e non considerare il silenzio o la prosecuzione della navigazione come un’accettazione.
4. Offri un’opzione di rifiuto facile da trovare e da usare quanto quella per accettare.
5. Permetti alle persone di modificare o revocare il consenso in seguito tramite una procedura gratuita e semplice, come un link alle impostazioni sempre disponibile.
6. Registra quando, come e per quali finalità è stato prestato il consenso.

Cosa si aspetta l’ANPD dai banner dei cookie?

L’ANPD ha pubblicato linee guida su cookie e dati personali molto simili alle indicazioni delle autorità europee. I temi principali sono trasparenza, scelta granulare e assenza di manipolazione.

Le linee guida raccomandano di classificare i cookie per finalità, un primo livello con opzioni chiare che includano il rifiuto dei cookie non necessari, un secondo livello o una cookie policy con maggiori dettagli e un design che non spinga le persone ad accettare. Si tratta di linee guida e non di una norma di legge, ma indicano come l’autorità interpreta i principi della LGPD nel corso di un’indagine. Leggi come progettare un banner dei cookie conforme e facile da usare per soluzioni che soddisfano sia le aspettative brasiliane sia quelle europee.

Gli strumenti sanzionatori sono consistenti. Le sanzioni previste dalla LGPD includono avvertimenti, la pubblicazione della violazione, il blocco o la cancellazione dei dati interessati e sanzioni pecuniarie fino al 2% del fatturato dell’azienda in Brasile, con un tetto di 50 milioni di R$ per infrazione.

In cosa differisce la LGPD dalle regole UE sui cookie?

I due regimi producono spesso banner simili, ma poggiano su fondamenta giuridiche diverse. Questa tabella riassume le differenze più rilevanti per i cookie.

	UE (GDPR ed ePrivacy)	Brasile (LGPD)
Norma specifica sui cookie	Sì, direttiva ePrivacy, art. 5, par. 3	No, solo la legge generale sulla protezione dei dati
Base giuridica per i cookie non essenziali	Consenso	Qualsiasi base valida; per la pubblicità di solito il consenso
Standard del consenso	Libero, specifico, informato, inequivocabile	Libero, informato, inequivocabile, per finalità specifiche
Copre l’archiviazione sul dispositivo di dati non personali	Sì	Solo quando sono coinvolti dati personali
Autorità di controllo	Autorità nazionali, coordinate dall’EDPB	ANPD
Sanzione massima	20 milioni di euro o 4% del fatturato mondiale annuo	2% del fatturato in Brasile, con un tetto di 50 milioni di R$ per infrazione

Se hai già una configurazione che rispetta i requisiti GDPR per il consenso ai cookie, adattarla al Brasile significa soprattutto curare la lingua, documentare la base giuridica per ogni finalità e conservare registrazioni accurate.

In sintesi

Considera la LGPD una stretta parente del GDPR. Non contiene una norma specifica sui cookie, ma il consenso resta la scelta predefinita nella pratica per i cookie pubblicitari e l’opzione più sicura per la maggior parte delle attività di analisi rivolte a persone in Brasile. Documenta la base giuridica per ogni finalità, offri ai visitatori un’opzione di rifiuto chiara e conserva registrazioni del consenso che puoi esibire su richiesta. Strumenti come Cookiesh possono mostrare ai visitatori brasiliani un banner LGPD geolocalizzato insieme alle tue esperienze per GDPR e CCPA.

Questo articolo ha carattere puramente informativo e non costituisce consulenza legale. Per decisioni relative alla tua situazione specifica, rivolgiti a un professionista qualificato in materia di privacy.